能找到最终的访问者，这里就要谈到三层架构审计，所谓三层架构审计，是将应用层区域的审计数据与数据库层区域的审计数据综合起来进行“关联分析”，从而将应用层操作准确对应到数据库层的操作。当发生安全事件时，根据关联审计记录的日志信息，可快速定位到网络中的责任人。所以，通过三层审计即可实现应用与数据库的有效关联，追踪到最终用户端。正常情况下，应用层跑的是URL行为，在数据库层则走的是数据库命令，两者的表现形式截然不同，但有了“关联分析”，就可以从技术上穿透两个区域，从而将访问的应用层帐号和相关的数据库操作关联起来，从而能够追查到真正的访问者。三层审计是数据库审计领域的业界难题之一,难点在于审计技术的选择，业界传统的做法是采取“时间戳”方法来实现“关联，这种做法的优点可以应用于任何的三层架构审计，缺点也很显示，在高并发时会造成业务用户与SQL语句的错误关联。昂楷从开始做数据库审计系统这个产品，就不断研究针对“三层架构审计”的最佳解决方案，目前已率先取得了重大的突破,针对采取“COM/DCOM/COM+ ”等组件的三层架构体系，昂楷科技独创组件穿透技术，可规避时间系列的干扰，在任何情况下都能精确审计，定位到人，创新性地解决了“三层+COM 组件审计”这个困扰客户及众多友商多年的业界难题，并在北京中医药大学东直门医院得到了实际的应用检验。当然，三层架构体系的复杂性决定了，我们只是取得了阶段性的“胜利”，要取得全面“胜利”，还需要继续努力。

防统方系统主要作用是避免人为对医院药品数据库信息的数据进行非法的统计和提取，避免医院内部的违法交易，因此，防统方系统内置的通用规则库，具有较强的针对性，涵盖非法统方操作可涉及的各种规则，细致、有针对性的为医院提供防统方服务。

但除了医药信息，医院还存储着如医疗影像信息、患者就医信息等等重要数据。这些数据如果出现非授权的增删改查，防统方系统无法进行告警，这时就需要数据库审计系统。

信息安全包括数据安全和网络安全。网络信息安全是一个关系国家安全和主权、社会稳定、民族文化继承和发扬的重要问题。其重要性，正随着全球信息化步伐的加快越来越重要。网络信息安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。它主要是指网络系统的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。

大数据很简单，只要掌握五个特点：

　　第一是大，容量巨大，海量的数据，数据已从TB级别达到PB级别;

　　第二是数据类型多，从普通的文字、视频、图片到地理位置信息等;

　　第三是价值密度低，可能很庞大的一个数据，有用的信息就那么几秒;

　　第四是处理速度快，可以通过数据库实现快速的获取很分析;

　　第五是我们不再热于寻求因果关系，而更加关注于相当关系。

根据数据库类型特点，加强数据库安全的方案可有

　　1、通过设备认证层管理加强数据库安全。

　　2、通过身份认证管理加强数据库安全。

　　3、通过配置角色及权限管理加强数据库安全。

　　4、通过加密手段加强数据库安全。

　　5、为数据库配置数据库审计系统加强数据库安全(最佳效果)。

安全审计分析是指对系统行为和审计数据进行自动分析，发现潜在的或者实际发生的安全违规。

　　安全审计分析的能力直接关系到能否识别真正的安全违规。它包括四个组件的定义：潜在违规分析、基于异常检测的描述、简单攻击试探法、复杂攻击试探法。

　　1) 潜在违规分析：建立一个固定的、由特征信息构成的规则集合并对其进行维护(添加、修改、删除规则)，以监视审计出的事件，通过累积或者合并已知的可审计事件来显示潜在的安全违规。

　　2) 基于异常检测的描述：每个特征描述代表特定目的组成员使用的某个历史模式。每个特定目的组的成员分配相应的阀值，来表明此用户当前行为是否符合己建立的该用户的使用模式。这种分析可以在实时或者批处理模式分析下实现。每个用户相关的阀值表示用户当前行为是否符合已建立的该用户的使用模式，当用户的阀值已经超过临界条件时，要能够表明即将来临的违规。

　　3) 简单攻击试探法：该功能应检测出代表重大威胁的特征事件的发生。对特征事件的搜索可以在实时或者批处理模式下分析实现。该功能应当能够维护特征事件(系统事件子集)的内部表示，可以表明违规事件，在对用于确定系统行为的信息检测中，能够从可辨认的系统行为记录中区别出特征事件，当系统事件匹配特征事件表明潜在违规时，能够表明即将发生的违规。

　　4) 复杂攻击试探法：该功能能够描绘和检测出多步骤的入侵攻击方案，能够对 比系统事件(可能是多个个体实现)和事件序列来描绘出整个攻击方案，当发现某个特征事件序列时，能够表明发生了潜在的违规。在管理上应当做好对系统事件子集的维护(删除、修改、添加)和对系统事件序列集合的维护。在细节上能够维护己知攻击方案的事件序列(系统事件的序列表，表示已经发生了已知的渗透事件)和特征事件(系统事件的子集)的内部表示，能够表明发生了潜在的违规，在对用于确定系统行为的信息的检测中，能够从可辨认的系统行为记录中区别出特征事件和事件序列，当系统事件匹配特征事件或者事件序列表明潜在违规时，能够表明即将发生的违规。

优质数据库审计产品主要有以下特征：

1. 部署安全

2. 深度解析

3. 灵活策略

4. 性能要求

5. 自身安全

6. 独立可靠

7. 兼容性高

AAS采用旁路部署，只需要在核心交换机上做一个端口镜像即可。旁路部署方案不需要对现有的网络进行调整，没有任何影响。AAS数据库审计系统旁路部署，和现有的业务应用系统没有任何交互，真正的零交互，无干扰。

在应用软件里面做审计，只是对来自于应用服务器层面的访问做审计，而直接对数据库方面的操作工具、进程等都无法审计，而这些才是威胁最严重的地方。如果软件厂商在数据库服务器做审计，这与他们以前的技术领域完全不同，他们对安全一般都不专业，应用厂商本身就属于被监控对象，所以更不能让他们自己监控自己。

防火墙有串联和旁路方式可以部署。串联部署在网络中，设备单点故障，可以通过硬件bybass来防止业务中断，并且进行双机冗余部署，防止业务中断；旁路部署时，设备故障不会影响客户的业务。