电力行业数据库安全解决方案

行业需求与挑战

电力行业根据电网正常运转的要求，划分为不同级别的信息系统，按“分区隔离、网络专用”的要求，分为四个大区，四个大区之间实现隔离。采用这种机制的主要目的是保障系统的可靠性和稳定性，防止低级别的，对系统有攻击性、危害性的代码和程序流入更高安全级别的系统。

管理信息大区与互联网采用单向隔离装置和数据库隔离装置实现内外网隔离；将所有的数据库布置在内网中，所有需要提供互联网访问的Web应用系统放在外网，通过数据库隔离装置保障只有数据库通讯协议能够通过隔离装置访问到内网的数据库；隔离装置通过对数据库协议的解析和控制，实现外部系统对数据库的攻击行为的防护。

电力系统的核心生产系统和控制系统基本属于等保2级系统，EMS系统和SCADA系统达到4级，部分经营管理系统达到3级，其余系统均在2级以上。

现有的电力系统二次安全防护方案很好地隔离了外网、管理信息大区、生产控制大区之间的非法访问。但在管理信息大区中，积累了大量的电力敏感数据，例如财务数据、营销数据、人资数据、市场信息、生产管理信息等，这些来自于不同的应用系统的数据集中存储在数据库中。内部人员、第三方运维人员、Oracle数据库系统的DBA、新模块的程序开发人员对数据库中的数据都需要频繁地访问，诸多的人群和过高的权限造成电力敏感数据集中泄露的风险，经营方面的数据也有被异常篡改的风险。



解决方案概述及要点描述

本方案要点是以等保要求的数据库安全防护思路：电力中的敏感数据主要存储在数据库中，对于数据库的安全防护措施属于当前安全体系的薄弱环节，对应等保安全要求的数据库防护思路如下表：

 

功能 备选产品 保护效果
身份鉴别 数据库漏扫 检测数据库的弱口令，连续登录失败锁定的次数等。
访问控制 数据库漏扫 检测数据库系统的缺省账号，多余、过期的共享账户。
数据库防火墙 提供细粒度的访问控制、提供行数限制的阀值控制等。
数据库加密 防止特权用户敏感数据访问；对重要信息形成敏感标记等。
安全审计 数据库审计 每个用户的行为、各种可疑操作并进行告警通知，能对操作记录进行全面的分析，提供自身审计进程的监控，审计记录防止恶意删除，同时具备自动归档能力。
入侵防范 数据库漏扫 可以检测出数据库漏洞、补丁未升级。
数据库防火墙 虚拟补丁技术有效防止针对已知漏洞的恶意攻击行为。
恶意代码防范 数据库漏扫 检测存储过程、函数中存在的恶意代码。
数据库防火墙 SQL注入等漏洞特征库、通过虚拟补丁防范恶意攻击。
资源控制 数据库防火墙 控制每个用户对敏感数据的最大连接数限制。
数据保密性 数据库防火墙 对数据库中敏感数据进行按列加密保存。

 

数据库安全整体规划要点是：对电力行业敏感信息泄露安全威胁的分析，对数据库安全进行整体设计与规划，通过全系列数据库安全产品相互之间分工协作，共同形成整体的防护体系，覆盖了数据库安全防护的事前诊断、事中控制和事后分析。


方案价值呈现

  • 通过数据库漏扫定期进行数据库安全检查，防患于未然，对数据库安全风险进行综合评估，对管理域中数据库的安全现状进行全面检测。安全漏洞 项包括：弱口令、缺省口令、弱安全策略、权限宽泛、敏感数据发现、权限提升漏洞、补丁升级等，评估是否存在安全漏洞并提供修复建议，为系统的安全配置提升 提供有效的参考。
  • 电力行业用于互联网安全防护的逻辑强隔离装置和数据库隔离装置在Oracle数据库的OCI连接访问语句识别方面有欠缺，数据库防火墙- 从访问源头来保护数据，监测数据库的访问，防止未授权的访问、SQL Injection、权限或角色的非法提升以及对敏感数据的非法访问。
  • 等保三级以上的核心系统可以通过在数据库中加密存储敏感信息防止被解析为明文，通过独立于数据库的权控体系和引入安全管理员、审计管理员实现三权分立的安全管理手段，防止DBA、第三方外包人员和程序开发人员越权访问敏感信息。
  • 电力行业很多和业务相关的操作如营销和计量数据的修改、批量客户信息和人资及生产数据的查询，这些操作都需要关联到具体业务人员进行数据库操作审计，以便在出现安全事件的时候可以有效的追责定责。

方案优势

保护国家安全电力行业安全，符合等级保护的安全要求

电力行业目前按照电监会的《电力二次系统安全防护总体方案》落实了对生产控制大区和管理信息大区的边界防护，通过隔离装置后部署数据库防火墙，很好地实现了互联网和管理信息大区之间的安全隔离。

实现电力行业信息系统数据库运维侧安全

管理信息大区里集中存储着各应用的大量数据库信息，同时电力系统处于边建设且边使用的阶段，第三方程序开发人员、运维人员、拥有DBA权限的用户具有对这些数据的全部访问权限，而安全管理员并不清楚他们对数据库的访问操作，这样就对数据库中敏感数据泄露和篡改带来风险。

突破传统产品限制，数据库安全防护技术领先

本方案基于安华金和的数据库安全系列产品提出了数据库全方位防护、主动防御的安全加固方案，采用的数据库安全技术将突破传统安全产品的缺陷，实现数据的全面安全防护，从根源上彻底解决了敏感信息的防控问题。