1. 背景概述

1.1. 數(shù)據(jù)泄漏事件頻發(fā)

Verizon發(fā)布的《2016年度數(shù)據(jù)泄露調(diào)查報(bào)告》稱：2015年，全球82個(gè)國(guó)家出現(xiàn)64199起數(shù)據(jù)泄露事件。而運(yùn)營(yíng)商行業(yè)是數(shù)據(jù)泄漏的重災(zāi)區(qū)之一。例如2015年10月，英國(guó)最大的寬帶服務(wù)提供商TalkTalk，遭受了三次黑客攻擊，約400多萬(wàn)用戶的隱私數(shù)據(jù)被泄露，這可能是英國(guó)史上最大規(guī)模的數(shù)據(jù)泄漏事件之一。而在美國(guó)，美國(guó)移動(dòng)電話服務(wù)公司T-Mobile的 1500萬(wàn)用戶個(gè)人信息被泄露。在國(guó)內(nèi)，據(jù)報(bào)道，2015年10月底中國(guó)電信某系統(tǒng)再度曝出重大漏洞。通過(guò)該漏洞可以查詢上億用戶信息。而在2016年1月，中國(guó)聯(lián)通接連爆出多處漏洞，其中一處漏洞泄露了2000多萬(wàn)用戶信息。

1.2. 相關(guān)標(biāo)準(zhǔn)和法規(guī)

事實(shí)上，國(guó)家級(jí)和行業(yè)級(jí)的安全法規(guī)和標(biāo)準(zhǔn)，比如《等保》、《分保》、《商密》等，都對(duì)數(shù)據(jù)安全管理提出了明確的要求。針對(duì)當(dāng)前數(shù)據(jù)泄露事件頻發(fā)的態(tài)勢(shì)，我國(guó)政府對(duì)數(shù)據(jù)安全的政策和法規(guī)不斷加碼，頻繁出臺(tái)新的政策。尤其是《國(guó)家網(wǎng)絡(luò)安全法》即將出臺(tái)，對(duì)個(gè)人隱私保護(hù)有明確的法規(guī)要求，這將成為數(shù)據(jù)安全管理領(lǐng)域的綱領(lǐng)性要求。

運(yùn)營(yíng)商行業(yè)也有相對(duì)應(yīng)的法規(guī)和標(biāo)準(zhǔn)。工信部第24號(hào)令，即電信和互聯(lián)網(wǎng)用戶個(gè)人信息保護(hù)規(guī)定（運(yùn)營(yíng)商行業(yè)專用），以及工信部保〔2014〕368號(hào)文件，關(guān)于加強(qiáng)電信和互聯(lián)網(wǎng)行業(yè)網(wǎng)絡(luò)安全工作的指導(dǎo)意見(jiàn)（運(yùn)營(yíng)商行業(yè)專用）都明確要求加強(qiáng)運(yùn)營(yíng)商行業(yè)對(duì)網(wǎng)絡(luò)數(shù)據(jù)和用戶個(gè)人信息進(jìn)行保護(hù)。

2. 需求分析

運(yùn)營(yíng)商行業(yè)歷來(lái)十分重視信息安全工作，已經(jīng)建成了比較完備的安全防護(hù)體系。具體部署的安全產(chǎn)品包括網(wǎng)絡(luò)防火墻、網(wǎng)絡(luò)入侵檢測(cè)、UTM、DLP、防病毒、VPN、DPI、堡壘機(jī)、4A和災(zāi)備等等。但是這些技術(shù)手段都不是直接針對(duì)數(shù)據(jù)進(jìn)行防護(hù)，真正針對(duì)數(shù)據(jù)的安全防護(hù)措施還相當(dāng)有限。

Gartner對(duì)當(dāng)前網(wǎng)絡(luò)環(huán)境下的數(shù)據(jù)安全管理和數(shù)據(jù)庫(kù)安全問(wèn)題進(jìn)行了調(diào)研，總結(jié)了數(shù)據(jù)庫(kù)及其管理的數(shù)據(jù)所面臨的泄密風(fēng)險(xiǎn)，主要有：1）越權(quán)權(quán)限的濫用；2）合法權(quán)限的濫用；3）權(quán)限盜用；4）數(shù)據(jù)庫(kù)平臺(tái)漏洞；5）SQL注入、緩沖區(qū)溢出風(fēng)險(xiǎn)；6）弱鑒權(quán)機(jī)制；7）備份數(shù)據(jù)缺乏保護(hù)；8）缺乏詳盡審計(jì)；9）數(shù)據(jù)庫(kù)通信協(xié)議漏洞。除了上述泄密風(fēng)險(xiǎn)，我們?cè)陂L(zhǎng)期的數(shù)據(jù)庫(kù)防泄密實(shí)踐中還發(fā)現(xiàn)如下兩個(gè)嚴(yán)重的泄密風(fēng)險(xiǎn)：惡意軟件和明文存儲(chǔ)。

據(jù)了解，上述問(wèn)題在運(yùn)營(yíng)商行業(yè)同樣存在。比如，在電信行業(yè)目前的IT系統(tǒng)中，最突出的數(shù)據(jù)泄漏風(fēng)險(xiǎn)如下：

 1）運(yùn)維外包人員惡意盜取敏感信息：目前在電信行業(yè)中，運(yùn)維外包是一個(gè)普遍的現(xiàn)象，個(gè)別的運(yùn)營(yíng)中心，外包人員達(dá)到上百人之多。外包人員可以直接或者經(jīng)過(guò)4A系統(tǒng)訪問(wèn)到數(shù)據(jù)庫(kù)。雖然4A審計(jì)可以記錄訪問(wèn)的過(guò)程，但是不能阻止敏感數(shù)據(jù)被查看或者批量導(dǎo)出。而且運(yùn)維人員還可以通過(guò)“跳板”，繞過(guò)4A系統(tǒng)，訪問(wèn)到敏感數(shù)據(jù)庫(kù)。

2）系統(tǒng)管理員和應(yīng)用管理員越權(quán)訪問(wèn)傳播敏感數(shù)據(jù)。在典型的電信行業(yè)運(yùn)營(yíng)中心，有超過(guò)200多個(gè)應(yīng)用系統(tǒng)。系統(tǒng)管理員和這些應(yīng)用系統(tǒng)的管理員擁有訪問(wèn)數(shù)據(jù)庫(kù)的直連通道和帳號(hào)密碼。更為嚴(yán)重的是，不少應(yīng)用系統(tǒng)是外包開(kāi)發(fā)的，相應(yīng)的系統(tǒng)管理員也是外部人員。

3）系統(tǒng)開(kāi)發(fā)和測(cè)試使用真實(shí)數(shù)據(jù)。在開(kāi)發(fā)和測(cè)試過(guò)程中，使用真實(shí)的數(shù)據(jù)，能夠保證真實(shí)性，但是卻極其容易造成真實(shí)數(shù)據(jù)的泄密。

3. 解決方案

中安威士為運(yùn)營(yíng)商行業(yè)推出的數(shù)據(jù)安全管理方案滿足三大主要需求：可視、可控和合規(guī)。按照這一基本思路，方案的功能組成部分包括：數(shù)據(jù)庫(kù)訪問(wèn)的全面審計(jì)+細(xì)粒度訪問(wèn)控制+敏感數(shù)據(jù)加密和脫敏。

數(shù)據(jù)活動(dòng)的全面審計(jì)：對(duì)數(shù)據(jù)的分布、性能、訪問(wèn)和活動(dòng)情況進(jìn)行全方位的監(jiān)控和記錄，便于事后審計(jì)和追查。及時(shí)發(fā)現(xiàn)數(shù)據(jù)的異常活動(dòng)情況和風(fēng)險(xiǎn)，產(chǎn)生報(bào)警。并輸出可視化的報(bào)表，便于分析。

細(xì)粒度訪問(wèn)控制：基于自動(dòng)學(xué)習(xí)，生成細(xì)粒度的訪問(wèn)控制規(guī)則，阻斷異常的查詢和訪問(wèn)，防止敏感數(shù)據(jù)泄漏。阻斷異常的和違規(guī)的數(shù)據(jù)修改和刪除操作，防止敏感數(shù)據(jù)被非法篡改。

敏感內(nèi)容加密和脫敏：有選擇性的對(duì)敏感內(nèi)容加密和脫敏，使敏感數(shù)據(jù)在存儲(chǔ)、使用、外發(fā)時(shí)被脫敏，防止真實(shí)數(shù)據(jù)被泄漏。而增強(qiáng)的對(duì)敏感數(shù)據(jù)的權(quán)限管理可以防止越權(quán)權(quán)限的濫用、合法權(quán)限被盜用和濫用所導(dǎo)致的數(shù)據(jù)泄漏。

中安威士數(shù)據(jù)安全解決方案基于自主研發(fā)的系列數(shù)據(jù)庫(kù)安全加固產(chǎn)品來(lái)實(shí)現(xiàn)。具體的實(shí)施方案如下。

該解決方案的要點(diǎn)如下：

1) 部署數(shù)據(jù)庫(kù)脫敏系統(tǒng)，對(duì)應(yīng)用、運(yùn)維、開(kāi)發(fā)測(cè)試場(chǎng)景管理數(shù)據(jù)查看權(quán)限

►對(duì)于運(yùn)維操作，通過(guò)動(dòng)態(tài)脫敏功能，確保運(yùn)維人員不能看到真實(shí)的數(shù)據(jù)；

►對(duì)于需要管控的應(yīng)用程序，通過(guò)動(dòng)態(tài)脫敏功能，確保應(yīng)用系統(tǒng)看到脫敏后的準(zhǔn)真實(shí)數(shù)據(jù)；

►對(duì)于開(kāi)發(fā)和測(cè)試工程，通過(guò)靜態(tài)脫敏功能，確保開(kāi)發(fā)和測(cè)試人員只能看到脫敏后的準(zhǔn)真實(shí)數(shù)據(jù)；

►對(duì)于外包、數(shù)據(jù)外送等情形，使用靜態(tài)脫敏功能，確保真實(shí)數(shù)據(jù)不外發(fā)。

2) 部署數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)對(duì)所有數(shù)據(jù)庫(kù)訪問(wèn)進(jìn)行審計(jì)

►通過(guò)旁路鏡像的方式，實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)的在線監(jiān)控和保護(hù)；

►對(duì)云計(jì)算和虛擬化平臺(tái)上的數(shù)據(jù)庫(kù)系統(tǒng)、難以實(shí)施鏡像部署的系統(tǒng)，以及需要進(jìn)行全面審計(jì)的系統(tǒng)，通過(guò)部署中安威士特有的軟件探針，實(shí)現(xiàn)全面審計(jì)；

►使用數(shù)據(jù)發(fā)現(xiàn)功能，將所有發(fā)現(xiàn)和分類結(jié)果直接應(yīng)用到后續(xù)模塊的規(guī)則中；

►開(kāi)啟數(shù)據(jù)庫(kù)性能監(jiān)控功能，保障業(yè)務(wù)系統(tǒng)的連續(xù)可用性；

►開(kāi)啟數(shù)據(jù)庫(kù)性能和風(fēng)險(xiǎn)評(píng)估功能，全面評(píng)估數(shù)據(jù)庫(kù)系統(tǒng)的性能和風(fēng)險(xiǎn)狀態(tài)；

►開(kāi)啟學(xué)習(xí)功能，自動(dòng)生成基線模型和白名單訪問(wèn)規(guī)則，鎖定“用戶”到“數(shù)據(jù)”的訪問(wèn)權(quán)限；

►開(kāi)啟入侵檢測(cè)功能，及時(shí)發(fā)現(xiàn)針對(duì)數(shù)據(jù)庫(kù)的違規(guī)操作行為；

►開(kāi)啟運(yùn)維審計(jì)功能，審計(jì)通過(guò)SSH/TELNET/FTP等協(xié)議對(duì)數(shù)據(jù)庫(kù)服務(wù)器進(jìn)行的運(yùn)維操作；

►開(kāi)啟Web應(yīng)用審計(jì)和三層關(guān)聯(lián)審計(jì)，實(shí)現(xiàn)完整地溯源能力。

3) 實(shí)施數(shù)據(jù)庫(kù)防火墻系統(tǒng)，徹底阻止SQL注入攻擊和越權(quán)操作

►對(duì)于更重要的、易受攻擊的系統(tǒng)，尤其是需要外包人員接觸的，以及對(duì)外提供服務(wù)的數(shù)據(jù)庫(kù)，部署數(shù)據(jù)庫(kù)防火墻；

►開(kāi)啟入侵保護(hù)功能，以抵御SQL注入攻擊和針對(duì)數(shù)據(jù)庫(kù)漏洞的攻擊，同時(shí)防止全表刪除等誤操作和超級(jí)權(quán)限濫用等風(fēng)險(xiǎn)；

►開(kāi)啟學(xué)習(xí)功能，生成白名單規(guī)則，并手工添加黑名單規(guī)則，解決詳細(xì)設(shè)置數(shù)據(jù)庫(kù)防火墻規(guī)則困難的問(wèn)題；

►對(duì)于云計(jì)算和虛擬化平臺(tái)上的數(shù)據(jù)庫(kù)，部署虛擬機(jī)形態(tài)的數(shù)據(jù)庫(kù)防火墻系統(tǒng)。

4) 部署數(shù)據(jù)庫(kù)加密系統(tǒng)，保護(hù)尤其重要的敏感數(shù)據(jù)

►對(duì)于尤其重要的數(shù)據(jù)庫(kù)，部署數(shù)據(jù)庫(kù)加密系統(tǒng)，對(duì)指定的敏感字段進(jìn)行加密；

►通過(guò)三權(quán)分立的權(quán)限管控系統(tǒng)來(lái)實(shí)現(xiàn)對(duì)敏感數(shù)據(jù)的訪問(wèn)權(quán)限控制，確保其數(shù)據(jù)的安全性；

►開(kāi)啟敏感數(shù)據(jù)訪問(wèn)審計(jì)功能，記錄對(duì)加密數(shù)據(jù)的訪問(wèn)；

►定期輪換密鑰，保證數(shù)據(jù)的加密強(qiáng)度。

4. 方案優(yōu)勢(shì)

中安威士數(shù)據(jù)安全管理解決方案基于數(shù)據(jù)庫(kù)審計(jì)、數(shù)據(jù)庫(kù)防火墻、數(shù)據(jù)庫(kù)加密和數(shù)據(jù)庫(kù)脫敏產(chǎn)品實(shí)現(xiàn)。方案完整地解決了當(dāng)前運(yùn)營(yíng)商行業(yè)信息系統(tǒng)所廣泛面臨的數(shù)據(jù)泄露困境。該方案的優(yōu)勢(shì)體現(xiàn)在：

快：卓爾不凡的處理性能；

智：智能化自動(dòng)學(xué)習(xí)，實(shí)現(xiàn)數(shù)據(jù)庫(kù)審計(jì)/防火墻零配置；

穩(wěn)：十余年技術(shù)積累，國(guó)內(nèi)最早專利技術(shù)，上千實(shí)際部署案例，產(chǎn)品運(yùn)行穩(wěn)定；

全：功能全面、全面覆蓋可能的泄密路徑；

美：美觀的管理界面和報(bào)表；

細(xì)：達(dá)到字段、語(yǔ)句級(jí)的細(xì)粒度數(shù)據(jù)活動(dòng)審計(jì)和訪問(wèn)控制。

5. 方案價(jià)值

通過(guò)上述解決方案，有效滿足了運(yùn)營(yíng)商所面臨的數(shù)據(jù)安全管理的需求：使數(shù)據(jù)安全可視、使數(shù)據(jù)安全可控、使數(shù)據(jù)安全合規(guī)。除帶來(lái)上述主要價(jià)值外，具體來(lái)說(shuō)，中安威士數(shù)據(jù)安全管理解決方案還帶給運(yùn)營(yíng)商客戶帶來(lái)如下價(jià)值：

1) 簡(jiǎn)化業(yè)務(wù)治理流程，提高數(shù)據(jù)安全管理能力；

2) 完善縱深防御體系，提升整體安全防護(hù)能力；

3) 減少核心數(shù)據(jù)資產(chǎn)被侵犯，保障業(yè)務(wù)連續(xù)性；

4) 有效維護(hù)企業(yè)的公信力和聲譽(yù)。

中安威士為北京中安比特科技有限公司專有品牌，通過(guò)持續(xù)創(chuàng)新，為企業(yè)帶來(lái)嶄新的數(shù)據(jù)安全體驗(yàn)。

6. 案例

6.1 中國(guó)電信某部—某運(yùn)營(yíng)中心

項(xiàng)目目標(biāo)：針對(duì)可獲取或查詢客戶信息的業(yè)務(wù)系統(tǒng)后臺(tái)運(yùn)維處理過(guò)程，通過(guò)動(dòng)態(tài)模糊化技術(shù)，限制運(yùn)維人員對(duì)數(shù)據(jù)庫(kù)中客戶信息內(nèi)容的訪問(wèn)，從而降低客戶信息泄漏事件發(fā)生的可能性。

系統(tǒng)實(shí)施方案：

在運(yùn)維區(qū)部署兩臺(tái)動(dòng)態(tài)脫敏系統(tǒng)，防止單點(diǎn)失敗以及分擔(dān)高峰時(shí)期的負(fù)載。所有的運(yùn)維管理都通過(guò)動(dòng)態(tài)脫敏系統(tǒng)進(jìn)行過(guò)濾和脫敏。普通用戶看到脫敏后的數(shù)據(jù)如下：

6.2 移動(dòng)集團(tuán)某省公司經(jīng)分系統(tǒng)后臺(tái)數(shù)據(jù)模糊化

數(shù)據(jù)脫敏的目標(biāo)（共2大類，12小類）

■ 對(duì)運(yùn)維人員脫敏：通過(guò)4A使用PLSQL工具運(yùn)維Oracle數(shù)據(jù)庫(kù)，包括數(shù)據(jù)查詢、導(dǎo)出等SQL命令

■ 對(duì)經(jīng)分系統(tǒng)的使用人員脫敏：通過(guò)4A訪問(wèn)經(jīng)分頁(yè)面

脫敏策略舉例

模糊化字段 模糊化規(guī)則 舉例

郵件地址 @前面的用3個(gè)*代替，或全部使用8個(gè)*代替 例如：

13901234567@139.com->***@139.com

身份證號(hào)碼 出生年月日用*代替，最后一位用*代替，或全部使用8個(gè)*代替 例如：

330101197701014237->330101********423*

部署方案

采用雙機(jī)熱備的方式，將脫敏接入在數(shù)據(jù)庫(kù)前。前端經(jīng)分系統(tǒng)、堡壘機(jī)等經(jīng)過(guò)脫敏系統(tǒng)訪問(wèn)數(shù)據(jù)庫(kù)。設(shè)置脫敏規(guī)則，將敏感信息脫敏。

模糊化效果-通過(guò)4A使用PLSQL工具運(yùn)維Oracle數(shù)據(jù)庫(kù)時(shí)

模糊化效果-通過(guò)4A訪問(wèn)經(jīng)分頁(yè)面時(shí)