行業(yè)需求與挑戰(zhàn)

目前，在某軍工PDM 系統(tǒng)數(shù)據(jù)庫中，存儲了大量產(chǎn)品的核心敏感信息（如產(chǎn)品名稱、型號、 設(shè)計圖紙、關(guān)鍵描述等），以及生產(chǎn)計劃信息。在系統(tǒng)使用和運(yùn)維的過程中，這些機(jī)密信息 已面臨著眾多的來自于外部和內(nèi)部的安全威脅，一旦發(fā)生信息濫用、惡意篡改或泄密事故， 將直接影響 PDM 系統(tǒng)的正常運(yùn)轉(zhuǎn)、危害企業(yè)利益，乃至威脅到國家安全。因此，為確保 PDM 系統(tǒng)的數(shù)據(jù)安全，建立健全軍工企業(yè)數(shù)據(jù)安全防護(hù)體系，保障企業(yè)利益和國家安全已勢在必行。

分析軍工企業(yè) PDM 系統(tǒng)的數(shù)據(jù)應(yīng)用特點以及相關(guān)安全政策的要求，軍工企業(yè)目前主要存 在以下三方面的數(shù)據(jù)保密需要：

1. 分級保護(hù)政策要求加強(qiáng)涉密系統(tǒng)的數(shù)據(jù)安全防護(hù) 為保護(hù)國家秘密的安全，國家保密局于 2007 年發(fā)布并實施的 BMB22 號文件，在數(shù)據(jù)保密方案，分級 保護(hù)從運(yùn)行管理、身份鑒別、訪問控制、安全審計、存儲加密和數(shù)據(jù)庫安全方面進(jìn)行了一系 列的技術(shù)和測評要求，并占據(jù)了較高的比重。
2. 數(shù)據(jù)庫安全成為軍工企業(yè)信息安全建設(shè)“短板”，我國軍工企業(yè)涉密系統(tǒng)在建設(shè)初期就考慮到了安全保障能力的建設(shè)，而真正處于核心層的敏感數(shù)據(jù)載體-數(shù)據(jù)庫的保障能力較低，抗攻 擊能力嚴(yán)重不足，成為數(shù)據(jù)安全保密的“短板”。
3. PDM 核心產(chǎn)品信息要求對內(nèi)高度保密部分軍工企業(yè)的生產(chǎn)用于國家高端武器制造或尖端科技領(lǐng)域，、要求對包括生產(chǎn)、檢驗等內(nèi)部人員高度保密，而設(shè)計圖紙的密級則更不言而喻，這就要求軍工企業(yè)對此類敏感信息必須運(yùn)用密碼技術(shù)進(jìn)行存儲加密保護(hù)。

方案概述

數(shù)據(jù)庫加密防護(hù)的單位一般可是庫級、表級和字段級，在多達(dá)數(shù)百張表、每個表多達(dá)數(shù)十列字段的數(shù)據(jù)庫系統(tǒng)中，往往不是所有的字段都具敏感性，通常只需加密個別表的個別關(guān)鍵字段就可以切斷數(shù)據(jù)間的聯(lián)系、實現(xiàn)關(guān)鍵數(shù)據(jù)保密，同時達(dá)到有效降低性能損失的效果。

DBCoffer系統(tǒng)的一個顯著特點是能夠以列為單位進(jìn)行加密和授權(quán)，本方案以“保護(hù)軍工企業(yè)PDM系統(tǒng)數(shù)據(jù)安全”為目標(biāo)，以“最小代價換取安全提 升”的原則，定義出PDM系統(tǒng)核心敏感數(shù)據(jù)字段，在此基礎(chǔ)上提出基于安華金和數(shù)據(jù)庫保險箱(DBCoffer)產(chǎn)品的數(shù)據(jù)安全保密解決方案：

基于DBCoffer的PDM系統(tǒng)數(shù)據(jù)防護(hù)網(wǎng)絡(luò)部署圖

在本方案中，將PDM系統(tǒng)的產(chǎn)品名稱、型號、設(shè)計圖紙、關(guān)鍵描述等信息，以及生產(chǎn)計劃信息定義為敏感信息；首先通過DBCoffer將上述敏感信息 加密存儲在數(shù)據(jù)庫中；同時通過DBCoffer的密文權(quán)限控制體系，限制DBA等業(yè)務(wù)無關(guān)人員對敏感數(shù)據(jù)的訪問權(quán)限，使其只能維護(hù)數(shù)據(jù)而無法訪問這些敏感 數(shù)據(jù)，遠(yuǎn)離了內(nèi)部泄密風(fēng)險，僅將敏感數(shù)據(jù)的訪問能力開放給PDM系統(tǒng)；然后對這些敏感數(shù)據(jù)的訪問建立審計記錄；、

至此我們形成一套完備的存儲層、傳輸層和應(yīng)用層的全方位的數(shù)據(jù)安全保密解決方案：

A、敏感數(shù)據(jù)加密存儲和傳輸

對系統(tǒng)中核心的敏感信息進(jìn)行存儲加密、，保證備份、存儲設(shè)備、數(shù)據(jù)庫文件丟失或者傳輸?shù)臄?shù)據(jù)文件被捕獲也不會引起敏感數(shù)據(jù)泄漏。

B、敏感數(shù)據(jù)訪問權(quán)限控制與審計

通過獨立于Oracle數(shù)據(jù)庫之外的密文權(quán)限控制體系，使與業(yè)務(wù)本身無關(guān)的DBA等系統(tǒng)維護(hù)人員不能訪問明文的敏感信息，也無從引起內(nèi)部泄密。同時開啟安全審計功能，對敏感信息的訪問進(jìn)行記錄，便于對異常訪問行為進(jìn)行事后追蹤分析。

C、應(yīng)用層防護(hù)增強(qiáng)

將PDM系統(tǒng)的數(shù)據(jù)庫用戶與業(yè)務(wù)系統(tǒng)自身綁定，拒絕使用該用戶繞過PDM系統(tǒng)的任何訪問保護(hù)數(shù)據(jù)行為，從而實現(xiàn)防止合法用戶違規(guī)訪問敏感數(shù)據(jù)的防護(hù)目標(biāo)。

方案價值

• 以列為單位進(jìn)行敏感軍工數(shù)據(jù)加密，加密列的數(shù)據(jù)在Oracle中以密文形式存儲；
• 對用戶常用數(shù)據(jù)類型加密：CHAR，VARCHAR，VARCHAR2，RAW，LOB，NUMBER，DATE；
• 指定加密列的數(shù)據(jù)庫對象，應(yīng)用在訪問時不用變更表名、列名、列類型或顯示調(diào)用解密函數(shù)。

方案優(yōu)勢

• 保護(hù)國家安全，符合分級保護(hù)的安全要求
  DBCoffer系統(tǒng)可以對重要數(shù)據(jù)使用加密措施進(jìn)行存儲和傳輸保護(hù)、對數(shù)據(jù)庫訪問進(jìn)行細(xì)粒度訪問控制、對數(shù)據(jù)庫超級管理員進(jìn)行有效分權(quán)、對數(shù)據(jù)訪問進(jìn)行安全審計等。符合國家保密局涉密信息系統(tǒng)分級保護(hù)要求。
• 保障軍工企業(yè)PDM系統(tǒng)數(shù)據(jù)安全
  DBCoffer通過存儲層、數(shù)據(jù)訪問層以及應(yīng)用層的數(shù)據(jù)防護(hù)實現(xiàn)了遭受攻擊最多、泄密最多的數(shù)據(jù)庫層面的防護(hù)目標(biāo)，有效填補(bǔ)當(dāng)前信息系統(tǒng)的數(shù)據(jù)安全防護(hù)“短板”，從而保障軍工企業(yè)PDM系統(tǒng)數(shù)據(jù)安全。
• 應(yīng)用改造零代價，與其他安全產(chǎn)品有效兼容
  實施DBCoffer進(jìn)行數(shù)據(jù)安全防護(hù)，對于軍工企業(yè)現(xiàn)有的PDM系統(tǒng)完全透明，不需要新增預(yù)算進(jìn)行系統(tǒng)二次改造；同時對電子認(rèn)證、防火墻、IDS等其他安全產(chǎn)品可以有效兼容、互補(bǔ)。
• 部署靈活，有效節(jié)約成本
  對于多臺數(shù)據(jù)庫服務(wù)器或者部署了雙機(jī)、RAC的數(shù)據(jù)庫服務(wù)器，DBCoffer不需要完全重復(fù)部署，每新增一臺數(shù)據(jù)庫服務(wù)器或者節(jié)點只需新部署DBCoffer的代理程序，安全服務(wù)則無需重復(fù)部署，符合“節(jié)約型信息化道路”的路線。