内部安全合规管控案例分享

时间：2020-06-18

☛ 缺乏严格准入控制，账号共享滥用屡见不鲜；

☛ DBA们掌握“生杀大权”，操作行为难以掌控；

☛ 误操作致关键数据丢失，数据恢复困难重重；

☛ 数据库内部操作难审计，事后追责无据可查；


更是严重威胁数据资产的****。前不久的微盟删库惨案，就使公司市值直接蒸发30亿，一环出错，满盘遭殃。

相对于外部入侵，祸起“墙内”可谓防不胜防。那么，在核心数据掌握企业命脉的年代，企业单位除了靠流程、制度的约定之外，如何利用技术手段加强内部管控，让数据更安全，企业不再轻易“失去”？

 

抛开纸上谈兵，本文从实际案例场景出发，看数据库防水坝如何让数据资产“滴水不漏”。

 

image.png

（一图看美创数据库防水坝）


政府行业

作为2002年4月成立的民政部直属单位，国家减灾中心的大部分灾害、灾情等数据都存储在内部网络。


随着信息化建设的不断深入，数据库自身存在不少安全威胁，特别是内部核心敏感的数据，缺少必要的技术安全保障手段。比如：

▐ 存在多名运维人员共享同一账号，或运维人员使用临时创建或授权的新账号情况，账户管理不明确。

▐ 单位内部涉及第三方运维人员，流动性大，对于数据库读取、写入操作通过现有管控无法全面监控；

▐ 针对数据库的使用操作，除运维人员访问操作外，还存在大量应用程序和运维类工具，若假冒或伪造合法应用程序及运维工具进行数据读取操作，有可能会引发数据被篡改或盗取；

▐ 在管控措施失效、内部高权限用户的数据窃取和绕开合法应用系统直接访问数据库等风险造成数据脱库风险； 

对此，国家减灾中心通过部署美创数据库防水坝，实现对核心数据库的安全管控。

image.png

  


电力行业

电力行业在信息安全建设方面存在“共性”，即针对数据的保护主要侧重于对外部的防御，比如部署防火墙、入侵检测、漏洞扫描等传统网络安全防护措施，但对数据库核心数据缺乏有效的保护。

 

天津电网同样如此，由于职工数量庞杂，人员的职责、流程有待完善，内部员工的日常操作不甚规范。数据库管理员、业务操作人员、第三方运维人员等都可直接访问敏感数据。现有的数据库内部操作不明，无法通过外部的任何安全工具来阻止内部用户的恶意操作、滥用资源和泄露企业机密信息等行为。

 

针对天津电网存在的安全隐患，美创数据库防水坝有效解决。

 


医疗行业

医疗机构由于缺乏足够、专业的运维人员，不得不依靠第三方运维团队，运维环节的数据泄露成为重要的安全隐患之一。


济南市儿童医院便面临以下安全风险：

▐ 医院现有的数据库账号密码管理，主要依托于HIS相关厂商和医院信息科管理人员双重认证登录，虽然一定程度保障安全性，但流程操作相对繁琐。

▐ 运维操作过程中，没有相关操作行为记录，在发生安全事件时难以快速定位账号的实际使用者和责任人。

▐ 运维人员使用绿色版运维工具，存在安全漏洞及操作后门，威胁数据库自身安全，也给了勒索病毒可乘之机。

▐ 运维网络和业务网络相互交叉关联，存在一定程度上管理复杂、管理难度大。

 

通过对运维人员、开发人员、业务操作人员等予以分类，该医院部署美创数据库防水坝，实现数据库安全运维管理。


image.png



金融行业

无论在利益诱惑下进行数据盗取及其破坏，还是在数据操作过程中，不符合规章的误操作导致的数据泄露。对数据安全最为严苛的金融机构而言，此类事件频频发生。

为了保障业务系统运维安全，避免数据外泄，湖州银行目前采用堡垒机对内部运维进行统一监管。

运维人员先通过堡垒主机认证，后登陆各个堡垒前置机，登录各个主机。这种管理方式可以对运维人员的所有操作进行监控，但是在针对后端数据库和数据对象的管控上，堡垒机只能实现事后审计。一旦发生事故，往往只能亡羊补牢。 

image.png

美创科技数据库防水坝的加入，为银行提供完整的数据中心安全解决方案寻找到“分工合作”之路。数据库防水坝旁路部署到核心系统中，开启防水坝的反向代理模式。


设备部署完成后，数据库防水坝将接管运维侧的数据库访问控制管理，配合前端堡垒机的运维管控，实现数据动态脱敏、工单审批授权管理、数据表格的操作访问管理、危险操作防范管理，进一步提升整个湖州银行的数据运维安全管理。

image.png



文章来源：美创科技

上一篇：深度解读：Verizon 2020年数据泄露调查报告 下一篇：腾讯安全发布《数据安全解决方案白皮书》

联系老师 微信扫一扫关注我们 15527777548/18696195380 在线咨询
关闭