作為國家基礎(chǔ)性產(chǎn)業(yè)，能源行業(yè)的信息化建設(shè)自上世紀(jì)60年代啟動(dòng)。信息化程度日趨成熟，很大程度上提高了行業(yè)內(nèi)企業(yè)管理效率及核心競(jìng)爭力，但與此同時(shí)，隨著能源行業(yè)多項(xiàng)業(yè)務(wù)系統(tǒng)的上線，核心業(yè)務(wù)數(shù)據(jù)的存儲(chǔ)與管理面臨更大的挑戰(zhàn)，業(yè)務(wù)數(shù)據(jù)、用戶數(shù)據(jù)以及各類財(cái)務(wù)、人力等內(nèi)部運(yùn)營敏感信息，一旦遭到泄露或篡改，將影響業(yè)務(wù)系統(tǒng)的正常運(yùn)轉(zhuǎn)，關(guān)系民生。近年來，能源行業(yè)對(duì)于核心數(shù)據(jù)庫的安全防護(hù)，已經(jīng)在行業(yè)內(nèi)獲得關(guān)注。

安華金和近些年為能源行業(yè)多家用戶進(jìn)行過數(shù)據(jù)庫安全評(píng)估，整體情況并不樂觀，我們看到有用戶檢測(cè)結(jié)果顯示，“未通過項(xiàng)”中高危漏洞占比達(dá)到近三成。在幾輪的安全評(píng)估之后，我們從中歸納總結(jié)出幾類安全問題，由于該行業(yè)的信息系統(tǒng)大多為統(tǒng)一標(biāo)準(zhǔn)，幾類問題可以說是整個(gè)行業(yè)的數(shù)據(jù)庫安全通病。

以某能源行業(yè)北方某分公司數(shù)據(jù)庫安全加固項(xiàng)目為例，用戶在進(jìn)行數(shù)據(jù)庫加固項(xiàng)目規(guī)劃前，首先對(duì)核心數(shù)據(jù)庫系統(tǒng)進(jìn)行了一次全面的安全檢查，希望根據(jù)檢測(cè)報(bào)告制定有針對(duì)性的加固方案。

本次安全檢查利用安華金和數(shù)據(jù)庫漏洞掃描系統(tǒng)(DBScan)，檢測(cè)共涉及1000余檢測(cè)項(xiàng)，結(jié)果顯示未通過項(xiàng)為50余項(xiàng)，其中高危風(fēng)險(xiǎn)占比21%，中、低危風(fēng)險(xiǎn)占58%，其余為存在潛在風(fēng)險(xiǎn)的警告提示。風(fēng)險(xiǎn)等級(jí)主要根據(jù)各類安全漏洞、隱患可能導(dǎo)致的危害程度來評(píng)定。

綜合檢測(cè)結(jié)果，以及與用戶交流數(shù)據(jù)庫系統(tǒng)的運(yùn)維情況，安華金和對(duì)能源行業(yè)整體數(shù)據(jù)庫安全問題及隱患進(jìn)行了歸納與總結(jié)，希望可以為該行業(yè)用戶數(shù)據(jù)庫安全治理提供一些參考：

用戶對(duì)自身數(shù)據(jù)資產(chǎn)具體情況不完全清晰

數(shù)據(jù)庫安全狀況的檢測(cè)和后期加固，需要用戶提供自身數(shù)據(jù)庫系統(tǒng)的詳細(xì)架構(gòu)、數(shù)據(jù)表分布和使用情況等，例如信息系統(tǒng)中數(shù)據(jù)資產(chǎn)的規(guī)模和分布是怎樣?數(shù)據(jù)資產(chǎn)之間的關(guān)聯(lián)關(guān)系是怎樣?哪些數(shù)據(jù)需要進(jìn)行安全防護(hù)?哪些數(shù)據(jù)應(yīng)該清理?我們發(fā)現(xiàn)，數(shù)據(jù)這些問題有些用戶并不能梳理清楚。這將直接影響后續(xù)數(shù)據(jù)庫安全加固建設(shè)方向的準(zhǔn)確制定，在后期方案落地過程中也將面臨諸多問題。

數(shù)據(jù)庫系統(tǒng)自身存在的安全漏洞無法實(shí)時(shí)更新補(bǔ)丁

檢測(cè)未通過項(xiàng)中數(shù)據(jù)庫自身的安全漏洞占比不小，這個(gè)結(jié)果在我們的預(yù)料之中，該能源行業(yè)主要使用的數(shù)據(jù)庫系統(tǒng)為Oracle、MySQL、Postgre、SQL Server等主流數(shù)據(jù)庫類型。我們知道，越是成熟、廣泛應(yīng)用的數(shù)據(jù)庫，被發(fā)現(xiàn)的自身漏洞反而越多，雖然數(shù)據(jù)庫廠商能夠及時(shí)發(fā)布補(bǔ)丁，但出于時(shí)間、人力成本及對(duì)關(guān)鍵業(yè)務(wù)系統(tǒng)運(yùn)轉(zhuǎn)連續(xù)性的考慮，戶很難做到頻繁的更新補(bǔ)丁、重啟系統(tǒng)。利用諸如SQL注入、緩沖區(qū)溢出、權(quán)限提升等安全漏洞，發(fā)起威脅攻擊正是黑客們最常用的攻擊手段。

數(shù)據(jù)庫系統(tǒng)存在的弱口令賬戶、缺省賬戶以及低安全配置，構(gòu)成潛在安全隱患

數(shù)據(jù)庫用戶密碼過于簡單易猜，檢測(cè)工具識(shí)別為弱口令賬戶，此外，掃描結(jié)果顯示，用戶數(shù)據(jù)庫系統(tǒng)中仍然存在一些未修改過初始密碼的賬戶，即為缺省賬戶。拿Oracle來說，各版本數(shù)據(jù)庫系統(tǒng)共計(jì)700多個(gè)賬戶，出廠自帶的原始用戶名和密碼大多類似，稍有數(shù)據(jù)庫操作經(jīng)驗(yàn)的人很容易破解。弱口令和缺省賬戶的存在，成為外部人員暴力破解，入侵?jǐn)?shù)據(jù)庫的捷徑，不容小覷，以下是在檢查中發(fā)現(xiàn)的部分缺省用戶：

另一方面，檢測(cè)中安華金和數(shù)據(jù)庫漏洞掃描系統(tǒng)對(duì)低安全性的系統(tǒng)配置項(xiàng)進(jìn)行了警告，如各類權(quán)限分配不當(dāng)、參數(shù)設(shè)置不當(dāng)、登陸次數(shù)不受限等等。配置缺陷屬于潛在隱患，可能形成安全風(fēng)險(xiǎn)或系統(tǒng)性能的損耗。下面列舉個(gè)別配置缺陷警告：

對(duì)于擁有高權(quán)限的內(nèi)部運(yùn)維人員、第三方人員，無有效的細(xì)粒度管控措施

上文我們提到，該能源行業(yè)信息化程度較高，各類業(yè)務(wù)系統(tǒng)的開發(fā)、測(cè)試、運(yùn)維等需要耗費(fèi)大量的人力成本，第三方外包顯然是最為合適的方式，對(duì)于第三方運(yùn)維工作，外包人員往往被授予數(shù)據(jù)庫最高權(quán)限;而對(duì)于開發(fā)、測(cè)試等外包項(xiàng)目則需要將部分或全庫數(shù)據(jù)外發(fā)，誰來保障他們的可信度?

反觀內(nèi)部，本就掌握數(shù)據(jù)庫最高權(quán)限的運(yùn)維人員同樣存在安全風(fēng)險(xiǎn)，我們了解到，一名運(yùn)維人員常常肩負(fù)多個(gè)大型業(yè)務(wù)系統(tǒng)及數(shù)據(jù)庫服務(wù)器的運(yùn)維管理職責(zé)，工作強(qiáng)度高峰期時(shí)，誤操作在所難免。這種情況下，沒有采取有效的細(xì)粒度管控措施，則無法確保高權(quán)限用戶的增刪改查操作是否符合原業(yè)務(wù)需求，近年來的多起數(shù)據(jù)泄露事件顯示，越來越多的泄露或丟失原因開始指向內(nèi)部人員或第三方外包人員。

基于上述在能源行業(yè)用戶中顯現(xiàn)的真實(shí)問題，安華金和的技術(shù)專家提出了幾項(xiàng)有效的安全加固建議

1、針對(duì)數(shù)據(jù)資產(chǎn)進(jìn)行全面梳理

在進(jìn)行數(shù)據(jù)庫安全防護(hù)之前，首先建議用戶對(duì)企業(yè)內(nèi)數(shù)據(jù)資產(chǎn)進(jìn)行梳理，理清企業(yè)數(shù)據(jù)資產(chǎn)數(shù)量、其中的關(guān)聯(lián)關(guān)系，形成統(tǒng)一規(guī)范的登記備案流程，這個(gè)步驟對(duì)于IT建設(shè)較早的大型企事業(yè)單位來說，是決定一系列數(shù)據(jù)庫安全防護(hù)動(dòng)作的先決條件。

2、實(shí)現(xiàn)高細(xì)粒度的事中安全管控

建議引入專業(yè)的數(shù)據(jù)庫防火墻，基于對(duì)SQL語句的精確解析，可以對(duì)數(shù)據(jù)庫進(jìn)行高細(xì)粒度的主動(dòng)安全管控，需要特別提到的是，數(shù)據(jù)庫防火墻(DBFirewall)因其特有的虛擬補(bǔ)丁功能，能夠提供漏洞特征檢測(cè)能力，不改造數(shù)據(jù)程序的前提下，及時(shí)更新數(shù)據(jù)庫補(bǔ)丁，避免數(shù)據(jù)庫安全風(fēng)險(xiǎn)。

3、針對(duì)數(shù)據(jù)庫操作進(jìn)行實(shí)行審批管控

針對(duì)數(shù)據(jù)庫操作不當(dāng)?shù)男袨椋囿w現(xiàn)在數(shù)據(jù)庫運(yùn)維人員身上，為了實(shí)現(xiàn)對(duì)運(yùn)維側(cè)的數(shù)據(jù)庫操作行為監(jiān)管審批，市場(chǎng)中應(yīng)運(yùn)而生一款數(shù)據(jù)庫安全運(yùn)維產(chǎn)品，該產(chǎn)品中引入規(guī)范的操作審批流程與機(jī)制，對(duì)內(nèi)部或第三方運(yùn)維人員的操作申請(qǐng)細(xì)化至語句級(jí)別的審批，同時(shí)提示操作申請(qǐng)的風(fēng)險(xiǎn)度，并確保實(shí)際操作、執(zhí)行人與原申請(qǐng)保持一致。

4、使用專業(yè)的脫敏工具保證數(shù)據(jù)脫敏效果

當(dāng)敏感數(shù)據(jù)需要外發(fā)時(shí)，為保證真實(shí)數(shù)據(jù)不被泄露，脫敏處理是必要手段。既要確保真實(shí)數(shù)據(jù)被擾亂，同時(shí)又不影響開發(fā)、測(cè)試、分析等工作的順暢進(jìn)行，引入專業(yè)的數(shù)據(jù)脫敏工具能夠輸出這樣的高質(zhì)量脫敏結(jié)果。同時(shí)，面對(duì)該能源行業(yè)各類應(yīng)用系統(tǒng)對(duì)數(shù)據(jù)庫的訪問，動(dòng)態(tài)脫敏技術(shù)，能夠滿足應(yīng)用客戶端對(duì)數(shù)據(jù)庫的實(shí)時(shí)訪問，動(dòng)態(tài)脫敏，確保只釋放權(quán)限內(nèi)的敏感數(shù)據(jù)滿足業(yè)務(wù)需要。

5、針對(duì)數(shù)據(jù)庫操作進(jìn)行實(shí)時(shí)風(fēng)險(xiǎn)感知，全面審計(jì)告警

需要對(duì)數(shù)據(jù)庫訪問及操作行為進(jìn)行實(shí)時(shí)的監(jiān)控與審計(jì)，實(shí)時(shí)捕獲數(shù)據(jù)庫登陸的異常行為，比如頻繁出現(xiàn)的數(shù)據(jù)庫登陸用戶口令異常等。通過審計(jì)記錄，對(duì)來自運(yùn)維側(cè)或應(yīng)用側(cè)執(zhí)行的失敗sql語句進(jìn)行分析匯總，發(fā)現(xiàn)可能出現(xiàn)的邏輯錯(cuò)誤或?qū)?shù)據(jù)庫構(gòu)成威脅的異常訪問行為，比如權(quán)限不足的用戶嘗試對(duì)數(shù)據(jù)庫敏感信息進(jìn)行越權(quán)訪問或變更。

以上內(nèi)容是安華金和面向能源行業(yè)，針對(duì)多家用戶單位進(jìn)行數(shù)據(jù)庫安全檢測(cè)后總結(jié)提煉，希望可以讓用戶意識(shí)到數(shù)據(jù)庫安全防護(hù)的重要性，并有效幫助用戶解決核心數(shù)據(jù)安全問題。