freebuf☛ DBA们掌握“生杀大权”，操作行为难以掌控；
☛ 误操作致关键数据丢失，数据恢复困难重重；
☛ 数据库内部操作难审计，事后追责无据可查；
更是严重威胁数据资产的****。前不久的微盟删库惨案，就使公司市值直接蒸发30亿，一环出错，满盘遭殃。
相对于外部入侵，祸起“墙内”可谓防不胜防。那么，在核心数据掌握企业命脉的年代，企业单位除了靠流程、制度的约定之外，如何利用技术手段加强内部管控，让数据更安全，企业不再轻易“失去”？
抛开纸上谈兵，本文从实际案例场景出发，看数据库防水坝如何让数据资产“滴水不漏”。
（一图看美创数据库防水坝）
政府行业
作为2002年4月成立的民政部直属单位，国家减灾中心的大部分灾害、灾情等数据都存储在内部网络。
随着信息化建设的不断深入，数据库自身存在不少安全威胁，特别是内部核心敏感的数据，缺少必要的技术安全保障手段。比如：
▐ 存在多名运维人员共享同一账号，或运维人员使用临时创建或授权的新账号情况，账户管理不明确。
▐ 单位内部涉及第三方运维人员，流动性大，对于数据库读取、写入操作通过现有管控无法全面监控；
▐ 针对数据库的使用操作，除运维人员访问操作外，还存在大量应用程序和运维类工具，若假冒或伪造合法应用程序及运维工具进行数据读取操作，有可能会引发数据被篡改或盗取；
▐ 在管控措施失效、内部高权限用户的数据窃取和绕开合法应用系统直接访问数据库等风险造成数据脱库风险；
对此，国家减灾中心通过部署美创数据库防水坝，实现对核心数据库的安全管控。
通过应用指纹识别和管理员双因素认证机制实现数据库的准入管理，从而有效防止撞库、爆破等攻击行为；
通过对DBA权限管理，实现特权帐号的管理，以及对数据库表和列级别的细粒度控制；
对于敏感数据可以进行特定保护，防止误删除或者恶意删除；
对于误操作恢复引入垃圾箱机制，快速恢复数据同时实现零数据丢失和可视化操作；
数据库离线后，处于加密状态，防止敏感数据丢失；
电力行业
电力行业在信息安全建设方面存在“共性”，即针对数据的保护主要侧重于对外部的防御，比如部署防火墙、入侵检测、漏洞扫描等传统网络安全防护措施，但对数据库核心数据缺乏有效的保护。
天津电网同样如此，由于职工数量庞杂，人员的职责、流程有待完善，内部员工的日常操作不甚规范。数据库管理员、业务操作人员、第三方运维人员等都可直接访问敏感数据。现有的数据库内部操作不明，无法通过外部的任何安全工具来阻止内部用户的恶意操作、滥用资源和泄露企业机密信息等行为。
针对天津电网存在的安全隐患，美创数据库防水坝有效解决。
数据库防水坝从源头上对运维人员和业务人员进行分离管控，多维度安全访问控制和授权管理，解决运维过程中账户共享、临时账号，账号管理混乱、运维操作不透明、第三方业务单位运维过程数据安全风险问题。
对核心生产库的重要敏感数据进行动态脱敏，实现敏感资产数据和非敏感数据的分离，防止运维人员涉及重要敏感数据信息。
智能化报表与告警订阅，利于整体把控数据库运维整体安全态势。
医疗行业
医疗机构由于缺乏足够、专业的运维人员，不得不依靠第三方运维团队，运维环节的数据泄露成为重要的安全隐患之一。
济南市儿童医院便面临以下安全风险：
▐ 医院现有的数据库账号密码管理，主要依托于HIS相关厂商和医院信息科管理人员双重认证登录，虽然一定程度保障安全性，但流程操作相对繁琐。
▐ 运维操作过程中，没有相关操作行为记录，在发生安全事件时难以快速定位账号的实际使用者和责任人。
▐ 运维人员使用绿色版运维工具，存在安全漏洞及操作后门，威胁数据库自身安全，也给了勒索病毒可乘之机。
▐ 运维网络和业务网络相互交叉关联，存在一定程度上管理复杂、管理难度大。
通过对运维人员、开发人员、业务操作人员等予以分类，该医院部署美创数据库防水坝，实现数据库安全运维管理。
根据访问数据库人员的职责不同，分配不同的权限，分配专属U-KEY，解决了运维过程中账号管理混乱、运维操作不透明等安全访问控制和授权管理问题。
通过自动识别运维工具的类型、授权访问区域、以及访问的连接方式，配置应用程序防假冒功能，对运维工具及假冒应用程序进行访问控制。
数据库防水坝自带留痕功能，能记录通过专属U-KEY登录数据库进行的相关操作，输出日常性运维工作日志和运维安全报告。
对重要敏感数据的动态脱敏机制，减少生产库中客户敏感数据泄露风险。
实现运维网络与业务网络的分离，网络管理通过普通堡垒机进行管控，数据库运维管控则通过数据库防水坝，让管理更专业、简便。
金融行业
无论在利益诱惑下进行数据盗取及其破坏，还是在数据操作过程中，不符合规章的误操作导致的数据泄露。对数据安全最为严苛的金融机构而言，此类事件频频发生。
为了保障业务系统运维安全，避免数据外泄，湖州银行目前采用堡垒机对内部运维进行统一监管。
运维人员先通过堡垒主机认证，后登陆各个堡垒前置机，登录各个主机。这种管理方式可以对运维人员的所有操作进行监控，但是在针对后端数据库和数据对象的管控上，堡垒机只能实现事后审计。一旦发生事故，往往只能亡羊补牢。
美创科技数据库防水坝的加入，为银行提供完整的数据中心安全解决方案寻找到“分工合作”之路。数据库防水坝旁路部署到核心系统中，开启防水坝的反向代理模式。
设备部署完成后，数据库防水坝将接管运维侧的数据库访问控制管理，配合前端堡垒机的运维管控，实现数据动态脱敏、工单审批授权管理、数据表格的操作访问管理、危险操作防范管理，进一步提升整个湖州银行的数据运维安全管理。
文章来源：美创科技
转载请注明来自网盾网络安全培训，本文标题：《内部安全合规管控案例分享》
