数据库审计是数据安全建设不可或缺的技术工具之一，无论是国家级的法律或标准，还是等保以及行业级的安全标准均对使用数据库审计有明确要求。据相关数据统计显示，数据库审计产品的市场需求已占据中国数据库安全市场容量的6成以上。

12月1日，GB/T 20945-2023《信息安全技术 网络安全审计产品技术规范》正式实施。

该标准全面替代GB/T 20945-2013《信息安全技术 信息系统安全审计产品技术要求和测试评价方法》，将审计产品按照产品部署位置和审计对象划分为主机审计、网络审计、数据库审计、应用审计和综合审计,并明确了各类审计产品的定义、审计范围、部署方式和技术要求、测试评价方法及安全等级划分。

GB/T20945-2022中正式对数据库审计的定义：

数据库审计产品部署于数据库服务器或网络边界处，针对数据库的用户授权、数据的增加/删除/修改/查询等进行审计。

美创科技积极参与新国标数据库审计内容的研究与制定。本文将对新老标准进行对比，结合数据库审计产品行业应用实践对GB/T20945-2023中数据库审计所定义的安全功能要求、自身安全保护要求、环境适应性要求、性能要求进行解读。

安全功能要求

功能	GB/T20945-2023	GB/T20945-2013
安 全 功 能	数据采集	✔
	审计内容	审计分析—事件审计
	审计记录生成	审计分析—统计分析
	审计数据分析统计
	审计数据展示	✔
	管理控制	✔

整体上，新标准将审计分析功能进行拆分，更加贴合审计产品的框架和实际应用流程。在具体功能项上：

数据采集

标准要求：审计产品应具备数据采集功能，并能根据审计目标、审计内容等设置采集策略。

解读：新增依据审计内容的采集策略设置，扩展了设置采集策略的依据对象。

审计内容 

功能	GB/T20945-2023	GB/T20945-2013
审 计 内容	数据库用户操作：用户登录、登出、切换、用户增/删/改	✔
	数据库数据操作：数据库内数据的增/删/改/查	✔
	数据库结构操作：数据库或表的增/删/改/查	✔
	非关系型数据库的以上操作	新增项，对应增强型

审计记录生成

数据库审计产品应具备数据库审计记录生成功能，记录内容包括但不限于：

功能	GB/T20945-2023	GB/T20945-2013
审 计 记 录生成	时间、客户端标识、客户端IP地址、用户名、数据库标识、数据库类型、数据库端口、操作命令	✔
	操作结果，包括操作成功或失败，影响行数	新增项，对应基础型
	操作返回内容，包括查询结果	新增项，对应增强型

审计数据分析统计

功能	GB/T20945-2023（基础级）	GB/T20945-2013
分 析 统 计	事件分类分级	新增项，原来增强级变更为基础型
	关联分析	✔ 增强级必须功能
	异常事件分析	✔ 增强级必须功能
	统计	✔

解读：重点将事件分类分级纳入到基础级的功能内。去除增强级中扩展分析接口的能力。扩展了关联分析和异常事件分析的功能点：

a. 【事件分类分级】

• 根据一定特征对事件进行分类

• 区分事件的安全级别，且可自定义安全级别

b.【关联分析】从宽泛的“对相互关联的事件进行综合分析”明确到：

• 对相同事件发生的次数或频率达到一定阈值进行关联分析

• 对相互关联的不同事件进行关联分析

• 通过以上条件组合自定义分析策略

c.【异常事件分析】从至少包括一种，到包括但不限于以下分析能力：

• 用户行为异常

• 系统资源滥用或耗尽

• 网络流量异常

• 网络连接异常

• 应用服务异常

d.【统计】从宽泛的“能以目标标识和事件类型等条件统计”细化到要包括：

• 按照时间、审计目标标识、事件类型等条件进行事件统计

• 按照时间、事件安全级别等条件进行风险统计

• 按照时间、协议类型、应用类型等条件进行网络流量统计

• 按照时间、审计目标标识等条件进行网络连接数统计

审计数据展示

功能	GB/T20945-2023（基础级）	GB/T20945-2013
审计数据展示	审计记录查阅	✔
	统计报表	✔
	告警	增强级必须功能

解读：将增强级的报表功能进行升级，包括自定义报表模板能力。增强级功能：告警进行补充升级。

a.【报表】补充自定义报表模板的功能

b.【告警】从原来的功能点补充自定义告警事件，所有功能如下，包括但不限于：

• 能够自定义告警事件

• 能够将高频发生的相同告警事件进行合并

• 告警方式包括但不限于：界面提醒、邮件、即时通信、短信、snmp trap消息、声光电信号等方式中的一种

• 记录告警事件，内容包括：时间、事件主体、事件描述、事件级别、发生次数

管理控制

功能	GB/T20945-2023（基础级）	GB/T20945-2013
管 理 控 制	管理界面	✔
	配置备份和恢复	新增项
	数据外发	新增项，对应增强级
	自定义事件	新增项，对应增强级
	产品升级	新增项，对应增强级
	时间同步	新增项

解读：基础级新增配置备份和恢复和时间同步。增强级新增：数据外发、自定义事件、产品升级：

a.【管理界面】从宽泛的“提供配置管理图形界面“到详细要求包括”审计功能启/停、审计策略配置、审计数据分析/统计/展示、自身安全管理“等所有功能

b.【配置备份和恢复】要求具备配置备份恢复功能，能备份和恢复自身配置

c.【数据外发】要求通过标准接口、协议将审计数据外发

d.【自定义事件】要求具备自定义事件功能，能自定义的事件进行审计

e.【产品升级】要求具备升级功能，能升级产品的版本和事件识别库

f.【时间同步】要求具备时间同步功能，能够从NTP服务器同步系统时间

自身安全保护要求

功能	GB/T20945-2023（基础级）	GB/T20945-2013
自 身 安 全 保 护	身份标识与鉴别	✔
	管理权限安全	✔
	管理方式安全	✔
	审计探针安全	新增项
	用户信息安全	新增项
	传输安全	✔
	存储安全	✔
	自身管理审计	✔
	支撑系统安全	新增项

新标准对原有数据库自身安全保护要求进行更合理的归类和补充，特别补充审计探针安全和用户信息安全这两块：

探针安全          

功能	GB/T20945-2023（基础级）	GB/T20945-2013
探 针 安 全	探针识别	新增项，对应基础级
	探针状态监测	新增项，对应基础级
	集中管理	新增项，对应基础级
	探针程序和进程安全	新增项，对应增强级

解读：新增探针安全模块，包括探针识别、探针状态监测、集中管理、探针程序和进程安全，补充完整探针进程的功能和管控要求。

• 探针识别：审计中心和探针分开部署时，能对审计探针进行识别，防止审计探针假冒

• 探针状态监测：监测探针的运行状态集中

• 管理包括：数据采集策略下发、审计日志收集、探针分组管理等

• 探针程序和进程安全：探针进程在审计目标启动时自动加载、探针进程能防止被强制终止、程序具备协助保护措施、程序具备完整性措施

用户信息安全

补充用户信息安全，要求审计产品在用到个人信息时要符合国家个人信息安全标准，主要包括：

• 保障用户信息在传输和存储过程中的保密性和完整性

• 个人信息的收集、存储、使用要符合GT/B 35273—2020的相关规定

环境适应性要求

功能	GB/T20945-2023（基础级）	GB/T20945-2013
环境适应	IPv6支持	新增项
	虚拟化支持	新增项

解读：新增IPv4、IPv6应用环境和审计产品支持IPv4、IPv6自身管理；新增虚拟化环境适配，包括部署于虚拟化平台、审计虚拟化平台上的审计目标、结合虚拟化实现自身资源的弹性伸缩和故障迁移。可以看出，审计产品行业标准与时俱进，贴合云时代和IPv6时代同步进行环境适配和功能升级。

性能要求

功能	GB/T20945-2023（基础级）	GB/T20945-2013
性能要求	数据采集速度	新增项
	事件记录速度	新增项

解读：在数据上云之后，面对海量数据资产产生的海量日志，审计产品需提升数据采集速度和日志生成速度，以满足业务升级带来的大流量下的审计需求。明确标明：

• 审计流量采集接口速率30%~50%的背景流量下不漏审

• 事件记录速度达到每秒5000~10000条

美创数据库安全审计系统以安全事件为中心，从资产、身份、风险的维度出发，对数据库的各类操作行为进行监控和记录， 实现全面审计和精确审计，通过丰富的审计策略对内外部风险操作进行实时监控与告警，并建立健全综合资产、身份维度 的行为分析模型，通过多维度报表进行总览分析，直观呈现风险情况，帮助客户构建数据安全管理制度和规范。