“纵深防护”打造高校数据安全 | 封面报道

根据高校数据的安全现状,主要面临如下几个方面的安全需求。

高校数据库安全需求分析

1

漏洞扫描预警

高校业务系统使用的数据库大部分为主流数据库,而这些数据库系统配置比较复杂,要进行安全的维护需要具备丰富的经验,随着主流数据库的功能不断扩充,出现的漏洞更加复杂、种类更加繁多,但学校信网中心人力有限。

针对这样的情况,需要自动化对数据库进行综合安全风险评估,对数据库中存在的缺省配置、弱口令、高危程序、漏洞情况进行扫描,并提供有价值的修复建议,为高校数据库系统提供有价值的检测报告,为高校数据库的安全基线提升提供依据。

2

攻击行为防护

保障高校业务系统数据库仅接受可信人员和应用发起的访问请求,针对黑客利用Web应用漏洞,进行SQL注入;或以Web应用服务器为跳板,利用数据库自身漏洞的攻击和侵入行为进行识别,通过拦截SQL注入、漏洞攻击,保障攻击行为无法发送到数据库上。

对于黑客通过入侵应用系统执行批量下载敏感数据的行为,可以限定数据查询和下载数量、限定敏感数据访问的用户、地点和时间,从而杜绝黑客人员的刷库行为,建立高校业务数据库的主动防御机制。

3

访问身份识别

随着高校业务系统规模的迅速扩大,内部的人员身份也复杂多样,有在校的学生、信息中心的老师、科研系统的研究员、第三方业务系统的开发人员等,这些人员都拥有不同的工作和职能,所以随着高校信息化建设的完善,对业务数据库访问流程的标准化、设备资源管控规范化、应急事件响应高效化都提出了新的挑战

而传统的数据库管理方式存在着管理流程不严、技术手段缺失、人员素质参差的问题,需要梳理出一套有效的身份识别机制来加以完善,这样可以提升高校的工作效率,快速协调资源,规范管理流程。

4

运维操作管控

鉴于高校操作数据库人员的复杂性,高校传统的信息安全建设,往往侧重于规范网络层应用用户、限制VPN特权用户、阻止外部黑客攻击,聚焦于网络边界的访问控制,但对内部人员却缺乏有效的管控。

5

重要数据加密

近年,高校数据安全事件频频发生,高校教务系统中存储着大量的学生信息、教职员工信息以及考试信息,这些信息如果泄露将造成高校名誉的损失。

校园一卡通类型系统中存储着资金以及支付信息,如果这类信息被窃取或篡改,高校将直接面临经济损失。高校中科研系统往往承接的是重大科研项目,甚至国家战略技术的研究,并且这类信息存储在涉密系统中,如果不对此类信息进行安全的加密,当产生了泄露事件时,会影响到社会、生活秩序。所以针对个人隐私信息、支付信息以及科研信息的加密显得尤为重要。

6

操作行为审计

如果缺乏操作行为记录和分析,对于数据库的访问者无法有效分析数据来源,做到快速定位;对关键数据的访问无记录,如果出现安全事故无法溯源追踪;对于黑客攻击,无法做到攻击留痕;对运维人员进入数据库系统的误操作、越权操作行为,无法进行及时的预警;一旦数据库日志被清除,就没有数据库的完整审计记录,针对于事故的整体过程,无法做到有效的定位,满足不了相关审计方面的政策要求。所以针对数据库的访问操作进行记录、分析、预警是数据库安全的必需工作。

数据库安全总则

防范外部内部攻击,避免由于攻击导致数据破坏,从而影响业务运行以及信息泄露,保证行政、教务、考务等关键业务的安全运行,要从两方面考虑:

一方面,数据安全问题不单是一个技术问题,而是由人、技术系统和组织内部环境等综合因素产生的问题,要靠有效的数据安全管理才能弥补单纯技术手段的不足。

另一方面,数据安全包含内容广泛,数据安全需要整体防护。如果还以各自独立的视角去看待信息技术安全工作,就会出现盲人摸象、只见树木不见森林的情况。因此,要把高校数据安全管理当作一个整体进行研究和实践,数据安全管理体系就是从整体上看待高校数据安全工作。

那么,高校的数据库安全方案应当遵循如下原则:

全局性原则

安全威胁来自最薄弱的环节,必须从全局出发规划安全系统。

综合性原则

安全不单靠技术措施,必须结合管理,当前我国发生的数据安全问题中,管理问题占相当大的比例,因此建立网络安全设施体系的同时必须建立相应的制度和管理体系。

均衡性原则

安全措施的实施必须以相应的数据安全级别考虑。数据中相同安全级别的保密强度要一致。节约性原则:整体方案的设计应该尽可能地不改变原来网络的设备和环境,以避免资源的浪费和重复投资。

纵深防护思路

根据高校数据的安全现状,对数据库的安全建立防护机制,要根据数据库使用的“事前、事中、事后”三个层面,建立“检查预警、主动防御、底线防守、事后追查”的纵深防护思路,以解决数据库安全面临的复杂的问题。

1

检查预警

查漏补缺,提升数据库自我免疫能力。自动化对高校业务系统数据库进行综合安全风险评估,并提供有价值的修复建议,为高校数据库系统的安全基线提升提供整体有效的参考。

2

主动防御

提升数据库防黑客、防高危操作、防内部人员泄密的能力。

首先,细粒度访问控制。保障高校业务系统数据库仅接受可信人员和应用发起的访问请求,从根源上彻底杜绝第三方人员、内部运维人员的非授权行为,减小了被攻击面;并通过SQL攻击防护、虚拟补丁等功能,即使数据库没有打“补丁”,数据库防火墙也能防范针对数据库的SQL注入和漏洞攻击行为,主动防御安全威胁。

其次,规范化运维管控。改善高校传统管理模式,对数据库运维行为进行审批管控,拒绝一切异常运维行为通过,在指定的时间、对象、操作方后进行审批。所有运维操作需要建立规范的运维流程,包括事前审批,事中控制,事后记录操作信息,可以实现全运维流程的管理,实现高校运维规范性。

3

底线防守

敏感数据加密,提升数据“底线”防守能力,即使拿走磁盘,也无法看到数据。

将存储在数据库中的教务信息、学籍信息、一卡通消费信息等加密存储,防止此类敏感信息被解析为明文从而造成泄密安全事件。

对于此类风险,需要建立独立于数据库的权控体系,引入安全管理员、审计管理员实现三权分立的安全管理手段,防止第三方外包人员和程序开发人员越权访问敏感信息,结合动态口令和SQL级API与应用系统进行绑定,解决绕过应用程序非法访问数据库的问题;并且在存储层进行安全加密,保证即便拿走硬盘,没有授权及密钥无法查看真实数据。

4

事后追查

建立数据库访问的“摄像头”,提升数据库安全监控能力。

对数据库协议进行精确识别,记录和回放针对统计数据库的攻击行为、篡改行为、泄密行为、误操作等行为,为事后追溯定责提供准确依据,同时对上述行为提供邮件、短信、声音等多种报警方式。

当前,信息安全已成为高校信息化建设的重中之重,为了营造一个安全和谐的校园网环境,赛尔网络联合包括安华金和在内的国内优秀安全厂商,为高校用户提供一流的网络安全服务,涵盖事前、事中和事后的全程需求。

(0)

相关推荐