行業需求與挑戰
在等級保護中，數據庫安全建設的總體目標，一是要保證核心數據庫自身的安全性，確保數據庫不會受到攻擊造成業務系統的癱瘓；二是要求保證數據的保密性和完整性，對核心數據庫中的敏感數據進行有效的安全防護，確保關鍵數據不泄密，不被違規篡改；三是在數據庫使用過程中及時發現安全問題，防患于未然，按修復建議進行安全加固。
信息系統的核心數據存在數據庫中的，數據庫作為核心數據資產載體，一旦發生無意識危險操作、信息泄露、惡意篡改，都將造成最為慘痛的損失。據Verizon 2015數據泄露調查報告，數據庫服務器占泄露記錄總數的96%，成為頭號可能的泄露數據源。
隨著當前業務系統及數據庫的部署規模、訪問人員和密集度的不斷增加，來自于外部攻擊者、第三方運維和開發人員、內部維護人員的威脅訪問，給企業數據安全帶來了嚴峻的挑戰。
外部威脅
目前已知的來自外部黑客常見的攻擊手段和漏洞包括：SQL注入、緩沖區溢出、拒絕服務、提權等，也有利用未及時安裝補丁、缺省安裝漏洞、程序后門和危險代碼破壞權限體系，導致數據庫服務終止和敏感數據泄密；
內部運維人員和DBA
明文存儲的安全威脅，使得數據文件、備份文件被拷貝后，可以輕易恢復。
DBA等高權限用戶可以隨時任意地訪問門能干數據；
弱口令的存在，使得容易被人暴力破解或嘗試成功，訪問敏感數據導致泄密和篡改；
第三方運維和開發人員
知道數據庫管理員賬號，主要威脅在于假冒正常應用賬戶、合法DB用戶繞過應用程序使用命令行工具訪問數據庫、通過數據庫客戶端批量導出敏感信息導致泄密。
管理
內部人員、第三方維護人員的誤操作、維護操作、越權操作和惡意操作，
多人共用一個賬號，責任難以分清，超級管理員操作難以監管和審計。
方案概述
本方案通過對安全威脅的分析，進行整體設計與規劃，系列安全產品相互之間分工協作，共同形成整體的防護體系，覆蓋了數據庫安全防護的事前診斷、事中控制和事后分析。
事前診斷：通過數據庫漏掃產品，有效檢測數據庫已知漏洞，并有效修復。
定期進行數據庫安全檢查，防患于未然，對數據庫安全風險進行綜合評估，使用專門的數據庫漏洞掃描系統，對生產域中數據庫的安全現狀進行全面檢測。安全漏洞項包括：弱口令、缺省口令、弱安全策略、權限寬泛、敏感數據發現、權限提升漏洞、補丁升級等，評估是否存在安全漏洞并提供修復建議，為系統的安全配 置提升提供有效的參考。
事中控制：通過數據庫防火墻和數據庫加密解決。
數據庫防火墻-從訪問源頭來保護數據，監測數據庫的訪問，防止未授權的訪問、SQL Injection、權限或角色的非法提升以及對敏感數據的非法訪問。高度精準的基于SQL語法的分析，避免誤判；基于黑、白名單的靈活的SQL級策略設 置；支持Bypass和Proxy及混合部署模式，支持高可用，大限度的適應企業需求；虛擬補丁技術避免數據庫因為不能進行補丁升級而造成的惡意訪問。
在數據庫中加密存儲敏感信息防止被解析為明文，通過獨立于數據庫的權控體系和引入安全管理員、審計管理員實現三權分立的安全管理手段，防止DBA、 第三方外包人員和程序開發人員越權訪問敏感信息，結合動態口令卡和SQL級API與應用系統進行綁定解決繞過應用程序非法訪問數據庫的問題。
事后分析：通過數據庫審計技術解決。
網絡旁路審計通過在核心路由設備上設置端口鏡像或采用分流監聽，使安全審計能夠監聽到所有用戶通過路由設備與數據庫進行通訊的操作，并把數據庫操作進行協議還原和分析，細致的數據庫操作審計和用戶審計，并有豐富的查詢檢索和報表功能，維護簡單、具備專業審計功能，節約人力，減少維護費用。
方案價值
本方案規劃使用專門的數據庫漏洞掃描系統，對當前系統中重要數據庫進行全面的安全漏洞檢測，有效暴露當前數據庫系統的安全問題，同時提出漏洞修復的建議，進行整體安全加固。從而提升數據庫系統整體的安全性。
本方案規劃使用數據庫加密產品，實現對數據庫中重要敏感信息的安全保護，從存儲層、數據庫訪問控制層、應用安全層面實現全方位防止敏感信息泄密。
本方案規劃使用數據庫防火墻產品，通過防SQL注入、防高危操作來阻止外部黑客攻擊者入侵行為，實時的告警，同時采用防火墻產品中的審計能力，進行事后分析。
江蘇國駿-打造安全可信的網絡世界
為IT提升價值
http://www.zhuzhoucarbide.com/
免費咨詢熱線：400-6776-989
