統(tǒng)計(jì)核心數(shù)據(jù)“安全加固”的實(shí)現(xiàn)

陸彬彬

（江蘇省統(tǒng)計(jì)局，江蘇南京210008）

?

統(tǒng)計(jì)核心數(shù)據(jù)“安全加固”的實(shí)現(xiàn)

陸彬彬

（江蘇省統(tǒng)計(jì)局，江蘇南京210008）

摘要：江蘇省統(tǒng)計(jì)聯(lián)網(wǎng)直報(bào)系統(tǒng)是統(tǒng)計(jì)核心業(yè)務(wù)系統(tǒng)，系統(tǒng)所產(chǎn)生的數(shù)據(jù)是統(tǒng)計(jì)核心數(shù)據(jù)，如何保證核心數(shù)據(jù)的安全成為我們面對(duì)的重要問題。根據(jù)國家統(tǒng)計(jì)局和有關(guān)信息安全主管部門的要求，結(jié)合全省實(shí)際，運(yùn)用技術(shù)和管理手段，建立了一套事前預(yù)防、事中控制和事后分析的數(shù)據(jù)安全保障體系，解決了數(shù)據(jù)庫賬號(hào)權(quán)限設(shè)置不當(dāng)、數(shù)據(jù)庫訪問控制顆粒度較粗、責(zé)任認(rèn)定和事件追溯困難等風(fēng)險(xiǎn)，有效地提高全省統(tǒng)計(jì)核心數(shù)據(jù)的安全性。

關(guān)鍵詞：核心數(shù)據(jù)；安全風(fēng)險(xiǎn)；安全加固；

隨著統(tǒng)計(jì)信息化建設(shè)的不斷發(fā)展和深入，統(tǒng)計(jì)業(yè)務(wù)也已高度依賴信息化。江蘇省統(tǒng)計(jì)聯(lián)網(wǎng)直報(bào)平臺(tái)自2012年建成運(yùn)行至今，全省10萬多家規(guī)模以上企業(yè)在聯(lián)網(wǎng)直報(bào)平臺(tái)上完成數(shù)據(jù)填報(bào)、審核和報(bào)送，全省各級(jí)統(tǒng)計(jì)機(jī)構(gòu)業(yè)務(wù)人員也在聯(lián)網(wǎng)直報(bào)平臺(tái)上完成對(duì)數(shù)據(jù)的審核、查詢、處理、匯總等各項(xiàng)工作，江蘇省統(tǒng)計(jì)聯(lián)網(wǎng)直報(bào)平臺(tái)已然成為全省統(tǒng)計(jì)核心業(yè)務(wù)系統(tǒng)，平臺(tái)所產(chǎn)生的數(shù)據(jù)成為統(tǒng)計(jì)核心數(shù)據(jù)。數(shù)據(jù)的集中意味著風(fēng)險(xiǎn)的集中，因此如何有效地保證統(tǒng)計(jì)核心業(yè)務(wù)數(shù)據(jù)的安全，保證數(shù)據(jù)的完整性、可用性和機(jī)密性，已成為我們必須面對(duì)的重要問題。為此，根據(jù)《全國統(tǒng)計(jì)聯(lián)網(wǎng)直報(bào)系統(tǒng)建設(shè)技術(shù)方案》、《信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》以及國家統(tǒng)計(jì)局關(guān)于聯(lián)網(wǎng)直報(bào)系統(tǒng)數(shù)據(jù)庫安全建設(shè)和安全加固方面的要求，建立一套事前預(yù)防、事中控制、事后分析的安全保障體系實(shí)現(xiàn)對(duì)統(tǒng)計(jì)核心數(shù)據(jù)的安全加固，為全省統(tǒng)計(jì)事業(yè)發(fā)展保駕護(hù)航。

一、統(tǒng)計(jì)核心數(shù)據(jù)風(fēng)險(xiǎn)分析

江蘇省統(tǒng)計(jì)系統(tǒng)已經(jīng)完成省、市、縣、鄉(xiāng)鎮(zhèn)四級(jí)聯(lián)網(wǎng)，統(tǒng)計(jì)專網(wǎng)與互聯(lián)網(wǎng)實(shí)現(xiàn)邏輯隔離，各級(jí)統(tǒng)計(jì)機(jī)構(gòu)均有互聯(lián)網(wǎng)接口，相當(dāng)一部分統(tǒng)計(jì)機(jī)構(gòu)還與當(dāng)?shù)仉娮诱?wù)網(wǎng)相連，網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜且管理分散，加之網(wǎng)絡(luò)、主機(jī)、數(shù)據(jù)庫以及業(yè)務(wù)系統(tǒng)自身存在著各種漏洞，因此依托統(tǒng)計(jì)專網(wǎng)運(yùn)行、面向互聯(lián)網(wǎng)提供服務(wù)的以聯(lián)網(wǎng)直報(bào)系統(tǒng)為代表的重要業(yè)務(wù)系統(tǒng)以及重要業(yè)務(wù)數(shù)據(jù)面臨著嚴(yán)峻的安全風(fēng)險(xiǎn)。

（一）數(shù)據(jù)庫管理賬號(hào)權(quán)限設(shè)置不當(dāng)

數(shù)據(jù)庫管理未建立三權(quán)分立管理手段，未實(shí)現(xiàn)管理用戶權(quán)限的最小化，系統(tǒng)管理員權(quán)限過大，統(tǒng)計(jì)工作人員可以通過前端應(yīng)用程序訪問數(shù)據(jù)庫，軟件開發(fā)工程師可以直接繞過應(yīng)用程序，直接對(duì)后臺(tái)數(shù)據(jù)庫進(jìn)行操作，這些對(duì)核心數(shù)據(jù)庫的操作往往直接使用最高權(quán)限賬號(hào)，極有可能由于誤操作、惡意操作造成數(shù)據(jù)被刪除或篡改。同時(shí)，數(shù)據(jù)庫管理賬號(hào)權(quán)限設(shè)置不當(dāng)也導(dǎo)致了管理用戶身份標(biāo)識(shí)易被冒用的風(fēng)險(xiǎn)，存在較大的風(fēng)險(xiǎn)。

（二）數(shù)據(jù)庫訪問控制顆粒度較粗

在日常工作中，為了系統(tǒng)部署和操作維護(hù)的便利性，數(shù)據(jù)庫訪問控制策略未細(xì)化到具體IP地址和端口，數(shù)據(jù)庫管理顆粒度較粗，信任和非信任區(qū)域的設(shè)備都可以直接或使用數(shù)據(jù)庫開發(fā)工具連接至后臺(tái)數(shù)據(jù)庫進(jìn)行操作。非法用戶使用網(wǎng)絡(luò)嗅探、密碼爆破等方式取得口令或權(quán)限后，很容易對(duì)數(shù)據(jù)庫進(jìn)行非法操作。同時(shí)，數(shù)據(jù)庫也存在針對(duì)用戶訪問資源的策略也不夠細(xì)化、存在默認(rèn)賬戶、多余賬戶、共享賬戶等風(fēng)險(xiǎn)，這些風(fēng)險(xiǎn)一旦被惡意利用，造成的損失不可估量。

（三）責(zé)任認(rèn)定和事件追溯困難

隨著統(tǒng)計(jì)聯(lián)網(wǎng)直報(bào)平臺(tái)業(yè)務(wù)量的不斷增加，單位內(nèi)部專業(yè)人員、軟件開發(fā)維護(hù)人員均需要頻繁訪問操作數(shù)據(jù)庫，甚至從國家統(tǒng)計(jì)局通過統(tǒng)計(jì)內(nèi)網(wǎng)或從互聯(lián)網(wǎng)通過VPN遠(yuǎn)程對(duì)后臺(tái)數(shù)據(jù)庫進(jìn)行操作，倘若發(fā)生未預(yù)期的刪除、修改、覆蓋甚至惡意操作造成數(shù)據(jù)的損失，由于缺乏行之有效的行為審計(jì)和追溯機(jī)制，難以對(duì)事件進(jìn)行責(zé)任認(rèn)定和事件追溯。

二、統(tǒng)計(jì)核心數(shù)據(jù)加固實(shí)現(xiàn)

根據(jù)《信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》中數(shù)據(jù)庫安全方面的要求，以保障統(tǒng)計(jì)核心數(shù)據(jù)為根本任務(wù)，綜合利用多種安全技術(shù)和措施，建立一套事前預(yù)防、事中控制、事后分析的安全防護(hù)體系，從而有效保障江蘇省統(tǒng)計(jì)核心業(yè)務(wù)系統(tǒng)和數(shù)據(jù)的安全。

（一）事前預(yù)防

基于角色的訪問控制RBAC（Role-Based Access control）作為一種安全模型，從角色分配、角色權(quán)限分配和角色繼承分配三方面約束數(shù)據(jù)庫管理員的權(quán)限，賦予數(shù)據(jù)庫用戶完成任務(wù)所需的最小權(quán)限，該模型采用角色分配方法，簡(jiǎn)化用戶管理，減少授權(quán)復(fù)雜性，降低了管理的難度。因此，江蘇省根據(jù)這一安全模型將數(shù)據(jù)庫管理員角色分解為DBA、安全管理員和安全審計(jì)員，DBA負(fù)責(zé)數(shù)據(jù)庫的日常操作維護(hù)，安全管理員負(fù)責(zé)用戶權(quán)限的分配，安全審計(jì)員根據(jù)數(shù)據(jù)庫日志和安全審計(jì)設(shè)備負(fù)責(zé)事后的安全審計(jì)，滿足了最小權(quán)限原則，DBA、安全管理員和安全審計(jì)員三員分權(quán)而又互相制約。同時(shí)全省還專門制定了數(shù)據(jù)庫安全崗位設(shè)置辦法及工作職責(zé)，從管理制度上對(duì)數(shù)據(jù)庫三員分權(quán)分立管理加以保障；二是通過應(yīng)用和數(shù)據(jù)庫漏洞掃描軟件定期對(duì)重要信息系統(tǒng)進(jìn)行掃描，通過掃描軟件檢查系統(tǒng)是否存在SQL注入、跨站腳本、信息泄露以及數(shù)據(jù)庫不安全配置等問題，發(fā)現(xiàn)安全漏洞并及時(shí)整改，持續(xù)監(jiān)控?cái)?shù)據(jù)庫安全狀況；三是通過數(shù)據(jù)備份守好數(shù)據(jù)的最后一道防線，為了更高的恢復(fù)點(diǎn)目標(biāo)（RPO）和更短的恢復(fù)時(shí)間目標(biāo)（RTO），綜合考慮備份方案的可行性和經(jīng)濟(jì)性，江蘇使用賽門鐵克NBU備份軟件配合磁帶庫搭建了持續(xù)數(shù)據(jù)保護(hù)的平臺(tái)，無論是網(wǎng)絡(luò)節(jié)點(diǎn)、應(yīng)用服務(wù)器還是數(shù)據(jù)庫服務(wù)器也均實(shí)現(xiàn)了雙機(jī)運(yùn)行，通過多種手段保證數(shù)據(jù)安全。

（二）事中控制

《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》中根據(jù)信息系統(tǒng)的重要程度、業(yè)務(wù)特點(diǎn)從業(yè)務(wù)特點(diǎn)和安全需求將信息系統(tǒng)劃分為不同的安全域，實(shí)現(xiàn)不同強(qiáng)度的安全保護(hù)，從而控制和降低系統(tǒng)面臨的風(fēng)險(xiǎn)。因此全省根據(jù)等級(jí)保護(hù)中安全域劃分原則，將聯(lián)網(wǎng)直報(bào)系統(tǒng)根據(jù)功能和安全等級(jí)劃分為DMZ安全域、業(yè)務(wù)應(yīng)用安全區(qū)、核心數(shù)據(jù)庫安全區(qū)等區(qū)域，安全域之間通過網(wǎng)絡(luò)防火墻相互隔離并配置嚴(yán)格的訪問控制策略，只有信任的IP地址才能通過監(jiān)聽器訪問數(shù)據(jù)庫，非信任的訪問請(qǐng)求將被拒絕，做到“系統(tǒng)進(jìn)不來，數(shù)據(jù)拿不走”。其次針對(duì)數(shù)據(jù)運(yùn)維過程缺乏集中管理、身份管理、訪問控制等問題，在網(wǎng)絡(luò)環(huán)境中部署運(yùn)維堡壘主機(jī)，通過對(duì)訪問資源的嚴(yán)格控制，確保操作者在其賬號(hào)有效權(quán)限和期限內(nèi)合法訪問操作資源，降低操作風(fēng)險(xiǎn)；通過對(duì)操作進(jìn)行集中統(tǒng)一管理，解決了數(shù)據(jù)庫運(yùn)維管理分散、無序的問題；通過賬號(hào)和權(quán)限的精細(xì)化設(shè)置解決了操作者身份唯一的問題。實(shí)現(xiàn)單位內(nèi)部人員和軟件開發(fā)人員的操作過程全面跟蹤、控制、記錄、回放，做到細(xì)粒度訪問控制，有效控制并降低數(shù)據(jù)庫操作風(fēng)險(xiǎn)。

（三）事后分析

數(shù)據(jù)庫安全審計(jì)系統(tǒng)能夠?qū)崟r(shí)監(jiān)控并記錄對(duì)數(shù)據(jù)庫服務(wù)器的各種操作，通過對(duì)網(wǎng)絡(luò)數(shù)據(jù)的分析，實(shí)時(shí)地、智能地解析對(duì)數(shù)據(jù)庫服務(wù)器的操作，記錄審計(jì)數(shù)據(jù)庫以便日后進(jìn)行查詢、分析、過濾，實(shí)現(xiàn)對(duì)目標(biāo)數(shù)據(jù)庫系統(tǒng)的用戶操作監(jiān)控和審計(jì)。因此全省結(jié)合實(shí)際情況，在不影響統(tǒng)計(jì)核心業(yè)務(wù)系統(tǒng)的正常運(yùn)行，不改變網(wǎng)絡(luò)架構(gòu)的前提下，通過在核心交換機(jī)上設(shè)置鏡像端口旁路監(jiān)聽的方式部署數(shù)據(jù)庫安全審計(jì)系統(tǒng)，對(duì)所有對(duì)數(shù)據(jù)庫的操作進(jìn)行記錄、還原和分析，可以發(fā)現(xiàn)“是誰改變了數(shù)據(jù)”和“這些數(shù)據(jù)是什么時(shí)候被改變的”等問題，在不改變數(shù)據(jù)庫系統(tǒng)現(xiàn)有設(shè)置的情況下實(shí)現(xiàn)對(duì)數(shù)據(jù)庫的在線監(jiān)控。

三、結(jié)語

統(tǒng)計(jì)核心安全加固通過建立事前預(yù)防、事中控制、事后分析的安全防護(hù)體系，有效地減少了統(tǒng)計(jì)核心數(shù)據(jù)資產(chǎn)破壞和泄露的風(fēng)險(xiǎn)，形成追溯溯源機(jī)制便于事后分析和界定責(zé)任，同時(shí)通過安全加固也滿足了國家統(tǒng)計(jì)局和有關(guān)安全主管部門的合規(guī)性要求?！叭旨夹g(shù)七分管理”是信息安全領(lǐng)域的一句至理名言，雖然可以從技術(shù)上對(duì)數(shù)據(jù)進(jìn)行安全加固，安全管理機(jī)制的完善、信息安全意識(shí)的提高對(duì)于數(shù)據(jù)安全也同樣至關(guān)重要，統(tǒng)計(jì)核心數(shù)據(jù)安全保障之路任重而道遠(yuǎn)。

（責(zé)任編輯：高萍萍）