電子政務(wù)外網(wǎng)數(shù)據(jù)庫(kù)安全解決方案

行業(yè)需求與挑戰(zhàn)

中國(guó)軟件測(cè)評(píng)中心(中國(guó)國(guó)家工業(yè)和信息化部下屬單位)2014年12月3日發(fā)布《2014年中國(guó)政府網(wǎng)站績(jī)效評(píng)估總報(bào)告》顯示，今年評(píng)估的900余家政府網(wǎng)站當(dāng)中，超過(guò)93%的網(wǎng)站存在著本級(jí)的安全漏洞，其中97%的區(qū)縣網(wǎng)站被監(jiān)測(cè)到有安全隱患，接受評(píng)估的網(wǎng)站包括部委網(wǎng)站、省級(jí)政府網(wǎng)站、副省級(jí)政府網(wǎng)站、地市政府網(wǎng)站及區(qū)縣政府網(wǎng)站。這個(gè)也給政府的形象帶來(lái)了很不利的影響，甚至給政府工作的正常運(yùn)行帶來(lái)了嚴(yán)重的威脅。

由于人們對(duì)互聯(lián)網(wǎng)的依賴性日益增強(qiáng)，互聯(lián)網(wǎng)數(shù)據(jù)資產(chǎn)所蘊(yùn)含的經(jīng)濟(jì)價(jià)值更加巨大。以CSDN 600萬(wàn)用戶信息泄露開(kāi)始，中國(guó)互聯(lián)網(wǎng)接連爆發(fā)的信息泄露為“互聯(lián)網(wǎng)之殤”再添一筆。近年來(lái)，因?yàn)榛ヂ?lián)網(wǎng)技術(shù)漏洞導(dǎo)致用戶信息泄露的事件時(shí)有發(fā)生，2014年5月小米論壇疑似被“拖庫(kù)”，該漏洞影響約有800萬(wàn)左右小米論壇用戶，2014年3月，攜程網(wǎng)也曾連續(xù)爆發(fā)安全漏洞，導(dǎo)致部分?jǐn)y程用戶的銀行卡信息被泄露并被利用，未來(lái)針對(duì)隱私信息的破解和攻擊會(huì)愈演愈烈。如何確保信息安全，加強(qiáng)信息保障工作，將是政務(wù)外網(wǎng)建設(shè)關(guān)注的重中之重。

真正有效的解決網(wǎng)絡(luò)信息的安全問(wèn)題，首先就需要分析批量個(gè)人隱私信息數(shù)據(jù)泄密、篡改途徑，包括來(lái)自于外部攻擊者，第三方運(yùn)維人員、開(kāi)發(fā)人員等內(nèi)部人員的各種可能性。從系統(tǒng)安全體系的角度來(lái)分析，然后找出可行的技術(shù)手段，才能真正從全方位保證網(wǎng)絡(luò)信息安全。核心數(shù)據(jù)安全是針對(duì)核心敏感數(shù)據(jù)的保護(hù)，處于整個(gè)安全體系的核心位置！

經(jīng)過(guò)對(duì)諸多網(wǎng)絡(luò)信息安全事件的分析，發(fā)現(xiàn)信息泄密及篡改的最大威脅來(lái)自于外部黑客、內(nèi)部運(yùn)維人員及數(shù)據(jù)庫(kù)管理員DBA、以及第三方服務(wù)外包人員。

方案概述

四大國(guó)家基礎(chǔ)數(shù)據(jù)庫(kù)主要包括自然人基礎(chǔ)數(shù)據(jù)庫(kù)、法人基礎(chǔ)數(shù)據(jù)庫(kù)、自然資源與空間地理數(shù)據(jù)庫(kù)、宏觀經(jīng)濟(jì)數(shù)據(jù)庫(kù)。四大基礎(chǔ)數(shù)據(jù)庫(kù)作為中心數(shù)據(jù)庫(kù)，是我國(guó)經(jīng)濟(jì)社會(huì)發(fā)展中各部門應(yīng)用系統(tǒng)的重要基礎(chǔ)，隨著互聯(lián)網(wǎng)的迅速發(fā)展，部分?jǐn)?shù)據(jù)是通過(guò)外網(wǎng)提供服務(wù)，這里就需要數(shù)據(jù)安全防護(hù)。

以自然人基礎(chǔ)數(shù)據(jù)庫(kù)為例，按金盾工程建設(shè)的公安信息網(wǎng)為社保、行政、銀行等部門提供人員身份信息，以前是單向提供數(shù)據(jù)，現(xiàn)在隨著信息化的發(fā)展面臨雙向數(shù)據(jù)交換，同時(shí)也需要通過(guò)互聯(lián)網(wǎng)提供查詢服務(wù)，就需要能夠?qū)诵臄?shù)據(jù)區(qū)進(jìn)行安全監(jiān)控，對(duì)大批量數(shù)據(jù)泄露，數(shù)據(jù)篡改行為進(jìn)行審計(jì)與防護(hù)。

通過(guò)數(shù)據(jù)庫(kù)防火墻建立網(wǎng)絡(luò)上的外部黑客數(shù)據(jù)庫(kù)攻擊防御體系，阻止對(duì)數(shù)據(jù)庫(kù)的攻擊，防止公民隱私信息的批量下載，防止各部門業(yè)務(wù)系統(tǒng)在使用人口基本信息過(guò)程中產(chǎn)生的、與其他部門共享的人口信息被篡改，實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)訪問(wèn)行為的高效審計(jì)，防止誤操作對(duì)數(shù)據(jù)信息的批量破壞。

通過(guò)數(shù)據(jù)庫(kù)加密實(shí)現(xiàn)從根本上對(duì)人口庫(kù)敏感數(shù)據(jù)的加密保存。包括對(duì)敏感數(shù)據(jù)在數(shù)據(jù)庫(kù)文件和備份中的存儲(chǔ)加密，防止“拖庫(kù)”的情況發(fā)生，同時(shí)對(duì)于內(nèi)部數(shù)據(jù)庫(kù)運(yùn)維人員做到敏感數(shù)據(jù)訪問(wèn)的受控。

數(shù)據(jù)庫(kù)防火墻能夠?qū)α魅氲腟QL語(yǔ)句進(jìn)行自動(dòng)分類，自動(dòng)記錄和分析SQL語(yǔ)句并快速制定安全策略，可以根據(jù)IP地址、數(shù)據(jù)庫(kù)用戶、操作系統(tǒng)用戶、應(yīng)用程序、時(shí)間等屬性執(zhí)行不同策略，對(duì)數(shù)據(jù)庫(kù)服務(wù)器的操作進(jìn)行記錄、警報(bào)，包括讀，寫，查詢，修改等內(nèi)容進(jìn)行實(shí)時(shí)的監(jiān)控。

方案部署圖

方案價(jià)值

通過(guò)對(duì)數(shù)據(jù)庫(kù)進(jìn)行整體安全防護(hù)，電子政務(wù)外網(wǎng)可從以下幾點(diǎn)收益：

敏感數(shù)據(jù)修改記入審計(jì)記錄

對(duì)敏感信息的修改需要在進(jìn)行數(shù)據(jù)庫(kù)操作的時(shí)候全部記入審計(jì)記錄，同時(shí)要確保數(shù)據(jù)庫(kù)審計(jì)設(shè)備不可繞過(guò)，審計(jì)數(shù)據(jù)不會(huì)被篡改。

軟件開(kāi)發(fā)商和信息維護(hù)人員權(quán)責(zé)分明

通過(guò)獨(dú)立的權(quán)限控制能力，以及基于IP和時(shí)間的精細(xì)控制，嚴(yán)格保證合法的用戶才能訪問(wèn)敏感信息，通過(guò)敏感數(shù)據(jù)詳細(xì)變更審計(jì)能力，準(zhǔn)確追蹤敏感信息的訪問(wèn)行為。在出現(xiàn)問(wèn)題的時(shí)候，可以能分清是哪方出的問(wèn)題。

外網(wǎng)數(shù)據(jù)防黑客入侵和批量導(dǎo)出

面對(duì)來(lái)自于外部黑客的入侵行為，提供防SQL注入和數(shù)據(jù)庫(kù)虛擬補(bǔ)丁包功能；通過(guò)虛擬補(bǔ)丁包，數(shù)據(jù)庫(kù)系統(tǒng)不用升級(jí)、打補(bǔ)丁，即可完成對(duì)主要數(shù)據(jù)庫(kù)漏洞的防控。

及時(shí)阻止數(shù)據(jù)庫(kù)運(yùn)維側(cè)的誤操作和惡意操作

通過(guò)SQL協(xié)議分析，根據(jù)預(yù)定的白名單、黑名單策略決定讓合法的SQL操作通過(guò)執(zhí)行，讓可疑的非法違規(guī)操作禁止。實(shí)現(xiàn)主動(dòng)防御機(jī)制、數(shù)據(jù)庫(kù)的訪問(wèn)行為權(quán)限控制、惡意及危險(xiǎn)操作阻斷式防范。

? 事前主動(dòng)防護(hù)：明確識(shí)別住房公積金管理中心哪些數(shù)據(jù)屬于敏感信息。以這些敏感數(shù)據(jù)為防護(hù)要點(diǎn)，在信息安全方面建立有縱深的防護(hù)體系。

事中控制：嚴(yán)格細(xì)化敏感數(shù)據(jù)的訪問(wèn)控制，主動(dòng)預(yù)防批量泄露、惡意篡改。

事后分析：全面審計(jì)、及時(shí)對(duì)惡意攻擊、非法訪問(wèn)、惡意操作進(jìn)行告警，實(shí)現(xiàn)事后追溯，有效地追責(zé)定責(zé)。

運(yùn)維人員的防控：使用專業(yè)的數(shù)據(jù)庫(kù)防火墻系統(tǒng)，對(duì)DBA、第三方運(yùn)維實(shí)施人員等，實(shí)施訪問(wèn)敏感信息的精細(xì)控制，包括表、字段、訪問(wèn)的數(shù)據(jù)量范圍(行數(shù))等。

同時(shí)避免敏感信息被惡意篡改，或誤操導(dǎo)致被批量修改或刪除。同時(shí)將敏感數(shù)據(jù)的訪問(wèn)控制細(xì)化到IP地址和時(shí)間范圍。

使用專業(yè)的數(shù)據(jù)庫(kù)防火墻等技術(shù)手段，防止外部入侵攻擊者利用數(shù)據(jù)庫(kù)漏洞，間接批量竊取外網(wǎng)數(shù)據(jù)。