数据库审计系统 安恒

凌晨两点，数据某银行的库审数据库管理员老张被手机震醒。告警短信显示，计系核心业务库在零点四十七分出现了一次异常查询——有人用运维账号拖走了三万条客户信息。统安等他冲进机房，数据日志已经被手动清除，库审连备份都被动过手脚。计系后来查出来，统安是数据内部员工干的。但要是库审没有安恒的数据库审计系统，这事根本查不到源头。计系

安恒的统安这套系统，说白了就是数据给数据库装了个黑匣子。它不像传统防火墙那样拦在前面，库审而是计系悄悄挂在旁边，把每一条SQL语句都录下来。谁在什么时间、从哪个IP、用了什么工具、执行了什么操作，全部留痕。关键是，它连改了数据再回滚的那种操作都能识别——有人先update再rollback，想掩盖痕迹，系统照样把原始语句揪出来。

我见过最典型的场景，是某政务云平台。几十个委办局共用一个数据库，权限交叉得一塌糊涂。以前出了问题，各单位互相甩锅，说不是自己干的。上了安恒之后，某次人口信息泄露事件中，系统直接定位到某区社保局的一个临时账号，精确到它在凌晨三点用Navicat连了库，跑了十七条查询，然后导出到本地。铁证面前，对方一句话都说不出来。

这套系统有个细节做得挺聪明——它不只能看“谁干了什么”，还能看“谁想干什么”。比如批量下载、全表扫描、异常时间登录这类行为，会触发实时告警。有一次测试，我故意用弱口令去连一个测试库，刚执行了三条select，大屏上就跳了红色警告，连我用的客户端版本号都标出来了。那种感觉，像背后有双眼睛盯着你敲键盘。

当然，它也不是没毛病。规则库得不断更新，不然新型攻击手法可能漏掉。而且部署初期，误报率挺高——正常业务的高频查询有时候会被当成可疑行为，搞得运维同事一天收几十条无用告警。得花时间调阈值、配白名单，磨合一两个月才能顺。但熬过那个阶段，就真省心了。

安恒这套东西最值钱的地方，不是技术多炫，而是它把“事后追责”变成了“事中震慑”。以前内鬼敢动数据，是因为觉得擦得干净。现在每次操作都留底，领导查起来直接看报表，连导出到U盘的动作都会被标注成高风险。有个客户跟我说过一句话，我印象特别深：“装上之后，半年内主动交代违规操作的三个人——他们知道跑不掉。”

说到底，数据库审计不是给外人看的合规摆设，是给自己人划的红线。