数据库防火墙系统，串联部署在数据库服务器之前，解决数据库应用侧和运维侧两方面的问题，是一款基于数据库协议分析与控制技术的数据库安全防护系统。DBFirewall基于主动防御机制，实现数据库的访问行为控制、危险操作阻断、可疑行为审计。

随着互联网技术和信息技术的迅速发展，以数据库为基础的信息系统在经济、金融、医疗等领域的信息基础设施建设中得到了广泛的应用，越来越多的数据信息被不同组织和机构(例如，统计部门、医院、保险公司等)搜集、存储以及发布，其中大量信息被用于行业合作和数据共享。但是在新的网络环境中，由于信息的易获取性，这些包含在数据库系统中的关乎国家安全、商业或技术机密、个人隐私等涉密信息将面临更多的安全威胁。当前，日益增长的信息泄露问题已然成为影响社会和谐的一大障碍。

数据泄漏事件几乎覆盖所有行业，例如：

(1) 金融行业：2012年4月，visa信用卡泄密事件致使150万个账户受影响。

(2) 政府部门：2011年12月，广东公安厅技术漏洞致444万出入境数据泄漏。

(3) 互联网：2011年岁末，数据泄密信息过亿，其中当当网1200万用户信息泄漏；支付宝账户泄漏达1500万到2500万；CSDN 600余万用户信息泄漏。

(4) 电信行业：2011年3月，陕西移动1394万用户信息被盗。

(5) 医疗行业：2008年深圳4万余名孕妇信息泄漏。

由上述案例可见，数据泄漏无处不在，且愈演愈烈。据Verizon公司的数据泄漏调查报告统计显示：有90%以上的数据泄漏是由数据库被盗引起的。

现有边界防御安全产品和解决方案均采用被动防御技术，无法从根本上解决各组织数据库数据所面临的安全威胁和风险，解决数据库数据安全需要专用的数据库安全设备从根本上解决数据安全问题。

数据库防火墙技术是针对关系型数据库

屏蔽直接访问数据库的通道：数据库防火墙部署介于数据库服务器和应用服务器之间，屏蔽直接访问的通道，防止数据库隐通道对数据库的攻击。

二次认证：基于独创的“连接六元组【机器指纹（不可伪造）、IP地址、MAC地址、用户、应用程序、时间段】”授权单位，应用程序对数据库的访问，必须经过数据库防火墙和数据库自身两层身份认证。

攻击保护：实时检测用户对数据库进行的SQL注入和缓冲区溢出攻击。并报警或者阻止攻击行为，同时详细的审计下攻击操作发生的时间、来源IP、登录数据库的用户名、攻击代码等详细信息。

连接监控：实时的监控所有到数据库的连接信息、操作数、违规数等。管理员可以断开指定的连接。

安全审计：系统能够审计对数据库服务器的访问情况。包括用户名、程序名、IP地址、请求的数据库、连接建立的时间、连接断开的时间、通信量大小、执行结果等等信息。并提供灵活的回放日志查询分析功能，并可以生成报表。

审计探针：本系统在作为数据库防火墙的同时，还可以作为数据库审计系统的数据获取引擎，将通信内容发送到审计系统中。

细粒度权限控制：按照SQL操作类型包括Select、Insert、Update、Delete,对象拥有者，及基于表、视图对象、列进行权限控制

精准SQL语法分析：高性能SQL语义分析引擎，对数据库的SQL语句操作，进行实时捕获、识别、分类

自动SQL学习：基于自学习机制的风险管控模型，主动监控数据库活动，防止未授权的数据库访问、SQL注入、权限或角色升级，以及对敏感数据的非法访问等。

透明部署：无须改变网络结构、应用部署、应用程序内部逻辑、前端用户习惯等

支持桥接、网关和混合接入方式

基于硬件的BYPASS能力，防止单点失效

多线程技术和缓存技术，支持高并发连接

配置管理采用浏览器界面，方便学习和使用

现有应用程序与透明数据库防火墙之间可以无缝连接，部署和配置过程简单

可以灵活的对每个应用程序的访问权限进行配置，可以选择全部放行、到数据库级别、模式级别、表级别、字段级别的权限控制

支持基于安全等级标记的访问控制策略

可以选择违规响应策略，审计、拒绝访问

可以配置审计的内容，对于违规等重要的事件，系统进行强制审计。用户也可以选择对常规操作进行审计

先进的查询功能，并可以使用多个查询条件，包括时间、IP、用户名、风险等级等

支持双机热备功能，保障连续服务能力

DBFirewall数据库防火墙支持两种串联模式：　

透明网桥模式：在网络上物理串联接入DBFirewall设备，所有用户访问的网络流量都串联流经设备；通过透明网桥技术，客户端看到的数据库地址不变。

代理接入模式：网络上并联接入DBFirewall设备，客户端逻辑连接防火墙设备地址，防火墙设备转发流量到数据库服务器；通过代理接入模式，网络拓扑结构不变。

也支持旁路部署模式：

DBFirewall设备不直接接入网络，而是通过TAP、SPAN等技术将网络流量映射到防火墙设备；通过旁路部署模式既不改变网络拓扑，也不在应用链路上增加新的设备点。

防止外部黑客攻击威胁：黑客利用Web应用漏洞，进行SQL注入；或以Web应用服务器为跳板，利用数据库自身漏洞攻击和侵入。

防护：通过虚拟补丁技术捕获和阻断漏洞攻击行为，通过SQL注入特征库捕获和阻断SQL注入行为。

防止内部高危操作

威胁：系统维护人员、外包人员、开发人员等，拥有直接访问数据库的权限，有意无意的高危操作对数据造成破坏。

防护：通过限定更新和删除影响行、限定无Where的更新和删除操作、限定drop、truncate等高危操作避免大规模损失。

防止敏感数据泄漏

威胁：黑客、开发人员可以通过应用批量下载敏感数据，内部维护人员远程或本地批量导出敏感数据。

防护：限定数据查询和下载数量、限定敏感数据访问的用户、地点和时间。

审计追踪非法行为

威胁：业务人员在利益诱惑下，通过业务系统提供的功能完成对敏感信息的访问，进行信息的售卖和数据篡改。

防护：提供对所有数据访问行为的记录，对风险行为进行SysLog、邮件、短信等方式的告警，提供事后追踪分析工具。