1、背景概述

當前，信息時代進入數據時代，數據的價值正在進一步的凸顯和被挖掘。同時，數據已經成為企業的核心資產。相應的，以數據為目標的網絡攻擊已經成為數據時代新的安全威脅。來自Verizon的報告顯示，數據泄漏事件愈發廣泛且后果愈發嚴重。

2015年全球有近8萬家公司被黑，其中2122家公司公開確認信息被竊取，全球500強企業大面積淪陷。2016年更是數據泄漏集中爆發的一年，甚至導致了一定程度的社會恐慌，以致于多個漏洞發布平臺被迫關閉。

市場上現有的網絡安全和操作系統安全產品，都從不同的方向提供對數據的防護。但是由于距離真實數據較遠，無法從根本上防止這些數據庫泄密風險。只有在現有的安全防護體系中，以數據庫為中心，補充對數據的防護這一環節，部署“術業有專攻”的數據安全管理系統，才能從根本上解決數據安全問題。

2、需求分析

某省政務云平臺管理大量的政府應用。所管理的數據庫服務器以物理機方式部署于云下，數據庫全部為Oracle，大概有300余個實例。政務應用則部署于云上。業務資源層分為政務信息網業務區、托管區、測試區和云平臺管理區，重點需要對數據庫服務器所在的托管區進行防護。

需要解決的具體問題有兩類：

(1) 一是解決該政務云內部數據安全，也就是針對該政務云內部人員運維過程中的數據安全問題;

(2) 另一個是為該政務云的租戶解決數據安全管理問題。

3、解決方案

3.1. 總體方案

依據多年對數據安全管理的經驗，我司提出數據安全管理思路是“將數據關進籠子，在陽光下被訪問”。如下圖所示。

1)數據活動的全面審計。詳細記錄敏感數據被訪問的情況，包括來自于外網用戶和內部人員的訪問，尤其是對批量訪問的審計、越權操作的審計、以及特權操作的審計;

2)細粒度訪問控制。阻斷異常的、違規的、以及SQL注入等攻擊性的查詢和訪問，防止敏感數據泄漏以及被破壞;

3)敏感內容脫敏。有針對性的對不同系統和運維人員，通過動態脫敏技術，實時授予對敏感數據的遮蔽、替換等不同展示方式，防止數據泄漏;同時，對例如開發、測試、數據外發等環境，提供靜態脫敏技術，批量的對敏感數據脫敏，防止真實敏感數據外泄。

4)敏感內容加密。有選擇性的對敏感內容加密，使敏感數據在存儲、備份時以密文方式存在。通過控制加密和解密權限，提供對敏感數據訪問的增強權限管理，防止超級權限被盜用和濫用導致的數據泄漏。

3.2. 實施方案

上述數據安全解決方案基于我司系列數據庫安全加固產品實現。針對具體網絡情況，具體的實施方案如下：

對于政務云內部運維和工作人員：

1) 在物理數據庫服務器前部署數據庫動態脫敏系統，確保運維人員能進行運維的同時又接觸不到真實的數據，防止了敏感數據的泄漏;

2) 在物理數據庫服務器前部署數據庫靜態脫敏系統，確保從生產庫到開發/測試庫的數據經過必要脫敏，定期批量的生成開發測試庫，防止開發測試人員接觸真實數據;

3) 在物理數據庫服務器前通過旁路或者分光的方式部署數據庫審計系統，記錄數據庫訪問操作，并自動發現數據庫攻擊和越權行為，起到威懾作用，并為事后追溯提供依據;

4) 部署數據庫加密系統，保護尤其重要的敏感數據，這樣即使數據被竊取也看不到明文;

5) 應用既可以通過防火墻訪問數據庫，也可以通過動態脫敏訪問數據庫。

該解決方案對于租戶的系統和工作人員：

1) 云上的租戶可以選擇是否用審計、防火墻、加密和脫敏，此時我司的設備均以虛擬機的方式部署;

2) 對于云上的審計，以獨有的DB探針實現。該探針技術使用SQL語句實現，獲取并記錄對租戶數據庫的一切訪問，發送到獨立運行的數據庫審計服務器中;

3) 租戶的運維人員通過動態脫敏訪問數據庫，或者先后通過動態脫敏和防火墻訪問數據庫;

4) 對于云上的數據庫防火墻和動態脫敏，以單臂代理方式部署。數據庫防火墻/動態脫敏在轉發數據庫訪問通信流量的同時，對訪問情況進行記錄或者過濾。數據庫防火墻系統通過自動學習，建立防火墻規則，從源頭上阻止SQL注入、越權數據訪問以及其它對數據庫的攻擊。動態脫敏系統則防止云上租戶內部辦公人員通過截屏等方式泄漏敏感信息。

4、方案價值和優勢

中安威士數據安全管理解決方案基于數據庫審計、數據庫防火墻、數據庫加密和數據庫脫敏產品實現。方案完整地解決了貴單位信息系統所廣泛面臨的數據泄漏困境。該方案的優勢體現在：

快：業界最高的處理性能：

· 連續處理能力：1~10萬SQL/s

· 日志檢索速度: <10秒鐘，1億記錄，任意關鍵字組合查詢

· 日志存儲能力: 30~100億SQL/TB

· 帶索引的加密速率: >9k/s

智：智能化自動學習，基本實現零配置;

穩：十余年技術積累，國內最早專利技術，上千實際案例，產品運行穩定;

全：全面的功能和全面的審計：

· 不丟包：高峰流量不丟包，完全審計

· 不漏審：全方位的審計，不漏掉從任何途徑對數據庫的訪問

· 全功能：具有敏感數據發現、性能審計、漏洞掃描和風險評估

· 能夠部署于任何環境

美：美觀的報表和界面。提供大量報告模板，包括各種審計報告、安全趨勢等。可實現報表格式和模板的自定義;

細：細粒度的審計和訪問控制，達到字段、語句級。