一、解决方案简介

基于KingbaseES的数据库高安全解决方案，具备全新的结构化系统设计、强化的多样化强制访问控制模型框架，其中包括自主开发的多个高等级的安全特性，并完整实现包括多重身份鉴别、入侵检测与报警、可信路径、推理控制、形式化证明及隐蔽信道分析等在内的全部结构化保护级的技术和功能要求。

二、应用场景痛点简介

金融行业数据库自主可控推进落地时，普遍遇到的痛点问题主要集中在可移植性、性能满足程度、数据可靠性及业务连续性等方面。具体痛点及相应金仓方案介绍如下：

痛点一：应用迁移

业务系统从原有系统向新数据库迁移的兼容性和改造难度是目前金融信创数据库大痛点。

数据库处于金融行业IT架构的中间层，向上是各种应用软件的支撑引擎，向下调动计算、网络、存储等基础资源。因此数据库的选型不仅与数据库自身的功能性能相关，更需要能够适配金融行业IT环境与应用软件。

在上一轮信息化建设中，大部分业务系统都采用了Oracle等国外数据库产品，甚至部分数据库由应用厂商嵌入在业务系统中，一旦替换将对上层业务系统的运行带来困难。

痛点二：高可用与灾备要求

金融行业对于数据库的业务连续性及数据可靠性具有极高的政策以及行业要求，数据库的高可用性能力及如何构建完善的容灾方案，成为每一家金融企业需重点考虑的问题。

痛点三：性能要求

金融级信创数据库对大并发、海量数据处理场景下性能要求苛刻。

金融行业特别是银行业对交易类数据库的性能要求极高。另外在金融信创领域，主要应用场景为电子公文和邮件等办公类应用，用户数量庞大，并发较高，在响应时间方面，90%以上的场景需要较高的性能保障。

三、解决方案亮点介绍

基于KingbaseES的数据库高安全解决方案，与国内涉及国计民生的高安全行业，如军队、军工、政府、金融行业、保险行业及电信行业等紧密联动，技术路线随着以上行业的发展而实时调整，用以匹配以上行业的安全刚需；

从对检验标准的满足度上看，基于KingbaseES的数据库高安全解决方案，其技术路线从一开始的追逐国内外相应数据库安全检验标准，而后中期完成逐步满足各项标准，到当前已完成超越部分相关安全标准的要求，如等保、分保、涉密信息系统产品检测、公安部安全四级、EAL4+检测以及相应国家标准等；

1.技术架构体系

基于KingbaseES的数据库高安全解决方案，在功能架构上，涵盖了两大模块以及诸多子模块：

安全功能模块：

身份鉴别

自主访问控制

标记模块

强制访问控制

数据流控制

安全审计模块：

用户数据完整性

用户数据保密性

可信路径

推理控制

安全保证模块：

SSF物理安全保护

SSF运行安全保护

SSF数据安全保护

资源利用

SSODB访问控制

配置管理与分发和操作

2.技术特点

在权限控制上，基于KingbaseES的数据库高安全解决方案，采用了三权分立的安全管理体制，数据库三权分立是为了解决数据库超级用户权力过度集中的问题，参照行政、立法、司法三权分立的原则来设计的安全管理机制。

基于KingbaseES的数据库高安全解决方案，把数据库管理员分为数据库管理员、安全管理员、审计管理员三类。

在身份鉴别上，支持基于强化口令的身份鉴别、支持基于Kerberos、Radius、LDAP认证协议和CA等技术在内的与第三方身份认证产品相结合的外部统一身份鉴别或集中化身份认证方式。

在访问控制上，支持自主访问控制、强制访问控制等多样化的访问控制；针对强制访问控制，该方案按照Bell-La Padula安全保密模型，基于实用性和灵活性的考虑对强制存取模型策略进行了扩充，并且遵循"向下读，区间写"模型，实现信息流向总是向上的保密信息传递。下读规则是指用户只能读和自己等级一样或者等级比自己低的数据。区间写是上写模型，上写规则是指用户只能写入和自己等级一样或者等级比自己高的数据。

用户数据保护上，则支持数据存储完整性保护、数据备份安全保护、数据透明加密存储、数据安全传输等机制。

在审计上，针对潜在威胁，该方案提供了一套完整的审计机制，用来保证对数据库中的各种行为进行监控。包括审计开关、审计设置、甚至信息存储、审计记录查询、入侵检测等机制。

3.适配的平台情况软硬件情况

在生态适配上，基于KingbaseES的数据库高安全解决方案，目前已与国产全部基础软硬件，包括芯片、操作系统、中间件等，适配生态图如下：

4.适配的行业应用软件情况

针对行业应用软件，基于KingbaseES的数据库高安全解决方案已与深信服、奇安信、天融信、北信源、鱼翁、卫士通等领军企业，完成了适配认证。

5.技术创新

在安全管理能力上，针对等保、分保场景，进行针对性创新实现。

主要针对透明加密、审计、权限控制等进行了增强。

针对透明加密：

支持表空间加密、表加密及列加密的透明加密；

同时支持使用SM4.0国密算法，并且针对不同的列，设定不同的密钥；

针对审计：

支持对语法错误、权限错误、语义错误、数据错误的审计；

针对权限控制：

由“三权分立”，升级为数据库管理员、安全管理员、审计管理员和审计操作员的“四权分立”。

四、金融行业客户名单

人大金仓金融行业代表性用户名录（列表按照首字母顺序排序）：

城信银清算中心、东吴证券、福建农信、贵阳银行、国家开发银行、海南农信、海南银行、江西银行、柳州银行、民生人寿保险股份有限公司、平安集团、浦发银行、全国中小企业股份转让系统有限责任公司、山西银行、上海票据交易所、太平保险集团、潍坊银行、新疆农村信息社总社、阳光保险集团股份有限公司、银行间市场清算所股份有限公司、郑州商品交易所、中国农业发展银行、中国农业银行、中国期货市场监控中心、中国人民保险、中国人民财产保险公司、中国人寿财产保险股份有限公司、中国人民银行、中国银行、中国银行保险监督管理委员会、中国证券监督管理委员会、中国证券金融股份有限公司、中信银行、中证信息技术服务有限责任公司等。