微博图标
安华金和官方微博
微信图标
安华金和官方公众号
4000 258 365
用户名:
密码:
忘记密码? 尚未注册?
邮箱地址:
密码:
确认密码:
手机:
单位:
注册

电子政务外网数据库安全解决方案

行业需求与挑战

中国软件测评中心(中国国家工业和信息化部下属单位)2014年12月3日发布《2014年中国政府网站绩效评估总报告》显示,今年评估的900余家政府网站当中,超过93%的网站存在着本级的安全漏洞,其中97%的区县网站被监测到有安全隐患,接受评估的网站包括部委网站、省级政府网站、副省级政府网站、地市政府网站及区县政府网站。这个也给政府的形象带来了很不利的影响,甚至给政府工作的正常运行带来了严重的威胁。

由于人们对互联网的依赖性日益增强,互联网数据资产所蕴含的经济价值更加巨大。以CSDN 600万用户信息泄露开始,中国互联网接连爆发的信息泄露为“互联网之殇”再添一笔。近年来,因为互联网技术漏洞导致用户信息泄露的事件时有发生,2014年5月小米论坛疑似被“拖库”,该漏洞影响约有800万左右小米论坛用户,2014年3月,携程网也曾连续爆发安全漏洞,导致部分携程用户的银行卡信息被泄露并被利用,未来针对隐私信息的破解和攻击会愈演愈烈。如何确保信息安全,加强信息保障工作,将是政务外网建设关注的重中之重。

真正有效的解决网络信息的安全问题,首先就需要分析批量个人隐私信息数据泄密、篡改途径,包括来自于外部攻击者,第三方运维人员、开发人员等内部人员的各种可能性。从系统安全体系的角度来分析,然后找出可行的技术手段,才能真正从全方位保证网络信息安全。核心数据安全是针对核心敏感数据的保护,处于整个安全体系的核心位置!

经过对诸多网络信息安全事件的分析,发现信息泄密及篡改的最大威胁来自于外部黑客、内部运维人员及数据库管理员DBA、以及第三方服务外包人员。



方案概述

四大国家基础数据库主要包括自然人基础数据库、法人基础数据库、自然资源与空间地理数据库、宏观经济数据库。四大基础数据库作为中心数据库,是我国经济社会发展中各部门应用系统的重要基础,随着互联网的迅速发展,部分数据是通过外网提供服务,这里就需要数据安全防护。

以自然人基础数据库为例,按金盾工程建设的公安信息网为社保、行政、银行等部门提供人员身份信息,以前是单向提供数据,现在随着信息化的发展面临双向数据交换,同时也需要通过互联网提供查询服务,就需要能够对核心数据区进行安全监控,对大批量数据泄露,数据篡改行为进行审计与防护。

通过数据库防火墙建立网络上的外部黑客数据库攻击防御体系,阻止对数据库的攻击,防止公民隐私信息的批量下载,防止各部门业务系统在使用人口基本信息过程中产生的、与其他部门共享的人口信息被篡改,实现对数据库访问行为的高效审计,防止误操作对数据信息的批量破坏。

通过数据库加密实现从根本上对人口库敏感数据的加密保存。包括对敏感数据在数据库文件和备份中的存储加密,防止“拖库”的情况发生,同时对于内部数据库运维人员做到敏感数据访问的受控。

数据库防火墙能够对流入的SQL语句进行自动分类,自动记录和分析SQL语句并快速制定安全策略,可以根据IP地址、数据库用户、操作系统用户、应用程序、时间等属性执行不同策略,对数据库服务器的操作进行记录、警报,包括读,写,查询,修改等内容进行实时的监控。

方案部署图



方案价值

通过对数据库进行整体安全防护,电子政务外网可从以下几点收益:

敏感数据修改记入审计记录

对敏感信息的修改需要在进行数据库操作的时候全部记入审计记录,同时要确保数据库审计设备不可绕过,审计数据不会被篡改。

软件开发商和信息维护人员权责分明

通过独立的权限控制能力,以及基于IP和时间的精细控制,严格保证合法的用户才能访问敏感信息,通过敏感数据详细变更审计能力,准确追踪敏感信息的访问行为。在出现问题的时候,可以能分清是哪方出的问题。

外网数据防黑客入侵和批量导出

面对来自于外部黑客的入侵行为,提供防SQL注入和数据库虚拟补丁包功能;通过虚拟补丁包,数据库系统不用升级、打补丁,即可完成对主要数据库漏洞的防控。

及时阻止数据库运维侧的误操作和恶意操作

通过SQL协议分析,根据预定的白名单、黑名单策略决定让合法的SQL操作通过执行,让可疑的非法违规操作禁止。实现主动防御机制、数据库的访问行为权限控制、恶意及危险操作阻断式防范。



方案优势

 事前主动防护:明确识别住房公积金管理中心哪些数据属于敏感信息。以这些敏感数据为防护要点,在信息安全方面建立有纵深的防护体系。

事中控制:严格细化敏感数据的访问控制,主动预防批量泄露、恶意篡改。

事后分析:全面审计、及时对恶意攻击、非法访问、恶意操作进行告警,实现事后追溯,有效地追责定责。

运维人员的防控:使用专业的数据库防火墙系统,对DBA、第三方运维实施人员等,实施访问敏感信息的精细控制,包括表、字段、访问的数据量范围(行数)等。

同时避免敏感信息被恶意篡改,或误操导致被批量修改或删除。同时将敏感数据的访问控制细化到IP地址和时间范围。

使用专业的数据库防火墙等技术手段,防止外部入侵攻击者利用数据库漏洞,间接批量窃取外网数据。



北京安华金和科技有限公司 ©2015 版权所有 ICP备10053980号 京公网安备11010802010569号