行業(yè)需求與挑戰(zhàn)

目前，在某軍工PDM 系統(tǒng)數(shù)據(jù)庫(kù)中，存儲(chǔ)了大量產(chǎn)品的核心敏感信息（如產(chǎn)品名稱、型號(hào)、 設(shè)計(jì)圖紙、關(guān)鍵描述等），以及生產(chǎn)計(jì)劃信息。在系統(tǒng)使用和運(yùn)維的過(guò)程中，這些機(jī)密信息 已面臨著眾多的來(lái)自于外部和內(nèi)部的安全威脅，一旦發(fā)生信息濫用、惡意篡改或泄密事故， 將直接影響 PDM 系統(tǒng)的正常運(yùn)轉(zhuǎn)、危害企業(yè)利益，乃至威脅到國(guó)家安全。因此，為確保 PDM 系統(tǒng)的數(shù)據(jù)安全，建立健全軍工企業(yè)數(shù)據(jù)安全防護(hù)體系，保障企業(yè)利益和國(guó)家安全已勢(shì)在必行。

分析軍工企業(yè) PDM 系統(tǒng)的數(shù)據(jù)應(yīng)用特點(diǎn)以及相關(guān)安全政策的要求，軍工企業(yè)目前主要存 在以下三方面的數(shù)據(jù)保密需要：

1. 分級(jí)保護(hù)政策要求加強(qiáng)涉密系統(tǒng)的數(shù)據(jù)安全防護(hù) 為保護(hù)國(guó)家秘密的安全，國(guó)家保密局于 2007 年發(fā)布并實(shí)施的 BMB22 號(hào)文件，在數(shù)據(jù)保密方案，分級(jí) 保護(hù)從運(yùn)行管理、身份鑒別、訪問(wèn)控制、安全審計(jì)、存儲(chǔ)加密和數(shù)據(jù)庫(kù)安全方面進(jìn)行了一系 列的技術(shù)和測(cè)評(píng)要求，并占據(jù)了較高的比重。
2. 數(shù)據(jù)庫(kù)安全成為軍工企業(yè)信息安全建設(shè)“短板”，我國(guó)軍工企業(yè)涉密系統(tǒng)在建設(shè)初期就考慮到了安全保障能力的建設(shè)，而真正處于核心層的敏感數(shù)據(jù)載體-數(shù)據(jù)庫(kù)的保障能力較低，抗攻 擊能力嚴(yán)重不足，成為數(shù)據(jù)安全保密的“短板”。
3. PDM 核心產(chǎn)品信息要求對(duì)內(nèi)高度保密部分軍工企業(yè)的生產(chǎn)用于國(guó)家高端武器制造或尖端科技領(lǐng)域，、要求對(duì)包括生產(chǎn)、檢驗(yàn)等內(nèi)部人員高度保密，而設(shè)計(jì)圖紙的密級(jí)則更不言而喻，這就要求軍工企業(yè)對(duì)此類敏感信息必須運(yùn)用密碼技術(shù)進(jìn)行存儲(chǔ)加密保護(hù)。

方案概述

數(shù)據(jù)庫(kù)加密防護(hù)的單位一般可是庫(kù)級(jí)、表級(jí)和字段級(jí)，在多達(dá)數(shù)百?gòu)埍?、每個(gè)表多達(dá)數(shù)十列字段的數(shù)據(jù)庫(kù)系統(tǒng)中，往往不是所有的字段都具敏感性，通常只需加密個(gè)別表的個(gè)別關(guān)鍵字段就可以切斷數(shù)據(jù)間的聯(lián)系、實(shí)現(xiàn)關(guān)鍵數(shù)據(jù)保密，同時(shí)達(dá)到有效降低性能損失的效果。

DBCoffer系統(tǒng)的一個(gè)顯著特點(diǎn)是能夠以列為單位進(jìn)行加密和授權(quán)，本方案以“保護(hù)軍工企業(yè)PDM系統(tǒng)數(shù)據(jù)安全”為目標(biāo)，以“最小代價(jià)換取安全提 升”的原則，定義出PDM系統(tǒng)核心敏感數(shù)據(jù)字段，在此基礎(chǔ)上提出基于安華金和數(shù)據(jù)庫(kù)保險(xiǎn)箱(DBCoffer)產(chǎn)品的數(shù)據(jù)安全保密解決方案：

基于DBCoffer的PDM系統(tǒng)數(shù)據(jù)防護(hù)網(wǎng)絡(luò)部署圖

在本方案中，將PDM系統(tǒng)的產(chǎn)品名稱、型號(hào)、設(shè)計(jì)圖紙、關(guān)鍵描述等信息，以及生產(chǎn)計(jì)劃信息定義為敏感信息；首先通過(guò)DBCoffer將上述敏感信息 加密存儲(chǔ)在數(shù)據(jù)庫(kù)中；同時(shí)通過(guò)DBCoffer的密文權(quán)限控制體系，限制DBA等業(yè)務(wù)無(wú)關(guān)人員對(duì)敏感數(shù)據(jù)的訪問(wèn)權(quán)限，使其只能維護(hù)數(shù)據(jù)而無(wú)法訪問(wèn)這些敏感 數(shù)據(jù)，遠(yuǎn)離了內(nèi)部泄密風(fēng)險(xiǎn)，僅將敏感數(shù)據(jù)的訪問(wèn)能力開(kāi)放給PDM系統(tǒng)；然后對(duì)這些敏感數(shù)據(jù)的訪問(wèn)建立審計(jì)記錄；、

至此我們形成一套完備的存儲(chǔ)層、傳輸層和應(yīng)用層的全方位的數(shù)據(jù)安全保密解決方案：

A、敏感數(shù)據(jù)加密存儲(chǔ)和傳輸

對(duì)系統(tǒng)中核心的敏感信息進(jìn)行存儲(chǔ)加密、，保證備份、存儲(chǔ)設(shè)備、數(shù)據(jù)庫(kù)文件丟失或者傳輸?shù)臄?shù)據(jù)文件被捕獲也不會(huì)引起敏感數(shù)據(jù)泄漏。

B、敏感數(shù)據(jù)訪問(wèn)權(quán)限控制與審計(jì)

通過(guò)獨(dú)立于Oracle數(shù)據(jù)庫(kù)之外的密文權(quán)限控制體系，使與業(yè)務(wù)本身無(wú)關(guān)的DBA等系統(tǒng)維護(hù)人員不能訪問(wèn)明文的敏感信息，也無(wú)從引起內(nèi)部泄密。同時(shí)開(kāi)啟安全審計(jì)功能，對(duì)敏感信息的訪問(wèn)進(jìn)行記錄，便于對(duì)異常訪問(wèn)行為進(jìn)行事后追蹤分析。

C、應(yīng)用層防護(hù)增強(qiáng)

將PDM系統(tǒng)的數(shù)據(jù)庫(kù)用戶與業(yè)務(wù)系統(tǒng)自身綁定，拒絕使用該用戶繞過(guò)PDM系統(tǒng)的任何訪問(wèn)保護(hù)數(shù)據(jù)行為，從而實(shí)現(xiàn)防止合法用戶違規(guī)訪問(wèn)敏感數(shù)據(jù)的防護(hù)目標(biāo)。

方案價(jià)值

• 以列為單位進(jìn)行敏感軍工數(shù)據(jù)加密，加密列的數(shù)據(jù)在Oracle中以密文形式存儲(chǔ)；
• 對(duì)用戶常用數(shù)據(jù)類型加密：CHAR，VARCHAR，VARCHAR2，RAW，LOB，NUMBER，DATE；
• 指定加密列的數(shù)據(jù)庫(kù)對(duì)象，應(yīng)用在訪問(wèn)時(shí)不用變更表名、列名、列類型或顯示調(diào)用解密函數(shù)。

方案優(yōu)勢(shì)

• 保護(hù)國(guó)家安全，符合分級(jí)保護(hù)的安全要求
  DBCoffer系統(tǒng)可以對(duì)重要數(shù)據(jù)使用加密措施進(jìn)行存儲(chǔ)和傳輸保護(hù)、對(duì)數(shù)據(jù)庫(kù)訪問(wèn)進(jìn)行細(xì)粒度訪問(wèn)控制、對(duì)數(shù)據(jù)庫(kù)超級(jí)管理員進(jìn)行有效分權(quán)、對(duì)數(shù)據(jù)訪問(wèn)進(jìn)行安全審計(jì)等。符合國(guó)家保密局涉密信息系統(tǒng)分級(jí)保護(hù)要求。
• 保障軍工企業(yè)PDM系統(tǒng)數(shù)據(jù)安全
  DBCoffer通過(guò)存儲(chǔ)層、數(shù)據(jù)訪問(wèn)層以及應(yīng)用層的數(shù)據(jù)防護(hù)實(shí)現(xiàn)了遭受攻擊最多、泄密最多的數(shù)據(jù)庫(kù)層面的防護(hù)目標(biāo)，有效填補(bǔ)當(dāng)前信息系統(tǒng)的數(shù)據(jù)安全防護(hù)“短板”，從而保障軍工企業(yè)PDM系統(tǒng)數(shù)據(jù)安全。
• 應(yīng)用改造零代價(jià)，與其他安全產(chǎn)品有效兼容
  實(shí)施DBCoffer進(jìn)行數(shù)據(jù)安全防護(hù)，對(duì)于軍工企業(yè)現(xiàn)有的PDM系統(tǒng)完全透明，不需要新增預(yù)算進(jìn)行系統(tǒng)二次改造；同時(shí)對(duì)電子認(rèn)證、防火墻、IDS等其他安全產(chǎn)品可以有效兼容、互補(bǔ)。
• 部署靈活，有效節(jié)約成本
  對(duì)于多臺(tái)數(shù)據(jù)庫(kù)服務(wù)器或者部署了雙機(jī)、RAC的數(shù)據(jù)庫(kù)服務(wù)器，DBCoffer不需要完全重復(fù)部署，每新增一臺(tái)數(shù)據(jù)庫(kù)服務(wù)器或者節(jié)點(diǎn)只需新部署DBCoffer的代理程序，安全服務(wù)則無(wú)需重復(fù)部署，符合“節(jié)約型信息化道路”的路線。