Oracle Audit Vault and Database Firewall (AVDF): Kiến trúc Toàn diện và Chiến lược Triển khai Tối ưu

Giới thiệu về Oracle AVDF

Oracle Audit Vault and Database Firewall (Oracle AVDF) là giải pháp bảo mật dữ liệu cấp doanh nghiệp, được thiết kế để kiểm soát các cơ sở dữ liệu và giám sát hoạt động mạng nhằm quản lý vị thế bảo mật (security posture) một cách tập trung. Với khả năng mở rộng mạnh mẽ, AVDF có thể giám sát từ hàng trăm đến hàng ngàn mục tiêu (targets), bao gồm cơ sở dữ liệu (Oracle và Non-Oracle), hệ điều hành, dịch vụ thư mục và các nguồn dữ liệu tùy chỉnh.

Giải pháp mang lại sự linh hoạt tối đa trong triển khai: khách hàng có thể thiết lập hệ thống tại chỗ (on-premises) hoặc trên nền tảng Oracle Cloud Infrastructure (OCI) thông qua việc cấu hình các instance từ Oracle Cloud Marketplace. Dù triển khai ở đâu, AVDF vẫn đảm bảo khả năng giám sát nhất quán cho các mục tiêu nằm ở cả môi trường Cloud lẫn On-premises.

Các thành phần cốt lõi trong công nghệ AVDF

Kiến trúc AVDF được phân tách thành các thành phần chuyên biệt để đảm bảo tính bảo mật và hiệu suất xử lý dữ liệu.

• Audit Vault Server (Bộ não trung tâm): Thành phần này chạy trên hệ điều hành Oracle Linux. Nó bao gồm một kho lưu trữ dữ liệu (Data Repository) dựa trên Oracle Database để quản lý các tính năng sau:
  • Dữ liệu kiểm soát (Audit data) từ Agent và sự kiện mạng (Network events) từ Firewall.
  • Chính sách (Policies), cấu hình hệ thống và dữ liệu quản lý người dùng. Các thiết lập hệ thống và mạng quan trọng cũng được lưu trữ đồng thời ở cấp độ hệ điều hành.
  • Hệ thống báo cáo đa dạng: Activity (Hoạt động), Compliance (Tuân thủ), Summary (Tóm tắt) và Security Assessment (Đánh giá bảo mật).
  • Quản trị và Phân quyền: Phân tách rõ rệt vai trò giữa Administrators (cấu hình, quản lý hệ thống) và Auditors (giám sát, xem báo cáo, xử lý cảnh báo).
  • Lưu trữ và Sao lưu: Hỗ trợ sao lưu định kỳ vào vị trí NFS (khuyến nghị) hoặc đĩa cục bộ. Dữ liệu lịch sử có thể được lưu trữ tự động (archival) sang các giao thức NFS (khuyến nghị), SCP hoặc SMB.
• Database Firewall (Lá chắn mạng): Hoạt động như một trạm kiểm soát SQL từ Clients/Applications. Dựa trên chính sách, nó thực hiện 5 hành động: Allow (Cho phép), Log (Ghi nhật ký), Alert (Cảnh báo), Substitute (Thay thế) và Block (Chặn). Toàn bộ sự kiện mạng được Firewall gửi về Audit Vault Server để phân tích.
• Audit Vault Agent & Agentless Collection: Cơ chế thu thập dữ liệu tùy thuộc vào loại hình trail:
  •  Audit Vault Agent: Thu thập từ TABLE, DIRECTORY, SYSLOG, EVENT LOG. Đặc biệt, với loại TRANSACTION LOG (thu thập giá trị "before and after"), kiến trúc sư cần lưu ý: cả Audit Vault Agent và Oracle GoldenGate phải được triển khai trên một Remote Host để thu thập từ các tệp "integrated extract".
  • Agentless Collection: Dịch vụ tích hợp sẵn trong Audit Vault Server, hỗ trợ tối đa 20 trails. Chỉ áp dụng cho Oracle Database (TABLE trails) và MS SQL Server (DIRECTORY trails).
  • Các loại Target hỗ trợ:
    • Databases (Oracle, MS SQL Server, MySQL, SAP Sybase, v.v.).
    • Hệ điều hành (Linux, Windows, Solaris, AIX).
    • Directory Services (Active Directory, OpenLDAP).
    • Custom targets (XML, JSON).

Các chế độ triển khai Database Firewall

Chế độ Monitoring/Blocking (Proxy Mode)

Đây là chế độ duy nhất cho phép can thiệp trực tiếp để Block hoặc Substitute SQL. Client kết nối đến Firewall thay vì database; từ góc độ database server, nó sẽ nhận diện Firewall là client.

• Lưu ý chiến lược: Để tối ưu bảo mật, kiến trúc sư nên cấu hình database để từ chối tất cả các kết nối không đến từ Database Firewall.
• Các mô hình cấu hình NIC:
  • Proxy không tách biệt mạng: Sử dụng một NIC duy nhất gọi là Database Firewall management interface cho cả lưu lượng SQL và quản trị. Đây có thể là điểm nghẽn hiệu suất và rủi ro bảo mật nếu lưu lượng lớn.
  • Proxy không tách biệt mạng có NIC chuyên dụng: Tách biệt thành hai interface: Database Firewall traffic proxy (nằm trong subnet database để xử lý SQL) và Database Firewall management interface (nằm trong subnet quản lý).
  • Proxy tách biệt mạng (Network Separation): Sử dụng tối thiểu 3 NIC để tách biệt hoàn toàn Client subnet, Database subnet và Management subnet.

Chế độ Monitoring (Out-of-Band - OOB)

Firewall giám sát thụ động thông qua bản sao lưu lượng từ SPAN port, Network tap hoặc Packet replicator. Chế độ này chỉ có thể giám sát và cảnh báo, không thể can thiệp (Block/Substitute) vào luồng SQL thực tế.

Chế độ Monitoring (Host Monitor)

Sử dụng khi không thể cấu hình thiết bị mạng bên ngoài. Một Host Monitor Agent được cài đặt trực tiếp trên máy chủ database để bắt lưu lượng từ NIC nội bộ và gửi về Database Firewall qua kênh truyền an toàn.

Khi nào chọn Host Monitor thay vì Out-of-Band?

Lựa chọn Out-of-Band là ưu tiên hàng đầu để đảm bảo tính độc lập và không gây tải cho máy chủ cơ sở dữ liệu. Tuy nhiên, Host Monitor là giải pháp bắt buộc trong các môi trường Cloud (nơi không có quyền truy cập vào cấu hình Switch vật lý) hoặc các hạ tầng mạng bị khóa chặt mà không thể cấu hình SPAN/TAP.

Đảm bảo tính liên tục với High Availability (HA)

Để tối đa hóa độ tin cậy, Oracle AVDF hỗ trợ mô hình Primary-Standby cho cả Audit Vault Server và Database Firewall.

• Kiến trúc sư có thể triển khai HA cho riêng Server, riêng Firewall, hoặc triển khai đồng thời cho cả hai để đảm bảo tính liên tục của dữ liệu được giám sát từ đầu đến cuối.
• Khi Primary gặp sự cố, Standby sẽ tự động tiếp quản, giúp đảm bảo việc ghi nhận nhật ký không bị gián đoạn và tuân thủ các chính sách bảo mật mạng.

Kết luận

Oracle AVDF cung cấp một giải pháp bảo mật toàn diện bằng cách kết hợp giữa giám sát mạng thời gian thực (Firewall) và phân tích chuyên sâu nhật ký kiểm soát (Audit Vault). Sự kết hợp này cho phép doanh nghiệp không chỉ phát hiện các hành vi bất thường từ bên ngoài mà còn kiểm soát chặt chẽ các truy cập nội bộ, đáp ứng các tiêu chuẩn tuân thủ khắt khe nhất trong môi trường dữ liệu hiện đại.

Tài liệu tham khảo:

· Oracle Documentation. (2026). “Tài Liệu Oracle Audit Vault and Database Firewall”
https://docs.oracle.com/en/database/oracle/audit-vault-database-firewall/index.html

· Oracle Documentation. (2026). “Hướng Dẫn Cài Đặt Oracle Audit Vault and Database Firewall”
https://docs.oracle.com/en/database/oracle/audit-vault-database-firewall/20/sigig/index.html

· Oracle Documentation. (2026). “Hướng Dẫn Quản Trị Oracle Audit Vault and Database Firewall”
https://docs.oracle.com/en/database/oracle/audit-vault-database-firewall/20/sigad/index.html