一、背景
隨著數(shù)字化的發(fā)展，數(shù)據(jù)庫(kù)已成為各企事業(yè)單位業(yè)務(wù)運(yùn)營(yíng)的基礎(chǔ)，由于數(shù)據(jù)庫(kù)運(yùn)維人員掌握著最高權(quán)限，一旦運(yùn)維操作出現(xiàn)安全問(wèn)題，比如數(shù)據(jù)庫(kù)誤操作、惡意刪除等，將會(huì)給企業(yè)或單位帶來(lái)巨大的損失。
2020年2月25日，“天降橫禍”，微盟官方宣稱(chēng)，微盟的業(yè)務(wù)系統(tǒng)數(shù)據(jù)庫(kù)遭遇其公司運(yùn)維人員的刪除。犯罪嫌疑人為微盟研發(fā)中心運(yùn)維部核心運(yùn)維人員賀某，其在2月23日晚18點(diǎn)56分通過(guò)個(gè)人VPN登入公司內(nèi)網(wǎng)跳板機(jī)，對(duì)微盟線(xiàn)上生產(chǎn)環(huán)境進(jìn)行了惡意破壞。后來(lái)，當(dāng)事人賀某被警方刑事拘留，而微盟在騰訊云的協(xié)作下，花了七天七夜才找回?cái)?shù)據(jù)再加上客戶(hù)賠付、數(shù)據(jù)恢復(fù)和加班支出，總計(jì)高達(dá)數(shù)千萬(wàn)元。
2021 年1月6日，北京第一中級(jí)人民法院公布了一份刑事裁定書(shū)，前鏈家員工因不滿(mǎn)工作調(diào)整，刪了公司 9TB 數(shù)據(jù)，鏈家為恢復(fù)及重新構(gòu)建財(cái)務(wù)系統(tǒng)共計(jì)花費(fèi)人民幣 18 萬(wàn)元。
曾經(jīng)流傳在江湖的“刪庫(kù)跑路”傳說(shuō)，沒(méi)想到真的會(huì)發(fā)生，而且這樣的事件還很多，透過(guò)事件看本質(zhì)，也非常值得深思，其實(shí)就是數(shù)據(jù)安全問(wèn)題，數(shù)據(jù)庫(kù)作為企業(yè)或單位最核心的IT信息系統(tǒng)，重要性不言而喻，數(shù)據(jù)庫(kù)的安全性就是要保護(hù)數(shù)據(jù)庫(kù)，以防不合法使用所造成的數(shù)據(jù)泄露、纂改或破壞。在運(yùn)維場(chǎng)景下如何進(jìn)行數(shù)據(jù)庫(kù)安全管控，解決“刪庫(kù)跑路”的擔(dān)憂(yōu)呢？昂楷結(jié)合多年的數(shù)據(jù)安全建設(shè)經(jīng)驗(yàn)，探討一下數(shù)據(jù)庫(kù)安全管控的思路和技術(shù)手段。
二、傳統(tǒng)安全手段捉襟見(jiàn)肘
提起數(shù)據(jù)安全，我們想到的就是組織建設(shè)、制度流程、技術(shù)工具、人員能力，這是一套體系化的建設(shè)思路，也是最完美的方案，解決的是信息安全方面的問(wèn)題，當(dāng)然這也需要獲得高層支持和資金支持，當(dāng)沒(méi)有足夠的資金投入到數(shù)據(jù)安全體系建設(shè)中，應(yīng)該如何利用標(biāo)準(zhǔn)化的產(chǎn)品技術(shù)工具來(lái)輔助我們提升安全能力，解決信息安全點(diǎn)、線(xiàn)的問(wèn)題呢？這就是要重點(diǎn)談的內(nèi)容。
傳統(tǒng)安全手段一般采用堡壘機(jī)進(jìn)行運(yùn)維安全管控，但是堡壘機(jī)也存在安全“盲區(qū)”，對(duì)運(yùn)維人員操作行為只能以錄屏的方式進(jìn)行安全監(jiān)控；對(duì)于危險(xiǎn)SQL指令操作無(wú)法第一時(shí)間進(jìn)行阻斷處理，當(dāng)然不是說(shuō)堡壘機(jī)不好，一個(gè)安全產(chǎn)品不能解決所有場(chǎng)景的問(wèn)題，他的弊端需要依靠其他技術(shù)手段或管理手段來(lái)彌補(bǔ)。
三、數(shù)據(jù)庫(kù)安全管控應(yīng)對(duì)思路
信息安全領(lǐng)域有個(gè)概念叫縱深防御，強(qiáng)調(diào)是通過(guò)多層次、多維度的安全措施來(lái)構(gòu)建一個(gè)強(qiáng)大的安全防護(hù)體系，縱深防御模型的基本思路就是將信息網(wǎng)絡(luò)安全保護(hù)措施有機(jī)組合起來(lái)，針對(duì)保護(hù)對(duì)象，部署合適的安全措施，形成多道保護(hù)線(xiàn)，各安全措施能夠相互支持和補(bǔ)救，盡可能地阻斷攻擊者的威脅。針對(duì)運(yùn)維場(chǎng)景下的數(shù)據(jù)庫(kù)安全，昂楷有兩種應(yīng)對(duì)思路，這也是Ankki數(shù)據(jù)安全治理理念“精準(zhǔn)可視，安全可控”的體現(xiàn)，具體思路如下：
四、數(shù)據(jù)庫(kù)安全管控技術(shù)手段
數(shù)據(jù)庫(kù)防火墻是數(shù)據(jù)庫(kù)安全管控的重要技術(shù)手段之一，Ankki數(shù)據(jù)庫(kù)防火墻充分考慮運(yùn)維場(chǎng)景的數(shù)據(jù)安全需求，從多點(diǎn)切實(shí)解決運(yùn)維側(cè)的數(shù)據(jù)安全。
權(quán)限管控。按照“知所必須、最小授權(quán)”的原則進(jìn)行授權(quán)，使其只能訪(fǎng)問(wèn)職責(zé)所需的數(shù)據(jù)信息，且具備職責(zé)所需的最小數(shù)據(jù)操作權(quán)限。數(shù)據(jù)庫(kù)防火墻通過(guò)細(xì)粒度的策略設(shè)置條件如用戶(hù)賬號(hào)、IP地址、操作行為、數(shù)據(jù)庫(kù)表或字段、影響行數(shù)、操作時(shí)間等等，制定靈活多變的數(shù)據(jù)防護(hù)策略，覆蓋各種具體實(shí)際的用戶(hù)使用場(chǎng)景。
敏感數(shù)據(jù)防護(hù)。數(shù)據(jù)庫(kù)防火墻自動(dòng)發(fā)現(xiàn)數(shù)據(jù)庫(kù)對(duì)象中包含敏感數(shù)據(jù)類(lèi)型，并進(jìn)行智能分類(lèi)分級(jí)，可根據(jù)敏感字段定義敏感數(shù)據(jù)防護(hù)規(guī)則，進(jìn)行敏感字段的操作行為審計(jì)與防護(hù)，可直接阻斷敏感數(shù)據(jù)未授權(quán)訪(fǎng)問(wèn)。
高危操作防護(hù)。數(shù)據(jù)庫(kù)防火墻可以利用運(yùn)維人員的身份特征，控制使用者的操作權(quán)限，對(duì)高危操作如drop、truncate、不帶where條件的更新、不帶where條件的刪除、特權(quán)操作全程進(jìn)行審計(jì)，并能實(shí)現(xiàn)數(shù)據(jù)庫(kù)操作命令行級(jí)阻斷，保持會(huì)話(huà)連接情況下實(shí)現(xiàn)違規(guī)操作的命令阻斷。
高危操作審批。數(shù)據(jù)庫(kù)防火墻集成審批電子流程，也可以與OA系統(tǒng)對(duì)接。針對(duì)確實(shí)需要進(jìn)行高危操作的運(yùn)維或開(kāi)發(fā)人員，可在數(shù)據(jù)庫(kù)防火墻上提交高危操作的審批的工單，工單審批通過(guò)后，操作員可操作工單中的內(nèi)容，數(shù)據(jù)庫(kù)防火墻會(huì)在一定時(shí)間內(nèi)放行，通過(guò)此功能，可對(duì)高危操作進(jìn)行有效管控，在不影響業(yè)務(wù)的情況下保障運(yùn)維安全。
五、總結(jié)
數(shù)據(jù)安全無(wú)小事，對(duì)于任何企業(yè)或單位，刪庫(kù)跑路帶來(lái)的不止是經(jīng)濟(jì)上的損失，還會(huì)帶來(lái)負(fù)面影響，因此，應(yīng)該在平時(shí)就應(yīng)完善相應(yīng)的安全機(jī)制和管理制度，防患于未然。昂楷專(zhuān)注數(shù)據(jù)安全多年，可以為用戶(hù)提供點(diǎn)、線(xiàn)、面的專(zhuān)業(yè)數(shù)據(jù)安全治理解決方案，涵蓋需求溝通、方案設(shè)計(jì)、產(chǎn)品交付、安全服務(wù)。
題-4.jpg)
