半夜两点数据库被 偷家，你的数据库审计管用吗？

凌晨两点，手机狂震。安全老赵从床上弹起来——

核心业务库CPU飙到95%，大量敏感表被疯狂查询！

他连上VPN，打开数据库审计日志，屏幕上SQL语句刷得飞起。

“谁？从哪来？查了什么？”

翻遍日志，只有账号、时间戳、SQL文本。根本看不出是谁干的。

只能先切数据库。第二天一查：三万多条客户信息被批量导出。

老板暴跳如雷：“审计系统不是装了吗？怎么连谁干的都查不出来？！”

老赵心里苦啊：装了审计，不等于看得懂审计。

某运营商内部人员批量查询客户姓名、手机号、套餐和消费水平，并将客户名单提供给外部营销机构。银行高净值客户名单、保险投保人信息、医院患者资料等，都可能有类似风险。

判断这类行为是否异常，不能只看账号是否访问了敏感表，还需要分析实际操作人、终端来源、访问字段和返回结果。

美创 Ng 数据库审计通过终端用户审计关联人员、终端、应用、业务账号和数据库账号，通过细粒度审计识别被访问的表、对象和记录内容，并通过返回结果审计记录查询行数和结果内容。

当查询规模、访问时间或操作对象偏离正常习惯时，结合身份画像和会话回溯，可进一步还原谁在什么时间、通过什么终端访问了哪些敏感数据，以及查询前后还执行了哪些操作。

为规避批量查询告警，违规人员可能每次只查询少量数据，通过不断调整 WHERE 条件、LIMIT 参数和分页范围，逐步拼接出完整客户名单。这类行为的风险不在某一条 SQL，而在一段时间内持续发生的查询过程。

Ng 数据库审计通过双向审计记录每次查询的 SQL、返回行数、内容大小、执行时长和执行状态，并通过会话日志串联登录、访问和退出过程，呈现单次会话中的完整操作轨迹。

对于分散在多个会话中的小批量查询，产品结合身份画像，按照数据库账号、终端、应用、敏感对象和时间范围关联分析会话日志，并通过事件回溯提取 SQL 及其执行顺序。由此，可发现频繁变换查询条件、连续分页、反复访问同一敏感对象以及累计访问量异常等数据遍历迹象。

外包人员多人共用一个数据库管理员账号，开发人员从个人电脑直连生产数据库，长期未使用的账号突然在凌晨访问核心业务表。这些场景使用的可能都是合法账号，但账号背后的人员、终端和访问目的已经发生变化。

Ng 数据库审计通过数据库账号、客户端 IP、终端 IP、应用工具、访问时间和操作轨迹，发现账号共用、异常终端访问、非工作时间访问和访问习惯偏离等风险。结合安全客户端和三层身份关联，可进一步关联终端、系统用户、应用用户和实际人员，为疑似账号冒用的研判及责任追溯提供身份依据。

通过网络流量审计、本地审计与安全客户端身份信息的结合，产品能够从异常账号发现进一步延伸到访问路径还原和操作主体关联。

运维人员执行 UPDATE 时遗漏 WHERE 条件，可能一次修改整张业务表；开发人员误连生产库执行 DELETE 或 TRUNCATE，可能造成业务数据大面积丢失。内部人员或攻击者也可能通过批量修改、删除和 DROP 操作破坏生产数据。

Ng 数据库审计全面记录登录、DML、DDL、DCL 以及操作成功或失败等行为，审计策略可按照数据库用户、客户端 IP、终端 IP、应用工具、对象名称、操作类型和 SQL 语句进行配置，并将重点对象细化到表级。

发现无 WHERE 更新、批量删除或高危 DDL 后，细粒度审计呈现操作对象和记录内容，回溯分析则在同一会话中还原登录、操作和退出过程，帮助安全人员快速确认操作来源、执行过程和影响范围。

攻击者取得管理权限后，可能创建后门账号并授予高权限；内部人员可能私自扩大自身访问范围；外包账号在项目结束后仍保留生产数据库权限。

更隐蔽的风险是通过存储过程、函数、包、触发器和视图植入恶意逻辑。例如，触发器可以将新增客户数据同步写入隐藏表，存储过程也可能被篡改以改变交易金额或收款账户。

Ng 数据库审计记录 CREATE USER、ALTER USER、GRANT、REVOKE 等账号和权限操作，并结合账号发现及权限检测展示数据库账号的权限情况。针对过程、函数、包、触发器和视图等代码对象，产品可审计其创建和删除行为。相关风险事件可进入运营处置工作台，通过风险、待办和督办列表进行集中跟踪。

攻击者利用应用输入校验缺陷构造恶意参数，可能通过业务接口读取系统表、获取敏感数据，甚至执行修改、删除和权限操作。判断攻击影响的关键，在于确认恶意请求是否真正形成了数据库操作。

Ng 数据库审计内置 SQL 注入和数据库漏洞风险检测规则，通过深度解析数据库协议，还原数据库实际执行的 SQL、操作对象、执行结果和会话信息，并对风险进行分级和资产关联。

结合细粒度审计、返回结果审计和事件回溯，可进一步确认恶意 SQL 访问了哪些表和字段、返回了多少数据，以及同一会话中是否存在连续探测和后续操作，使单一攻击告警形成完整的数据库风险事件。

业务系统上线新功能后，程序可能因缺少索引、查询条件不合理或一次处理数据量过大，产生执行时间过长的慢 SQL；报表工具、ORM 框架或批处理程序也可能生成包含大量条件、嵌套查询和超长参数列表的长 SQL。这些语句持续占用数据库计算和存储资源，容易引发业务响应缓慢、批处理超时，甚至影响其他正常交易。

Ng 数据库审计记录 SQL 语句、执行时长、执行状态、数据库账号、客户端来源、应用工具和操作对象，并可通过风险规则设置 SQL 执行时长及语句长度等检测条件，及时发现超过阈值的慢 SQL 和长 SQL。结合返回结果和细粒度审计，可进一步查看语句访问的表、返回数据量及执行结果，区分偶发复杂查询与持续发生的异常操作。

通过会话日志和事件回溯，安全及运维人员可以还原异常 SQL 执行前后的操作过程，确认语句由哪个账号、终端或应用发起，是否存在短时间反复执行、连续访问核心对象或集中返回大量数据等情况。结合执行趋势和风险事件分析，可为应用代码优化、异常任务排查和数据库运行风险治理提供依据。