“纵深防护”打造高校数据安全

文/张金山

“纵深防护”打造高校数据安全

文/张金山

根据高校数据的安全现状，主要面临如下几个方面的安全需求。

高校数据库安全需求分析

漏洞扫描预警

高校业务系统使用的数据库大部分为主流数据库，而这些数据库系统配置比较复杂，要进行安全的维护需要具备丰富的经验，随着主流数据库的功能不断扩充，出现的漏洞更加复杂、种类更加繁多，但学校信网中心人力有限。

针对这样的情况，需要自动化对数据库进行综合安全风险评估，对数据库中存在的缺省配置、弱口令、高危程序、漏洞情况进行扫描，并提供有价值的修复建议，为高校数据库系统提供有价值的检测报告，为高校数据库的安全基线提升提供依据。

攻击行为防护

保障高校业务系统数据库仅接受可信人员和应用发起的访问请求，针对黑客利用Web应用漏洞，进行SQL注入；或以Web应用服务器为跳板，利用数据库自身漏洞的攻击和侵入行为进行识别，通过拦截SQL注入、漏洞攻击，保障攻击行为无法发送到数据库上。

对于黑客通过入侵应用系统执行批量下载敏感数据的行为，可以限定数据查询和下载数量、限定敏感数据访问的用户、地点和时间，从而杜绝黑客人员的刷库行为，建立高校业务数据库的主动防御机制。

访问身份识别

随着高校业务系统规模的迅速扩大，内部的人员身份也复杂多样，有在校的学生、信息中心的老师、科研系统的研究员、第三方业务系统的开发人员等，这些人员都拥有不同的工作和职能，所以随着高校信息化建设的完善，对业务数据库访问流程的标准化、设备资源管控规范化、应急事件响应高效化都提出了新的挑战。而传统的数据库管理方式存在着管理流程不严、技术手段缺失、人员素质参差的问题，需要梳理出一套有效的身份识别机制来加以完善，这样可以提升高校的工作效率，快速协调资源，规范管理流程。

运维操作管控

鉴于高校操作数据库人员的复杂性，高校传统的信息安全建设，往往侧重于规范网络层应用用户、限制VPN特权用户、阻止外部黑客攻击，聚焦于网络边界的访问控制，但对内部人员却缺乏有效的管控。

重要数据加密

近年，高校数据安全事件频频发生，高校教务系统中存储着大量的学生信息、教职员工信息以及考试信息，这些信息如果泄露将造成高校名誉的损失。

校园一卡通类型系统中存储着资金以及支付信息，如果这类信息被窃取或篡改，高校将直接面临经济损失。

高校中科研系统往往承接的是重大科研项目，甚至国家战略技术的研究，并且这类信息存储在涉密系统中，如果不对此类信息进行安全的加密，当产生了泄露事件时，会影响到社会、生活秩序。

所以针对个人隐私信息、支付信息以及科研信息的加密显得尤为重要。

操作行为审计

如果缺乏操作行为记录和分析，对于数据库的访问者无法有效分析数据来源，做到快速定位；对关键数据的访问无记录，如果出现安全事故无法溯源追踪；对于黑客攻击，无法做到攻击留痕；对运维人员进入数据库系统的误操作、越权操作行为，无法进行及时的预警；一旦数据库日志被清除，就没有数据库的完整审计记录，针对于事故的整体过程，无法做到有效的定位，满足不了相关审计方面的政策要求。所以针对数据库的访问操作进行记录、分析、预警是数据库安全的必需工作。

数据库安全总则

防范外部内部攻击，避免由于攻击导致数据破坏，从而影响业务运行以及信息泄露，保证行政、教务、考务等关键业务的安全运行，要从两方面考虑：

一方面，数据安全问题不单是一个技术问题，而是由人、技术系统和组织内部环境等综合因素产生的问题，要靠有效的数据安全管理才能弥补单纯技术手段的不足。

另一方面，数据安全包含内容广泛，数据安全需要整体防护。如果还以各自独立的视角去看待信息技术安全工作，就会出现盲人摸象、只见树木不见森林的情况。因此，要把高校数据安全管理当作一个整体进行研究和实践，数据安全管理体系就是从整体上看待高校数据安全工作。

那么，高校的数据库安全方案应当遵循如下原则：

全局性原则：安全威胁来自最薄弱的环节，必须从全局出发规划安全系统。

综合性原则：安全不单靠技术措施，必须结合管理，当前我国发生的数据安全问题中，管理问题占相当大的比例，因此建立网络安全设施体系的同时必须建立相应的制度和管理体系。

均衡性原则：安全措施的实施必须以相应的数据安全级别考虑。数据中相同安全级别的保密强度要一致。

节约性原则：整体方案的设计应该尽可能地不改变原来网络的设备和环境，以避免资源的浪费和重复投资。

纵深防护思路

根据高校数据的安全现状，对数据库的安全建立防护机制，要根据数据库使用的“事前、事中、事后”三个层面，建立“检查预警、主动防御、底线防守、事后追查”的纵深防护思路，以解决数据库安全面临的复杂的问题。

检查预警

查漏补缺，提升数据库自我免疫能力。

图1 纵深防护思路

自动化对高校业务系统数据库进行综合安全风险评估，并提供有价值的修复建议，为高校数据库系统的安全基线提升提供整体有效的参考。

主动防御

提升数据库防黑客、防高危操作、防内部人员泄密的能力。

首先，细粒度访问控制。保障高校业务系统数据库仅接受可信人员和应用发起的访问请求，从根源上彻底杜绝第三方人员、内部运维人员的非授权行为，减小了被攻击面；并通过SQL攻击防护、虚拟补丁等功能，即使数据库没有打“补丁”，数据库防火墙也能防范针对数据库的SQL注入和漏洞攻击行为，主动防御安全威胁。

其次，规范化运维管控。改善高校传统管理模式，对数据库运维行为进行审批管控，拒绝一切异常运维行为通过，在指定的时间、对象、操作方后进行审批。所有运维操作需要建立规范的运维流程，包括事前审批，事中控制，事后记录操作信息，可以实现全运维流程的管理，实现高校运维规范性。

底线防守

敏感数据加密，提升数据“底线”防守能力，即使拿走磁盘，也无法看到数据。

将存储在数据库中的教务信息、学籍信息、一卡通消费信息等加密存储，防止此类敏感信息被解析为明文从而造成泄密安全事件。对于此类风险，需要建立独立于数据库的权控体系，引入安全管理员、审计管理员实现三权分立的安全管理手段，防止第三方外包人员和程序开发人员越权访问敏感信息，结合动态口令和SQL级API与应用系统进行绑定，解决绕过应用程序非法访问数据库的问题；并且在存储层进行安全加密，保证即便拿走硬盘，没有授权及密钥无法查看真实数据。

事后追查

建立数据库访问的“摄像头”，提升数据库安全监控能力。

对数据库协议进行精确识别，记录和回放针对统计数据库的攻击行为、篡改行为、泄密行为、误操作等行为，为事后追溯定责提供准确依据，同时对上述行为提供邮件、短信、声音等多种报警方式。

当前，信息安全已成为高校信息化建设的重中之重，为了营造一个安全和谐的校园网环境，赛尔网络联合包括安华金和在内的国内优秀安全厂商，为高校用户提供一流的网络安全服务，涵盖事前、事中和事后的全程需求。