云数据库解决方案

综述

一、项目背景

是指大力推进商务、生产、生活等领域的信息化,促进信息产业、信息技术、信息资源和信息环境全面发展，建成全球重要的信息产业研发制造基地、亚洲重要的电子商务中心、全国网络民生民主先行示范区、网络创业创新集聚地，成为面向全世界、服务全国的信息区域中心。

值得注意的是，在信息化数字平台的建设中，人们往往较重视服务器的可用性和安全性，而忽视了数据安全保护。实际上，数据才是各类应用的中枢所在，灾难发生时，服务器、路由器、存储设备等硬件资源容易快速恢复或重新配置，但是若是数据损坏或丢失，信息系统依然不能正常对外提供服务。同时，随着大数据时代的来临，数据成为最有价值的核心资产。大数据平台系统为各行业、部门的精确化管理与业务优化，提供战略的规划与决策，同时提供了及时、准确、有力的数据支撑。与此同时，各类涉及商业秘密和敏感数据信息在处理、共享和使用过程中也面临被违规越权使用或被用于非法用途等数据信息泄漏的安全风险。因此，数据信息已经成为信息化平台建设中的核心资产，尤其敏感数据信息泄露事件的频繁发生，严重的影响着国家和人民的利益。

二、项目分析

1、数据安全政策分析

随着信息化平台的深入建设，云平台内部的各种业务和信息支撑系统不断增加，网络规模也迅速扩大。数据库做为信息技术的核心和基础，承载着越来越多的关键业务系统，渐渐成为信息安全中最具有重要性的资产，数据库的安全稳定运行也直接决定着项目能否创造出应有的价值。综上所述，数据安全也成为开展需要考虑的重大问题。另外，国家、保密委、国家等级保护体系中都对数据库安全情况做出了明确的要求，其中：

2016年11月7日，《中华人民共和国网络安全法》(以下简称“《网络安全法》”)正式通过，2017年6月1日起施行。《网络安全法》共包括七章，七十九条，对网络安全等级保护制度、关键信息基础设施保护和用户个人信息保护制度等从法律层面上进行了规定。网络安全法特别强调了数据的安全问题，明确指出需要对数据的采集、使用、传输、存储等环节进行保护，具体条款如下：

1）第二十一条：国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求【谁主管谁负责】 ，履行下列安全保护义务保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改；

（1）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；

（2）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；

（3）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；

（4）采取数据分类、重要数据备份和加密等措施；

（5）法律、行政法规规定的其他义务。

解读如下：

（1）本条明确网络安全等级保护制度（也就是常说的”等保”）是信息安全建设的基本要求；

（2）明确数据安全的内容：保护网络数据不被泄露或者被窃取、篡改。

（3）在以前的等保中，数据安全常常是可选项，而且常常是不被选择的项目。通过本法本条，可以认为数据安全不再是“可选项”，而是必选项。这将极大的改变等保的实施内容。

（4）当前的网络攻击、网络侵入很多是以窃取数据为目的的，需要采取防止数据窃取的技术措施。对网络安全事件的日志留存时间不少于六个月。这对数据访问记录的日志留存时间做出了明确要求，要高于6个月。

（5）要对数据根据敏感性进行分级和分类，从而对数据进行细粒度的访问控制。

（6）明确要求对重要数据进行备份和加密。

2）第四十二条：网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。

解读如下：

（1）本条要求，对他人提供所收集到的个人信息，必须是“经过处理的无法识别且不能复原的”。在技术上，这即是指要求对敏感数据进行脱敏处理。

（2）本条明确要求网络运营者采取技术措施防止数据的泄露、毁损、丢失。

（3）本条要求发生数据安全事件时，网络运营者应该主动上报并采取补救措施。但是现实情况是很多数据泄露事件和数据篡改事件发生过很久以后，网络运营者才知道。所以在主动发现数据安全事件方面，还需要更多的技术投入。而且在补救方面，如何找到攻击路径，也是一大难题。合格的数据库审计产品能够在一定程度上主动发现数据安全事件，并能在数据安全事件溯源方面提供帮助。

3）公安部 《信息系统安全等级保护基本要求》

网络安全要求：

（1）应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录

（2）审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

（3）应能够根据记录数据进行分析，并生成审计报表

（4）应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等

主机安全要求：

（1）审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户

（2）审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件

（3）审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等

（4）应能够根据记录数据进行分析，并生成审计报表

（5）应保护审计进程，避免受到未预期的中断

（6）保护审计记录，避免受到未预期的删除、修改或覆盖等

（7）应能够根据信息系统的统一安全策略，实现集中审计

数据安全要求：

（1）应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性。

另外一些行业性的法规和标准也陆续被推出和执行，例如：《计算机信息系统安全保护等级划分准则》、《数据库管理系统安全技术要求》、《涉及国家秘密的信息系统分级保护技术要求》、《涉及国家秘密的信息系统分级保护管理规范》、《中国人民解放军计算机信息系统安全保密规定》、《中国塞班斯法案(SOX)》、《信用卡标准 (PCI)》，以及电力SG168、卫生部防统方、互联网金融安全基本法、央企商业机密保护条例……

这些法规和标准中，对结构化数据和数据库的保护提出了明确的要求和相应实践的标准。

2、风险分析

下图是一个典型的信息系统和安全防范情况示意图，描述了当前信息安全的情况。从图中可以看出，从用户终端浏览器或APP用户到Web/APP服务器这一段的防护手段是比较多的。但是，在Web/APP服务器之后，防护手段就相当有限。在这种情况下，数据库和其中的数据，极易遭受来自于外部和内部的形式多样的攻击。外部攻击者可以绕过前端防护系统或者穿透应用程序直接访问数据库。而内部人员的蓄意越权访问、误操作、或是介质窃取等，都是数据泄露的通常途径。虽然被报道的数据泄密事件主要是来自于外部攻击，但是据多个调查结果显示，来自于内部的数据泄漏事件占70%以上。

据Verizon2017年发布的数据泄露调查分析报告和对发生的信息安全事件技术分析，排名在前4的攻击模式（各种失误、犯罪软件、内部人员/权限滥用、物理偷窃/丢失）涵盖了90%的数据泄密事件，而这4种类型中有3种类型是人为的因素导致的数据泄露。数据泄露也常常发生在内部，大量的运维人员直接接触敏感数据，传统以防外为主的网络安全解决方案失去了用武之地。

中安威士在多年的项目实践过程中，对网络环境下的数据安全管理和数据库安全问题进行了调研，总结了数据库及其管理的数据所面临的主要泄密风险如下图所示，在一个具体的网络环境示意图中，我们可以看到：

1)   数据库相当于一个黑盒子，我们无法可视化的了解数据库的访问状况，无法对风险进行查看，无法对风险进行报警 ，缺乏详尽的审计

2)   在业务服务器区存在用于无法全部清理的系统漏洞、开发人员留的后门及SQL注入漏洞等，那么客户区，业务办公区，运维区都可能利用这种漏洞对数据库进行攻击

3)   业务人员和内部人员可以利用内网进行数据导出也存在很大风险

4)   运维人员的越权访问，或者权限过高，例如：DBA新建用户时，没有细化权限，导致本应只有查询权限的用户，进行数据删除，或者更新操作，或者DBA利用管理权限进行窃取数据

5)   内部人员也有可能对数据库做了误操作的行为，导致生产事故

通过对上图场景的分析，中安威士根据多年数据安全的项目经验，总结出数据库面临的主要风险:

1)   越权权限的滥用：数据库权限设置违反了“权限最小原则”在很多信息系统中比较普遍。如果这些超出的权限被滥用，则极易发生敏感数据泄漏事件；

2)   合法权限滥用：系统中总是有一部分用户合法的拥有较大甚至是超级管理权限。如果这些权限被滥用，则极易发生严重后果；

3)   权限盗用：由于商用数据库的用户认证方式主要为单一的口令方式，权限盗用容易发生，进而极易导致严重的数据泄漏事件；

4)   数据库平台漏洞：数据库管理系统是个复杂的软件系统，从数据库厂家发布的补丁情况来看，数据库系统无一例外的具有严重的安全漏洞。如缓冲区注入漏洞或者认证、权限管理漏洞。这些漏洞极易被攻击者利用以窃取数据；

5)   SQL注入、缓冲区溢出风险：数据库本身不具备SQL注入攻击检测能力。通过Web/APP插入恶意语句，或者利用连接工具发动缓冲区溢出攻击，攻击者便有机会获得整个数据库的访问权限；

6)   弱鉴权机制：商业数据库系统提供的基本的管理机制，主要是自主访问控制（DAC）和基于角色的访问控制（RBAC）。并没有采用强制访问控制的方式（MAC），基于用户和数据的敏感级别来进行权限的鉴别。这容易使得低密级用户访问到高密级的数据；

7)   缺乏详尽审计：审计是每个数据库管理系统标配的安全特性，用于记录对数据的访问情况，从而形成对非法访问的威慑。而数据库自身的审计功能在可视化、智能化、入侵检测能力等方面能力较弱，通常无法满足实际的安全需求。

3、需求分析

在信息资产上存在大量的政务数据及公民信息，有大量包括姓名、身份证号、地址、银行卡号、合同号等个人隐私信息。而这些数据，在政务的很多工作场景中都会使用，例如业务分析、开发测试、审计监管，甚至是一些外包业务等，使用的都是真实的业务数据和信息。一旦信息泄露，无论对公司还是管理人员都会造成严重影响。敏感信息保护是紧迫性高、影响程度大的风险管理工作，直接影响到建设声誉和业务开展。

通过对数据库存在的风险分析，和相关的法规标准要求，中安威士将数据库安全的真实需求概括为三点：

1）数据安全风险可视化

了解数据资产的分布。需要自动发现数据库服务器、敏感数据的分布情况，为后续安全加固明确目标；

实时掌握数据库系统的可用性。要求能对数据库运行状态进行实时监控，在状态异常时进行预警，提前防止业务瘫痪，保障业务系统的连续可用性；

实时掌握数据库存在的风险状况。要求能通过扫描的方式，静态的评估企业数据库系统的风险，扫描内容包括：弱口令检测、系统漏洞、配置风险等；

需要进行数据活动监控。实时监控数据活动情况，记录数据访问行为，尤其是对敏感数据的访问行为。要求能实现对数据库的直接访问和通过Web和应用对数据库的间接访问进行全面监控。

对高危风险进行报警。通过策略配置识别网络中的数据库操作语句，是否存在风险，对风险级别进行管理并告警处理。

2）数据的可控性

在日常数据库使用中针对合法权限滥用、被盗用等造成的数据泄露、数据损毁、数据被篡改等采取技术手段降低风险；

需要进行数据库攻击检测和保护。由于数据库系统本身可能存在的通讯协议漏洞、数据库平台漏洞等造成系统被SQL注入攻击、缓冲区溢出攻击等来自数据库日常使用边界之外的恶意攻击风造成的数据泄露、损毁风险。

3）数据合规性

信息系统需要通过各种安全检查和测评。比如等保、分保测评，或者行业法规标准的检查。

总体方案

一、方案概述

针对的数据库安全安全需求，为加强业务系统敏感信息的访问安全审计监控，防止数据库的高危操作，防止SQL攻击。中安威士给出基于数据库审计，数据库防火墙的综合数据安全解决方案，实现“可视”、“可控”、“合规”的需求，如下图，拟对存储敏感信息的数据库进行重点审计，核心数据库进行防火墙高危阻断。确保数据库访问合法合规，重点实现“数据库操作事后追溯取证”、“数据库违规访问行为实时预警”、“核心数据资产的防泄露，防篡改，防攻击”。

1、该方案概括来讲，就是把数据关进笼子，让数据的访问在阳光下进行，为两个递进层次：

1）把数据关进笼子

通过数据库防火墙产品，基于自动学习和规则配置，生成细粒度的访问控制规则，阻断异常的查询和访问，防止敏感数据泄漏。阻断异常的和违规的数据修改和删除操作，防止敏感数据被非法篡改。

2）让数据的访问在阳光下进行

通过数据库审计产品，对数据的分布、性能、访问和活动情况进行全方位的监控和记录，做到哪个用户、在什么时间、访问了哪些数据库中的什么语句，便于事后审计和追查。及时发现数据的异常活动情况和风险，产生报警。输出可视化的报表，便于分析。

二、建设原则

为实现的建设目标，中安威士在资源整合及未来扩展方面进行全面考虑，并遵循以下几项原则进行项目建设建议及产品选型：

1、技术先进性

在设计过程中，应采用国际先进的技术、成熟的产品和设计规范，保证系统的稳定、高效运行，选用符合国际标准的技术和产品，保证系统的一致性，并保证在以后的发展过程中能适应信息技术的发展趋势，采用的技术和产品能够提供清晰地发展路线，很好的保证项目建设总体投资回报率。

2、实用性与成熟性

根据系统实际应用需求进行方案的设计，采用高性能的技术成熟的标准，选用性价比高的设备，建设好的数据库审计、数据库防护墙系统，应该既能够满足业务系统的数据库审计防护需求，又能适应将来应用需求的扩展，使系统能够方便地升级，充分地保护原有的架构。

3、开放性与标准化

我公司主要关注用户的投资保护以及良好的升级路径，采用标准化和开放的标准能够使在选择硬件、软件和服务产品是具有灵活选择能力，以便获得更高性价比的产品和服务。

4、结构的合理性

采用合理高效的系统结构，设计的数据库审计、防火墙系统结构应能合理安排冗余和负载，能够避免投资浪费，保证总拥有成本。

5、高可靠性

数据库审计、防火墙系统设计特别是关键节点的设计中，选用高可靠性产品，并有合理的冗余和可靠的系统备份升级改造设计策略，保证系统具有故障自愈的能力，确保系统可靠运行，也是保障系统正常运行的关键。

6、高性能

构建高质量的数据库审计服务平台，为关键业务提供高可靠的数据库审计平台，业务的特点（高峰和低谷）期间满足核心系统及数据库应用系统的数据库审计访问的需要，并保证有较快的响应速度。

7、安全性

设计的数据库审计、防火墙系统具有足够的安全性，能够防止来自系统内部的恶意破坏及来自系统外部的恶意攻击；能有效地防止因人为误操作带来的影响，提供有效的容灾、容错等风险保障机制，对人为误操作等不可预知的问题应有良好的预防和恢复措施。

8、可扩展性

采用的设备、技术和其它产品必须标准化，系统结构及设备应易于扩展，技术和产品发展具有良好的可持续性、可扩充性，方案设计能够保证方便平滑地对原有系统进行升级和更新，最大限度地保证业务的连续性、可扩展性、数据的高安全性。

三、集成方式

针对现有网络结构，我们通过实际调研，选择最佳部署方式，部署方式原则本着“最大限度不改变拓扑结构”、“最大限度减少对业务影响”、“最大限度减少性能影响”的原则。为客户提供最适宜的方式实现数据安全的防护工作。

1、数据库审计

1）分别在互联网云资源区、云资源区，以及运维管理区部署高性能的数据库审计系统，对所有数据库部署数据库审计，有效监控数据库访问行为，准确掌握数据库系统的安全状态，及时发现违反数据库安全策略的事件，实时记录，并且实现安全事件的定位分析，事后追查取证。

2）在两台相同功能的交换机做冗余部署的情况下，部署一台高性能的审计系统，将两台交换机的数据库流量端口都做镜像，统一发送到审计设备，审计设备针对两个流量口部署相应的数据库引擎，进行数据审计。

2、数据库防火墙

1）针对数据库的防护，需结合交换机策略路由的方式部署数据库防火墙，分别在互联网资源区以及政务外网区域部署数据库防火墙系统，下面以政务外网资源区为例，对两台交换机分别做策略路由，将访问数据库的资源发送到数据库防火墙，防火墙系统接收到数据后，进行策略的匹配，对高危操作进行阻断，对无危险的行为通过防火墙的路由功能或者交换机进行回注，回注到带路由的交换机，然后通过路由策略，发送到数据库进行业务交互。

2）数据库防火墙以纯透明方式部署，可通过软件bypass和硬件bypass来保障链路的高可用性不影响原吞吐量。

四、功能部署建议

1、对所有数据库进行审计，对敏感数据库部署防火墙

项目的数据库主要部署在政务外网云资源区，和互联网云资源区，根据数据安全原则，就需要对这里的所有数据库进行访问行为的审计，做到访问留痕与事后追查，而在整个系统中，需要梳理出认为比较重要的数据库，这里存在的数据被认为是敏感数据，那么就需要通过部署数据库防火墙，实现敏感数据的保护。

2、数据库的性能监控

通过数据库审计的性能监控功能，实时监控数据的运行状态，设定运行的阈值限制，当超出阈值范围内，我们就认为数据库的健康状态有一定的危险，该功能可以对超出阈值的行为进行报警，起到提前预防宕机的可能。

具体监控内容如下：

1）支持监控设备自身的CPU、内存、硬盘、网络等状态，保证系统的稳定运行

2）支持对数据库系统进行全面的状态监控，实时监测数据库系统的运行参数，包括监视器信息、连接时间、用户活动、表空间状态、SGA状态、数据文件性能、回滚段、缓冲区、锁统计、cache信息、线程信息等参数，保证数据库系统运行稳定

3）数据库状态监控所有指标，支持报警

3、数据库的风险评估

通过审计产品的辅助功能，数据库风险扫描，可以对指定的数据库进行扫描，通过扫描给出风险报告，协助数据库管理员，更好的优化数据库的漏洞。风险扫描的具体设置如下：

1）通过弱口令检测，保证口令的强壮度

2）通过对数据库系统用户权限分配的风险扫描，发现权限分配是否合理

3）对数据库、操作系统的安全配置进行检测，检测范围包括：系统类、授权类、认证类，此项目可根据实际情况进行自定义

4）扫描完成生成扫描报告，对扫描结果进行分析，报告，报告中提供修复建议，扫描结果例如下图所示：

4、数据库审计策略支撑
      综合运用数据库审计的基本审计规则，默认高风险审计规则，SQL注入规则，白名单规则，访问行为基线规则，通过了解业务系统的特性，进行针对化的策略配置，在策略运行的同时，定期进行修正，使策略达到最佳状态。

自定义规则可从如下角度进行配置：

通过数据库审计提供灵活的审计策略配置，以保证安全审计员可定义精准的分级审计策略。审计策略可定义条件包括但不限于：策略生效时间周期、源目的IP、目的端口、被审计服务、客户端程序、操作规则集、响应方式、响应时间、影响行数等。

可从安全风险等角度分类提供缺省操作规则集合，安全审计员也可自定义操作规则集。操作规则定义范围需包括：数据库、表、操作类型（命令）、SQL等，需要支持等于、包含等非正则表达式方式。

对上述数据库协议解析还原准确、完整不丢失，不产生乱码截断等问题。解析细粒度必须涵盖源目IP、目的端口、用户名、客户端工具名、主机名、操作系统用户名、SQL语句、操作类型、表对象、错误代码、执行时长、返回结果集、返回行数、绑定变量等，对协议里的部分特性要保证无损还原，确

日志的完整可信；支持对返回结果集全部记录及行解析、列值解析，支持返回结果集检索。

对审计存储过程的创建、执行等命令，同时还能够自动学习到存储过程的具体内容，防止有人使用存储过程执行一些敏感操作躲避审计系统监控；生成符合审计要求的结构化和半结构化日志记录。

中安威士根据丰富的项目经验，总结了一套默认的风险行为处理规则，这套规则可以让客户实现快速的部署并应用。如下图所示：

5、数据库防护墙高危阻断支撑

通过数据库审计一定时间的审计结果，总结出数据库面临的风险行为。

根据风险行为，在数据库防火墙中根据对应的策略设置，将风险行为进行阻断。

数据库防火墙的策略配置方式，与审计的配置方式基本一致。

6、加强数据库违规操作实时预警

主要是针对内外部人员及业务系统对数据库系统访问存在的违规行为通过预设规则实时预警，实时通过邮件、短信、syslog方式及时通知安全审计员，确保第一时间了解数据库违规行为状态。

1）内置漏洞识别攻击策略：内置常见的数据库漏洞攻击策略，包含SQL注入、缓冲区溢出等规则，可发现黑客攻击行为并产生告警。

2）自定义规则：支持自定义安全审计规则，并支持黑白名单系统，保证黑白名单能从整体上做为自定义规则的一个补充和完善。

3）自定义规则条件：支持客户端工具、主机名、操作系统用户名、表对象、操作类型、SQL报文、执行时长、返回行数等规则。

4）支持审计过滤功能：对可信数据库服务器之间的数据抽取访问行为不进行审计。

5）实时预警通知：通过邮件、短信、syslog、ftp等方式实时外送告警日志，并对告警外送日志频率有一定的控制，避免因为恶意的攻击行为覆盖已有的审计日志信息。

7、建设数据库审计事后追查能力

数据库审计系统对所有应用和维护人员的数据库操作及结果记录日志，日志保留周期6个月，确保6个月内的日志可以快速取证追溯，审计取证性能不低于1亿数据检索时间不超过1分钟，提供给安全审计员进行合规分析。

1）流量解析还原处理及日志记录保障。

（1）通过数据库审计采集器对镜像流量按照不同的数据库协议解析引擎进行还原，确保还原成标准的审计记录事件，不丢失任何审计日志记录

（2）对日志中源IP、用户名、客户端工具名、主机名、操作系统用户名、SQL语句、操作类型、表对象、错误代码、执行时长、返回结果集、返回行数的解析，对协议里的部分特性要保证无损还原，确保日志的完整可信；

（3）对返回结果集全部记录及行解析，对返回结果集检索。

2）审计对象自动识别：自动从镜像流量识别目标数据库IP、端口、版本等信息，确保所有数据库访问自动发现并记录日志。

3）分布式部署、集中式管理：管理中心能对所有设备进行统一的配置管理、策略下发、数据查询、报表生成等。

4）针对间接访问数据库场景的审计支撑：实现以下间接访问数据库场景审计，直接追踪到真实的源IP和客户端账号。

（1）客户端通过应用服务器对数据库服务器的访问行为审计，需要通过应用配合改造记录源IP和客户端账号。

（2）客户端通过堡垒机对数据库服务器间接访问行为审计，需要关联堡垒机日志。

（3）客户端通过堡垒机再通过跳板机对数据库间接访问进行审计，需要关联堡垒机日志。

5）日志关联分析：对审计日志实时关联处理，确保每条审计日志关联到对应的责任人姓名、部门，确保准确可查；

6）日志存储：审计日志保留周期不低于三个月，确保日志不可篡改不可删除，系统支持自动清理策略，确保系统的正常运行；

7）数据统计报表：建立多维度统计报表，以多个审计维度，自动导出word、pdf、excel、HTML等格式的报表。

8、审计日志外送

审计日志以多种方式全量定时自动发送、支持C/S客户端工具或WEB端查询结果按需导出，导出excel、文本等格式的日志文件，导出日志包含审计的所有维度要素，同时可自定义数据外送维度，按需送出所需的审计数据。

9、数据统计报表

综合性报表理念，以日报、月报、周报、自定义报表等形式，基于系统性能、高危风险、会话语句等多个维度进行系统性分析，建立多维度的审计数据分析报表，内置数据分析模板，可以从不同维度展示数据库的运行访问状态，导出word、pdf、excel等格式报表。

报表自定义条件支持全审计维度，同时支持自动报表导出自动邮件发送功能，支持按照日、周、月自动发出。

报表结果如下图所示：

支持默认报表40个，支持自定义报表，支持SOX防统方报表等等。

五、功能部署结果

1、通过数据库审计+防火墙的结合部署，能很好的实现可视、可控、合规的需求，能很好解决下图所面临的风险，回归到风险图中可以看到我们的具体解决思路是：

1) 数据库相当于一个黑盒子，我们无法可视化的了解数据库的访问状况，无法对风险进行查看，无法对风险进行报警 ，缺乏详尽的审计

解决方法：通过部署数据库审计系统，详细记录数据库的访问行为，形成可视化的界面日志供查看，同时对数据库进行性能监控和风险扫描，防止数据库的宕机，并且欲知数据库风险，高风险行为进行告警处理，并且形成可视化的报表供查看。

2) 在业务服务器区存在用于无法全部清理的系统漏洞、开发人员留的后门及SQL注入漏洞等，那么客户区，业务办公区，运维区都可能利用这种漏洞对数据库进行攻击

解决方法：通过部署数据库防火墙系统，进行SQL注入、漏洞攻击的防护。

具体防护措施为：

（1）启用数据库的SQL注入规则，该规则内置大量注入模板，对匹配到的数据注入攻击进行阻断操作。

（2）漏洞、后门等行为，体现到数据库中，是一些违反常规的操作语句，可以通过手动配置规则+自动学习策略进行规则匹配

3) 业务人员和内部人员可以利用内网进行数据导出也存在很大风险

解决方法：通过数据库审计系统，运维审计功能，内部人员对数据库的exp，imp等行为进行审计。通过部署数据库防火墙系统，根据手动配置规则，对exp，imp 等操作行为进行阻断，实现防范业务人员和内部人员进行数据导出。

4) 运维人员的越权访问，或者权限过高，例如：DBA新建用户时，没有细化权限，导致本应只有查询权限的用户，进行数据删除，或者更新操作，或者DBA利用管理权限进行窃取数据

解决方法：通过数据库防火墙系统，根据手动策略设置实现用户+操作的策略，在DBA权限的基础上，进行二次认证，防止因为DBA权限分配不细等出现的权限过高，权限滥用。

5) 内部人员也有可能对数据库做了误操作的行为，导致生产事故

解决方法：通过数据库防火墙系统，根据手动策略设置实现默认高风险阻断的策略，例如：禁止DROP, TRUNCATE, ALTER等操作，防范恶意删除，或者误操作。 

六、功能优势

1、保护核心数据资产，防止内部越权访问

2、防止内部人员泄密、违规备份、权限滥用、误操作等；

3、防止运维人员和第三方人员违规访问敏感数据。

4、保护核心数据资产，防止外部攻击

5、防止外部黑客攻击，窃取数据；

6、防止SQL注入攻击、缓冲区溢出以及权限盗用等。

7、对合法应用和用户透明

8、智能学习，自动生成安全基线，无需手工配置复杂的规则；

9、高稳定性与高性能，支持双机热备，保证业务连续不中断；

10、不需要对当前网络环境、应用配置做审核更改；

11、对授权用户的访问与管理过程无影响。

方案价值

一、方案价值

1、通过上述解决方案，有效解决了政务云的数据安全所面临的威胁：

1）使数据活动可视。实时显示政务云的敏感数据的分布情况、访问情况、风险状况，及时发现数据的异常活动状况和风险，实现数据库安全最基本的要求。

2） 使数据安全可控。即通过控制对政务云的数据的活动和访问，防止数据库中的敏感信息部分或全部被偷窥、拖库或者镜像，防止数据库中的敏感信息被非法修改或者删除。

3.）满足合规要求，快速通过评测。产品实现独立的审计和访问控制，直接输出合规的报表，满足政务云的多个法规和标准的要求。能够帮助政务云的快速通过各种安全保密检查和评测，比如等保评测。

2、具体来说，中安威士数据库安全加固系统带给客户如下价值：

1）简化业务治理，提高数据安全管理能力

由于数据库系统是一个复杂的软件“黑盒子”，其可视化程度很低。数据库管理员很难说清在任意时刻数据被访问的情况。这对业务治理带来了很大的困难。尤其在云环境中，这种不可视化程度更加严重。数据安全解决方案通过多种手段全面监控数据的访问情况，并提供丰富的预设统计报表，以图形化的方式将数据的访问情况和风险情况可视化，极大的简化了业务治理，提高了数据安全管理能力。

2）减少核心数据资产被侵犯，保障业务连续性

数据是最有价值的资产，也是攻击者想偷窥、篡改、甚至删除的终极目标。核心数据被侵犯，轻则导致业务中断，重则导致信息泄密和篡改，严重威胁国家信息安全。应用系统中管理权和所有权的分离也大大提升了数据被侵犯的风险。数据安全解决方案紧密贴合数据，实现数据安全的可视性和可控性，并最终减少核心数据资产被侵犯的可能性，保障正常的业务连续性。

3）完善纵深防御体系，提升整体安全防护能力

建立纵深的防御体系已是信息安全建设的共识。数据库到应用系统这一段，是信息安全的最后一公里，也是最后一道防线，涉及的是最直接的敏感数据安全管理，直接关系到敏感数据的安全。同时，在数据/业务层加强安全防护，也逐步成为信息安全的新方向。公司系统紧贴核心数据，针对信息安全的最后一公里以及数据/业务层提供丰富的防护手段，有利于政务云完善纵深防御体系，提升整体安全防护能力。通过数据库审计+防火墙的结合可以对完美的解决数据库所面临的主要风险。

（1）越权权限的滥用：数据库权限设置违反了“权限最小原则”在很多信息系统中比较普遍。如果这些超出的权限被滥用，则极易发生敏感数据泄漏事件；

（2）合法权限滥用：系统中总是有一部分用户合法的拥有较大甚至是超级管理权限。如果这些权限被滥用，则极易发生严重后果；

（3）权限盗用：由于商用数据库的用户认证方式主要为单一的口令方式，权限盗用容易发生，进而极易导致严重的数据泄漏事件；

（4）数据库平台漏洞：数据库管理系统是个复杂的软件系统，从数据库厂家发布的补丁情况来看，数据库系统无一例外的具有严重的安全漏洞。如缓冲区注入漏洞或者认证、权限管理漏洞。这些漏洞极易被攻击者利用以窃取数据；

（5）SQL注入、缓冲区溢出风险：数据库本身不具备SQL注入攻击检测能力。通过Web/APP插入恶意语句，或者利用连接工具发动缓冲区溢出攻击，攻击者便有机会获得整个数据库的访问权限；

（6）弱鉴权机制：商业数据库系统提供的基本的管理机制，主要是自主访问控制（DAC）和基于角色的访问控制（RBAC）。并没有采用强制访问控制的方式（MAC），基于用户和数据的敏感级别来进行权限的鉴别。这容易使得低密级用户访问到高密级的数据；

（7）缺乏详尽审计：审计是每个数据库管理系统标配的安全特性，用于记录对数据的访问情况，从而形成对非法访问的威慑。而数据库自身的审计功能在可视化、智能化、入侵检测能力等方面能力较弱，通常无法满足实际的安全需求。

4）满足合规要求，快速通过评测

实现独立的审计和访问控制，直接输出合规的报表，满足多个行业多个法规和标准的要求，能够帮助企业快速通过各种安全保密检查和评测。

综上所述，中安威士数据保护产品，对政务云数据提供了全方位，全天候的保护，为政务云带来崭新的数据保护体验。