Nhan Dang
Intern
KIẾN TRÚC DATABASE FIREWALL
A. Khái niệm chungDatabase Firewall là một lớp bảo vệ chuyên biệt, được đặt phía trước hệ quản trị cơ sở dữ liệu để giám sát toàn bộ luồng kết nối đi vào hệ thống. Thay vì để mọi truy vấn SQL đi thẳng tới máy chủ, giải pháp này sẽ chặn lại, đọc nội dung từng câu lệnh và đánh giá xem đó có phải là hành vi bất thường hay không, chẳng hạn như các dạng tấn công SQL injection, gây tràn bộ nhớ đệm (buffer overflow), hoặc làm quá tải hệ thống (DoS).
Về bản chất, Database Firewall thường đóng vai trò trung gian (proxy) nằm giữa tầng ứng dụng và tầng dữ liệu, kiểm soát mọi thao tác được gửi đến máy chủ, từ các lệnh truy xuất và thay đổi dữ liệu thông thường (SELECT, UPDATE, DELETE,…) cho tới các lệnh thay đổi cấu trúc bảng (như DROP TABLE). Công cụ này có thể tồn tại dưới nhiều hình thức: một gói phần mềm cài đặt ngay trên máy chủ, một thiết bị phần cứng chuyên dụng, hoặc một máy ảo độc lập.
B. Kiến trúc tổng thể
Ở mức tổng quan, Database Firewall được chèn vào giữa tầng ứng dụng (nơi phát sinh truy vấn) và tầng cơ sở dữ liệu (nơi lưu trữ dữ liệu thật). Mọi câu lệnh SQL, dù đến từ ứng dụng web, ứng dụng nội bộ hay công cụ quản trị, đều phải đi qua lớp này trước khi được thực thi:
Cách bố trí này cho phép Database Firewall trở thành một điểm kiểm soát tập trung (choke point), nơi duy nhất mà mọi truy vấn phải "đi qua", giúp việc giám sát và chặn lọc trở nên nhất quán, thay vì phải cấu hình bảo mật rải rác trên từng ứng dụng.
Luồng xử lý một truy vấn
Khi một câu lệnh SQL được gửi đi, nó sẽ lần lượt đi qua các bước xử lý sau bên trong Database Firewall trước khi tới được (hoặc bị chặn khỏi) cơ sở dữ liệu thật:B1: Query Interceptor bắt giữ kết nối
Mọi kết nối và câu lệnh SQL gửi tới database engine đều bị "chặn lại" ở lớp này trước tiên, giống như một trạm kiểm soát đầu vào.
B2: Traffic Analyzer phân tích nội dung
Câu lệnh được bóc tách và đối chiếu với các dấu hiệu tấn công đã biết, đồng thời được soi xét để tìm các mẫu hình bất thường (behavior-based).
B3: Policy Engine ra quyết định
Dựa trên bộ quy tắc do quản trị viên cấu hình, hệ thống quyết định: cho phép thực thi, gắn cờ cảnh báo, hay chặn hoàn toàn câu lệnh.
B4: Chuyển tiếp đến máy chủ CSDL (nếu hợp lệ)
Chỉ những câu lệnh được phê duyệt mới được chuyển tiếp đến Database Engine thật để thực thi.
B5: Ghi log - gửi về máy chủ quản lý
Toàn bộ kết quả xử lý (cho phép/cảnh báo/chặn) được ghi log và gửi về Management Server để phục vụ báo cáo, kiểm toán.
C. Các thành phần cốt lõi
Một hệ thống Database Firewall điển hình được cấu thành từ bốn thành phần chính, tương ứng với bốn bước xử lý ở trên:
| Thành phần | Vai trò chính |
| Bộ chặn truy vấn | Đứng ở lớp đầu tiên, bắt giữ mọi kết nối và câu lệnh SQL trước khi chúng chạm tới database engine. |
| Bộ phân tích lưu lượng | Bóc tách nội dung câu lệnh đã bắt được, đối chiếu với các dấu hiệu tấn công đã biết và tìm mẫu hình bất thường. |
| Công cụ thực thi chính sách | Áp bộ quy tắc do quản trị viên thiết lập để ra quyết định cuối cùng: cho phép, cảnh báo hay chặn câu lệnh. |
| Máy chủ Quản lý / Bộ phân tích trung tâm | Trong triển khai doanh nghiệp, đây là điểm hội tụ dữ liệu từ nhiều firewall: lưu log, tổng hợp báo cáo phục vụ kiểm toán và tuân thủ. |
D. Cơ chế bảo vệ nhiều lớp
Bên trong Traffic Analyzer và Policy Engine, việc đánh giá một truy vấn có an toàn hay không thường được thực hiện qua 3 lớp kiểm tra liên tiếp:
- Lớp 1 So khớp mẫu tấn công: đối chiếu truy vấn với cơ sở dữ liệu các dấu hiệu tấn công đã biết từ trước.
- Lớp 2 Danh sách trắng: chỉ cho phép thực thi những câu lệnh nằm trong danh mục đã được quản trị viên phê duyệt sẵn.
- Lớp 3 Phát hiện hành vi bất thường: phân tích các dấu hiệu lệch chuẩn, ví dụ một truy vấn bất ngờ kéo về khối lượng dữ liệu lớn bất thường, để gắn cờ cảnh báo.
Việc triển khai Database Firewall có thể được nhìn nhận theo hai góc độ: vị trí đặt hệ thống trong hạ tầng mạng, và cách thức can thiệp vào luồng dữ liệu.
Theo vị trí đặt hệ thống
| Tiêu chí | Mô tả |
| Giám sát qua mạng (Network-based) | Tận dụng cơ chế port mirroring trên switch để "soi gương" toàn bộ lưu lượng sang một cổng riêng phục vụ phân tích. Ưu điểm là nhẹ nhàng, không làm chậm database; nhược điểm là khó giám sát được các kết nối đã mã hóa. |
| Agent cài trên máy chủ (Host-based) | Phần mềm giám sát (agent) được cài trực tiếp trên server database, cho khả năng quan sát đầy đủ hơn — kể cả các thao tác thực hiện tại console — nhưng đổi lại có thể ảnh hưởng phần nào đến hiệu năng máy chủ. |
Theo cách can thiệp vào luồng dữ liệu
| Tiêu chí | Mô tả |
| Chế độ Inline (Blocking Mode) | Firewall nằm ngay trên đường truyền giữa client và server, hoạt động như một proxy trong suốt. Có quyền chủ động chặn truy vấn độc hại trước khi nó chạm tới database. |
| Chế độ Out-of-band (Monitoring Mode) | Chỉ theo dõi một bản sao lưu lượng (thường qua cổng SPAN), phát cảnh báo khi phát hiện vi phạm chính sách, nhưng không can thiệp chặn theo thời gian thực. |
| Chế độ Agent-based (Host-Based Mode) | Một tiến trình nhẹ (lightweight agent) chạy tại chỗ trên máy chủ, giám sát cả các thao tác của người dùng có quyền truy cập trực tiếp vào console, sau đó gửi dữ liệu về máy chủ quản lý trung tâm. |
F. Các mối đoe dọa phổ biến được ngăn chặn
- SQL Injection: hình thức chèn mã độc vào truy vấn để đánh cắp hoặc thao túng dữ liệu, một trong những kiểu tấn công web phổ biến nhất hiện nay.
- Credential stuffing: các nỗ lực dò đăng nhập tự động, hàng loạt bằng những bộ mật khẩu đã bị rò rỉ từ nơi khác.
- Trích xuất dữ liệu quá mức: hành vi tải toàn bộ hoặc phần lớn dữ liệu ra ngoài chỉ trong một lượt truy vấn bất thường.
Nhóm mã nguồn mở / chi phí thấp
- 6Degrees: hoạt động dạng proxy, phổ biến với MySQL, MariaDB, SQL Server.
- ProxySQL: vốn sinh ra để cân bằng tải cho MySQL, nhưng có bộ Query Rules đủ mạnh để dùng như một firewall.
- MariaDB MaxScale: proxy mạnh cho hệ sinh thái MariaDB/MySQL, có sẵn plugin bảo mật hỗ trợ chặn SQL Injection.
Nhóm giải pháp doanh nghiệp
- Imperva SecureSphere: nổi bật ở khả năng nhận diện hành vi bất thường một cách thông minh.
- IBM Security Guardium: giải pháp toàn diện cho các tập đoàn lớn, hỗ trợ hầu hết mọi loại cơ sở dữ liệu (Oracle, DB2, SQL Server,...).
- Oracle Database Firewall: lựa chọn tối ưu nhất nếu hệ thống đang vận hành trên hệ sinh thái Oracle.
Sửa lần cuối bởi điều hành viên:
Bài viết liên quan
Được quan tâm
Bài viết mới