什么是数据库防火墙？

数据库防火墙（简称：DCAP-DF）是一款以数据库访问控制为基础，以攻击防护和敏感数据保护为核心的专业级数据库安全防护设备。DCAP-DF主要部署在业务应用侧，用于防止外部黑客的数据库入侵行为。DCAP-DF采用全面的数据库通讯协议解析，通过 SQL协议分析，和SQL注入特征抽象技术，能快速有效的捕获SQL注入的行为特征，根据预定的SQL白名单策略决定让合法的 SQL *** 作通过执行，对符合SQL注入特征的可疑的非法违规 *** 作进行阻断，从而形成一个数据库的外围防御圈, 真正做到SQL 危险 *** 作的主动预防、实时审计。

1、保障核心数据库的安全

DCAP-DF可帮助用户及时发现针对数据库的各类攻击行为和安全隐患，包括利用数据库漏洞进行攻击、利用应用程序进行SQL输入攻击等，有效保障数据库及核心数据安全。同时，灵活、便利的策略定制可提升对于数据库访问的可控度。

2、可视化风险监控大屏展示

支持对注入攻击、漏洞攻击、敏感数据访问、系统运行、流量等各类风险及指标进行全方位监控，并内置分析算法，对各类指标项进行集中展示，用户通过肉眼即可直观感知到数据库当前的安全状态、运行状态，一旦有异常，用户可根据大屏进行问题的快速定位，处理更高效。

3、满足合规/审计要求

内置各类合规性报表，用户可自主选择行业及法律法规报表，简化合规/审计工作。

防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出。防火墙是系统的第一道防线，其作用是防止非法用户的进入。

功能：

1、防火墙有访问控制的功能，防火墙能够通过包过滤机制对网络间的访问进行控制，它按照网络管理员制定的访问规则，通过对比数据包中的标识信息，拦截不符合规则的数据包并将其丢弃。

2、防火墙具有防御常见攻击的能力，它还能够扫描通过FTP上传与下载的文件或者电子邮件的附件，以发现其中包含的危险信息，也可以通过控制、检测与报警的机制，在一定程度上防止或者减轻DDos的攻击。

3、防火墙是审计和记录Internet使用费用的一个最佳地点，网络管理员可以在此向管理部门提供Internet连接的费用情况，查出潜在的带宽瓶颈位置，并能够依据本机构的核算模式提供部门级的计费。

扩展资料：

主要类型

1、网络层防火墙

网络层防火墙可视为一种IP封包过滤器，运作在底层的TCP/IP协议堆栈上。我们可以以枚举的方式，只允许符合特定规则的封包通过。

其余的一概禁止穿越防火墙（病毒除外，防火墙不能防止病毒侵入）。这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能套用内置的规则。

2、应用层防火墙

应用层防火墙是在TCP/IP堆栈的“应用层”上运作，您使用浏览器时所产生的数据流或是使用FTP时的数据流都是属于这一层。

应用层防火墙可以拦截进出某应用程序的所有封包，并且封锁其他的封包（通常是直接将封包丢弃）。理论上，这一类的防火墙可以完全阻绝外部的数据流进到受保护的机器里。

防火墙借由监测所有的封包并找出不符规则的内容，可以防范电脑蠕虫或是木马程序的快速蔓延。不过就实现而言，这个方法既烦且杂（软件有千千百百种啊），所以大部分的防火墙都不会考虑以这种方法设计。

3、数据库防火墙

数据库防火墙是一款基于数据库协议分析与控制技术的数据库安全防护系统。基于主动防御机制，实现数据库的访问行为控制、危险 *** 作阻断、可疑行为审计。

数据库防火墙通过SQL协议分析，根据预定义的禁止和许可策略让合法的SQL *** 作通过，阻断非法违规 *** 作，形成数据库的外围防御圈，实现SQL危险 *** 作的主动预防、实时审计。

数据库防火墙面对来自于外部的入侵行为，提供SQL注入禁止和数据库虚拟补丁包功能。

参考资料来源：百度百科--防火墙

我认为数据库防火墙不同于大家更为熟悉的数据库审计，根本区别在于两者防护原理有本质区别，数据库审计更像是摄像头，旁路监控数据库访问，发现威胁进行告警，但不做实质上的防御，实际上更偏向事后的追溯。而防火墙则更为直接，可以通过直接串联或旁路部署的方式，对应用与数据库之间的访问进行阻断拦截等 *** 作 ，拦截阻断安全威胁，起到事中防护的作用。

数据库防火墙是串联部署，串联模式部署在应用系统与数据库之间，所有SQL语句必须经过数据库防火墙的审核后才能到达数据库，发起访问、 *** 作。基于漏洞特征库、SQL注入特征库、黑白名单等的细粒度安全策略制定，结合访问源、访问对象、访问行为、影响行数等准确解析结果，识别恶意数据库指令，及时采取中断会话或准确拦截语句的防御行为，串联部署最大的风险在于不能出现误判断，影响正常语句通过，这就要求数据库防火墙的语句解析能力足够精准，并且能够建立非常完善的行为模型，在发现危险语句时，能够在不中断会话的基础上，准确拦截风险语句，放行正常访问。因此，要想真正发挥防护效果，数据库防火墙必须串联在数据库的前端，可以是物理的（透明串接）或逻辑的（代理）串联。

数据库审计是旁路部署，是一款面向数据库可提供安全、审计、监控能力的一体化工具。能对数据库遭受到的风险行为进行告警，如：数据库漏洞攻击、SQL注入攻击、高危风险 *** 作等，旁路分析识别后再发出阻断请求。两者的区别还是很大的，安华金和专注数据安全行业，推荐你找他们了解下。更多内容可以百度一下。

---