中国数据库安全市场全景图

市场分析

近年来，全球各地数据泄露和数据滥用事件频发，各国数据和隐私保护法规日趋严格并不断颁布实施。2018年5月，欧盟《通用数据保护法案》正式生效。随着我国相关法律规范的相继颁布实施，数据安全开始逐步被纳入到合规性需求市场，针对数据层面的安全体系建设也愈发受到各大企业重视，数据安全市场的热度不断上升。

我国在数据安全领域至今尚未形成体系化的整体解决方案，不同技术流派的厂商仍围绕数据安全保护的不同阶段和视角进行单一方向的产品实践，主要产品类型和技术方向包括四类，第一类是数据库安全方向，涵盖数据库审计、数据库扫描、数据库防火墙、数据脱敏、数据库加密等盒式产品，第二类是数据防泄漏方向，包括主机数据防泄漏和网络数据防泄漏产品，第三类是数据加密方向，包括电子文档加密、磁盘/存储介质加密、应用加密等产品，第四类是数据合规与治理方向，包括敏感数据发现、数据分级、数据清理等方案。

从市场规模上看，数据库安全方向在我国属于合规型刚需市场，相关的政策要求和技术标准较为清晰，目前已达到十亿级以上的市场规模，竞争强度不断加大，其他三类市场由于相关政策尚未出台，当前市场规模还偏小，市场增量尚未有效释放，因此，本期全景图将介绍数据安全最主要的细分领域---数据库安全市场。

从具体产品上看，作为等保2.0和金融、电信、医疗等行业合规要求的必备产品之一，数据库审计产品的市场需求最为广泛，几乎占据市场容量的六成以上，数据库扫描和数据库防火墙作为数据库安全方案中事前评估扫描和事中防御保护的主要技术手段，也逐步为客户所接受，而随着企业数字化转型和云化进程加速，数据脱敏和数据库加密产品呈现了非常良好的成长性，综合来看，随着未来数字经济的深入发展以及安全态势的不断变化，预计会有更多针对数据信息保护的法规制度出台，数据安全已经成为未来5年内我国网络安全市场中最重要、最有潜力的子市场之一。

由于数据库安全领域涵盖的产品种类较多，全景图将分为上、下两篇，本期将介绍数据库审计和数据库扫描产品，数据脱敏与数据库安全防护产品全景图下期奉上。

产品技术标准

监管部门目前已划分4类数据库安全产品，包括数据库审计产品、数据库扫描产品、数据脱敏产品、数据库安全防护产品，其中申请数据库审计产品的厂商最多，有60家，申请数据库扫描产品的厂商有5家，申请数据脱敏产品的厂商有37家，申请数据库安全防护产品的厂商有11家。其中同时具备4类产品资质的厂商有安华金和、昂楷科技，同时具备3类产品资质的厂商有安恒信息、美创科技、中安威士、中安星云、天融信。

数据库安全审计产品标准于2010年首次推出，为公安标准，2019年进行了版本更新，主要调整了安全技术要求分类和安全等级划分方法，其中安全等级划分由一级/二级/三级调整为基本级/增强级，目前持证厂商数量为60家，去年同期为67家。

数据库扫描产品标准于2014年首次推出，为公安标准，至今没有版本更新，依据标准产品分为基本级和增强级，由于与其它类安全评估产品功能存在一定重叠，申请该资质的厂商一直比较少，目前持证厂商数量为5家，去年同期为6家。截止目前，安恒信息是该领域唯一增强级厂商。

典型应用场景

应用场景1：数据库审计

（由美创科技提供）

客户痛点

1.采用数据库自带的审计模块，影响性能。一旦数据库系统出现问题，日志存在丢失风险；2.数据库运维管理人员，业务系统第三方维护人员的违规访问和操作需要监控和审计；3.操作系统和数据库系统日志繁杂，无法进行风险分析和告警，技术人员使用效率不高；4.共用数据库访问账号，发生安全事件后，无法准确定位到责任人。

产品关键特性

1.全面审计：可审计所有数据来源，并记录详细的用户行为信息，涵盖所有访问数据库的路径、操作行为，监控数据库操作行为。尤其是本地审计功能，弥补了用户本地访问数据库的监控短板；

2.精确审计：通过U盾、CA认证信息整合和应用程序账户精准识别操作人；精确识别来自于各类终端的信息；同时提供应用程序注入、假冒检测等独有功能；

3.高效审计、查询：亿条数据秒级检索；支持细粒度、多条件检索查询；

4.实时监测，实时告警：自主学习建模，设置正常数据库访问行为基线，异常访问行为实时监控，短信、邮件等多种方式实时告警；

5.审计信息翻译：系统提供了安全审计信息翻译引擎，将操作和配置的SQL语句翻译转化成可以理解的业务术语，简单易懂，保证审计工作的有序进行。

客户关注的主要功能

1.审计全面、精准，无漏审、错审：全面审计数据库中的各种访问行为，精确审计到操作人、操作工具、终端。不会因为执行语句过长或者链接太短，导致审计信息不完整或者漏审；

2.高效分析、快速检索：能够支撑海量业务访问操作，快速分析检索，提供实时的分析结果，为告警提供支撑，避免出现延迟分析等状况；

3.准确溯源：一旦发生数据库信息泄露事件，可以准确定位业务数据库的操作人，责任人；

4.报表简单，产品易用，符合监管要求。产品报表增加业务视角，进行展示，做到技术人员和管理人员都能够理解，同时满足监管需求。

应用场景2：数据库审计

（由中安威士提供）

客户痛点

1.数据库内部操作不明，外部的安全系统无法阻止内部用户的恶意操作、滥用资源和泄露机密信息等行为，以防外为主的传统网络安全解决方案失去了用武之地。

2.数据库运维服务通常由第三方提供或由第三方人员实施运维，缺乏对维护人员操作过程的细腻度监控。无法对数据库维护全过程进行监管，一旦数据安全事件发生，无法追溯并定位真实的违规操作者。

3.高权限账号（比如DBA账号）往往掌握着数据库和业务系统的命脉，高权限账号任何一个操作都可能导致数据被修改和泄露。最高权限的滥用，让数据安全变得更加脆弱，也让责任划分和威胁追踪变得更加困难。

4.数据库自带的审计功能，存在诸多的弊端：

产品关键特性

1.支持几乎所有类型数据库，包括ORACLE、MYSQL、MSSQL、SYBASE、DB2、达梦、人大金仓、神州通用、INFORMIX、PostgreSQL、Gbase、MongoDB、Redis、TeleData、Cache、HANA等国内外主流数据库，还支持Hive、等支持Hive、ES、HBASE、Kafka等大数据平台访问审计。

2.具有强大的SQL连续处理能力和峰值处理能力：SQL连续处理能力最高可达10 万级，峰值处理能力最高可达20 万级，保障系统不漏审。

3.基于BigTable分布式存储技术，系统具有海量的日志存储能力和高效的日志检索能力。对亿级规模的日志查询响应时间小于1分钟。

4.内置提供大量的高风险规则库和数百种CVE漏洞特征库，有效防范SQL注入攻击。

5.支持通过监控网络流量自动发现未审计数据库；支持日志模糊化处理，保护访问数据安全。

6.日志内容能够详尽的显示访问行为发生的具体特征，具体信息包括：访问的时间、访问客户端IP、客户端MAC、客户端操作系统主机名、客户端操作系统用户名、客户端端口号、客户端连接工具名、数据库用户名、数据库IP、数据库MAC、数据库实例、表、列、操作类型、SQL内容、SQL结果内容、执行时间（毫秒）、响应状态、影响行数、查询返回行、匹配的策略、风险等级。

7.支持按多种条件多种模板进行精细化自定义（数据来源、数据分析条件、展示效果等）报表。

8.支持数据库审计设备 数据库防火墙设备的混合部署，审计系统和防火墙系统形成联动防御。审计系统能够及时发现数据库的风险访问并发出告警，数据库防火墙对数据库的风险行为进行实时阻断。

客户关注的主要功能

1、灵活的规则策略配置：系统具有预定义策略模版，可提供多种安全策略模版帮助用户快速建立安全策略。同时还具有自定义规则策略的功能。

2、虚拟补丁技术：针对CVE公布的漏洞库，提供漏洞特征检测技术。

3、SQL白名单：通过语法抽象描述不同类型的SQL语句，通过自动学习功能获取所有合法SQL的语法抽象，形成行为基线，建立白名单库。

4、灵活产品部署实施：支持物理网络环境、云环境和数据库集群等多种部署方式，系统安全可靠，不会影响原有系统的正常使用。

5、便于事后追查定责：系统提供的审计日志，能够有效地记录不同用户的操作行为，便于事后追查原因与安全事件还原。

应用场景3：数据库扫描

（由安恒信息提供）

客户痛点

1.数据库资产中存在不明漏洞，由于不能及时发现并修复，可能被黑客利用导致安全事件频发2.不清晰当前所用的数据库的安全性，通常只是初次安装之后就直接开始使用，并未及时针对各项合规进行检查，确认当前使用的是否为安全；3.没有有效管理数据库mssql 通用数据类型，导致在长时间的使用过程中多多少少存在一些弱口令的现象，从而增加了数据库的安全隐患；4.数据库内核被插入隐藏对象却一无所知；5.数据库中存储哪些敏感信息，是否加密存储；

产品关键特性

1.基于查询的方式进行信息获取，不会对数据库本身造成危害；

2.产品版本及规则库可以在线更新，可以第一时间同步最新漏洞规则。

3.针对存在的安全漏洞可以给出专业的展示内容，利于风险点查看。

4.提供了专业的不合规项的漏洞修复建议，可以有效地帮助漏洞修复；

5.简易部署（旁路单兵部署），无需更改原有网络，且操作方便；

6.支持的数据库类型全面，包括主流数据库类型和国产数据库类型，且支持IPV6环境。

客户关注的主要功能

1.能够有效发现数据库存在的安全威胁，误漏报低；

2.不会对数据库自身造成伤害；

3.依照修复建议可以有效修复安全漏洞或不合规配置项；

4.部署和运维的方式，7*24小时专家服务。

厂商列表

数据库安全审计-基本级

阿里云计算有限公司

北京安信天行科技有限公司

北京鼎轩科技有限责任公司

北京建恒信安科技有限公司

北京星网锐捷网络技术有限公司

北京长亭未来科技有限公司

北京中测安华科技有限公司

成都卓盈科技有限公司

福建榕基软件股份有限公司

工信通（北京）信息技术有限公司

广州赛姆科技资讯股份有限公司

国际商业机器（中国）有限公司

杭州汉领信息科技有限公司

杭州思福迪信息技术有限公司

江苏南大先腾信息产业股份有限公司

蓝盾信息安全技术股份有限公司

南京横渡医疗技术有限公司

南京铱迅信息技术股份有限公司

山东华软金盾软件股份有限公司

上海纽盾科技股份有限公司

上海上讯信息技术股份有限公司

上海卫盾信息科技有限公司

深圳市安络科技有限公司

沈阳东软系统集成工程有限公司

腾讯云计算（北京）有限责任公司

天津华胜天成软件技术有限公司

天津卓朗安全科技有限公司

网银在线（北京）科技有限公司

西安四叶草信息技术有限公司

西藏国路安科技股份有限公司

优刻得科技股份有限公司

元清信息技术（上海）有限公司

浙江华途信息安全技术股份有限公司

数据库审计-行标&安全审计（数据库）

北京中科视云科技有限公司

福建星瑞格软件有限公司

北京北信源软件股份有限公司

注：销售许可证书有效期截止2020年6月中旬。

NIS研究院整理编辑

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!