電子政務(wù)外網(wǎng)數(shù)據(jù)庫安全解決方案

行業(yè)需求與挑戰(zhàn)

中國軟件測評中心(中國國家工業(yè)和信息化部下屬單位)2014年12月3日發(fā)布《2014年中國政府網(wǎng)站績效評估總報告》顯示，今年評估的900余家政府網(wǎng)站當(dāng)中，超過93%的網(wǎng)站存在著本級的安全漏洞，其中97%的區(qū)縣網(wǎng)站被監(jiān)測到有安全隱患，接受評估的網(wǎng)站包括部委網(wǎng)站、省級政府網(wǎng)站、副省級政府網(wǎng)站、地市政府網(wǎng)站及區(qū)縣政府網(wǎng)站。這個也給政府的形象帶來了很不利的影響，甚至給政府工作的正常運行帶來了嚴(yán)重的威脅。

由于人們對互聯(lián)網(wǎng)的依賴性日益增強，互聯(lián)網(wǎng)數(shù)據(jù)資產(chǎn)所蘊含的經(jīng)濟價值更加巨大。以CSDN 600萬用戶信息泄露開始，中國互聯(lián)網(wǎng)接連爆發(fā)的信息泄露為“互聯(lián)網(wǎng)之殤”再添一筆。近年來，因為互聯(lián)網(wǎng)技術(shù)漏洞導(dǎo)致用戶信息泄露的事件時有發(fā)生，2014年5月小米論壇疑似被“拖庫”，該漏洞影響約有800萬左右小米論壇用戶，2014年3月，攜程網(wǎng)也曾連續(xù)爆發(fā)安全漏洞，導(dǎo)致部分?jǐn)y程用戶的銀行卡信息被泄露并被利用，未來針對隱私信息的破解和攻擊會愈演愈烈。如何確保信息安全，加強信息保障工作，將是政務(wù)外網(wǎng)建設(shè)關(guān)注的重中之重。

真正有效的解決網(wǎng)絡(luò)信息的安全問題，首先就需要分析批量個人隱私信息數(shù)據(jù)泄密、篡改途徑，包括來自于外部攻擊者，第三方運維人員、開發(fā)人員等內(nèi)部人員的各種可能性。從系統(tǒng)安全體系的角度來分析，然后找出可行的技術(shù)手段，才能真正從全方位保證網(wǎng)絡(luò)信息安全。核心數(shù)據(jù)安全是針對核心敏感數(shù)據(jù)的保護，處于整個安全體系的核心位置！

經(jīng)過對諸多網(wǎng)絡(luò)信息安全事件的分析，發(fā)現(xiàn)信息泄密及篡改的最大威脅來自于外部黑客、內(nèi)部運維人員及數(shù)據(jù)庫管理員DBA、以及第三方服務(wù)外包人員。

方案概述

四大國家基礎(chǔ)數(shù)據(jù)庫主要包括自然人基礎(chǔ)數(shù)據(jù)庫、法人基礎(chǔ)數(shù)據(jù)庫、自然資源與空間地理數(shù)據(jù)庫、宏觀經(jīng)濟數(shù)據(jù)庫。四大基礎(chǔ)數(shù)據(jù)庫作為中心數(shù)據(jù)庫，是我國經(jīng)濟社會發(fā)展中各部門應(yīng)用系統(tǒng)的重要基礎(chǔ)，隨著互聯(lián)網(wǎng)的迅速發(fā)展，部分?jǐn)?shù)據(jù)是通過外網(wǎng)提供服務(wù)，這里就需要數(shù)據(jù)安全防護。

以自然人基礎(chǔ)數(shù)據(jù)庫為例，按金盾工程建設(shè)的公安信息網(wǎng)為社保、行政、銀行等部門提供人員身份信息，以前是單向提供數(shù)據(jù)，現(xiàn)在隨著信息化的發(fā)展面臨雙向數(shù)據(jù)交換，同時也需要通過互聯(lián)網(wǎng)提供查詢服務(wù)，就需要能夠?qū)诵臄?shù)據(jù)區(qū)進行安全監(jiān)控，對大批量數(shù)據(jù)泄露，數(shù)據(jù)篡改行為進行審計與防護。

通過數(shù)據(jù)庫防火墻建立網(wǎng)絡(luò)上的外部黑客數(shù)據(jù)庫攻擊防御體系，阻止對數(shù)據(jù)庫的攻擊，防止公民隱私信息的批量下載，防止各部門業(yè)務(wù)系統(tǒng)在使用人口基本信息過程中產(chǎn)生的、與其他部門共享的人口信息被篡改，實現(xiàn)對數(shù)據(jù)庫訪問行為的高效審計，防止誤操作對數(shù)據(jù)信息的批量破壞。

通過數(shù)據(jù)庫加密實現(xiàn)從根本上對人口庫敏感數(shù)據(jù)的加密保存。包括對敏感數(shù)據(jù)在數(shù)據(jù)庫文件和備份中的存儲加密，防止“拖庫”的情況發(fā)生，同時對于內(nèi)部數(shù)據(jù)庫運維人員做到敏感數(shù)據(jù)訪問的受控。

數(shù)據(jù)庫防火墻能夠?qū)α魅氲腟QL語句進行自動分類，自動記錄和分析SQL語句并快速制定安全策略，可以根據(jù)IP地址、數(shù)據(jù)庫用戶、操作系統(tǒng)用戶、應(yīng)用程序、時間等屬性執(zhí)行不同策略，對數(shù)據(jù)庫服務(wù)器的操作進行記錄、警報，包括讀，寫，查詢，修改等內(nèi)容進行實時的監(jiān)控。

方案部署圖

方案價值

通過對數(shù)據(jù)庫進行整體安全防護，電子政務(wù)外網(wǎng)可從以下幾點收益：

敏感數(shù)據(jù)修改記入審計記錄

對敏感信息的修改需要在進行數(shù)據(jù)庫操作的時候全部記入審計記錄，同時要確保數(shù)據(jù)庫審計設(shè)備不可繞過，審計數(shù)據(jù)不會被篡改。

軟件開發(fā)商和信息維護人員權(quán)責(zé)分明

通過獨立的權(quán)限控制能力，以及基于IP和時間的精細控制，嚴(yán)格保證合法的用戶才能訪問敏感信息，通過敏感數(shù)據(jù)詳細變更審計能力，準(zhǔn)確追蹤敏感信息的訪問行為。在出現(xiàn)問題的時候，可以能分清是哪方出的問題。

外網(wǎng)數(shù)據(jù)防黑客入侵和批量導(dǎo)出

面對來自于外部黑客的入侵行為，提供防SQL注入和數(shù)據(jù)庫虛擬補丁包功能；通過虛擬補丁包，數(shù)據(jù)庫系統(tǒng)不用升級、打補丁，即可完成對主要數(shù)據(jù)庫漏洞的防控。

及時阻止數(shù)據(jù)庫運維側(cè)的誤操作和惡意操作

通過SQL協(xié)議分析，根據(jù)預(yù)定的白名單、黑名單策略決定讓合法的SQL操作通過執(zhí)行，讓可疑的非法違規(guī)操作禁止。實現(xiàn)主動防御機制、數(shù)據(jù)庫的訪問行為權(quán)限控制、惡意及危險操作阻斷式防范。

? 事前主動防護：明確識別住房公積金管理中心哪些數(shù)據(jù)屬于敏感信息。以這些敏感數(shù)據(jù)為防護要點，在信息安全方面建立有縱深的防護體系。

事中控制：嚴(yán)格細化敏感數(shù)據(jù)的訪問控制，主動預(yù)防批量泄露、惡意篡改。

事后分析：全面審計、及時對惡意攻擊、非法訪問、惡意操作進行告警，實現(xiàn)事后追溯，有效地追責(zé)定責(zé)。

運維人員的防控：使用專業(yè)的數(shù)據(jù)庫防火墻系統(tǒng)，對DBA、第三方運維實施人員等，實施訪問敏感信息的精細控制，包括表、字段、訪問的數(shù)據(jù)量范圍(行數(shù))等。

同時避免敏感信息被惡意篡改，或誤操導(dǎo)致被批量修改或刪除。同時將敏感數(shù)據(jù)的訪問控制細化到IP地址和時間范圍。

使用專業(yè)的數(shù)據(jù)庫防火墻等技術(shù)手段，防止外部入侵攻擊者利用數(shù)據(jù)庫漏洞，間接批量竊取外網(wǎng)數(shù)據(jù)。