数据安全之军工 – 作者:数据库安全专家

随着军工行业信息化建设的快速推进, 各军工企事业单位中涉及的国家秘密信息数量越来越大、范围越来越广,信息安全成为一个备受关注的问题。建立健全军工企业数据安全防护体系，保障企业利益和国家安全已势在必行。

为保护国家秘密的安全，国家保密局于 2007 年发布并实施 BMB22号文件，在数据保密方案，分级保护从运行管理、身份鉴别、访问控制、安全审计、存储加密和数据库安全方面进行了一系列的技术和测评要求，并占据了较高的比重。

数据库安全成为军工企业信息安全建设“短板”，我国军工企业涉密系统在建设初期就考虑到了安全保障能力的建设，而真正处于核心层的敏感数据载体-数据库的保障能力却较低，抗攻击能力严重不足，存在诸多问题，如核心信息资产的破坏和泄漏,对敏感数据的操作没有告警功能，第三方运维工作隐患，数据库与业务系统无法关联分析，无法审计发生在数据库本地的操作，数据库自身日志审计的缺陷，现有数据库防护存在诸多缺陷。

数据库安全加固解决方案针对目前军工行业所面临的数据安全问题和需求进行分析，将问题逐一解决，从而实现全面保障数据安全。该方案可以有效监控数据库访问行为，准确掌握数据库系统的安全状态，及时发现违反数据库安全策略的事件，并实时告警、记录，并且实现安全事件的定位分析，事后追查取证，以此保障数据库安全。

某武警行业的全国部署经验。选择中安威士产品，除了具有数据库和业务审计功能外，还可以防范边界之外的SQL注入攻击和内部越权访问。其中：

数据库防火墙：采用了创新性SQL语法分析技术，检查发往数据库的SQL语句，并根据预先制定的策略决定是否让某SQL语句通过以及是否记录、禁止或取代某SQL语句，这种决定的正确率非常高。

数据库审计：数据库审计是以硬件形式存在的软硬件一体化的设备。数据库审计以旁路的方式部署于网络当中。采集、分析、过滤所有对数据库的访问行为，将符合规则的行为记录下来。发现违规访问行为采取告警措施通知管理人员，并提供访问行为的回放，便于管理人员更直观的判断问题。数据库审计采用了与数据库防火墙相同的SQL语法分析技术，分析、过滤发往数据库的SQL语句。根据预先制定的策略决定是否对某SQL语句或访问行为进行记录，这种审计方式可以避免记录大量无用的、无风险的日志，减少占用空间并提高发现问题的准确度。

数据库状态监控：数据库状态监控的目的是保证数据库系统一直处于健康、稳定的运行状态。

数据库风险扫描：数据库风险扫描可以减少数据库的风险。

数据库加密：数据库系统中，往往不是所有的字段都具敏感性，通常只需加密个别表的个别关键字段就可以切断数据间的联系、实现关键数据保密，同时达到有效降低性能损失的效果。通过数据库加密对系统中核心的敏感信息进行存储加密，保证备份、存储设备、数据库文件丢失或者传输的数据文件被捕获也不会引起敏感数据泄漏。独立于Oracle数据库之外的密文权限控制体系，使与业务本身无关的DBA等系统维护人员不能访问明文的敏感信息，也不会引起内部泄密。同时开启安全审计功能，对敏感信息的访问进行记录，便于对异常访问行为进行事后追踪分析。

该方案透过“主动防御+审计监控”的体系提供一套真正的、立体的、全面的解决数据库层面安全问题的解决方案。

从核心处解决数据库安全问题，防止无关业务人员访问核心数据，以防御为主、审计为辅，满足监管部门的安全要求，提高运维效率、降低经济损失、保护国家安全，符合分级保护的安全要求。可以对重要数据使用加密措施进行存储和传输保护、对数据库访问进行细粒度访问控制、对数据库超级管理员进行有效分权、对数据访问进行安全审计等。符合国家保密局涉密信息系统分级保护要求。

通过存储层、数据访问层以及应用层的数据防护实现了遭受攻击多、泄密多的数据库层面的防护目标，有效填补当前信息系统的数据安全防护“短板”，从而保障军工企业数据安全。

来源：freebuf.com 2020-10-27 17:36:36 by: 数据库安全专家