2005年，游侠的老东家就在卖数据库审计，到现在也算是八年抗战了……说一点点感想：
在不算久远的过去，那时候应用基本都是C/S模式，数据库审计非常简单
客户端→数据库服务器
只需要把流量镜像过来就OK了
无非就是审计源和目的IP、源和目的MAC、登录账号、数据库名、表名、语句、返回值
渐渐的，三层架构的业务系统开始增多，包括：
1、网站模式
2、中间件模式
或者说，IIS、Apache、Nginx也算一种中间件，其实对数据库审计而言，一样
这个时候，数据库如果在同一台机器上，则几乎没办法
当然，可以装客户端的方式来解决，但是大型客户一定不会同意
——以前有一家做软件数据库审计的，一家关门大吉了
那么，如果不在服务器上不输任何客户端，则通过旁路的方式，客户最能接受
其实中间还有一个折中，就是管理员访问数据库的时候，通过堡垒机的方式实现
这样的方式，可以设定阻断策略，对管理员的操作进行数据库操作阻断
但是，多数客户依然会选择旁路的方案，因为最简单，无风险
并且，我所遇到的客户，全部都不想在中间件安装客户端
所以，只剩下了：
1、镜像“浏览器客户端→中间件或服务器”流量
2、镜像“中间件或服务器→数据库服务器”流量
然后，二者进行关联……
理所当然的，如各位所考虑的，做不到百分之百的准确
甚至，有一次测试，去了4家，其中3家都说百分之五六十、六七十的准确性
客户放弃了！我们去的比较晚，所以我也没机会亲自测试到底准确性有多少
各类语句，包括select、delete、insert、update等都没问题
登录操作、退出操作等，也没有问题，这一点，无需多虑
性能上，如果单台搞不定，通过“agent+host”的方式，部署多台agent
在agent上对数据库日志进行压缩、归并，然后发送到host，这不是问题
公司以前是纯粹的做数据库审计，后来推出了业务数据库审计，比以前强很多
可以定义特定操作进行报警，可以针对操作频率报警，也可以阻断非合规客户端
不但像以前那样可以审计到计算机（IP），也可以抓到多人一机的帐号
（三班倒的情况，多人共用一台计算机，并且是B/S模式）
关于存储，我们做到12TB了……并且可以直接存到存储上去，这个不是大问题
告警方式：邮件、snmp trap、短信、syslog，不建议短信，烦死
SQL语句翻译，思福迪的业务数据库审计系统是做了，比看语句直观的多！
游侠建议数据库审计、网络审计一起部署，网络审计可以做数据库审计的有益补充
同时，针对管理员的操作，部署堡垒机，基本算是比较完善的解决方案了
一直想写一篇数据库审计的文章，稍微细致一些的，不过现在太懒了！
并且，因为自己公司就在做数据库审计，所以……估计别人也不放心把资料给我。
文章部分图片来自思福迪公司资料，部分来自思福迪审计产品。
作者：张百川（网路游侠）www.youxia.org 转载请注明来源！谢谢
本文转自网路游侠 51CTO博客，原文链接:http://blog.51cto.com/youxia/1086085
