欧美精品一区二区,体育生GAY白袜调教VIDEO,私人影院播放器,色偷偷AV老熟女色欲涩爱

一.  人社行業(yè)數(shù)據(jù)庫(kù)安全現(xiàn)狀

隨著人力資源和社會(huì)保障信息化建設(shè)的推進(jìn)，隨之而來(lái)的安全威脅日益增多。近年來(lái)，社保系統(tǒng)成為個(gè)人信息泄露的重災(zāi)區(qū)。據(jù)媒體報(bào)道，僅從14年4月到15年4月，涉及國(guó)內(nèi)19個(gè)省份的社保系統(tǒng)存在高危漏洞，共計(jì)5200萬(wàn)人的個(gè)人信息可能泄露。

二.  人社行業(yè)數(shù)據(jù)庫(kù)安全面臨的威脅

在人社行業(yè)，較為典型的網(wǎng)絡(luò)環(huán)境，可分為公務(wù)員網(wǎng)、辦公網(wǎng)、業(yè)務(wù)專網(wǎng)、公共服務(wù)網(wǎng)四張業(yè)務(wù)網(wǎng)絡(luò)。本報(bào)告主要針對(duì)業(yè)務(wù)專網(wǎng)和公共服務(wù)網(wǎng)。

2.1  業(yè)務(wù)專網(wǎng)的安全威脅分析

1）數(shù)據(jù)庫(kù)運(yùn)維風(fēng)險(xiǎn)

通常，人力資源和社會(huì)保障單位的數(shù)據(jù)庫(kù)維護(hù)都委托第三方單位。因此，管理手段不完善，賬號(hào)共享、主機(jī)共享的現(xiàn)象普遍存在，這也造成了更加難以管理運(yùn)維人員的行為，如：日常運(yùn)維操作，存在操作身份不明確、操作過(guò)程不透明、操作行為不可控、操作事故不可回溯等安全風(fēng)險(xiǎn)。一旦事故發(fā)生，其后果的嚴(yán)重性將不可預(yù)估。

2）敏感信息泄露風(fēng)險(xiǎn)

機(jī)關(guān)保、社?？?、就業(yè)、人事人才、居民社保和基礎(chǔ)信息庫(kù)等系統(tǒng)中存在大量的敏感信息，DBA和第三方人員等任何人只要具備數(shù)據(jù)庫(kù)訪問(wèn)權(quán)限都能直接接觸到明文存儲(chǔ)的敏感信息，從而引發(fā)敏感信息泄密等風(fēng)險(xiǎn)。

3）數(shù)據(jù)共享使用風(fēng)險(xiǎn)

業(yè)務(wù)專網(wǎng)數(shù)據(jù)庫(kù)系統(tǒng)中積累了大量的敏感信息和數(shù)據(jù)，而這些敏感的生產(chǎn)數(shù)據(jù)在人社的很多工作場(chǎng)景中都會(huì)使用。例如，新業(yè)務(wù)系統(tǒng)開發(fā)、業(yè)務(wù)系統(tǒng)測(cè)試、業(yè)務(wù)培訓(xùn)數(shù)據(jù)使用以及第三方數(shù)據(jù)使用與共享等等，都會(huì)使用到真實(shí)的業(yè)務(wù)數(shù)據(jù)和信息，所以存在真實(shí)信息泄密等風(fēng)險(xiǎn)。

4）安全事件無(wú)法溯源

在人社行業(yè)，核心系統(tǒng)的信息安全建設(shè)需要滿足等級(jí)保護(hù)三級(jí)要求。在等保三級(jí)中明確要求實(shí)現(xiàn)數(shù)據(jù)庫(kù)訪問(wèn)行為安全審計(jì)，否則安全事件無(wú)法做到追根溯源。

2.2  公共服務(wù)網(wǎng)的安全威脅分析

面對(duì)社會(huì)公眾提供的公共服務(wù)主要涉及就業(yè)、社會(huì)保險(xiǎn)、人事人才、勞動(dòng)關(guān)系和勞動(dòng)行政等幾個(gè)方面。公共服務(wù)系統(tǒng)需要將傳統(tǒng)的內(nèi)網(wǎng)數(shù)據(jù)遷移到政府提供的云服務(wù)平臺(tái)，面向公眾提供便民服務(wù)。與此同時(shí)，數(shù)據(jù)由安全的內(nèi)網(wǎng)區(qū)域，向外網(wǎng)區(qū)域遷移的過(guò)程中，安全風(fēng)險(xiǎn)增加。

1）互聯(lián)網(wǎng)滲透威脅

黑客可以通過(guò)互聯(lián)網(wǎng)，向人社的公共服務(wù)系統(tǒng)數(shù)據(jù)庫(kù)發(fā)起攻擊，利用SQL注入技術(shù)執(zhí)行惡意的SQL命令，非法入侵某人社數(shù)據(jù)庫(kù)系統(tǒng)，對(duì)系統(tǒng)數(shù)據(jù)惡意拷貝或者刪除，進(jìn)行有目的的敏感信息破壞行為。

2）利用漏洞進(jìn)行攻擊

盡管，人社系統(tǒng)已經(jīng)針對(duì)主機(jī)、軟件做了一些防范措施，但真正承載敏感數(shù)據(jù)的核心層——數(shù)據(jù)庫(kù)的保障能力偏低，仍然存在可被外部黑客利用的數(shù)據(jù)庫(kù)漏洞，一旦這些數(shù)據(jù)庫(kù)漏洞被利用，將極可能發(fā)生信息泄露，直接威脅到社保信息的安全。

3）缺乏底線防守

傳統(tǒng)防護(hù)手段缺乏底線防守機(jī)制，黑客一旦通過(guò)互聯(lián)網(wǎng)入侵?jǐn)?shù)據(jù)庫(kù)，就可以竊取到明文存儲(chǔ)的數(shù)據(jù)，經(jīng)過(guò)解析或異地恢復(fù)后便可獲得所有數(shù)據(jù)。

4）數(shù)據(jù)運(yùn)維風(fēng)險(xiǎn)

存在高危操作

隨意操作數(shù)據(jù)庫(kù)對(duì)象：現(xiàn)有的紙質(zhì)審批流程和監(jiān)管手段僅能實(shí)現(xiàn)事前審批和事后審計(jì)，無(wú)法在事中進(jìn)行精準(zhǔn)管控；

惡意操作行為：直接訪問(wèn)數(shù)據(jù)庫(kù)進(jìn)行惡意操作；

誤操作、高危操作：依賴于人的精準(zhǔn)操作，一旦出現(xiàn)失誤，導(dǎo)致出現(xiàn)數(shù)據(jù)安全威脅；

數(shù)據(jù)庫(kù)口令暴露

任意客戶端登錄；

無(wú)統(tǒng)一的訪問(wèn)出入口；

運(yùn)維、開發(fā)人員知曉數(shù)據(jù)庫(kù)口令；

三.  人社行業(yè)數(shù)據(jù)庫(kù)安全解決方案

3.1  業(yè)務(wù)專網(wǎng)

3.1.1  數(shù)據(jù)庫(kù)運(yùn)維安全

數(shù)據(jù)庫(kù)運(yùn)維遵循“一事一工單”原則，修改數(shù)據(jù)等運(yùn)維操作，需要提交運(yùn)維申請(qǐng)至數(shù)據(jù)庫(kù)安全運(yùn)維系統(tǒng)，申請(qǐng)內(nèi)容含本次修改所包含的數(shù)據(jù)庫(kù)、數(shù)據(jù)表、SQL語(yǔ)句、修改時(shí)間等。待審批人審核通過(guò)后運(yùn)維人方可進(jìn)入數(shù)據(jù)庫(kù)執(zhí)行該SQL語(yǔ)句，在執(zhí)行語(yǔ)句的過(guò)程中，系統(tǒng)實(shí)時(shí)檢測(cè)，如果運(yùn)維人執(zhí)行的SQL超過(guò)工單申請(qǐng)范圍之外，立即阻斷告警。

3.1.2  數(shù)據(jù)存儲(chǔ)安全

采用專門數(shù)據(jù)庫(kù)加密技術(shù)，對(duì)其重要核心數(shù)據(jù)庫(kù)進(jìn)行加密。

1）敏感數(shù)據(jù)加密：對(duì)人社的敏感信息以列為單位進(jìn)行加密，加密后的數(shù)據(jù)可以在存儲(chǔ)層以密文形態(tài)存在。

2）密文訪問(wèn)控制：數(shù)據(jù)庫(kù)加密的獨(dú)立的訪問(wèn)控制體系，可以保證數(shù)據(jù)庫(kù)管理員、第三方運(yùn)維人員等非授權(quán)用戶即使擁有數(shù)據(jù)庫(kù)賬號(hào)也無(wú)法訪問(wèn)密文數(shù)據(jù)。

3.1.3  數(shù)據(jù)共享安全

采用專門的脫敏算法對(duì)敏感數(shù)據(jù)進(jìn)行變形、屏蔽、替換、隨機(jī)化、加密，將敏感數(shù)據(jù)轉(zhuǎn)化為虛構(gòu)數(shù)據(jù)，隱藏真正的隱私信息，為數(shù)據(jù)的安全使用提供基礎(chǔ)保障。

3.1.4  數(shù)據(jù)安全稽核

對(duì)數(shù)據(jù)庫(kù)的使用情況進(jìn)行審計(jì)分析，并根據(jù)結(jié)果形成安全基線報(bào)告。定期稽核是保障數(shù)據(jù)安全治理規(guī)范性的關(guān)鍵，在滿足合規(guī)性要求的情況下對(duì)數(shù)據(jù)庫(kù)訪問(wèn)行為進(jìn)行全審計(jì)，以提高數(shù)據(jù)庫(kù)監(jiān)管能力，同時(shí)通過(guò)實(shí)時(shí)風(fēng)險(xiǎn)告警系統(tǒng)來(lái)加快響應(yīng)速度，通過(guò)精準(zhǔn)的關(guān)聯(lián)審計(jì)解決追責(zé)難題。

3.2  公共服務(wù)網(wǎng)

3.2.1  業(yè)務(wù)數(shù)據(jù)安全

1）SQL注入防護(hù)

通過(guò)專業(yè)的數(shù)據(jù)庫(kù)防火墻自身提供的缺省SQL注入特征庫(kù)以及對(duì)SQL語(yǔ)句進(jìn)行注入特征描述，完成對(duì)SQL注入行為的檢測(cè)和阻斷。

2）虛擬補(bǔ)丁技術(shù)

CVE上公布了2000多個(gè)數(shù)據(jù)庫(kù)安全漏洞，這些漏洞給入侵者敞開了大門。數(shù)據(jù)庫(kù)廠商會(huì)定期推出數(shù)據(jù)庫(kù)漏洞補(bǔ)丁，由于數(shù)據(jù)庫(kù)打補(bǔ)丁工作的復(fù)雜性和對(duì)應(yīng)用穩(wěn)定性的考慮，大多數(shù)企業(yè)無(wú)法及時(shí)更新補(bǔ)丁。

專業(yè)的數(shù)據(jù)庫(kù)防火墻提供了虛擬補(bǔ)丁功能，在數(shù)據(jù)庫(kù)外的網(wǎng)絡(luò)層創(chuàng)建了一個(gè)安全層，用戶在無(wú)需補(bǔ)丁情況下，完成對(duì)數(shù)據(jù)庫(kù)漏洞的防護(hù)。

3.2.2  數(shù)據(jù)存儲(chǔ)安全

1）敏感信息密文存儲(chǔ)

對(duì)人社公共服務(wù)平臺(tái)數(shù)據(jù)庫(kù)可以以列為單位進(jìn)行數(shù)據(jù)加密，加密后的數(shù)據(jù)在存儲(chǔ)層以密文形態(tài)存在，保證他人即使拿到數(shù)據(jù)文件，也“看不懂”。

2）密文訪問(wèn)控制

數(shù)據(jù)庫(kù)加密技術(shù)的密文訪問(wèn)控制體系，可以保證即使數(shù)據(jù)庫(kù)自身的權(quán)限被突破，非授權(quán)用戶仍然無(wú)法訪問(wèn)密文數(shù)據(jù)。

加密截圖

四.  用戶證言

“為了確保數(shù)據(jù)的安全，我們將一些特殊敏感人群的身份信息、參保信息等做了底層數(shù)據(jù)加密，即便被竊取也無(wú)法打開，也沒有販賣的價(jià)值，安華金和數(shù)據(jù)庫(kù)加密系統(tǒng)為我們的核心數(shù)據(jù)提供了一個(gè)保險(xiǎn)箱！”

--某省社保局信息處處長(zhǎng)

“公積金行業(yè)信息化建設(shè)起步晚，基礎(chǔ)差。但是公積金管理系統(tǒng)里記錄存儲(chǔ)了全市十幾萬(wàn)公積金繳納人的個(gè)人信息，為了公積金貸款審核的需要，這些信息記錄既全面又詳盡，很具有商業(yè)價(jià)值。有了安華金和數(shù)據(jù)庫(kù)脫敏系統(tǒng)，不用再熬夜制造“假數(shù)據(jù)”，個(gè)把小時(shí)就能把生產(chǎn)庫(kù)的數(shù)據(jù)脫敏成為仿真實(shí)數(shù)據(jù)，不僅不會(huì)泄露公積金用戶的個(gè)人信息，而且數(shù)據(jù)更加“真實(shí)”，直接可以拿去跑系統(tǒng)，大大提高了工作效率?！?/p>

--某地市公積金管理中心信息科科長(zhǎng)

 “人社的信息系統(tǒng)越來(lái)越多，支撐系統(tǒng)的數(shù)據(jù)庫(kù)也隨之增加。為了提高核心數(shù)據(jù)庫(kù)的安全性，我們采購(gòu)了安華金和的數(shù)據(jù)庫(kù)防火墻、數(shù)據(jù)庫(kù)脫敏、數(shù)據(jù)庫(kù)審計(jì)等產(chǎn)品，形成了一個(gè)對(duì)醫(yī)保、養(yǎng)老生產(chǎn)數(shù)據(jù)庫(kù)的基本防護(hù)解決方案，增加了數(shù)據(jù)庫(kù)訪問(wèn)者身份的識(shí)別、權(quán)限的管控、SQL語(yǔ)言的解析等防護(hù)手段，并解決了兄弟單位常來(lái)取數(shù)據(jù)的煩惱。即滿足數(shù)據(jù)的分享要求，又不泄露敏感信息。數(shù)據(jù)庫(kù)的審計(jì)系統(tǒng)則記錄了所有數(shù)據(jù)庫(kù)操作的記錄，比照防火墻的阻斷和告警記錄，隨時(shí)可以找出問(wèn)題所在，還能據(jù)此順利揪出內(nèi)鬼和黑客?！?/p>

--某地市人社局信息中心主任