保障入口與訪問(wèn)者的數(shù)據(jù)安全

2018年高考前夕，鋪天蓋地的是考生和考生家長(zhǎng)的緊張，在這看得見(jiàn)的緊張的背后，看不見(jiàn)的是相關(guān)教育部門開(kāi)展的完善的安全督查，各地自查、督查組抽查，力求為全國(guó)考生營(yíng)造公平公正的安全考試環(huán)境。其中網(wǎng)絡(luò)信息安全的檢查是之中重要環(huán)節(jié)之一。考生和考生家長(zhǎng)隨著考試結(jié)束而解放，考生信息安全保護(hù)卻還在繼續(xù)，甚至檢查更為嚴(yán)格。網(wǎng)絡(luò)信息安全檢查的重點(diǎn)是：計(jì)算機(jī)系統(tǒng)和數(shù)據(jù)安全防護(hù)以及其他相關(guān)安全保障措施落實(shí)情況，目的是嚴(yán)防考生信息泄露。

距離網(wǎng)絡(luò)安全法發(fā)布已經(jīng)一年了，網(wǎng)絡(luò)安全法第四十條、四十二條第二款明確規(guī)定了網(wǎng)絡(luò)運(yùn)營(yíng)者對(duì)個(gè)人信息或者說(shuō)用戶信息有保密、保證信息不被泄露、毀損與丟失的責(zé)任。但近一年來(lái)，雖然用戶信息保護(hù)制度一直在健全完善中，但數(shù)據(jù)泄露事件依然不時(shí)地發(fā)生。

高考已經(jīng)過(guò)去，但是對(duì)考生信息的保護(hù)卻絲毫不能放松，個(gè)人信息安全保護(hù)容不得半點(diǎn)松懈。對(duì)目前個(gè)人信息泄露的案例進(jìn)行分析，數(shù)據(jù)庫(kù)中的信息泄露大多是外部人員或內(nèi)部人員竊取所致。

針對(duì)這兩種情況，其實(shí)等級(jí)保護(hù)安全設(shè)計(jì)已經(jīng)給出了考慮，我們需要做的是嚴(yán)格按照等級(jí)保護(hù)安全設(shè)計(jì)要求運(yùn)行與維護(hù)。

觀察網(wǎng)絡(luò)安全法實(shí)施一年來(lái)的變化，可以發(fā)現(xiàn)，各單位都主動(dòng)或被動(dòng)的進(jìn)行了等級(jí)保護(hù)測(cè)評(píng)，并去公安部門進(jìn)行了備案，但被公安機(jī)關(guān)、單位、管理人員和大眾普遍忽略的一點(diǎn)是：備案僅僅是開(kāi)始，還遠(yuǎn)遠(yuǎn)沒(méi)有結(jié)束，也永遠(yuǎn)不會(huì)結(jié)束。在此基礎(chǔ)上的持續(xù)整改、安全運(yùn)行與維護(hù)才是根本。

跟蹤等級(jí)保護(hù)測(cè)評(píng)過(guò)程，各單位普遍存在這樣的情況：等級(jí)保護(hù)中一些重要的、有意義的安全設(shè)計(jì)，網(wǎng)絡(luò)管理人員為了自身維護(hù)管理方便直接棄之不用。

本文就從最典型的入口與訪問(wèn)者角度，談一下現(xiàn)存較為普遍的、保障數(shù)據(jù)安全必須要更改完善的幾個(gè)問(wèn)題，并針對(duì)對(duì)應(yīng)問(wèn)題給出修正建議與解決方案。

訪問(wèn)者管理

1.用戶身份與權(quán)限管理

以最明顯也是最普遍的是對(duì)交換機(jī)的訪問(wèn)為例來(lái)說(shuō)明，特別是對(duì)核心交換機(jī)的訪問(wèn)。

一般而言，管理交換機(jī)的用戶有幾類：正式的網(wǎng)絡(luò)運(yùn)維人員、廠商的駐場(chǎng)或遠(yuǎn)程技術(shù)支持人員、臨時(shí)的操作人員。按等級(jí)保護(hù)制度的要求，不同的用戶（而不是不同類）登錄關(guān)鍵設(shè)備，應(yīng)該是不同賬號(hào)對(duì)應(yīng)不同權(quán)限、訪問(wèn)者只擁有必要的權(quán)限。

但在實(shí)際的管理中，所有人員都使用admin賬號(hào)的現(xiàn)象非常普遍，權(quán)限毫無(wú)疑問(wèn)是最高的管理員權(quán)限，可以進(jìn)行任何操作，這種對(duì)賬號(hào)、權(quán)限不進(jìn)行任何區(qū)分的方式對(duì)數(shù)據(jù)的保護(hù)無(wú)疑是非常不利的。

針對(duì)這個(gè)問(wèn)題，大連理工大學(xué)的方案還是值得借鑒的，比如廠商的所有操作都只能在確定的某一臺(tái)機(jī)器上進(jìn)行操作修改，對(duì)該機(jī)器進(jìn)行完全監(jiān)控：錄屏、操作記錄存檔、操作者出入進(jìn)行視頻錄像等，不僅可以保證關(guān)鍵設(shè)備的操作有據(jù)可查、無(wú)法抵賴，而且在一定程度上可以威懾意圖竊取信息的訪問(wèn)者。

但上面的方法只對(duì)外部竊取人員有用。內(nèi)部人員都是在單位內(nèi)部計(jì)算機(jī)上直接遠(yuǎn)程登錄并進(jìn)行操作，執(zhí)行類似上述錄屏、視頻錄像等安全措施明顯是不合適也做不到的。

因此，對(duì)內(nèi)部人員的防范還是要針對(duì)每個(gè)運(yùn)維人員區(qū)分賬號(hào)、密碼和權(quán)限，這才是根本。

2.密碼管理

依然用對(duì)交換機(jī)訪問(wèn)的例子，以一個(gè)普通院校為例，交換機(jī)臺(tái)數(shù)動(dòng)輒幾十上百甚至上千。為每一個(gè)交換機(jī)配置不同的用戶名、密碼的管理難度可想而知；對(duì)于網(wǎng)絡(luò)運(yùn)維人員，每日登錄交換機(jī)的次數(shù)多、操作頻繁，每次都要過(guò)幾次認(rèn)證才能進(jìn)行操作，無(wú)疑是一種工作負(fù)擔(dān)。于是無(wú)密碼登錄、弱口令登錄、單因素認(rèn)證等的普遍存在也就不難理解了。

實(shí)際上根據(jù)等保要求，不僅要求是強(qiáng)口令，而且對(duì)密碼的更改期限也有一定限制，比如根據(jù)設(shè)備重要性程度不同，強(qiáng)制要求一個(gè)月更改一次密碼，三個(gè)月或者半年密碼不允許重復(fù)等。

最近頻繁出現(xiàn)郵箱平臺(tái)用戶密碼泄露事件，廣大管理人員應(yīng)從安全事件中汲取教訓(xùn)：關(guān)鍵設(shè)備復(fù)用密碼、密碼組合規(guī)律性太強(qiáng)或者更換頻率較低等都是極其危險(xiǎn)的，必須養(yǎng)成定期修改密碼、堅(jiān)決不復(fù)用密碼的安全習(xí)慣。

同理，面對(duì)龐大的服務(wù)器群、海量的軟件系統(tǒng)，遠(yuǎn)程登錄服務(wù)器的方式包括用戶名、密碼、無(wú)操作時(shí)限等各方面也存在同樣問(wèn)題。

訪問(wèn)途徑管理

對(duì)于結(jié)構(gòu)化數(shù)據(jù)與部分非結(jié)構(gòu)化數(shù)據(jù)，數(shù)據(jù)庫(kù)是他們最終的存放地，因此數(shù)據(jù)庫(kù)的重要性不言而喻。要獲取數(shù)據(jù)只有兩個(gè)途徑：直接訪問(wèn)數(shù)據(jù)庫(kù)，經(jīng)由軟件系統(tǒng)訪問(wèn)數(shù)據(jù)庫(kù)。不論哪種方式，終點(diǎn)都是對(duì)數(shù)據(jù)庫(kù)的訪問(wèn)。

經(jīng)由軟件系統(tǒng)訪問(wèn)數(shù)據(jù)庫(kù)的方式，除了對(duì)系統(tǒng)用戶名密碼的分配外，還需要特別關(guān)注權(quán)限。曾經(jīng)某地政府部門網(wǎng)站發(fā)生越權(quán)漏洞，任何訪問(wèn)者登錄該網(wǎng)站注冊(cè)任意賬號(hào)后可以給任意角色分配權(quán)限，成為“管理員”，并可以對(duì)系統(tǒng)的個(gè)人信息數(shù)據(jù)進(jìn)行查看與篡改，該漏洞被攻擊者利用，造成了非常惡劣的影響。

實(shí)際上這種問(wèn)題只要通過(guò)進(jìn)行一般的測(cè)試就可以避免，軟件系統(tǒng)上線前對(duì)訪問(wèn)者的權(quán)限測(cè)試是必須的也是基本的。

直接訪問(wèn)數(shù)據(jù)庫(kù)是指直接登錄到服務(wù)器上打開(kāi)DBMS，這是極其危險(xiǎn)的操作，而這部分恰恰是管理人員經(jīng)常忽略的危險(xiǎn)區(qū)。

一般而言一個(gè)軟件誕生與成長(zhǎng)的流程是這樣的：?jiǎn)挝毁?gòu)買軟件系統(tǒng)與服務(wù)器，提供軟件系統(tǒng)所需的原始數(shù)據(jù)，然后全權(quán)委托廠商或代理商去安裝部署，最后交付給單位的是系統(tǒng)登錄用戶名與密碼，軟件操作與功能說(shuō)明文檔。而很少告知關(guān)于數(shù)據(jù)庫(kù)、日志等部署或維護(hù)細(xì)節(jié)。根本原因當(dāng)然是單位并不關(guān)心這些“關(guān)鍵的”細(xì)節(jié)，甚至都不清楚數(shù)據(jù)庫(kù)與日志的存在。對(duì)單位而言，他更關(guān)心的是軟件的使用說(shuō)明文檔與項(xiàng)目驗(yàn)收與通過(guò)與否；對(duì)部署工程師而言，數(shù)據(jù)庫(kù)是屬于“后臺(tái)”，用戶只需要知道如何使用系統(tǒng)即可，不用關(guān)心“后臺(tái)”的部署。

這種現(xiàn)狀產(chǎn)生的另一個(gè)重要原因是購(gòu)買的軟件系統(tǒng)一般是有維保期的，在維保期內(nèi)系統(tǒng)發(fā)生任何問(wèn)題都是由廠商或代理商的工程師去處理，比如當(dāng)初部署軟件的工程師。在這種情況下，為了后期維護(hù)方便，部署工程師不為數(shù)據(jù)庫(kù)設(shè)置密碼或者使用通用用戶名與密碼也就不難理解了。

然而，從系統(tǒng)安全角度來(lái)講，數(shù)據(jù)庫(kù)作為數(shù)據(jù)的倉(cāng)庫(kù)，是最后一道防線，應(yīng)該引起足夠的重視，對(duì)它進(jìn)行任何程度的保護(hù)都不為過(guò)。正確的做法應(yīng)該是根據(jù)不同的用戶級(jí)，訪問(wèn)權(quán)限與操作權(quán)限包括創(chuàng)建、讀、寫、修改、刪除等，細(xì)化到表級(jí)，甚至細(xì)化到記錄或者字段級(jí)。

設(shè)立數(shù)據(jù)保護(hù)官

隨著東航任命公司總法律顧問(wèn)為公司“數(shù)據(jù)保護(hù)官”的“創(chuàng)舉”，個(gè)人信息安全的保護(hù)措施被提到新的高度。實(shí)際上“數(shù)據(jù)保護(hù)官”并不是一個(gè)新的概念，網(wǎng)絡(luò)安全法第二十一條、第三十四條明確規(guī)定要設(shè)置專門安全管理機(jī)構(gòu)和安全管理負(fù)責(zé)人。在等保測(cè)評(píng)管理部分的安全管理機(jī)構(gòu)中“人員配備”明確要求應(yīng)配備專職安全管理員，不可兼任。

不管是訪問(wèn)者管理還是訪問(wèn)途徑管理，要保證入口與訪問(wèn)者這一關(guān)的絕對(duì)安全，“數(shù)據(jù)保護(hù)官”的設(shè)立是必須的。因?yàn)檫@是一個(gè)持久而彌新的過(guò)程，需要專人專責(zé)，持續(xù)的不間斷的運(yùn)行維護(hù)，否則就是一句空話。

不論是大量的網(wǎng)絡(luò)交換設(shè)備、服務(wù)設(shè)備、軟件系統(tǒng)，或者是同等甚至翻倍數(shù)量級(jí)的數(shù)據(jù)庫(kù)，即使單單從入口與訪問(wèn)者這冰山一角考量，需要涉及的人員類別與細(xì)化、權(quán)限等級(jí)與分配、密碼更新與保存等工作量就不是簡(jiǎn)單輕松的管理二字可以概括的。

結(jié)語(yǔ)

網(wǎng)絡(luò)安全法的亮點(diǎn)之一是將數(shù)據(jù)安全寫入法律，關(guān)于個(gè)人信息保護(hù)，很多公司與單位都從技術(shù)角度進(jìn)行檢測(cè)、防御，這樣在很大程度上讓管理員誤認(rèn)為保障數(shù)據(jù)安全只是技術(shù)公司的事情。

鮮有文獻(xiàn)從管理者角度剖析，如何對(duì)入口與訪問(wèn)者把關(guān)。誠(chéng)然，目前有非常多的技術(shù)手段可以幫助我們提高數(shù)據(jù)的安全行與系統(tǒng)的健壯性，有越來(lái)越完善的法律法規(guī)監(jiān)督單位完善安全設(shè)施。但“三分技術(shù)、七分管理”，再先進(jìn)的技術(shù)沒(méi)有管理人員的有效使用與也是枉然。

本文正是從這個(gè)角度出發(fā)，探討如何通過(guò)加強(qiáng)入口與訪問(wèn)者管理為數(shù)據(jù)安全增加一道屏障。