标准解读｜新国标对数据库审计的能力要求

数据库审计是数据安全建设不可或缺的技术工具之一，无论是国家级的法律或标准，还是等保以及行业级的安全标准均对使用数据库审计有明确要求。据相关数据统计显示，数据库审计产品的市场需求已占据中国数据库安全市场容量的6成以上。

12月1日，GB/T 20945-2023《信息安全技术网络安全审计产品技术规范》正式实施。

该标准全面替代GB/T 20945-2013《信息安全技术信息系统安全审计产品技术要求和测试评价方法》，将审计产品按照产品部署位置和审计对象划分为主机审计、网络审计、数据库审计、应用审计和综合审计,并明确了各类审计产品的定义、审计范围、部署方式和技术要求、测试评价方法及安全等级划分。

GB/T20945-2022中正式对数据库审计的定义：

数据库审计产品部署于数据库服务器或网络边界处，针对数据库的用户授权、数据的增加/删除/修改/查询等进行审计。

本文从新老标准的新变化切入，结合数据库审计产品行业应用实践对GB/T20945-2023中数据库审计所定义的安全功能要求、自身安全保护要求、环境适应性要求、性能要求进行解读。

安全功能要求

整体上，新标准将审计分析功能进行拆分，更加贴合审计产品的框架和实际应用流程。在具体功能项上：

数据采集

标准要求：审计产品应具备数据采集功能，并能根据审计目标、审计内容等设置采集策略。

解读：新增依据审计内容的采集策略设置，扩展了设置采集策略的依据对象。

审计内容

审计记录生成

数据库审计产品应具备数据库审计记录生成功能，记录内容包括但不限于：

功能	GB/T20945-2023	GB/T20945-2013
审计记录生成	时间、客户端标识、客户端IP地址、用户名、数据库标识、数据库类型、数据库端口、操作命令	✔
	操作结果，包括操作成功或失败，影响行数	新增项，对应基础型
	操作返回内容，包括查询结果	新增项，对应增强型

审计数据分析统计

解读：重点将事件分类分级纳入到基础级的功能内。去除增强级中扩展分析接口的能力。扩展了关联分析和异常事件分析的功能点：

a. 【事件分类分级】

b.【关联分析】从宽泛的“对相互关联的事件进行综合分析”明确到：

d.【统计】从宽泛的“能以目标标识和事件类型等条件统计”细化到要包括：

审计数据展示

解读：将增强级的报表功能进行升级，包括自定义报表模板能力。增强级功能：告警进行补充升级。

a.【报表】补充自定义报表模板的功能

b.【告警】从原来的功能点补充自定义告警事件，所有功能如下，包括但不限于：

管理控制

解读：基础级新增配置备份和恢复和时间同步。增强级新增：数据外发、自定义事件、产品升级：

a.【管理界面】从宽泛的“提供配置管理图形界面“到详细要求包括”审计功能启/停、审计策略配置、审计数据分析/统计/展示、自身安全管理“等所有功能

b.【配置备份和恢复】要求具备配置备份恢复功能，能备份和恢复自身配置

c.【数据外发】要求通过标准接口、协议将审计数据外发

d.【自定义事件】要求具备自定义事件功能，能自定义的事件进行审计

e.【产品升级】要求具备升级功能，能升级产品的版本和事件识别库

f.【时间同步】要求具备时间同步功能，能够从NTP服务器同步系统时间

自身安全保护要求

新标准对原有数据库自身安全保护要求进行更合理的归类和补充，特别补充审计探针安全和用户信息安全这两块：

探针安全