微博图标
安华金和官方微博
微信图标
安华金和官方公众号
4000 258 365
用户名:
密码:
忘记密码? 尚未注册?
邮箱地址:
密码:
确认密码:
手机:
单位:
注册

能源行业数据库安全解决方案

行业需求与挑战

电力行业根据电网正常运转的要求,划分为不同级别的信息系统,按“分区隔离、网络专用”的要求,分为四个大区,四个大区之间实现隔离。采用这种机制的主要目的是保障系统的可靠性和稳定性,防止低级别的,对系统有攻击性、危害性的代码和程序流入更高安全级别的系统。

管理信息大区与互联网采用单向隔离装置和数据库隔离装置实现内外网隔离;将所有的数据库布置在内网中,所有需要提供互联网访问的Web应用系统放在外网,通过数据库隔离装置保障只有数据库通讯协议能够通过隔离装置访问到内网的数据库;隔离装置通过对数据库协议的解析和控制,实现外部系统对数据库的攻击行为的防护。

电力系统的核心生产系统和控制系统基本属于等保2级系统,EMS系统和SCADA系统达到4级,部分经营管理系统达到3级,其余系统均在2级以上。

现有的电力系统二次安全防护方案很好地隔离了外网、管理信息大区、生产控制大区之间的非法访问。但在管理信息大区中,积累了大量的电力敏感数据,例如财务数据、营销数据、人资数据、市场信息、生产管理信息等,这些来自于不同的应用系统的数据集中存储在数据库中。内部人员、第三方运维人员、Oracle数据库系统的DBA、新模块的程序开发人员对数据库中的数据都需要频繁地访问,诸多的人群和过高的权限造成电力敏感数据集中泄露的风险,经营方面的数据也有被异常篡改的风险。



解决方案概述及要点描述

本方案要点是以等保要求的数据库安全防护思路:电力中的敏感数据主要存储在数据库中,对于数据库的安全防护措施属于当前安全体系的薄弱环节,对应等保安全要求的数据库防护思路如下表:

 

功能备选产品保护效果
身份鉴别数据库漏扫检测数据库的弱口令,连续登录失败锁定的次数等。
访问控制数据库漏扫检测数据库系统的缺省账号,多余、过期的共享账户。
数据库防火墙提供细粒度的访问控制、提供行数限制的阀值控制等。
数据库加密防止特权用户敏感数据访问;对重要信息形成敏感标记等。
安全审计数据库审计每个用户的行为、各种可疑操作并进行告警通知,能对操作记录进行全面的分析,提供自身审计进程的监控,审计记录防止恶意删除,同时具备自动归档能力。
入侵防范数据库漏扫可以检测出数据库漏洞、补丁未升级。
数据库防火墙虚拟补丁技术有效防止针对已知漏洞的恶意攻击行为。
恶意代码防范数据库漏扫检测存储过程、函数中存在的恶意代码。
数据库防火墙SQL注入等漏洞特征库、通过虚拟补丁防范恶意攻击。
资源控制数据库防火墙控制每个用户对敏感数据的最大连接数限制。
数据保密性数据库防火墙对数据库中敏感数据进行按列加密保存。

 

数据库安全整体规划要点是:对电力行业敏感信息泄露安全威胁的分析,对数据库安全进行整体设计与规划,通过全系列数据库安全产品相互之间分工协作,共同形成整体的防护体系,覆盖了数据库安全防护的事前诊断、事中控制和事后分析。



方案价值呈现



方案优势

保护国家安全电力行业安全,符合等级保护的安全要求

电力行业目前按照电监会的《电力二次系统安全防护总体方案》落实了对生产控制大区和管理信息大区的边界防护,通过隔离装置后部署数据库防火墙,很好地实现了互联网和管理信息大区之间的安全隔离。

实现电力行业信息系统数据库运维侧安全

管理信息大区里集中存储着各应用的大量数据库信息,同时电力系统处于边建设且边使用的阶段,第三方程序开发人员、运维人员、拥有DBA权限的用户具有对这些数据的全部访问权限,而安全管理员并不清楚他们对数据库的访问操作,这样就对数据库中敏感数据泄露和篡改带来风险。

突破传统产品限制,数据库安全防护技术领先

本方案基于安华金和的数据库安全系列产品提出了数据库全方位防护、主动防御的安全加固方案,采用的数据库安全技术将突破传统安全产品的缺陷,实现数据的全面安全防护,从根源上彻底解决了敏感信息的防控问题。



北京安华金和科技有限公司 ©2015 版权所有 ICP备10053980号 京公网安备11010802010569号