電子政務外網數據庫安全解決方案

行業需求與挑戰

中國軟件測評中心(中國國家工業和信息化部下屬單位)2014年12月3日發布《2014年中國政府網站績效評估總報告》顯示，今年評估的900余家政府網站當中，超過93%的網站存在著本級的安全漏洞，其中97%的區縣網站被監測到有安全隱患，接受評估的網站包括部委網站、省級政府網站、副省級政府網站、地市政府網站及區縣政府網站。這個也給政府的形象帶來了很不利的影響，甚至給政府工作的正常運行帶來了嚴重的威脅。

由于人們對互聯網的依賴性日益增強，互聯網數據資產所蘊含的經濟價值更加巨大。以CSDN 600萬用戶信息泄露開始，中國互聯網接連爆發的信息泄露為“互聯網之殤”再添一筆。近年來，因為互聯網技術漏洞導致用戶信息泄露的事件時有發生，2014年5月小米論壇疑似被“拖庫”，該漏洞影響約有800萬左右小米論壇用戶，2014年3月，攜程網也曾連續爆發安全漏洞，導致部分攜程用戶的銀行卡信息被泄露并被利用，未來針對隱私信息的破解和攻擊會愈演愈烈。如何確保信息安全，加強信息保障工作，將是政務外網建設關注的重中之重。

真正有效的解決網絡信息的安全問題，首先就需要分析批量個人隱私信息數據泄密、篡改途徑，包括來自于外部攻擊者，第三方運維人員、開發人員等內部人員的各種可能性。從系統安全體系的角度來分析，然后找出可行的技術手段，才能真正從全方位保證網絡信息安全。核心數據安全是針對核心敏感數據的保護，處于整個安全體系的核心位置！

經過對諸多網絡信息安全事件的分析，發現信息泄密及篡改的最大威脅來自于外部黑客、內部運維人員及數據庫管理員DBA、以及第三方服務外包人員。

方案概述

四大國家基礎數據庫主要包括自然人基礎數據庫、法人基礎數據庫、自然資源與空間地理數據庫、宏觀經濟數據庫。四大基礎數據庫作為中心數據庫，是我國經濟社會發展中各部門應用系統的重要基礎，隨著互聯網的迅速發展，部分數據是通過外網提供服務，這里就需要數據安全防護。

以自然人基礎數據庫為例，按金盾工程建設的公安信息網為社保、行政、銀行等部門提供人員身份信息，以前是單向提供數據，現在隨著信息化的發展面臨雙向數據交換，同時也需要通過互聯網提供查詢服務，就需要能夠對核心數據區進行安全監控，對大批量數據泄露，數據篡改行為進行審計與防護。

通過數據庫防火墻建立網絡上的外部黑客數據庫攻擊防御體系，阻止對數據庫的攻擊，防止公民隱私信息的批量下載，防止各部門業務系統在使用人口基本信息過程中產生的、與其他部門共享的人口信息被篡改，實現對數據庫訪問行為的高效審計，防止誤操作對數據信息的批量破壞。

通過數據庫加密實現從根本上對人口庫敏感數據的加密保存。包括對敏感數據在數據庫文件和備份中的存儲加密，防止“拖庫”的情況發生，同時對于內部數據庫運維人員做到敏感數據訪問的受控。

數據庫防火墻能夠對流入的SQL語句進行自動分類，自動記錄和分析SQL語句并快速制定安全策略，可以根據IP地址、數據庫用戶、操作系統用戶、應用程序、時間等屬性執行不同策略，對數據庫服務器的操作進行記錄、警報，包括讀，寫，查詢，修改等內容進行實時的監控。

方案部署圖

方案價值

通過對數據庫進行整體安全防護，電子政務外網可從以下幾點收益：

敏感數據修改記入審計記錄

對敏感信息的修改需要在進行數據庫操作的時候全部記入審計記錄，同時要確保數據庫審計設備不可繞過，審計數據不會被篡改。

軟件開發商和信息維護人員權責分明

通過獨立的權限控制能力，以及基于IP和時間的精細控制，嚴格保證合法的用戶才能訪問敏感信息，通過敏感數據詳細變更審計能力，準確追蹤敏感信息的訪問行為。在出現問題的時候，可以能分清是哪方出的問題。

外網數據防黑客入侵和批量導出

面對來自于外部黑客的入侵行為，提供防SQL注入和數據庫虛擬補丁包功能；通過虛擬補丁包，數據庫系統不用升級、打補丁，即可完成對主要數據庫漏洞的防控。

及時阻止數據庫運維側的誤操作和惡意操作

通過SQL協議分析，根據預定的白名單、黑名單策略決定讓合法的SQL操作通過執行，讓可疑的非法違規操作禁止。實現主動防御機制、數據庫的訪問行為權限控制、惡意及危險操作阻斷式防范。

? 事前主動防護：明確識別住房公積金管理中心哪些數據屬于敏感信息。以這些敏感數據為防護要點，在信息安全方面建立有縱深的防護體系。

事中控制：嚴格細化敏感數據的訪問控制，主動預防批量泄露、惡意篡改。

事后分析：全面審計、及時對惡意攻擊、非法訪問、惡意操作進行告警，實現事后追溯，有效地追責定責。

運維人員的防控：使用專業的數據庫防火墻系統，對DBA、第三方運維實施人員等，實施訪問敏感信息的精細控制，包括表、字段、訪問的數據量范圍(行數)等。

同時避免敏感信息被惡意篡改，或誤操導致被批量修改或刪除。同時將敏感數據的訪問控制細化到IP地址和時間范圍。

使用專業的數據庫防火墻等技術手段，防止外部入侵攻擊者利用數據庫漏洞，間接批量竊取外網數據。