由 OWASP 中国提出并归口的《数据库审计系统测评基准 V1.0》正式发布。该基准围绕六大评估维度构建了系统化的数据库审计系统评测框架，覆盖传统旁路部署、虚拟化及云平台三种部署形态，是行业内首份由开源安全社区主导的数据库审计测评规范性文件。

基准定位

随着数据库在企业信息化和公共安全中的核心地位日益凸显，传统依赖冗灾备份、渗透测试和主机加固等间接防护手段已难以满足对数据本身的直接审计需求。数据库审计系统旨在帮助组织全面监控核心数据的实时操作，精准定位"什么人、什么时间、什么工具、什么地方、对数据做了哪些操作"。然而，由于缺乏恰当的评估基准，审计系统的能力一直无法有效评估。本基准旨在为数据库审计系统的设计、建设、测评和审核提供通用的标准化依据。基准引用了 GB/T 20945-2013、GA/T 695-2014、ISO/IEC 27001 等多项国内外权威标准。

六大评估维度

基础功能 要求数据库审计系统提供管理平台、角色管理与登录认证（含密码复杂度校验）、自身审计监控和审计日志维护五项基础能力。管理平台至少包含系统管理、规则管理、审计管理三个功能模块，三者权限隔离、相互监督。

系统管理功能 涵盖系统状态监控（CPU、内存、SQL 接收量、流量）、网络接口管理、时间同步、系统升级、数据备份与恢复（备份数据加密存储）、数据自动清理、数据库自动发现（支持主流、国产及 NoSQL 数据库）及出厂恢复。

策略管理功能 支持 SQL Server、MySQL、Oracle、DB2、达梦、人大金仓、南大通用等国内外主流数据库类型，以及 MongoDB、HBase、IP21 等 NoSQL 和工控数据库，覆盖云平台 RDS/ESC 自建数据库。单台设备支持至少 128 个数据库同时审计。策略能力包括预定义安全规则（SQL 注入、跨站脚本、口令猜测等）、自定义策略（不低于 18 种规则条件）、组合策略和策略生效时间管理。

审计管理功能 审计效果方面，需记录访问者源 IP、客户端 MAC、数据库账户、操作语句及返回结果等完整审计链路。支持应用审计关联（WebLogic/Tomcat 三层架构下精准审计到人）、数据库攻击检测、超长语句审计（不低于 3 万字节）、智能 AI 风险识别、态势感知、事件回放、旁路阻断及白名单管理。告警方式至少覆盖邮件、短信、Syslog 和 SNMP，审计报表与日志支持精确和模糊检索，导出格式涵盖 Word、Excel 和 PDF。

安全要求 管理端需支持 HTTPS 加密通信、账号登录次数限制和密码复杂度校验；审计到敏感数据自动脱敏处理；自身需具备抗攻击测试和日志存储耗尽处理机制（转储或覆盖策略），确保设备在磁盘接近满载时仍可正常运行。

性能要求 对 SQL 语句进行细粒度语义解析，全面覆盖 NoSQL 审计（如 Caché 的 M 语言安全审计，支持 Studio、Terminal、Portal 等多种客户端工具）。基准要求非业务因素导致的审计零误报率与零漏报率，并评估系统在真实网络流量环境下的弹性吞吐能力、多会话并发处理能力及亿级日志数据查询响应性能。

部署要求

数据库审计系统须支持三种部署形态：传统的旁路部署（支持 VLAN 和非 VLAN 环境）、虚拟化平台部署（通过 GRE 引流）以及云平台部署（通过轻量级插件引流，插件不超过 2MB、CPU 占用不超 1%，单台系统支持至少 128 个插件并发连接）。

参与单位及人员

参编单位（排名不分先后）：深圳昂楷科技有限公司、深圳市网域科技股份有限公司、北京星网锐捷网络技术有限公司、中新网络信息安全股份有限公司、中安威士（北京）科技有限公司。

参与人员（排名不分先后）：邓丽华、张勤保、邓凯、赵春燕、赵玉燕、刘晨、项小升、蔡佩宸、郭艳杰、夏敏、徐晓微、吕铳、戴林、周礼、赵伟全、王颉。

评审专家：刘沛旻（Imperva）、蔡汉荣（Imperva China）、李德奎（北京安华金和科技有限公司）。