数据库审计怎么选：四个数字定档，别被「支持 90 种数据库」带偏
数据库审计的报价能从 8 万跳到 60 万，真正影响使用的只有四个数：SQL 处理性能、日志检索性能、日志存储量、数据库实例数。用财政部门与医院项目的真实采购需求，讲清怎么定档、怎么验、哪些宣传点可以忽略。
同样是「数据库审计」，报价能从 8 万跳到 60 万。决定价格和使用体验的其实只有四个数：SQL 处理性能、日志检索性能、日志存储量、数据库实例数。至于宣传页上最醒目的「支持 90 种数据库」，几乎是最不值钱的一项。
一、先分清它和「数据库防火墙」
数据库审计是旁路设备：从交换机镜像口拿流量，只记录、不阻断，不影响业务。数据库防火墙是串行部署（或代理模式），能实时阻断 SQL 注入、越权访问。两者常被厂商混着卖，采购文件里也常把「支持会话阻断」写进审计产品的功能列表。
判断标准很简单：等保三级要求的是审计，不是阻断。如果只为了合规，旁路审计够用；如果要做 SQL 注入的实时拦截，才需要串行设备，同时要接受串行带来的单点风险（设备故障 = 业务中断）与延迟增加。
二、四个数字定档
下面这些数字全部来自公开的政府采购需求文档——它们是验收时会逐项核对的硬指标，比厂商宣传口径可靠得多。
| 关键指标 | 入门档 | 主流档 | 高负载档 | 怎么用 |
|---|---|---|---|---|
| 峰值 SQL 处理 | 15,000 条/秒 | 20,000～30,000 条/秒 | 50,000 条/秒 | 能不能抓全，丢包就看这个 |
| 实时 SQL 处理 | — | 12,000 条/秒 | — | 与峰值同时出现时，比峰值更接近真实能力 |
| 日志检索性能 | 50 万条/秒 | 100 万条/秒 | — | 查半年前某条 SQL 要等几秒 |
| 日志存储量 | 在线 40 亿条 | 60 亿条 | 在线 100 亿 / 归档 100 亿 | 按「日均事件 × 180 天」倒推 |
| 数据库实例数 | 30 个 | 不限 | 不限 | 最容易超标的一项，一定要写清 |
| 硬件 | 1U / 16G / 4T | 2U / 32G / 4T | 国产 CPU + 216G 内存 | 信创项目另算 |
档位取自铜陵市财政局等级保护整改项目、内蒙古某单位招标技术参数、三亚市人民医院信息化项目采购需求、宁波市公安局高新分局数智化项目更正公告、西安市义务教育招生平台设备采购合同等公开文件；不同项目口径略有差异，仅作定档参考。
举个能对上号的对照：三亚市人民医院要求 SQL 处理 ≥30,000 条/秒、日志检索 ≥50 万条/秒、存储 ≥60 亿条；内蒙古某单位要求峰值 ≥20,000 条/秒、实时 ≥12,000 条/秒；西安某教育平台项目直接写到 50,000 条/秒 + 检索 100 万条/秒。同一类设备，档位相差 3 倍以上。
三、「支持 90 种数据库」是话术，真正要看的是三种
Oracle、SQL Server、MySQL 这些国际数据库，几乎所有产品都支持，不构成任何差异。真正的差异在国产库与分布式库——这也是国产化替换期最容易出问题的地方。
- 集中式国产库：达梦 DM7/DM8、人大金仓 KES、瀚高 V9、神通、GBase、UXDB——要求厂商列出具体版本，不接受「支持达梦」这种笼统写法
- 分布式库：OceanBase、TiDB 有代理层（OBProxy / TiDB Proxy），审计设备必须能解析代理之后的真实 SQL，否则只能抓到连接信息
- 云数据库：RDS、PolarDB、GaussDB 的内网流量不经镜像口，SaaS 审计抓不到，需要云原生审计或主机 Agent
四、三种部署形态的取舍
| 形态 | 适用 | 优点 | 代价 |
|---|---|---|---|
| 旁路镜像（交换机镜像口） | 核心库、机房内数据库 | 不改网络、不影响业务、无单点风险 | 抓不到本机直连与加密流量；镜像口带宽可能不够 |
| 主机 Agent | 云主机、容器、需要抓本地访问的库 | 能拿到本地与加密前的 SQL | 要在每台库上装代理，版本升级与运维成本高 |
| 云原生审计 | RDS / PolarDB / 云上托管库 | 不用镜像、按实例开日志 | 受云厂商能力限制，跨云难统一 |
实践里的组合：核心业务库用旁路镜像（保证全量），生产上跑在云上的用 Agent 或云原生能力补齐，多台审计设备的日志汇总到一台集中管理平台——否则出了事要一台台登录去查，等于没有。
五、按 180 天倒推存储，别按 90 天
《网络安全法》第二十一条要求网络日志留存不少于六个月，等保测评必查。按日均 SQL 事件数倒推：一个中等业务库每天 2,000 万条事件，180 天就是 36 亿条——这正是政采需求里 40 亿、60 亿条成为主流档位的原因。
算法：日均事件数 × 180 × 1.3（索引与冗余系数），再往上取一档。很多项目按 3 个月配，第一次测评就被开整改通知，而扩容存储的单价通常比初次采购高。
六、验收时怎么验，五条
- 抓全：镜像接上后，设备能不能自动发现网段内所有数据库实例（IP、端口、类型、版本）——这一条最能暴露产品的协议识别能力
- 抓准：超长 SQL（大于 64KB）、批量插入、存储过程、预处理语句能否完整还原；只显示「语句过长已截断」的产品在实际溯源时没用
- 查得快：按「时间 + 源 IP + 表名 + 操作类型」组合查询，100 万条/秒档位应在 1～2 秒内出结果
- 报表能出：等保、SOX、PCI 报表模板是否内置且能导出；不能导出的报表等于没有
- 告警通：邮件、短信、Syslog、SNMP 四种通道是否都支持，告警规则能否自定义（按表名、按影响行数、按时间段）
七、两款库内产品作对比起点
本站已收录吉大正元数据库审计系统与三未信安数据库安全审计系统，两款都支持旁路镜像与国密环境。把它们拉进对比页，可以看到部署方式、协议覆盖、告警通道这些能横向比的项；具体性能档位（SQL 条/秒、存储量）需要向厂商索取对应型号的检测报告或政采投标参数，本站暂未收录，不做推测。
数据库安全审计系统三未信安 · 安全
数据库兼容范围支持 20+ 种：主流关系型 SQL Server、Oracle、MySQL、PostgreSQL；国产达梦、瀚高、人大金仓、南大通用、高斯；NoSQL 含 Redis、MongoDB。国产库适配深度是信创项目的实际门槛。三种部署方式①旁路：TAP/SPAN 镜像流量审计，支持 VLAN、上下行链路、冗余链路、多端口组；②网关代理：所有访问经代理模块完成，可实时阻断风险 SQL；③Agent 插件：装在被审计数据库服务器上采集并推送，主要面向云上环境。智能分析引擎集成 NLP 与生成式 AI，解析 SQL 语句的语义、执行逻辑及上下文，识别多语言 SQL 方言与复杂逻辑。
参数 →
两款均为旁路镜像部署的国产数据库审计产品。价格与性能档位差异大，建议在招标前用「SQL 处理 ≥X 条/秒 + 存储 ≥Y 亿条 + 实例不限」三条作为筛选门槛，再比功能。