安华金和数据库安全等保行业解决方案

1、安华金和数据库安全等保行业解决方案4安华金和数据库安全等保行业解决方案一.方案概述在等级保护中，数据库安全建设的总体目标，一是要保证核 心数据库自身的安全性，确保数据库不会受到攻击造成业务系统 的瘫痪；二是要求保证数据的保密性和完整性，对核心数据库中 的敏感数据进行有效的安全防护，确保关键数据不泄密，不被违 规篡改；三是在数据库使用过程中及时发现安全问题，防患于未 然，按修复建议进行安全加固。信息系统的核心数据存在数据库中的，数据库作为核心数据 资产载体，一旦发生无意识危险操作、信息泄露、恶意篡改，都 将造成最为惨痛的损失。据Verizon 2012数据泄露调查报告，数 据库服务器占泄露记录总

2、数的96%，成为头号可能的泄露数据 源。随着当前业务系统及数据库的部署规模、访问人员和密集度 的不断增加，来自于外部攻击者、第三方运维和开发人员、内部 维护人员的威胁访问，给企业数据安全带来了严峻的挑战。安华金和等保数据库安全解决方案对应等保安全要求的数 据库防护思路如下表：1.1安全威胁分析外部威胁目前已知的来自外部黑客常见的攻击手段和漏洞包括：SQL 注入、缓冲区溢出、拒绝服务、提权等，也有利用未及时安装补丁、缺省安装漏 洞、程序后门和危险代码破坏权限体系，导致数据库服务终止和敏感数据泄密；内部运维人员和DBA明文存储的安全威胁，使得数据文件、备份文件被拷贝后， 可以轻易恢复。DBA等高权

3、限用户可以随时任意地访问门能干数据；弱口令的存在，使得容易被人暴力破解或尝试成功，访问敏 感数据导致泄密和篡改；第三方运维和开发人员知道数据库管理员账号，主要威胁在于假冒正常应用账户、 合法DB用户绕过应用程序使用命令行工具访问数据库、通过数 据库客户端批量导出敏感信息导致泄密。管理内部人员、第三方维护人员的误操作、维护操作、越权操作 和恶意操作，多人共用一个账号，责任难以分清，超级管理员操作难以监管和审计。1.2等级保护对数据库安全的要求在等级保护基本要求中的位置数据库安全是主机安全的 一个部分，数据库的测评指标是从“主机安全”和“数据安全及 备份恢复”中根据数据库的特点映射得到的。对三级及

4、以上系统 中的关键敏感数据安全防护，提出了严格要求。数据保密性。要求“实现系统管理数据、鉴别信息和重要业务数据的存储 保密性”。访问控制强调了最小授权原则，使得用户的权限最小化，同时要求对 重要信息资源设置敏感标记。安全审计要求“对用户行为、安全事件等进行记录”。具体等保要求参见附件1等保三级对应项表中的功能和 基本项。1.3等保数据库安全整体规划本方案通过对安全威胁的分析，进行整体设计与规划，系列 安全产品相互之间分工协作，共同形成整体的防护体系，覆盖了数据库安全防护的事前诊断、事中控制和事后分析。事前诊断：通过数据库漏扫产品，有效检测数据库已知漏 洞，并有效修复。定期进行数据库安全检查，防

5、患于未然，对数据库安全风险 进行综合评估，使用专门的数据库漏洞扫描系统，对生产域中数 据库的安全现状进行全面检测。安全漏洞项包括：弱口令、缺省 口令、弱安全策略、权限宽泛、敏感数据发现、权限提升漏洞、 补丁升级等，评估是否存在安全漏洞并提供修复建议，为系统的 安全配置提升提供有效的参考。事中控制：通过数据库防火墙和数据库加密解决。数据库防火墙-从访问源头来保护数据，监测数据库的访问， 防止未授权的访问、SQL Injection,权限或角色的非法提升以及 对敏感数据的非法访问。高度精准的基于SQL语法的分析，避 免误判；基于黑、白名单的灵活的SQL级策略设置；支持Bypass 和Proxy及混

6、合部署模式，支持高可用，最大限度的适应企业需 求；虚拟补丁技术避免数据库因为不能进行补丁升级而造成的恶 意访问。在数据库中加密存储敏感信息防止被解析为明文，通过独立 于数据库的权控体系和引入安全管理员、审计管理员实现三权分 立的安全管理手段，防止DBA、第三方外包人员和程序开发人 员越权访问敏感信息，结合动态口令卡和SQL级API与应用系 统进行绑定解决绕过应用程序非法访问数据库的问题。事后分析：通过数据库审计技术解决。网络旁路审计通过在核心路由设备上设置端口镜像或采用 分流监听，使安全审计能够监听到所有用户通过路由设备与数据 库进行通讯的操作，并把数据库操作进行协议还原和分析，细致 的数据库

7、操作审计和用户审计，并有丰富的查询检索和报表功 能，维护简单、具备专业审计功能，节约人力，减少维护费用。具体解决手段参见附件1等保三级对应项表中的防护的 备选产品和保护效果。二.数据库安全整体保护措施1.1.数据库安全事前检测本方案规划使用专门的数据库漏洞扫描系统，对当前系统中 重要数据库进行全面的安全漏洞检测，有效暴露当前数据库系统 的安全问题，同时提出漏洞修复的建议，进行整体安全加固。从 而提升数据库系统整体的安全性。数据库漏洞扫描系统的价值在于：分析内部不安全配置，防止越权访问：通过只读账户， 实现由内到外的检测；提供现有数据的漏洞透视图和数据库配置 安全评估；避免内外部的非授权访问。发

8、现外部黑客攻击漏洞，防止外部攻击：实现非授权的 从外到内的检测；模拟黑客使用的漏洞发现技术，在没有授权的 情况下，对目标数据库的安全性作深入的探测分析；收集外部人 员可以利用的数据库漏洞的详细信息。监控数据库安全状况，防止数据库安全状况恶化：对于数据库建立安全基线，对数据库进行定期扫描，对所有安全状况 发生的变化进行报告和分析。1.2.数据库安全加固本方案规划使用数据库加密产品，实现对数据库中重要敏感 信息的安全保护，从存储层、数据库访问控制层、应用安全层面 实现全方位防止敏感信息泄密。数据库加密系统的价值在于：存储加密数据库安全加固系统能够实现敏感数据的存储加密，防止数 据从数据库存储文件和

9、备份文件中泄漏；实现涉密信息的存储保 密性。三权分立通过提供安全管理员、审计管理员角色，使得数据库安全从 管理上能实现DBA和安全管理员、审计管理员三者权限分离， 相互制约和监督。独立的权限控制可对重要敏感信息采用强制访问控制策略。主体精确到数据 库用户、客体精确到信息的列级。能够防止DBA等高权限、超级用户对敏感数据信息的违规 访问；细粒度访问控制能够通过指定IP地址和时间，尽量缩小敏感数据访问的范 围。安全审计能够对敏感数据的访问行为，实现详细审计，记录访问的时 间、地点，访问的内容等，进行事后分析追踪。1.3.数据库安全防护及分析本方案规划使用数据库防火墙产品，通过防SQL注入、防 高危操作来阻止外部黑客攻击者入侵行为，实时的告警，同时采 用防火墙产品中的审计能力，进行事后分析。数据库安全防护系统的价值在于：防控功能数据库安全分析可以智能的识别SQL类型，从而灵活的构 建行为模型，且能够快速、准确的配置和定位策略。此外，通过 智能的SQL识