◎吳戈 陳俊 邱揚

融媒體數(shù)據(jù)庫安全技術(shù)研究

◎吳戈 陳俊 邱揚

數(shù)據(jù)庫存在各種風(fēng)險，數(shù)據(jù)泄露事件頻發(fā)。本文針對以往數(shù)據(jù)庫安全保障建設(shè)考慮不夠全面、建設(shè)不夠體系化和缺乏統(tǒng)一策略的問題進行了分析，提出了用數(shù)據(jù)安全立體化保障的理念，結(jié)合認證、加密、訪問控制、審計、脫敏等技術(shù)，通過綜合全面的風(fēng)險處置，實現(xiàn)了立體化的數(shù)據(jù)庫計算環(huán)境安全保障。同時結(jié)合用戶實際環(huán)境的防護特點，闡述了數(shù)據(jù)庫全生命周期安全保障技術(shù)的應(yīng)用及效果。

數(shù)據(jù)庫 安全 保障

數(shù)據(jù)庫安全應(yīng)從數(shù)據(jù)產(chǎn)生、數(shù)據(jù)存儲、數(shù)據(jù)使用、數(shù)據(jù)發(fā)布、數(shù)據(jù)歸檔及數(shù)據(jù)銷毀整個數(shù)據(jù)生命周期過程中考慮數(shù)據(jù)在提供服務(wù)過程中的數(shù)據(jù)篡改、數(shù)據(jù)泄露、數(shù)據(jù)損壞的風(fēng)險，并通過管理制度和安全技術(shù)的緊密結(jié)合，從而達到數(shù)據(jù)庫安全風(fēng)險可控、遵從性審計的目的。

當(dāng)前，各政府單位、醫(yī)院、學(xué)校、各大中型企業(yè)的信息系統(tǒng)廣泛應(yīng)用于生產(chǎn)的各個方面,貫穿于日常業(yè)務(wù)的各個環(huán)節(jié)。隨著信息化應(yīng)用進程的不斷推進和深化，重要信息系統(tǒng)的覆蓋范圍也越來越廣泛，累積的數(shù)據(jù)庫資產(chǎn)也越來越多。這些數(shù)據(jù)庫已經(jīng)成為單位的重要資產(chǎn)，對于提高運營效率和決策能力起著重要的支撐作用。其安全性的重要程度不言而喻，而為數(shù)據(jù)庫建立一個全面的安全保障已經(jīng)成為各企事業(yè)單位的信息安全建設(shè)重點。本文通過一個數(shù)據(jù)庫全生命周期安全保障框架的設(shè)計和研究，并采用當(dāng)下成熟的各種數(shù)據(jù)庫安全防護技術(shù)，以信息安全建設(shè)過程為指導(dǎo)思路，闡述了數(shù)據(jù)庫全生命周期安全保障技術(shù)的應(yīng)用及效果。

數(shù)據(jù)庫安全保障技術(shù)發(fā)展現(xiàn)狀

1.數(shù)據(jù)庫威脅與風(fēng)險現(xiàn)狀。

當(dāng)前數(shù)據(jù)泄漏事件頻發(fā)，信息安全威脅的中心已轉(zhuǎn)到數(shù)據(jù)安全?！忡R門’事件以來，信息安全受到政府及重點行業(yè)前所未有的重視，國產(chǎn)化信息安全的步伐大大加快，數(shù)據(jù)特別是數(shù)據(jù)庫已經(jīng)成了核心和最需要重點保護的資產(chǎn)。

在當(dāng)前數(shù)據(jù)時代背景下，單位內(nèi)部數(shù)據(jù)使用需求、外部單位數(shù)據(jù)合作使用需求的快速增加，數(shù)據(jù)服務(wù)帶來的安全風(fēng)險正在不斷增大，各單位迫切需要建立一系列的數(shù)據(jù)安全管理辦法、規(guī)范數(shù)據(jù)安全服務(wù)流程，并利用相關(guān)的數(shù)據(jù)安全保障技術(shù)，最終達到既能保障數(shù)據(jù)安全，又能最大程度發(fā)揮數(shù)據(jù)價值的目標(biāo)。

當(dāng)前數(shù)據(jù)庫計算環(huán)境存在各種安全風(fēng)險，包括數(shù)據(jù)庫自身漏洞、數(shù)據(jù)庫本身的訪問控制缺陷、訪問數(shù)據(jù)庫的多樣化復(fù)雜性、管理機制的不足、業(yè)務(wù)系統(tǒng)需要開發(fā)升級、運維管理環(huán)境也越來越復(fù)雜等等。從而導(dǎo)致目前和未來將有大量的數(shù)據(jù)庫面臨各種安全威脅，包括數(shù)據(jù)被篡改的威脅、數(shù)據(jù)損壞的威脅、數(shù)據(jù)泄漏的威脅等。

圖1 數(shù)據(jù)庫全生命周期安全保障技術(shù)框架

傳統(tǒng)的系統(tǒng)安全、邊界安全無法完全防護以數(shù)據(jù)竊取、數(shù)據(jù)篡改為主要目的的針對數(shù)據(jù)庫的攻擊行為，必須創(chuàng)新數(shù)據(jù)庫安全防御手段才能應(yīng)對大數(shù)據(jù)時代、云環(huán)境、移動互聯(lián)時代下數(shù)據(jù)庫面臨的新的安全威脅。

2.企事業(yè)單位數(shù)據(jù)庫安全現(xiàn)狀。

當(dāng)前企事業(yè)單位內(nèi)部數(shù)據(jù)量和數(shù)據(jù)價值快速攀升，數(shù)據(jù)庫系統(tǒng)已經(jīng)成為惡意人員竊取獲利的焦點，其面臨的安全威脅越來越大，主要體現(xiàn)在以下三個方面：

第一，面臨外部網(wǎng)絡(luò)攻擊竊密的風(fēng)險。部分重要信息系統(tǒng)和后臺數(shù)據(jù)庫已經(jīng)接入互聯(lián)網(wǎng)，在面向公眾提供便捷服務(wù)同時，也為惡意人員開放了網(wǎng)絡(luò)攻擊渠道。尤其是隨著WEB應(yīng)用技術(shù)的深入普及，WEB應(yīng)用程序漏洞挖掘和攻擊速度越來越快，基于WEB的業(yè)務(wù)系統(tǒng)和后臺重要數(shù)據(jù)資產(chǎn)面臨更為嚴(yán)峻的安全威脅。

第二，面臨內(nèi)部業(yè)務(wù)人員泄密的風(fēng)險。在企業(yè)數(shù)據(jù)服務(wù)過程中，接觸和存儲數(shù)據(jù)庫數(shù)據(jù)的人員與系統(tǒng)較多，如CRM系統(tǒng)等。一旦內(nèi)部業(yè)務(wù)人員盜取重要敏感數(shù)據(jù)并造成泄露，往往難以發(fā)現(xiàn)和阻斷。

第三，面臨管理人員監(jiān)管不足的風(fēng)險。根據(jù)國外專項調(diào)查結(jié)果顯示：超過70%的安全威脅來自公司內(nèi)部，損失金額是黑客造成損失的16倍。

數(shù)據(jù)庫安全保障技術(shù)

企事業(yè)內(nèi)部的數(shù)據(jù)包括結(jié)構(gòu)化數(shù)據(jù)和非結(jié)構(gòu)化數(shù)據(jù)，結(jié)構(gòu)化數(shù)據(jù)往往是企業(yè)的核心數(shù)據(jù)，結(jié)構(gòu)化數(shù)據(jù)也是信息安全保障的重點。數(shù)據(jù)庫安全應(yīng)從數(shù)據(jù)產(chǎn)生、數(shù)據(jù)存儲、數(shù)據(jù)使用、數(shù)據(jù)發(fā)布、數(shù)據(jù)歸檔及數(shù)據(jù)銷毀，涉及管理與技術(shù)、流程等，數(shù)據(jù)庫的安全需要體系化建設(shè)，達到保障敏感數(shù)據(jù)的機密性、完整性、可用性等，實現(xiàn)數(shù)據(jù)的靈活高效使用與安全保障的可控平衡。

數(shù)據(jù)庫的安全策略應(yīng)該自上而下統(tǒng)一進行管理，并結(jié)合當(dāng)前數(shù)據(jù)庫的計算環(huán)境進行建設(shè)。數(shù)據(jù)庫的安全保障應(yīng)有一套不斷更新、不斷完善的框架體系，對數(shù)據(jù)庫安全需求進行統(tǒng)一處理，并形成規(guī)范化的組織結(jié)構(gòu)、管理辦法以及運維規(guī)范。在相應(yīng)管理體系的要求指導(dǎo)下，在不同的建設(shè)階段，采用不同的數(shù)據(jù)庫安全技術(shù)手段，為企業(yè)數(shù)據(jù)庫計算環(huán)境建立全生命周期的安全保障。數(shù)據(jù)庫全生命周期的安全保障技術(shù)框架如圖1所示。

數(shù)據(jù)庫安全的保障應(yīng)在整個數(shù)據(jù)庫的全生命周期開展，數(shù)據(jù)庫的全生命周期包括數(shù)據(jù)產(chǎn)生、數(shù)據(jù)存儲、數(shù)據(jù)使用、數(shù)據(jù)發(fā)布、數(shù)據(jù)歸檔及數(shù)據(jù)銷毀。

數(shù)據(jù)產(chǎn)生的安全是指數(shù)據(jù)在通過業(yè)務(wù)系統(tǒng)或其他手段進入數(shù)據(jù)庫時，可通過訪問主體認證、數(shù)據(jù)庫訪問控制、數(shù)據(jù)庫綜合審計、應(yīng)用系統(tǒng)防護等技術(shù)來保障數(shù)據(jù)庫的安全。

數(shù)據(jù)存儲的安全是指數(shù)據(jù)在數(shù)據(jù)庫服務(wù)器或存儲設(shè)備存放時，可通過數(shù)據(jù)庫透明加密、數(shù)據(jù)庫備份容災(zāi)等技術(shù)來保障數(shù)據(jù)庫的安全。

數(shù)據(jù)使用的安全，是指數(shù)據(jù)在使用過程中，可通過數(shù)據(jù)庫訪問控制、數(shù)據(jù)庫綜合審計進行安全防護。

數(shù)據(jù)發(fā)布的安全，是指在提供給內(nèi)部、外部人員使用時，可通過數(shù)據(jù)庫脫敏、數(shù)據(jù)防泄漏等技術(shù)來保障數(shù)據(jù)安全。

數(shù)據(jù)歸檔的安全，是指數(shù)據(jù)庫應(yīng)該進行定期數(shù)據(jù)歸檔，可通過專業(yè)的數(shù)據(jù)備份設(shè)備以保障數(shù)據(jù)的可用性。

數(shù)據(jù)銷毀的安全，是在數(shù)據(jù)銷毀時，應(yīng)根據(jù)安全要求，進行安全擦除，不可通過銷毀的硬件載體恢復(fù)數(shù)據(jù)。

從而通過在不同的生命周期，采用不同的技術(shù)，來保障數(shù)據(jù)庫數(shù)據(jù)在各個環(huán)節(jié)的安全性。數(shù)據(jù)庫全生命周期安全保障技術(shù)框架通過信息安全的實施過程，不斷的進行完善與提升。

圖2 數(shù)據(jù)庫防護邏輯部署圖

數(shù)據(jù)庫應(yīng)用及成效

隨著信息化的發(fā)展，信息化系統(tǒng)也在進行持續(xù)的發(fā)展和改造，數(shù)據(jù)庫中的數(shù)據(jù)也持續(xù)地進行著沉淀、挖掘和維護；外部人員、內(nèi)部人員、第三方運維人員、DBA、新模塊的程序開發(fā)人員對數(shù)據(jù)庫中的數(shù)據(jù)都需要頻繁地訪問；諸多的人群和過高的權(quán)限使得敏感數(shù)據(jù)存在泄露的風(fēng)險，經(jīng)營方面的數(shù)據(jù)也有被篡改的風(fēng)險。

企業(yè)中數(shù)據(jù)庫的風(fēng)險也一定遍布于數(shù)據(jù)庫的全生命周期中，不用場景、環(huán)境下使用的數(shù)據(jù)庫，在整個生命周期中，其面臨的安全風(fēng)險的高低也有所不同。依據(jù)信息安全規(guī)劃中，高風(fēng)險優(yōu)先處理的原則指導(dǎo)下，本集團對其互聯(lián)網(wǎng)區(qū)域的數(shù)據(jù)庫，對數(shù)據(jù)產(chǎn)生、數(shù)據(jù)使用過程中所面臨的數(shù)據(jù)泄露、數(shù)據(jù)篡改提供了相應(yīng)的數(shù)據(jù)庫安全防護手段。

DMZ區(qū)為企業(yè)互聯(lián)網(wǎng)區(qū)，在互聯(lián)網(wǎng)區(qū)部署有相應(yīng)業(yè)務(wù)系統(tǒng)及數(shù)據(jù)庫服務(wù)器，為了保證數(shù)據(jù)庫數(shù)據(jù)的安全，在互聯(lián)網(wǎng)區(qū)必須部署相應(yīng)的網(wǎng)絡(luò)防火墻、應(yīng)用服務(wù)器防護設(shè)備WAF形成對網(wǎng)絡(luò)和應(yīng)用服務(wù)器的安全防護，通過部署入侵防御系統(tǒng)對數(shù)據(jù)庫服務(wù)器進行安全防護，同時部署數(shù)據(jù)庫審計設(shè)備進行安全防護從而保證互聯(lián)網(wǎng)區(qū)域的數(shù)據(jù)庫數(shù)據(jù)的安全性，大大減低數(shù)據(jù)庫數(shù)據(jù)被篡改、被泄漏的風(fēng)險。

結(jié)語

本文對數(shù)據(jù)庫安全保障技術(shù)進行了初步研究，并通過在本集團的實踐，證明了本技術(shù)在現(xiàn)實應(yīng)用中的可行性。企業(yè)內(nèi)、外網(wǎng)環(huán)境中存在大量的數(shù)據(jù)庫，而且訪問數(shù)據(jù)庫的應(yīng)用、管理員、外發(fā)人員、開發(fā)人員多種多樣，數(shù)據(jù)庫的安全風(fēng)險處在不斷變化中，因此今后需要對內(nèi)網(wǎng)、外網(wǎng)及其他區(qū)域內(nèi)的重點數(shù)據(jù)庫進行全方位的數(shù)據(jù)庫安全規(guī)劃時，可以以數(shù)據(jù)庫安全保障技術(shù)框架為指導(dǎo)思路，進行數(shù)據(jù)庫安全建設(shè)。

（湖北日報傳媒集團技術(shù)部）