行業需求與挑戰

電力行業根據電網正常運轉的要求，劃分為不同級別的信息系統，按“分區隔離、網絡專用”的要求，分為四個大區，四個大區之間實現隔離。采用這種機制的主要目的是保障系統的可靠性和穩定性，防止低級別的，對系統有攻擊性、危害性的代碼和程序流入更高安全級別的系統。

管理信息大區與互聯網采用單向隔離裝置和數據庫隔離裝置實現內外網隔離；將所有的數據庫布置在內網中，所有需要提供互聯網訪問的Web應用系統放在外網，通過數據庫隔離裝置保障只有數據庫通訊協議能夠通過隔離裝置訪問到內網的數據庫；隔離裝置通過對數據庫協議的解析和控制，實現外部系統對數據庫的攻擊行為的防護。

電力系統的核心生產系統和控制系統基本屬于等保2級系統，EMS系統和SCADA系統達到4級，部分經營管理系統達到3級，其余系統均在2級以上。

現有的電力系統二次安全防護方案很好地隔離了外網、管理信息大區、生產控制大區之間的非法訪問。但在管理信息大區中，積累了大量的電力敏感數據，例如財務數據、營銷數據、人資數據、市場信息、生產管理信息等，這些來自于不同的應用系統的數據集中存儲在數據庫中。內部人員、第三方運維人員、Oracle數據庫系統的DBA、新模塊的程序開發人員對數據庫中的數據都需要頻繁地訪問，諸多的人群和過高的權限造成電力敏感數據集中泄露的風險，經營方面的數據也有被異常篡改的風險。

解決方案概述及要點描述

本方案要點是以等保要求的數據庫安全防護思路：電力中的敏感數據主要存儲在數據庫中，對于數據庫的安全防護措施屬于當前安全體系的薄弱環節，對應等保安全要求的數據庫防護思路如下表：

?

?

數據庫安全整體規劃要點是：對電力行業敏感信息泄露安全威脅的分析，對數據庫安全進行整體設計與規劃，通過全系列數據庫安全產品相互之間分工協作，共同形成整體的防護體系，覆蓋了數據庫安全防護的事前診斷、事中控制和事后分析。

方案價值呈現

• 通過數據庫漏掃定期進行數據庫安全檢查，防患于未然，對數據庫安全風險進行綜合評估，對管理域中數據庫的安全現狀進行全面檢測。安全漏洞 項包括：弱口令、缺省口令、弱安全策略、權限寬泛、敏感數據發現、權限提升漏洞、補丁升級等，評估是否存在安全漏洞并提供修復建議，為系統的安全配置提升 提供有效的參考。
• 電力行業用于互聯網安全防護的邏輯強隔離裝置和數據庫隔離裝置在Oracle數據庫的OCI連接訪問語句識別方面有欠缺，數據庫防火墻- 從訪問源頭來保護數據，監測數據庫的訪問，防止未授權的訪問、SQL Injection、權限或角色的非法提升以及對敏感數據的非法訪問。
• 等保三級以上的核心系統可以通過在數據庫中加密存儲敏感信息防止被解析為明文，通過獨立于數據庫的權控體系和引入安全管理員、審計管理員實現三權分立的安全管理手段，防止DBA、第三方外包人員和程序開發人員越權訪問敏感信息。
• 電力行業很多和業務相關的操作如營銷和計量數據的修改、批量客戶信息和人資及生產數據的查詢，這些操作都需要關聯到具體業務人員進行數據庫操作審計，以便在出現安全事件的時候可以有效的追責定責。

方案優勢

保護國家安全電力行業安全，符合等級保護的安全要求

電力行業目前按照電監會的《電力二次系統安全防護總體方案》落實了對生產控制大區和管理信息大區的邊界防護，通過隔離裝置后部署數據庫防火墻，很好地實現了互聯網和管理信息大區之間的安全隔離。

實現電力行業信息系統數據庫運維側安全

管理信息大區里集中存儲著各應用的大量數據庫信息，同時電力系統處于邊建設且邊使用的階段，第三方程序開發人員、運維人員、擁有DBA權限的用戶具有對這些數據的全部訪問權限，而安全管理員并不清楚他們對數據庫的訪問操作，這樣就對數據庫中敏感數據泄露和篡改帶來風險。

突破傳統產品限制，數據庫安全防護技術領先

本方案基于安華金和的數據庫安全系列產品提出了數據庫全方位防護、主動防御的安全加固方案，采用的數據庫安全技術將突破傳統安全產品的缺陷，實現數據的全面安全防護，從根源上徹底解決了敏感信息的防控問題。