背景
隨著數(shù)據(jù)資產(chǎn)向數(shù)據(jù)能源的轉(zhuǎn)變,數(shù)據(jù)資產(chǎn)的價值越來越高,這些價值作為生產(chǎn)動力在不斷推動組織、社會向前發(fā)展的同時,也成為了黑產(chǎn)的目標,極大的促進了數(shù)據(jù)竊取及濫用行為的發(fā)生,目前針對數(shù)據(jù)資產(chǎn)的竊取及濫用風(fēng)險主要集中在以下幾點:
數(shù)據(jù)存儲介質(zhì)風(fēng)險
數(shù)據(jù)庫做為數(shù)據(jù)的存儲介質(zhì),由于其自身的復(fù)雜性,不但自身會有安全漏洞,而且在安全維護和配置過程中常常也會因各種因素造成安全漏洞,從而使敏感數(shù)據(jù)面臨風(fēng)險。
互聯(lián)網(wǎng)滲透風(fēng)險
無論任何組織,只要使用了信息化系統(tǒng),就或多或少的與互聯(lián)網(wǎng)發(fā)生了聯(lián)系,一旦觸網(wǎng)就會給攻擊者以可乘之機,例如利用SQL注入等滲透技術(shù)對存儲在數(shù)據(jù)庫中的數(shù)據(jù)進行竊取、拷貝、篡改、破壞等行為。
外包及第三方人員權(quán)限過大風(fēng)險
組織內(nèi)部龐大的信息化系統(tǒng),無論是開發(fā)和運維需求,信息部門往往都無法滿足全部需求,所以IT外包變得越來越普遍,這也給組織的核心數(shù)據(jù)資產(chǎn)造成了泄露風(fēng)險。
合法人員的非授權(quán)訪問風(fēng)險
在組織內(nèi)部,一些合法的高權(quán)限賬號,例如數(shù)據(jù)庫的DBA賬號也會存在違規(guī)操作,甚至惡意操作、數(shù)據(jù)竊取的安全隱患,例如非授權(quán)訪問敏感數(shù)據(jù)、非合法地點訪問數(shù)據(jù)庫、運維誤操作、高危指令等。
開發(fā)、測試系統(tǒng)生產(chǎn)數(shù)據(jù)泄露風(fēng)險
開發(fā)、測試環(huán)境使用未經(jīng)脫敏的敏感數(shù)據(jù),一方面由于開發(fā)測試環(huán)境的安全性,另一方面由于開發(fā)測試人員的復(fù)雜性,也會導(dǎo)致敏感數(shù)據(jù)面臨泄露風(fēng)險。
安全取證困難
一旦發(fā)生數(shù)據(jù)安全事件,不但要求記錄完整的數(shù)據(jù)惡意操作行為,還要能夠追蹤到操作的應(yīng)用、賬戶、時間、地點等,最終追蹤到責(zé)任人,為安全事件的定責(zé)、追責(zé)提供可靠的依據(jù)。
數(shù)據(jù)安全縱深防護體系
為解決以上種種數(shù)據(jù)安全風(fēng)險,安華金和針對組織的數(shù)據(jù)安全防護進行了整體設(shè)計與規(guī)劃,形成了縱深數(shù)據(jù)安全防護體系,保障各類組織機構(gòu)的核心數(shù)據(jù)資產(chǎn)安全。
安華金和數(shù)據(jù)安全縱深防護體系
檢查預(yù)警
通過數(shù)據(jù)庫安全評估技術(shù),有效檢測數(shù)據(jù)庫已知漏洞,例如數(shù)據(jù)庫自身漏洞、弱口令、缺省口令、弱安全策略、權(quán)限寬泛、補丁未升級等,并針對檢測結(jié)果形成綜合評估報告給出升級改造及修復(fù)建議。
通過動、靜態(tài)數(shù)據(jù)資產(chǎn)梳理技術(shù),明晰數(shù)據(jù)資產(chǎn)存儲現(xiàn)狀,以及數(shù)據(jù)資產(chǎn)使用現(xiàn)狀,例如敏感數(shù)據(jù)分布狀況、應(yīng)用數(shù)據(jù)使用狀況、數(shù)據(jù)維護訪問狀況等。
主動防御
通過數(shù)據(jù)庫安全防護技術(shù),防御基于互聯(lián)網(wǎng)的外部攻擊行為,例如外部應(yīng)用高危及未授權(quán)訪問、SQL 注入、權(quán)限或角色的非法提升以及敏感數(shù)據(jù)非法訪問等行為。
通過數(shù)據(jù)庫運維管理技術(shù),對內(nèi)部運維操作進行細粒度的管控,例如在運維過程中,運維人員只能使用通過審核的賬戶,在授權(quán)的時間、地點、使用經(jīng)過審核的操作語句對敏感數(shù)據(jù)進行運維管理。
底線防守
通過數(shù)據(jù)庫加密技術(shù),防止合法人員非授權(quán)訪問、下載、拷貝敏感數(shù)據(jù),防止敏感數(shù)據(jù)泄露。
通過數(shù)據(jù)庫脫敏技術(shù)對生產(chǎn)數(shù)據(jù)進行脫敏,例如應(yīng)用于測試、開發(fā)、分析,等環(huán)境中的敏感數(shù)據(jù)利用靜態(tài)脫敏技術(shù)進行變形處理;應(yīng)用于實時訪問生產(chǎn)數(shù)據(jù)的客服場景,對于與業(yè)務(wù)無關(guān)的敏感數(shù)據(jù)利用動態(tài)脫敏技術(shù)進行遮蔽處理。
事后追查
采用數(shù)據(jù)庫安全審計技術(shù)解決數(shù)據(jù)安全取證的問題,例如防止高權(quán)限用戶對審計記錄的破壞,以及利用應(yīng)用關(guān)聯(lián)審計進行精準的數(shù)據(jù)操作行為定位,為數(shù)據(jù)安全事件追責(zé)、定責(zé)提供可靠依據(jù)。
安華金和數(shù)據(jù)安全縱深防護體系是從事前預(yù)防,到事中防護,再到事后追查的一個整體的
數(shù)據(jù)防護體系,最終目標是在實現(xiàn)數(shù)據(jù)資產(chǎn)價值的同時保障使用中的數(shù)據(jù)安全。
申請創(chuàng)業(yè)報道，分享創(chuàng)業(yè)好點子。點擊此處，共同探討創(chuàng)業(yè)新機遇！
