安華金和數(shù)據(jù)庫Security運維

安華金和

劉曉韜10月22日讓數(shù)據(jù)使用更平安數(shù)據(jù)庫Security運維2傳統(tǒng)IT架構(gòu)下的數(shù)據(jù)庫Security運維1Why？數(shù)據(jù)庫Security運維3Security---互聯(lián)網(wǎng)+時代的首要運維責任Verizon?數(shù)據(jù)泄露調(diào)查報告?指出：數(shù)據(jù)庫中泄露的數(shù)據(jù)是數(shù)據(jù)泄漏事件發(fā)生的主要來源。數(shù)據(jù)庫效勞器占泄露記錄總數(shù)的96%，數(shù)據(jù)庫平安成為平安體系建設的關(guān)鍵所在！幾個典型的DBSecurity事件2021：深圳福彩運維人員篡改數(shù)據(jù)庫幾個典型的DBSecurity事件2021：聯(lián)創(chuàng)開發(fā)人員竊取信息1300W幾個典型的DBSecurity事件幾個典型的DBSecurity事件2021：黑客入侵p2p金融插播一、一個黑客從外網(wǎng)入侵過程的解析〔Sony)第三方運維內(nèi)網(wǎng)訪問測試人員DBA特權(quán)用戶實施人員外網(wǎng)訪問應用用戶黑客入侵者誤操作：大量更新刪除業(yè)務數(shù)據(jù)直接看到真實數(shù)據(jù)、批量導出非法操作：繞過應用違規(guī)訪問數(shù)據(jù)庫非法操作：提升權(quán)限，竊取數(shù)據(jù);拷貝備份、數(shù)據(jù)文件惡意操作：SQL

注入攻擊程序后門：應用軟件中留有數(shù)據(jù)下載接口 非法操作：盜用 密碼越權(quán)操作非法操作：導出數(shù)據(jù)開發(fā)人員VPN特權(quán)用戶插播二、數(shù)據(jù)庫Security在現(xiàn)代信息架構(gòu)的挑戰(zhàn)B/S架構(gòu)使數(shù)據(jù)庫間接暴露到互聯(lián)網(wǎng)各種運維人員和IT外包人員直接訪問數(shù)據(jù)庫應用方式的變更使數(shù)據(jù)庫訪問形式多樣化數(shù)據(jù)庫應用環(huán)境復雜DB要Security運維的原因總結(jié)1、傳統(tǒng)的平安藩籬已經(jīng)打破，DB已經(jīng)不再平安2、數(shù)據(jù)價值凸顯，價值帶來了風險3、平安責任全員化，DBSecurity已是重要運維責任2傳統(tǒng)IT架構(gòu)下的數(shù)據(jù)庫Security運維1Why？數(shù)據(jù)庫Security運維3Security---互聯(lián)網(wǎng)+時代的首要運維責任傳統(tǒng)行業(yè)一：政府社保參保人信息倒賣新興的信息倒賣公司已經(jīng)將社保信息作為重要的商品。經(jīng)濟詐騙從身份證生日等信息分析銀行卡密碼；社保數(shù)據(jù)違規(guī)調(diào)查或發(fā)布某省煙草廳干部公積金高額上繳基數(shù)被曝光事件等。信息泄漏利益驅(qū)動2015-05-04

05版社保網(wǎng)絡信息跑，千門萬戶不堪擾。技術(shù)僅補三分漏，恪守擔當不可少?！度嗣袢請蟆飞绫Ｐ袠I(yè)-“4.22事件〞1、2021年4月22日，國內(nèi)各大網(wǎng)站曝出全國30省市社保單位曝出平安漏洞，數(shù)千萬社保用戶信息或泄漏。2、該新聞持續(xù)發(fā)酵，當日晚間百度搜索〞社保行業(yè)泄露〞已經(jīng)收錄接近400萬，峰值更是達1800萬。3、近4、5年來，數(shù)據(jù)泄密事件層出不窮。大大小小的企業(yè)、組織都在遭到數(shù)據(jù)庫泄密事件的重創(chuàng)。人社DBSecurity的挑戰(zhàn)1、社保信息交易價值極高2、社保龐大的IT架構(gòu)，系統(tǒng)復雜性極高，潛在漏洞多〔省級或大地市，幾十個業(yè)務系統(tǒng)和上百個數(shù)據(jù)庫效勞器〕3、數(shù)據(jù)庫訪問與運維的人員組成復雜某市級社保行業(yè)的平安分析插播三：數(shù)據(jù)庫自身的平安問題分析訪問控制缺陷DBMS漏洞明文存儲SQL特征控制高危SQL控制數(shù)據(jù)無返回數(shù)量控制SQL注入語句控制超級用戶不受限拒絕效勞漏洞系統(tǒng)注入漏洞緩沖區(qū)溢出權(quán)限提升漏洞數(shù)據(jù)文件明文存儲配置文件暴露密碼備份文件明文存儲日志文件明文存儲CVE上一共公布了2000多個數(shù)據(jù)庫漏洞插播四：一個Oracle數(shù)據(jù)庫提權(quán)例如--權(quán)限提升selectSYS.DBMS_EXPORT_EXTENSION.GET_DOMAIN_INDEX_TABLES('FOO','BAR','DBMS_OUTPUT".PUT(:P1);EXECUTE

IMMEDIATE

''DECLARE

PRAGMA

AUTONOMOUS_TRANSACTION;BEGIN

EXECUTE

IMMEDIATE

''''

grant

dba

to

vpatch'''';END;'';END;--','SYS‘,0,'1',0)

from

dual;某人社局DBSecurity的解決方案傳統(tǒng)行業(yè)二：電力電力行業(yè)平安現(xiàn)狀：平安事件層出不清黑龍江北京電力設備總廠平安事件：通過國網(wǎng)及其下屬企業(yè)在Internet上的對外系統(tǒng)可以很容易地侵入到內(nèi)部數(shù)據(jù)庫獲取大量敏感信息。電力行業(yè)-不同防護層的需求分析通過外部系統(tǒng)自身缺陷進行SQL注入或上傳后門程序存在大量的攻擊漏洞不支持SQLServer運維側(cè)大量外包人員需要審計和管控國產(chǎn)數(shù)據(jù)庫平安加固國家電網(wǎng)的DBSecurity平安風險國網(wǎng)某數(shù)據(jù)中心的DB部署結(jié)構(gòu)國網(wǎng)某數(shù)據(jù)中心的DBSecurity運維需求數(shù)據(jù)庫平安需求〔1〕需要手段明確的知道各個應用系統(tǒng)中都有哪些高權(quán)限賬號，這些賬號的使用者是誰；〔2〕需要掌握每個賬號的行為，如果有越權(quán)或高危操作，希望能發(fā)現(xiàn)、阻止并審計；〔3〕對高危命令能夠進行分級審批；〔4〕對第三方的成心或無意破壞有防護和審計手段，并有免責的方法；〔5〕當前的邏輯強隔離裝置存在復雜SQL注入無法防范，OCI協(xié)議可以穿透的風險；國網(wǎng)某數(shù)據(jù)中心的Security解決方案檢測結(jié)果

高風險中風險低風險警告提示合計通過912118135741321938未通過89189044弱口令掃描共檢測出弱口令和缺省口令用戶13個，其中9個為應用系統(tǒng)使用的數(shù)據(jù)庫賬戶，4個為數(shù)據(jù)庫系統(tǒng)缺省賬戶。對生產(chǎn)庫賬戶進行授權(quán)檢查時，發(fā)現(xiàn)局部賬戶權(quán)限分配過高。某省電網(wǎng)的數(shù)據(jù)庫漏洞掃描結(jié)果DB的平安檢測結(jié)果傳統(tǒng)行業(yè)三：運營商某運營商的挑戰(zhàn)已部署了堡壘機系統(tǒng)仍然發(fā)生了嚴重的誤操作：對某個重要業(yè)務表中數(shù)據(jù)進行了刪除，造成重要生產(chǎn)事故插播五：堡壘機的DBSecurity運維缺陷無細粒度控制的能力圖形化操作無法控制（僅錄屏）測試數(shù)據(jù)泄露惡意程序惡意訪問導出明文數(shù)據(jù)導致泄露解析物理文件某運營商的DBSecurity運維解決方案DBLinkDBLink修復人工不易加固的復雜數(shù)據(jù)庫漏洞SQL注入補丁未升級拒絕效勞緩沖區(qū)溢出虛擬補丁訪問控制SQL防火墻違規(guī)審計細粒度的用戶權(quán)限訪問控制防止批量導出數(shù)據(jù)維護人員惡意操作和誤操作大范圍數(shù)據(jù)訪問精細、實時的違規(guī)審計，保護數(shù)據(jù)庫免受無法問責無法準確追蹤分析DBSecurity運維的整體平安意識3/43/4的成員不清楚特權(quán)用戶對數(shù)據(jù)庫進行過何種操作將近50%的成員對其非特權(quán)用戶訪問敏感數(shù)據(jù)毫無措施2/3

的成員不能有效防止特權(quán)用戶對數(shù)據(jù)庫的非授權(quán)訪問502/385%的成員將真實數(shù)據(jù)不加防范地交與開發(fā)人員或第三方人員85ORACLE全球獨立用戶組對其430個成員的數(shù)據(jù)平安調(diào)查報告按修復建議人工加固賬號口令鎖定缺省賬戶加強弱口令復雜度低安全策略連續(xù)登錄錯誤次數(shù)修改登陸白名單權(quán)限寬泛表的訪問權(quán)限易受攻擊代碼存儲過程的高危語句數(shù)據(jù)庫漏掃發(fā)現(xiàn)存在風險數(shù)據(jù)庫自身的問題系統(tǒng)注入漏洞緩沖區(qū)溢出漏洞權(quán)限提升漏洞補丁未升級數(shù)據(jù)庫使用中的問題低安全策略權(quán)限寬泛缺省配置弱口令高危程序操作記錄有效追責檢測用戶直接訪問數(shù)據(jù)庫的行為追蹤數(shù)據(jù)庫使用失敗登錄報告認證復查自動化保護存儲數(shù)據(jù)追蹤和監(jiān)控數(shù)據(jù)庫訪問合規(guī)性測試和驗證

進行PCIDSS復查國家等級保護其他數(shù)據(jù)庫合規(guī)性需求外圍防御圈根本上加固復雜漏洞防控虛擬補丁技術(shù)解決數(shù)據(jù)庫自身的漏洞敏感數(shù)據(jù)保護批量導出非法訪問高危操作權(quán)限濫用核心數(shù)據(jù)加密內(nèi)部人員泄密標記敏感數(shù)據(jù)數(shù)據(jù)按列加密文件密文存儲繞過應用訪問DBA訪問敏感數(shù)據(jù)不受限D(zhuǎn)BSecurity運維的平安建議以更少的資金消耗、更集約的經(jīng)營方式、更靈巧的應變能力，實現(xiàn)更高效的開展和更豐厚的價值回報。評估人工修復審計主動防御數(shù)據(jù)庫加密2傳統(tǒng)IT架構(gòu)下的數(shù)據(jù)庫Security運維1Why？數(shù)據(jù)庫Security運維3Security---互聯(lián)網(wǎng)+時代的首要運維責任互聯(lián)網(wǎng)+時代的IT根底設施IT架構(gòu)：終端化平臺化大數(shù)據(jù)互聯(lián)網(wǎng)+特征IT根底設施滿足：低本錢可擴縮大規(guī)模支撐企業(yè)業(yè)務特征：快速試錯上云已是大勢所趨Amazon云體系結(jié)構(gòu)阿里云體系結(jié)構(gòu)阿里云上的RDS平安〔Security〕穩(wěn)健〔Safe〕數(shù)據(jù)庫運維挑戰(zhàn)的轉(zhuǎn)變傳統(tǒng)IT架構(gòu)云環(huán)境政務專有云案例某政務專有云的DBSecurity需求數(shù)據(jù)集中，泄密風險加大某政務專有云的DBSecurity解決方案三權(quán)分立，滿足涉密系統(tǒng)需要多段登錄，關(guān)鍵業(yè)務操作，需要DB管理部門和業(yè)務部門同時在場完成訪問審計，作到事后追蹤可查行業(yè)云某行業(yè)云的DBSecurity需求某行業(yè)云，是針對企業(yè)用戶的云管理系統(tǒng)。目標：將企業(yè)參保用戶的管理和局部業(yè)務從原來的“私有〞環(huán)境轉(zhuǎn)移到“行業(yè)云〞環(huán)境下。需求和挑戰(zhàn)：數(shù)據(jù)被移到行業(yè)云后，面臨的直接問題就是數(shù)據(jù)平安。企業(yè)用戶需要確認數(shù)據(jù)在云上是平安的，云環(huán)境的維護者無法看到這些數(shù)據(jù)，即使進入數(shù)據(jù)庫也無法看到敏感的真實數(shù)據(jù)，只有掌握密鑰的應用系統(tǒng)或企業(yè)用戶才能得到真實數(shù)據(jù)。系統(tǒng)中的敏感數(shù)據(jù)的保護需要按照企業(yè)用戶來區(qū)分，鑰匙需要掌握在企業(yè)用戶的手中，不能是一個公共的鑰匙。平安要“銜接線下〞，將“秘鑰〞做O2O包裝，一定要能夠以線下Key、證卡等實物形式來表達，這樣能夠大幅改善Online完全不受控的感受，讓用戶能夠心里踏實。某行業(yè)云的DBSecurity解決方案公有云一個阿里云P2p金融的部署結(jié)構(gòu)最終用戶遠程數(shù)據(jù)庫運維終端企業(yè)內(nèi)部網(wǎng)絡最終用戶最終用戶云盾P2P金融應用系統(tǒng)〔ECS效勞〕數(shù)據(jù)庫效勞器〔RDS效勞〕阿里云阿里云的平安根底設施公有云上的DBSecurity平安需求總結(jié)防止黑客攻擊：防止SQL注入、防止拖庫數(shù)據(jù)變更可追蹤：數(shù)據(jù)庫運維的可審、可控防止云效勞提供商泄露數(shù)據(jù)阿里云上應用的DBSecurity平安解決方案最終用戶遠程數(shù)據(jù)庫運維終端數(shù)據(jù)庫加密管理終端企業(yè)內(nèi)部網(wǎng)絡最終用戶最終用戶云盾P2P金融應用系統(tǒng)數(shù)據(jù)庫效勞器防止SQL注入防止批量下載防止后門程序?qū)崿F(xiàn)應用審計阿里云防止誤操作防止批量下載細粒度運維控制實現(xiàn)運維審計存儲層數(shù)據(jù)加密密鑰自主管控策略自助配置：用戶根底信息商品價格數(shù)據(jù)交易數(shù)據(jù)最后…