专业视角：“业务+数据”定义安全战略，数据安全是核心驱动力
■文
杨明
业务+数据定义安全战略，数据安全是核心驱动力。
大量信息泄露事件频繁爆发，传统的信息安全解决方案对数据的防护失效。通过网络传输通道加密、PKI或增强身份认证、防火墙、堡垒机等技术手段构成的综合信息安全应对策略，已经不能满足数据安全防护的需求。
笔者通过对近期发生的信息安全事件进行技术分析，总结出信息泄露具有以下两个趋势：
（1）黑客通过B/S应用，以Web服务器为跳板，窃取数据库中数据；传统解决方案对应用访问和数据库访问协议没有任何控制能力，比如:SQL注入就是一个典型的数据库黑客攻击手段。
（2）内部人员的滥用数据库存储的有价值信息导致数据资产丢失数据泄露常常发生在内部，大量的运维人员直接接触敏感数据，传统以防外为主的网络安全解决方案失去了用武之地。
数据库之所以在这些数据泄露事件中成了主角，这与我们在传统的安全建设中忽略了数据库安全问题有关，在传统的信息安全防护体系中数据库处于被保护的核心位置，不易被外部黑客攻击，同时数据库自身已经具备一定的安全措施，表面上看足够安全，但这种传统安全防御的思路，存在致命的缺陷。
一、数据库本身存在重大安全缺陷
传统观念认为数据库系统本身已具备完整的安全保障机制，存储在数据库中的数据足够安全，Oracle总裁LarryEllison曾宣称Oracle数据库是世界上最为安全的数据库系统，但事实上以Oracle为首的数据库系统存在重大安全缺陷，主要体现为如下三个方面：
1.1存储文件解析后为明文
数据库的数据是存储在物理文件里，这些数据按照数据库自定义的格式组织在数据库中，但这些数据本质上都是明文存储；主流的大型数据库数据文件的组织结构主动或被动公开化，只要得到这些数据文件，存储的数据其实就是透明的。
这些存储文件包括数据库的数据文件、备份文件、日志文件等；这样只要能够访问或得到数据库存储文件，就可以获得数据库中的信息。比如：在互联网上公开的MyDUL软件就是可以成功解析Oracle数据文件获得明文信息的开源工具。
数据库的明文存储也会因为磁盘、备份磁带的丢失引起泄密，同时，明文存储使只要能够访问到数据库文件的人员，都可以看到数据库中的存储内容，如网络管理员或者攻入到内网当中的黑客。
1.2数据库自身存在诸多可攻击安全漏洞
数据库往往被认为具备较为完备的安全机制，从身份认证、访问控制、到通讯加密，但事实上数据库也存在诸多的安全漏洞，当前在国际漏洞库CVE上公布了多个数据库漏洞，号称最为安全的Oracle数据库就占了多个；这些漏洞大多是国际上的安全专家对数据库安全状况进行研究后发现的，包括提权漏洞（如从普通用户提权到DBA用户）、缓冲区溢出漏洞（通过该漏洞可以使数据库执行非法代码或瘫痪）、系统注入漏洞（通过该漏洞在调用系统函数时执行任意非法SQL代码）。
黑客已经利用这些漏洞，对数据库进行了多次侵入；虽然数据库厂商据此提供了大量补丁包，但这些补丁包所修复的漏洞数量也是有限的，同时大量的应用系统出于系统稳定性和兼容性的原因也无法实现补丁升级；因此这些漏洞依然是黑客入侵数据库的常用通道，同时随着这些安全问题的广泛传播，数据库维护人员和程序人员也使用这些技术手段进行越权工作，对数据库造成了巨大威胁。
1.3数据库自身的访问控制存在缺陷
数据库采用的访问控制机制，依然是典型的三元组，也就是主体、客体和操作，其中主体主要是数据库用户或角色，客体是数据库对象，操作是典型的DDL、DML、ACL语句和某些维护操作；但对这些操作的具体内容和影响不再做控制，如是否采用了欺骗性的SQL语句、是否返回了大量数据无法控制。
当前广为流传的SQL注入就是大量地利用这些控制缺陷，在SQL语句中构造永真表达式、执行外部调用、非法登录应用系统进行批量数据导出。
同时某些程序人员也恶意利用这些控制缺陷，在应用程序中埋下后门程序，对有价值的信息进行非法下载，这些恶意行为可以通过数据库中的检索返回行数进行控制并阻断。
二、数据库的应用环境变得日趋复杂
2.1B/S架构使数据库间接暴露在互联网上
大量Web应用的兴起，面向公众的政府、金融单位提供服务的动态网站和应用系统快速增加；大企业的各分支机构分布地域广阔，在企业内部也通过互联网实现财务、办公、商务等信息化管理。这些系统采用B/S为主要技术架构，用户通过浏览器访问WEB服务器，WEB服务器再访问数据库服务器，形成了从用户到数据库的合法访问通道，从而将数据库间接暴露在互联网上。甚至在某些企业，数据库就直接安装在对外提供WEB服务的计算机上，通过攻击web服务器即可实现数据库的敏感数据访问。
2.2数据库维护模式改变为服务外包模式
传统的数据库维护主要是企业内部的DBA完成，但随着业务系统复杂度的增加和累积数据规模的增大，大型企业和政府单位的数据库采用服务外包给IT企业的方式进行维护管理，同时各关键行业处于信息化快速发展和建设中，往往是一边开发新系统一边正常使用完成的系统，就导致存在大量的驻场程序开发人员；这样使数据库的直接接触人员，不仅限于企业的内部维护人员，同时包含大量的服务外包人员、程序开发人员和系统测试人员，这些人员直接接触数据库系统的真实数据，使传统基于人工内部管理模式为主的数据库安全机制面临巨大挑战。
2.3访问数据库系统的应用形式多样化
当前数据库内的数据被大量共享访问，数据库的访问形式不仅限于传统的模式，B/S架构的应用逐渐成为主流。数据查询类、分析类应用迅速增加，数据仓库、数据同步系统的建设以促进共享。数据的定期备份、异地备份大量增加以加强数据的可靠性，访问形式的多样化，决定了数据库安全问题的多样化，需要综合性的安全解决方案。
太极信安核心数据资产监控与保护解决方案
太极信安八年沉淀，在网络安全2.0时代，持续秉承“业务+数据定义安全战略”的核心理念，依据网络安全法和相关政策及产业去趋势，围绕国家关键信息基础设施、行业重要公共服务、重要信息系统和新型智慧城市等领域，以风险治理为视角，为用户提供“1+8+1十2”为核心的一体化网络安全软件产品，解决方案及服务。
其中，针对数据安全提供“核心数据资产监控与保护解决方案”，结合用户敏感数据分级、分类情况，结合各类数据在内部信息系统的分布情况，按照数据梳理、风险评估、数据防护策略制定、数据防护策略落实和优化改进等工作步骤实现数据安全综合管控。工作重点内容说明如下：
数据梳理与风险评估
结合敏感数据的关键字段，对用户终端，包括业务终端和办公终端，以及信息系统包括业务网内部信息系统和办公网相关系统的数据和系统进行数据扫描，明确数据的数据操作者操作行为、操作时间、数据内容、价值等级、操作行为结果数据目标去向，使用外流途径风险程度、预警模式、预警结果等内容。
数据防护策略制实现
结合数据梳理与风险评估的结果，进行数据安全管控策略制定，具体内容包括：
1、建立敏感数据安全防护体系，包括组织体系、技术体系和管理策略；
2、根据防护策略，实施数据安全管控措施，包括业务网数据安全管控和办公网数据安全防护措施。
3、按照业务流程，结合第三方威胁情报对数据安全态势进行监控与预警。
优化改进
随着业务的发展，业务的需求发生变化，根据业务需求，对原有数据防护策略和手段进行优化，以保证满足业务的安全需求。