數據庫審計是一把雙刃劍

數據庫審計包括觀察數據庫以了解數據庫用戶的行為。例如，數據庫管理員和顧問通常為了安全目的進行審計，以確保那些沒有權限訪問信息的用戶不能訪問它。同時，數據庫審計還是上市公司披露自身真實信息的必要環節。美國《薩班斯（SOX）法案》的實施，給上市公司在IT方面帶來的最大影響之一就是數據庫審計。

[[65770]]

信息技術審計，是一個信息技術（ IT ）基礎設施控制范圍內的檢查。信息系統審計是一個通過收集和評價審計證據，對信息系統是否能夠保護資產的安全、維護數據的完整、使被審計單位的目標得以有效地實現、使組織的資源得到高效地使用等方面做出判斷的過程。

數據庫審計作為信息安全審計的重要組成部分，同時也是數據庫管理系統安全性重要的一部分。通過審計功能，凡是與數據庫安全性相關的操作均可被記錄下來。只要檢測審計記錄，系統安全員便可掌握數據庫被使用狀況。

例如，檢查庫中實體的存取模式，監測指定用戶的行為。審計系統可以跟蹤用戶的全部操作，這也使審計系統具有一種威懾力，提醒用戶安全使用數據庫。數據庫審計既可以記錄公司組織內外部被訪問的真實狀況，在公司機密遭到泄露或者破壞的時候，提供有效的法律依據。同時，為了公司對外披露信息的真實性，數據庫審計已經成為監督企業日常信息真實性的手段。

從上面來看，作為一種信息安全防護手段，數據庫審計具有其受用戶喜愛的一面，但是作為一種外界強制企業披露信息環節的時候，我想大部分企業是不樂意的。無論你是樂意不樂意，如果企業想在美國上市，還是要遵行美國的薩班斯法案，也就是要有這么一種讓外界信得過的數據庫審計技術，才能順利通過這一關口。

企業部署數據庫審計系統勢在必行

從功能上來說，數據庫審計可以實時監測并智能地分析、還原各種數據庫操作。根據規則設定及時阻斷違規操作，保護重要的數據庫表和視圖。實現對數據庫系統漏洞、登錄帳號、登錄工具和數據操作過程的跟蹤，發現對數據庫系統的異常使用。支持對登錄用戶、數據庫表名、字段名及關鍵字等內容進行多種條件組合的規則設定，形成靈活的審計策略。提供包括記錄、報警、中斷和向網管系統報警等多種響應措施。具備強大的查詢統計功能，可生成專業化的報表。

可以看到，數據庫審計主要還是用來保護企業的數據安全。無論是從自身數據安全的角度考慮，還是從企業長遠正規發展來看，數據庫審計都是一個不可或缺的環節。考量一種數據庫審計手段的要求有很多，比較重要的有性能、精細程度、系統影響和權限控制等。

作為一種輔助的手段，無論采取哪種部署方式，數據庫審計都不能對原有的系統造成性能的明顯影響。在精細化這方面，可以說越精細越好，在保證自身運轉性能的基礎上，能夠記錄的細節越多，越能夠給用戶帶來便利。而在缺陷控制方面，這套系統需要有合理、有效的權限控制，保證正確的人訪問合適的數據，無權限的人不能訪問數據。

數據庫審計系統的部署方式有以下幾種，按照審計對象可以分為主機監聽、網絡監聽和組合部署三種方式。從結構上分，有集中部署、分布式部署和混合部署這三種方式，還有一種部署是多路部署方式。通過記錄數據審計行為，嚴防舞弊、違規操作、財務欺詐等行為，因此數據的保存和管理是保證審計結果準確可靠的基石。

編輯點評：

近來，世界知名的網絡筆記應用Evernote發生數據庫泄露，導致所有用戶的密碼需要重置。回想近兩年，這種現象頻發，國內國外都出現了幾次大規模的數據庫賬戶泄露事件。賬戶是用戶信息的重要入口，保護用戶賬戶數據庫安全是一個企業的責任。企業只有部署合理的數據庫審計系統，才能更加強力的防止數據庫泄露，同時，在發生數據泄露的時候能夠通過審計系統找到元兇。