产品功能

1、资产管理

（1）自动发现资产

根据数据库的通信协议特征自动扫描网络流量，以识别网络中可能存在的各种数据库，即使修改常用端口号也可以发现，免配置一键添加目标数据库，减少数据库配置工作量。

（2）敏感数据发现

自动扫描数据源，依据内置的上百种敏感数据识别规则，对数据源的内部数据进行自动随机抽样、识别解析、发现敏感数据，为数据库数据资产分类分级和安全防护能力设置提供有意义的参考。

（3）资产梳理与分类分级

对自动发现的数据库资产，依据预定义的敏感数据识别规则和数据分类分级标准，对数据库资产的内部数据进行梳理、打标和分级分类，既满足数据分类分级合规要求，又为后续设置数据安全保护能力提供依据和参考。

2、行为监管

（1）行为监测-数据库审计

行为监测通过监控数据库的多重状态和通信内容，不仅能及时掌握数据库所面临的数据风险访问，而且可以通过完整的访问日志对发生的安全事件进行事后追查。

（2）行为管控-行为阻断

通过全面的数据库通讯协议解析，基于身份鉴别和行为分析的主动防御机制，能够主动实时监控、识别、告警、阻断针对数据库的安全威胁，实现数据库的行为特征分析、访问行为监控和危险操作阻断。从数据源头上解决数据操作过程中所面临的各样数据安全问题，有效满足内部安全保障需求及外部国家合规安全管理规范要求。

（3）行为管控-动态脱敏

动态脱敏通过截获并修改数据库通讯内容，对数据库中的敏感数据进行在线屏蔽、变形、字符替换、随机替换等处理，达到对用户访问敏感数据真实内容的权限控制。

3、存储加密

（1）字段加密

可根据实际需求选择对敏感的字段进行加密，敏感字段以密文的方式在硬盘上保存。即使数据库文件被非法复制或者存储文件丢失，也不会导致真实敏感数据的泄露。

（2）表空间加密

可以选择将敏感字段所在表的表空间文件进行加密，表空间文件以加密方式存储，使得即使数据库本地文件或者存储介质被盗依然能保证数据库内部敏感数据的安全。

（3）动态加密

设置后不会立即将数据加密，而是当数据库文件被读取的时候根据策略有选择性的进行加密，数据库服务进程根据默认策略配置可以读到明文，从而数据库服务可以达到和未实施动态加密前一模一样的性能。而其它文件访问方式读取到的都是密文。无论字段加密、表空间加密还是动态加密，初始加密过程对数据库用户都是完全透明的，不需要改造应用系统，部署后可立即使用。当完成初始加密后，在数据的使用过程中，新的数据都按照设置即时加密与解密，无需额外二次处理与部署。

（4）密钥管理

本产品提供了完善的密钥管理和保护机制。采用多级密钥管理方式，所有的工作密钥做二次加密处理；字段加密支持一列一密、一列多密和一行一密三种密钥强度等级，表空间加密支持一库一密、一表一密和一块一密三种密钥强度等级，在这些不同的强度等级下，安全性依次得到提升，性能相应下降，用户可以根据系统实际情况酌情配置；密钥异地生成并保存在加密机上，在数据库本地不保存，以防止数据库服务器硬盘丢失连同密钥一起丢失的风险；可在产品中设置多个密钥灾备服务器并自动备份密钥，以确保密钥的安全可靠存储。可设置按周（7天）、按月（30天）或按季度（90天）自动更新密钥，确保密钥的安全性。

（5）密文索引

当采用字段型加密时，系统提供专利的密文索引技术，借助数据库自身的索引机制为密文建立起索引结构。密文索引避免了操作数据时的全表解密，把敏感字段的加密对数据库访问性能造成的损失降到和加密前没有明显区别。

（6）完善的任务管理与过程数据保护

系统提供完善的加解密任务管理机制，可以使得用户对整个加解密任务做到高效管理与有效控制。在加解密发生异常中断后，可以重新启动任务以重试，也可以建立反向任务，实现可逆操作。

在加解密过程中，对每一个加解密的数据块单元，均在加解密完成前作备份保护处理，以确保在加解密任务执行发生意外时，数据可以回滚，从而保障原始数据的绝对安全。

（7）完整性保护

对于加密的字段或表空间支持开启完整性保护功能，可以选择SM4-CBC-HMAC、SM3-HMAC或SM3等算法针对加密字段添加专用校验位用于完整性保护校验。

（8）解密权限管理

对于加密后的敏感数据，系统提供独立的加密解密的权限管理，只有同时经过数据库自身和加密系统联合授权的用户才能对敏感数据进行解密和查看，从而降低数据库超级管理员权限过高造成的泄密风险。数据库加密系统通过内置的安全管理员来设置用户对加密数据的访问权限。对于字段加密，支持联合应用程序名、客户端IP、客户端主机名、客户端操作系统用户名和数据库用户名等共同建立的访问权限策略，能够提供更加细致的权限管理。

4、外发安全

（1）静态脱敏

将生产环境中的数据抽取到脱敏系统的内存中，不落地的通过算法识别并脱敏后，高效的写入开发、测试以及大数据分析平台的数据库中。

静态脱敏支持用户自定义不同范围的脱敏方案。能够对需要脱敏的数据范围进行自由选择，提供库级、表级、列级、行级的多种层次的范围设置。还提供where条件对原始的数据进行过滤，比如只需要一张表中的几个数据字段和部分数据量时，只需要简单设置即可。

在单个表的字段进行组合查询后的数据脱敏的基础上，提供了数据子集配置，通过表与表之间的主外键关联关系，能够对多个表的任意列进行组合脱敏。满足用户不同场景下的脱敏需求。

同时提供了增量脱敏配置，为了满足持续增长的业务数据脱敏需要，通过对敏感表的增量脱敏条件进行配置，帮助用户保持测试库环境与生产库环境的数据总量一致。静态脱敏支持库到库、库到文件、文件到库和文件到文件四种脱敏方式。

（2）数据水印

数据水印功能可以对外发的数据增加水印标记，装载至目标数据库或者文件服务器中，为隐私数据的共享提供双重的保险机制。

当出现数据泄露时，可以通过多种途径对已泄露的数据进行精准溯源，找到泄漏数据的使用人身份、部门以及操作时间等信息，快速关联到脱敏任务，确认已泄漏的数据范围和途径。溯源方式主要包括：文本溯源和文件溯源两种方式。

数据水印具有以下特点：

对所有的字符型数据采用任意位置的方式插入水印标记；

水印标记和使用人进行唯一性关联，详细记录使用人的姓名、部门信息；

水印锁定，当水印标记被使用后，自动锁定，防止篡改；

精准溯源，采用全文检索的方式查找水印标记，并自动显示水印标记数量、使用人信息；

多种溯源方式，复制粘贴、上传文件均可。

通过建立水印和数据使用者的对应关系，能够帮助用户对泄漏的数据进行快速溯源，及时追踪到泄漏数据的第一责任人和部门信息，以便追责。

5、数据销毁

数据销毁是数达安全基于对数据库、操作系统内核、存储文件结构和磁盘安全技术的深入研究与分析，开发了基于数据库敏感数据识别算法、多种多次彻底的磁盘覆盖算法和操作系统内核级的销毁引擎，使得在高效发现数据库敏感数据所在文件的基础上，采用有效覆盖算法从操作系统内核对磁盘进行彻底的擦除，消除任何通过技术手段恢复数据的可能。支持DOD 5220.22-M、DOD 5220.22-ECE、VSITR和Gutmann等多种专业软销毁算法，确保安全高效实现数据的彻底销毁。

6、系统安全

（1）双机热备

加密引擎可以同时与两个旁路加密管理机通信，数据源引擎、参数配置与密钥均可以同步互备，确保一个系统出现故障时不影响数据块加密引擎的正常使用，确保整体系统的高可用性。

（2）三权分立

根据等级保护等相关评测要求，系统设置安全员、审计员、系统管理员三种角色。安全员负责设置和执行加密策略，加密参数等；系统管理员负责设置系统自身设置，比如系统端口设置、系统时间等；审计员对包括安全员、系统管理员在内的所有角色的行为进行审计。

（3）双因子认证

为避免基于账号、口令的单一认证方式安全性较低的问题，本系统实现了基于账号、手机应用程序和基于时间的动态码的多种要素的身份认证。

（4）国密登录方式

针对不同的用户，支持采用国密算法的智能密码钥匙方式登录。

（5）基于GMSSL的加密通信

数据库服务器与设备间的通信采用GMSSL加密方式，确保通信安全。

产品优势

1、全面的高度集成的安全防护能力

整合自多年全部自研的核心技术积累，全面覆盖各项数据安全能力要求，分类分级、审计、阻断、动脱、静脱、水印、加密和销毁等。

2、高可靠性

高可靠的工控设备，支持双机热备，确保运行可靠；

完善的密钥管理和备份机制，确保加密数据可以可靠的解密；

10+年以上成熟技术与产品整合，产品使用稳定可靠。

3、易用性

对应用程序访问过程完全透明的系统内核插件，无需客户端做任何改动，最小化对其它系统的影响；

提供基于浏览器的简单、友好、便捷的统一管控中心，支持多用户并发访问，支持数据的同步，支持事务机制；

仅需旁路部署设备和分布式部署系统探针，集中式统一管理。

4、强大的兼容性

产品具有良好的兼容性，支持国内市场上主流的操作系统和数据库系统；

产品支持的操作系统：WINDOW/LINUX/UNIX；

支持几乎所有的传统数据库、国产数据库和大数据环境：包括Oracle、Db2、SQL Server、GBASE 8a/8t/8s、Hive、MySQL、达梦、Treadata、PostgreSQL、Greenplum、Sybase、Cache、Informix、MariaDB、Hbase、mongoDB、人大金仓、神州通用、星环tdh、Redis、Impala和TiDB等。

典型部署

数安卫士部署简单，旁路部署，只要与被保护的目标数据库服务器路由可达即可。在数据库服务器上根据需要安装全功能系统插件，实现各项保护能力。

产品价值

1、全面提升中小企业数据安全治理能力

数安卫士是综合考量数据体量与访问流量，为中小企业数据安全量身打造的全面的高度集成的数据安全解决方案。数据库到应用系统这一段是信息安全的最后一公里，也是最后一道防线，涉及的是最直接的敏感数据安全管理，直接关系到敏感数据的安全。数安卫士系统通过全面的数据安全能力保护，增强了数据库的安全性，完善了数据的纵深防御体系，提升了整体安全治理能力。

2、帮助中小企业降低数据安全合规成本

通过部署数安卫士，可以轻松满足密评、等保、网安法、数安法、关键基础设施保护条例等国家级法律法规要求，也可以轻松满足教育行业、医疗卫生行业、政府行业等各种行业数据安全要求。同时提供了采购多款昂贵的单能力数据安全合规产品的替代解决方案，降低总体合规成本，提升了企业的经济效益。

3、为数据库分布模式为多、小、散的组织提供可行的数据安全治理解决方案

当数据库分布模型为多、小、散的形态时，数据库数据资产的部署和管理都相对困难，传统单能力的旁路或网关式的数据安全产品也很难用少量低成本设备覆盖所有资产。数安卫士通过给所有数据库系统部署全功能系统插件和单设备集中管控的方式，很好的解决了此种情况下的数据安全管控难题。