数据库安全能源 – 作者:数据库安全专家

电力是国民经济的基础产业，是国民经济发展和人民生活极其重要的基础设施之一。近些年来，电力的信息化建设取得了非常显著的成就，信息化建设已经有了一定的规模，电力行业的信息系统庞大复杂，IT系统治理难度大。

随着智能电网建设的不断向前发展，同时国家电网集团公司对信息安全的指导要求逐步在加强。2004年，国家电力监管委员会发布第5 号令《电力二次系统安全防护规定》；2005年，电力二次系统安全防护专家组和工作组提出《电力二次系统安全防护总体方案》；2008年，国家电网信息化工作部印发316号文件《国家电网公司信息化“SG186”工程安全防护总体方案(试行)》通知，等。这些文件均大篇幅地涵盖了电力系统对IT系统治理方面的紧迫要求。数据库安全面临内部恶意操作以及外部恶意入侵两大夹击。如何有效保护数据库信息成为当前信息安全界最为关注的课题。

根据《企业内部控制规范–基本规范的内部审计机制》以及《计算机信息系统安全等级保护数据库管理技术要求》，数据库审计是必不可少的一项。

因此网络中部署专业的数据库安全审计系统，可有效监控数据库访问行为，准确掌握数据库系统的安全状态，及时发现违反数据库安全策略的事件并实时告警、记录，同时进行安全事件定位分析，事后追查取证，保障单位数据库安全。依据国网SG186工程的相关要求及等级保护建设的工作意见，应尽快在国网各级公司建立数据库的安全审计体系，协助相关人员对数据操作行为的有效追溯及审计。

由于国内电力行业具有特殊的行业特点，整个电力系统企业分支众多，很多电网公司、电厂分布全国各地，相当数量的电厂、变电站等分支分布在边远地区。如何将电力电网公司总部、分支机构的业务网进行安全的组网连接，如何让电力公司各机构间高效的进行业务沟通，这成为了电力电网公司信息管理部门必须解决的首要问题。

目前，大部分电力电网公司，总部、省市之间通过专线进行组网。但由于专线中传输的重要业务数据多为明文数据，另外有些偏远的机构无法通过专线接入，现在越来越多的电力公司开始通过IPSec VPN在互联网上建立安全隧道来实现业务数据的加密传输。

客户对象：主要客户对象包括国家电网和南方电网的各地电力公司、五大发电集团和各地电力设计院。

产品性能要求：由于电力公司的内部业务系统、线上操作系统需要进行实时的数据传输，要求较高的接入速度。因此，总部和分支通过IPSec VPN进行互联时，要求较高的VPN加密吞吐性能。

对产品功能应用要求：各地电力公司、发电厂通过IPSec VPN功能建立加密隧道连接到总部中心，进行系统访问和数据上传；针对不同级别生产区域的访问控制通过防火墙的安全策略来实现；出差员工通过VPN客户端安全接入公司业务系统，实现移动办公需要；

网络中的设备需要通过安全管理平台实现集中管理，防火墙要满足集中管理平台的需要，实现日志传输、远程管理等。

通过对某省电力的电力交易系统、数据中心、综合应用的全数据库类型进行综合审计，能够对电力交易过程中的相关业务数据进行监控，对数据中心的核心业务的保护以及实现综合应用中数据库操作的有效监管。采用端口镜像将电力交易系统、数据中心、综合应用系统等各数据库服务器的业务流量分别连接到数据库审计与风险控制系统三个端口，在系统设置相应的审计对象及审计规则。

实现了针对所有帐户对数据库访问与操作的全面监测审计。提供包括对系统管理员的账户在内的所有帐户登录、访问和各种操作，可以审计来自直接进入数据库系统的，也可以审计通过中间件进入数据库系统的，通过关联可以清晰地知道何时、何地、何人进入数据库系统在做什么，是授权的，还是非授权的，访问和操作是否合规或违规。

加强了对数据库临时帐户的审计监测审计。数据库系统的维护人员有时需要在数据库中建立一些临时的账户，用于数据库的日常维护，然而这样的账户如果被非系统维护人员恶意利用，由于使用时间较短，系统管理员很难发现数据资源被窃取或是被恶意修改。该系统具有针对此类安全风险的审计功能，可以把临时帐户对数据库的访问和操作全部记录在案，保证了审计记录的完整性。

加强了针对重要敏感数据的访问的审计监测。数据库系统中的数据具有商业性、技术性、保密性特点，如果这些数据被泄露或篡改，会给电力公司带来各种严重的后果。该系统严密的监测审计功能，可以帮助信息中心的系统管理人员严密地监测和掌控所有对核心业务数据库系统中重要敏感数据的访问和操作，及时发现违规操作和追根查源。

提供了详细的数据库审计记录及分类统计。该系统能够对所有审计信息进行记录、分类统计。根据用户需要，提供内容丰富、详细的审计统计报表，清晰地掌握数据库系统安全运行和合规使用情况。

实现了数据库异常操作监测报警。该系统实现了数据库异常操作监测报警功能。根据事先制定的监测报警策略，对各类操作进行实时监测。当发现违反策略的操作时，立即产生报警信息，警示管理部门尽快查明原因，降低风险系数。

弥补了数据库系统内置日志审计的缺陷。数据库系统内置的日志审计功能单一，日志记录可以被人为修改、删除，该系统是一个完全独立于数据库系统的“黑盒子”，审计记录自保护性强，弥补了数据库内置日志审计的缺陷。

通过部署核心业务系统的数据库安全审计，能够及时发现业务操作过程中存在安全隐患的数据库操作行为，及时通知相关的责任人员，对安全事件的发生可通过远程操作回放等功能实现追溯并定位。通过三层审计实现应用与数据库的有效关联，追踪到最终用户端。因此，我们认为数据库安全审计系统能够实现电力核心业务系统的数据操作监控，有效地规避违规操作的发生。

来源：freebuf.com 2019-12-09 17:06:46 by: 数据库安全专家