数字X东案例 – 作者:数据库安全专家

一、综述

1、项目背景

数字X东是指大力推进X东全省政务、商务、生产、生活等领域的信息化,促进信息产业、信息技术、信息资源和信息环境全面发展，将X东建成全球重要的信息产业研发制造基地、亚洲重要的电子商务中心、全国网络民生民主先行示范区、创新集聚地，成为面向全世界、服务全国的信息区域中心，目前一二期建设已经初步投入运行。

值得注意的是，在信息化数字平台的建设中，人们往往较重视服务器的可用性和安全性，而忽视了数据安全保护。实际上，数据才是各类应用的中枢所在，灾难发生时，服务器、路由器、存储设备等硬件资源容易快速恢复或重新配置，但是若是数据损坏或丢失，信息系统依然不能正常对外提供服务。同时，随着大数据时代的来临，数据成为最有价值的核心资产。大数据平台系统为各行业、部门的精确化管理与业务优化，提供战略的规划与决策，同时提供了及时、准确、有力的数据支撑。与此同时，各类涉及商业秘密和敏感数据信息在处理、共享和使用过程中也面临被违规越权使用或被用于非法用途等数据信息泄漏的安全风险。因此，数据信息已经成为信息化平台建设中的核心资产，尤其敏感数据信息泄露事件的频繁发生，严重的影响着国家和人民的利益。

2、项目分析

1） 需求分析

在数字X东信息资产上存在大量的政务数据及公民信息，有大量包括姓名、***号、地址、***号、合同号等个人隐私信息。而这些数据，在政务的很多工作场景中都会使用，例如业务分析、开发测试、审计监管，甚至是一些外包业务等，使用的都是真实的业务数据和信息。一旦信息泄露，无论对公司还是管理人员都会造成严重影响。敏感信息保护是紧迫性高、影响程度大的风险管理工作，直接影响到数字X东建设声誉和业务开展。

通过对数据库存在的风险分析，和相关的法规标准要求，中安威士将数据库安全的真实需求概括为三点：

（1） 数据安全风险可视化

【1】了解数据资产的分布。需要自动发现数据库服务器、敏感数据的分布情况，为后续安全加固明确目标；

【2】实时掌握数据库系统的可用性。要求能对数据库运行状态进行实时监控，在状态异常时进行预警，提前防止业务瘫痪，保障业务系统的连续可用性；

【3】实时掌握数据库存在的风险状况。要求能通过扫描的方式，静态的评估企业数据库系统的风险，扫描内容包括：弱口令检测、系统漏洞、配置风险等；

【4】需要进行数据活动监控。实时监控数据活动情况，记录数据访问行为，尤其是对敏感数据的访问行为。要求能实现对数据库的直接访问和通过Web和应用对数据库的间接访问进行全面监控。

【5】对高危风险进行报警。通过策略配置识别网络中的数据库操作语句，是否存在风险，对风险级别进行管理并告警处理。

（2） 数据的可控性

【1】在日常数据库使用中针对合法权限滥用、被盗用等造成的数据泄露、数据损毁、数据被篡改等采取技术手段降低风险；

【2】需要进行数据库攻击检测和保护。由于数据库系统本身可能存在的通讯协议漏洞、数据库平台漏洞等造成系统被SQL注入攻击、缓冲区溢出攻击等来自数据库日常使用边界之外的恶意攻击风造成的数据泄露、损毁风险。

（3）数据合规性

信息系统需要通过各种安全检查和测评。比如等保、分保测评，或者行业法规标准的检查。

二、总体方案

1、方案概述

针对数字X东的数据库安全安全需求，为加强业务系统敏感信息的访问安全审计监控，防止数据库的高危操作，防止SQL攻击。中安威士给出基于数据库审计，数据库防火墙的综合数据安全解决方案，实现“可视”、“可控”、“合规”的需求，如下图，拟对存储敏感信息的数据库进行重点审计，核心数据库进行防火墙高危阻断。确保数据库访问合法合规，重点实现“数据库操作事后追溯取证”、“数据库违规访问行为实时预警”、“核心数据资产的防泄露，防篡改，防攻击”。

该方案概括来讲，就是把数据关进笼子，让数据的访问在阳光下进行，为两个递进层次：

（1）把数据关进笼子

通过数据库防火墙产品，基于自动学习和规则配置，生成细粒度的访问控制规则，阻断异常的查询和访问，防止敏感数据泄漏。阻断异常的和违规的数据修改和删除操作，防止敏感数据被非法篡改。

（2）让数据的访问在阳光下进行

通过数据库审计产品，对数据的分布、性能、访问和活动情况进行全方位的监控和记录，做到哪个用户、在什么时间、访问了哪些数据库中的什么语句，便于事后审计和追查。及时发现数据的异常活动情况和风险，产生报警。输出可视化的报表，便于分析。

2、功能部署结果

通过数据库审计+防火墙的结合部署，能很好的实现可视、可控、合规的需求，能很好解决下图所面临的风险，回归到风险图中可以看到我们的具体解决思路是：

1) 数据库相当于一个黑盒子，我们无法可视化的了解数据库的访问状况，无法对风险进行查看，无法对风险进行报警 ，缺乏详尽的审计

解决方法：通过部署数据库审计系统，详细记录数据库的访问行为，形成可视化的界面日志供查看，同时对数据库进行性能监控和风险扫描，防止数据库的宕机，并且欲知数据库风险，高风险行为进行告警处理，并且形成可视化的报表供查看。

2) 在业务服务器区存在用于无法全部清理的系统漏洞、开发人员留的后门及SQL注入漏洞等，那么客户区，业务办公区，运维区都可能利用这种漏洞对数据库进行攻击

解决方法：通过部署数据库防火墙系统，进行SQL注入、漏洞攻击的防护。具体防护措施为：

（1）启用数据库的SQL注入规则，该规则内置大量注入模板，对匹配到的数据注入攻击进行阻断操作。

（2）漏洞、后门等行为，体现到数据库中，是一些违反常规的操作语句，可以通过手动配置规则+自动学习策略进行规则匹配

3) 业务人员和内部人员可以利用内网进行数据导出也存在很大风险

解决方法：通过数据库审计系统，运维审计功能，内部人员对数据库的exp，imp等行为进行审计。通过部署数据库防火墙系统，根据手动配置规则，对exp，imp 等操作行为进行阻断，实现防范业务人员和内部人员进行数据导出。

4) 运维人员的越权访问，或者权限过高，例如：DBA新建用户时，没有细化权限，导致本应只有查询权限的用户，进行数据删除，或者更新操作，或者DBA利用管理权限进行窃取数据

解决方法：通过数据库防火墙系统，根据手动策略设置实现用户+操作的策略，在DBA权限的基础上，进行二次认证，防止因为DBA权限分配不细等出现的权限过高，权限滥用。

5) 内部人员也有可能对数据库做了误操作的行为，导致生产事故

解决方法：通过数据库防火墙系统，根据手动策略设置实现默认高风险阻断的策略，例如：禁止DROP, TRUNCATE, ALTER等操作，防范恶意删除，或者误操作。

3、功能优势

1）保护核心数据资产，防止内部越权访问

2）防止内部人员泄密、违规备份、权限滥用、误操作等；

3）防止运维人员和第三方人员违规访问敏感数据。

4）保护核心数据资产，防止外部攻击

5）防止外部黑客攻击，窃取数据；

6）防止SQL注入攻击、缓冲区溢出以及权限盗用等。

7）对合法应用和用户透明

8）智能学习，自动生成安全基线，无需手工配置复杂的规则；

9）高稳定性与高性能，支持双机热备，保证业务连续不中断；

10）不需要对当前网络环境、应用配置做审核更改；

11）对授权用户的访问与管理过程无影响。

三、方案价值

通过上述解决方案，有效解决了政务云的数据安全所面临的威胁：

1、使数据活动可视。实时显示政务云的敏感数据的分布情况、访问情况、风险状况，及时发现数据的异常活动状况和风险，实现数据库安全最基本的要求。

2、使数据安全可控。即通过控制对政务云的数据的活动和访问，防止数据库中的敏感信息部分或全部被偷窥、拖库或者镜像，防止数据库中的敏感信息被非法修改或者删除。

3、满足合规要求，快速通过评测。产品实现独立的审计和访问控制，直接输出合规的报表，满足政务云的多个法规和标准的要求。能够帮助政务云的快速通过各种安全保密检查和评测，比如等保评测。

4、具体来说，中安威士数据库安全加固系统带给客户如下价值：

1）简化业务治理，提高数据安全管理能力

由于数据库系统是一个复杂的软件“黑盒子”，其可视化程度很低。数据库管理员很难说清在任意时刻数据被访问的情况。这对业务治理带来了很大的困难。尤其在云环境中，这种不可视化程度更加严重。数据安全解决方案通过多种手段全面监控数据的访问情况，并提供丰富的预设统计报表，以图形化的方式将数据的访问情况和风险情况可视化，极大的简化了业务治理，提高了数据安全管理能力。

2）减少核心数据资产被侵犯，保障业务连续性

数据是最有价值的资产，也是攻击者想偷窥、篡改、甚至删除的终极目标。核心数据被侵犯，轻则导致业务中断，重则导致信息泄密和篡改，严重威胁国家信息安全。应用系统中管理权和所有权的分离也大大提升了数据被侵犯的风险。数据安全解决方案紧密贴合数据，实现数据安全的可视性和可控性，并最终减少核心数据资产被侵犯的可能性，保障正常的业务连续性。

3）完善纵深防御体系，提升整体安全防护能力

建立纵深的防御体系已是信息安全建设的共识。数据库到应用系统这一段，是信息安全的最后一公里，也是最后一道防线，涉及的是最直接的敏感数据安全管理，直接关系到敏感数据的安全。同时，在数据/业务层加强安全防护，也逐步成为信息安全的新方向。公司系统紧贴核心数据，针对信息安全的最后一公里以及数据/业务层提供丰富的防护手段，有利于政务云完善纵深防御体系，提升整体安全防护能力。通过数据库审计+防火墙的结合可以对完美的解决数据库所面临的主要风险。

（1）越权权限的滥用：数据库权限设置违反了“权限最小原则”在很多信息系统中比较普遍。如果这些超出的权限被滥用，则极易发生敏感数据泄漏事件；

（2）合法权限滥用：系统中总是有一部分用户合法的拥有较大甚至是超级管理权限。如果这些权限被滥用，则极易发生严重后果；

（3）权限盗用：由于商用数据库的用户认证方式主要为单一的口令方式，权限盗用容易发生，进而极易导致严重的数据泄漏事件；

（4）数据库平台漏洞：数据库管理系统是个复杂的软件系统，从数据库厂家发布的补丁情况来看，数据库系统无一例外的具有严重的安全漏洞。如缓冲区注入漏洞或者认证、权限管理漏洞。这些漏洞极易被攻击者利用以窃取数据；

（5）SQL注入、缓冲区溢出风险：数据库本身不具备SQL注入攻击检测能力。通过Web/APP插入恶意语句，或者利用连接工具发动缓冲区溢出攻击，攻击者便有机会获得整个数据库的访问权限；

（6）弱鉴权机制：商业数据库系统提供的基本的管理机制，主要是自主访问控制（DAC）和基于角色的访问控制（RBAC）。并没有采用强制访问控制的方式（MAC），基于用户和数据的敏感级别来进行权限的鉴别。这容易使得低密级用户访问到高密级的数据；

（7）缺乏详尽审计：审计是每个数据库管理系统标配的安全特性，用于记录对数据的访问情况，从而形成对非法访问的威慑。而数据库自身的审计功能在可视化、智能化、入侵检测能力等方面能力较弱，通常无法满足实际的安全需求。

4）满足合规要求，快速通过评测

实现独立的审计和访问控制，直接输出合规的报表，满足多个行业多个法规和标准的要求，能够帮助企业快速通过各种安全保密检查和评测。

综上所述，中安威士数据保护产品，对政务云数据提供了全方位，全天候的保护，为政务云带来崭新的数据保护体验。

来源：freebuf.com 2019-11-28 17:17:02 by: 数据库安全专家