1、背景概述

當(dāng)前，信息時(shí)代進(jìn)入數(shù)據(jù)時(shí)代，數(shù)據(jù)的價(jià)值正在進(jìn)一步的凸顯和被挖掘。同時(shí)，數(shù)據(jù)已經(jīng)成為企業(yè)的核心資產(chǎn)。相應(yīng)的，以數(shù)據(jù)為目標(biāo)的網(wǎng)絡(luò)攻擊已經(jīng)成為數(shù)據(jù)時(shí)代新的安全威脅。來(lái)自Verizon的報(bào)告顯示，數(shù)據(jù)泄漏事件愈發(fā)廣泛且后果愈發(fā)嚴(yán)重。

2015年全球有近8萬(wàn)家公司被黑，其中2122家公司公開(kāi)確認(rèn)信息被竊取，全球500強(qiáng)企業(yè)大面積淪陷。2016年更是數(shù)據(jù)泄漏集中爆發(fā)的一年，甚至導(dǎo)致了一定程度的社會(huì)恐慌，以致于多個(gè)漏洞發(fā)布平臺(tái)被迫關(guān)閉。

市場(chǎng)上現(xiàn)有的網(wǎng)絡(luò)安全和操作系統(tǒng)安全產(chǎn)品，都從不同的方向提供對(duì)數(shù)據(jù)的防護(hù)。但是由于距離真實(shí)數(shù)據(jù)較遠(yuǎn)，無(wú)法從根本上防止這些數(shù)據(jù)庫(kù)泄密風(fēng)險(xiǎn)。只有在現(xiàn)有的安全防護(hù)體系中，以數(shù)據(jù)庫(kù)為中心，補(bǔ)充對(duì)數(shù)據(jù)的防護(hù)這一環(huán)節(jié)，部署“術(shù)業(yè)有專(zhuān)攻”的數(shù)據(jù)安全管理系統(tǒng)，才能從根本上解決數(shù)據(jù)安全問(wèn)題。

2、需求分析

某省政務(wù)云平臺(tái)管理大量的政府應(yīng)用。所管理的數(shù)據(jù)庫(kù)服務(wù)器以物理機(jī)方式部署于云下，數(shù)據(jù)庫(kù)全部為Oracle，大概有300余個(gè)實(shí)例。政務(wù)應(yīng)用則部署于云上。業(yè)務(wù)資源層分為政務(wù)信息網(wǎng)業(yè)務(wù)區(qū)、托管區(qū)、測(cè)試區(qū)和云平臺(tái)管理區(qū)，重點(diǎn)需要對(duì)數(shù)據(jù)庫(kù)服務(wù)器所在的托管區(qū)進(jìn)行防護(hù)。

需要解決的具體問(wèn)題有兩類(lèi)：

(1) 一是解決該政務(wù)云內(nèi)部數(shù)據(jù)安全，也就是針對(duì)該政務(wù)云內(nèi)部人員運(yùn)維過(guò)程中的數(shù)據(jù)安全問(wèn)題;

(2) 另一個(gè)是為該政務(wù)云的租戶(hù)解決數(shù)據(jù)安全管理問(wèn)題。

3、解決方案

3.1. 總體方案

依據(jù)多年對(duì)數(shù)據(jù)安全管理的經(jīng)驗(yàn)，我司提出數(shù)據(jù)安全管理思路是“將數(shù)據(jù)關(guān)進(jìn)籠子，在陽(yáng)光下被訪(fǎng)問(wèn)”。如下圖所示。

1)數(shù)據(jù)活動(dòng)的全面審計(jì)。詳細(xì)記錄敏感數(shù)據(jù)被訪(fǎng)問(wèn)的情況，包括來(lái)自于外網(wǎng)用戶(hù)和內(nèi)部人員的訪(fǎng)問(wèn)，尤其是對(duì)批量訪(fǎng)問(wèn)的審計(jì)、越權(quán)操作的審計(jì)、以及特權(quán)操作的審計(jì);

2)細(xì)粒度訪(fǎng)問(wèn)控制。阻斷異常的、違規(guī)的、以及SQL注入等攻擊性的查詢(xún)和訪(fǎng)問(wèn)，防止敏感數(shù)據(jù)泄漏以及被破壞;

3)敏感內(nèi)容脫敏。有針對(duì)性的對(duì)不同系統(tǒng)和運(yùn)維人員，通過(guò)動(dòng)態(tài)脫敏技術(shù)，實(shí)時(shí)授予對(duì)敏感數(shù)據(jù)的遮蔽、替換等不同展示方式，防止數(shù)據(jù)泄漏;同時(shí)，對(duì)例如開(kāi)發(fā)、測(cè)試、數(shù)據(jù)外發(fā)等環(huán)境，提供靜態(tài)脫敏技術(shù)，批量的對(duì)敏感數(shù)據(jù)脫敏，防止真實(shí)敏感數(shù)據(jù)外泄。

4)敏感內(nèi)容加密。有選擇性的對(duì)敏感內(nèi)容加密，使敏感數(shù)據(jù)在存儲(chǔ)、備份時(shí)以密文方式存在。通過(guò)控制加密和解密權(quán)限，提供對(duì)敏感數(shù)據(jù)訪(fǎng)問(wèn)的增強(qiáng)權(quán)限管理，防止超級(jí)權(quán)限被盜用和濫用導(dǎo)致的數(shù)據(jù)泄漏。

3.2. 實(shí)施方案

上述數(shù)據(jù)安全解決方案基于我司系列數(shù)據(jù)庫(kù)安全加固產(chǎn)品實(shí)現(xiàn)。針對(duì)具體網(wǎng)絡(luò)情況，具體的實(shí)施方案如下：

對(duì)于政務(wù)云內(nèi)部運(yùn)維和工作人員：

1) 在物理數(shù)據(jù)庫(kù)服務(wù)器前部署數(shù)據(jù)庫(kù)動(dòng)態(tài)脫敏系統(tǒng)，確保運(yùn)維人員能進(jìn)行運(yùn)維的同時(shí)又接觸不到真實(shí)的數(shù)據(jù)，防止了敏感數(shù)據(jù)的泄漏;

2) 在物理數(shù)據(jù)庫(kù)服務(wù)器前部署數(shù)據(jù)庫(kù)靜態(tài)脫敏系統(tǒng)，確保從生產(chǎn)庫(kù)到開(kāi)發(fā)/測(cè)試庫(kù)的數(shù)據(jù)經(jīng)過(guò)必要脫敏，定期批量的生成開(kāi)發(fā)測(cè)試庫(kù)，防止開(kāi)發(fā)測(cè)試人員接觸真實(shí)數(shù)據(jù);

3) 在物理數(shù)據(jù)庫(kù)服務(wù)器前通過(guò)旁路或者分光的方式部署數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)，記錄數(shù)據(jù)庫(kù)訪(fǎng)問(wèn)操作，并自動(dòng)發(fā)現(xiàn)數(shù)據(jù)庫(kù)攻擊和越權(quán)行為，起到威懾作用，并為事后追溯提供依據(jù);

4) 部署數(shù)據(jù)庫(kù)加密系統(tǒng)，保護(hù)尤其重要的敏感數(shù)據(jù)，這樣即使數(shù)據(jù)被竊取也看不到明文;

5) 應(yīng)用既可以通過(guò)防火墻訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)，也可以通過(guò)動(dòng)態(tài)脫敏訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)。

該解決方案對(duì)于租戶(hù)的系統(tǒng)和工作人員：

1) 云上的租戶(hù)可以選擇是否用審計(jì)、防火墻、加密和脫敏，此時(shí)我司的設(shè)備均以虛擬機(jī)的方式部署;

2) 對(duì)于云上的審計(jì)，以獨(dú)有的DB探針實(shí)現(xiàn)。該探針技術(shù)使用SQL語(yǔ)句實(shí)現(xiàn)，獲取并記錄對(duì)租戶(hù)數(shù)據(jù)庫(kù)的一切訪(fǎng)問(wèn)，發(fā)送到獨(dú)立運(yùn)行的數(shù)據(jù)庫(kù)審計(jì)服務(wù)器中;

3) 租戶(hù)的運(yùn)維人員通過(guò)動(dòng)態(tài)脫敏訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)，或者先后通過(guò)動(dòng)態(tài)脫敏和防火墻訪(fǎng)問(wèn)數(shù)據(jù)庫(kù);

4) 對(duì)于云上的數(shù)據(jù)庫(kù)防火墻和動(dòng)態(tài)脫敏，以單臂代理方式部署。數(shù)據(jù)庫(kù)防火墻/動(dòng)態(tài)脫敏在轉(zhuǎn)發(fā)數(shù)據(jù)庫(kù)訪(fǎng)問(wèn)通信流量的同時(shí)，對(duì)訪(fǎng)問(wèn)情況進(jìn)行記錄或者過(guò)濾。數(shù)據(jù)庫(kù)防火墻系統(tǒng)通過(guò)自動(dòng)學(xué)習(xí)，建立防火墻規(guī)則，從源頭上阻止SQL注入、越權(quán)數(shù)據(jù)訪(fǎng)問(wèn)以及其它對(duì)數(shù)據(jù)庫(kù)的攻擊。動(dòng)態(tài)脫敏系統(tǒng)則防止云上租戶(hù)內(nèi)部辦公人員通過(guò)截屏等方式泄漏敏感信息。

4、方案價(jià)值和優(yōu)勢(shì)

中安威士數(shù)據(jù)安全管理解決方案基于數(shù)據(jù)庫(kù)審計(jì)、數(shù)據(jù)庫(kù)防火墻、數(shù)據(jù)庫(kù)加密和數(shù)據(jù)庫(kù)脫敏產(chǎn)品實(shí)現(xiàn)。方案完整地解決了貴單位信息系統(tǒng)所廣泛面臨的數(shù)據(jù)泄漏困境。該方案的優(yōu)勢(shì)體現(xiàn)在：

快：業(yè)界最高的處理性能：

· 連續(xù)處理能力：1~10萬(wàn)SQL/s

· 日志檢索速度: <10秒鐘，1億記錄，任意關(guān)鍵字組合查詢(xún)

· 日志存儲(chǔ)能力: 30~100億SQL/TB

· 帶索引的加密速率: >9k/s

智：智能化自動(dòng)學(xué)習(xí)，基本實(shí)現(xiàn)零配置;

穩(wěn)：十余年技術(shù)積累，國(guó)內(nèi)最早專(zhuān)利技術(shù)，上千實(shí)際案例，產(chǎn)品運(yùn)行穩(wěn)定;

全：全面的功能和全面的審計(jì)：

· 不丟包：高峰流量不丟包，完全審計(jì)

· 不漏審：全方位的審計(jì)，不漏掉從任何途徑對(duì)數(shù)據(jù)庫(kù)的訪(fǎng)問(wèn)

· 全功能：具有敏感數(shù)據(jù)發(fā)現(xiàn)、性能審計(jì)、漏洞掃描和風(fēng)險(xiǎn)評(píng)估

· 能夠部署于任何環(huán)境

美：美觀的報(bào)表和界面。提供大量報(bào)告模板，包括各種審計(jì)報(bào)告、安全趨勢(shì)等?？蓪?shí)現(xiàn)報(bào)表格式和模板的自定義;

細(xì)：細(xì)粒度的審計(jì)和訪(fǎng)問(wèn)控制，達(dá)到字段、語(yǔ)句級(jí)。