数据安全服务体系方案
数据安全服务体系介绍
1概述
1.1背景
2017年6月1日《中华人民共和国网络安全法》正式生效，在规范社会网络行为同时，明确企业和个人所承担的网络安全责任和义务，其中重点提到对个人信息保护，使得数据安全得到前所未有的重视。
信息系统的核心数据存在数据库中，数据库作为核心数据资产载体，一旦发生无意识危险操作、信息泄露、恶意篡改，都将造成最为惨痛的损失。据Verizon 2016数据泄露调查报告显示，数据库服务器数据泄露占总泄露记录的80%以上，成为头号信息泄露源。
随着当前业务系统及数据库的部署规模、访问人员和密集度在不断增加，来自于外部攻击者、第三方运维和开发人员、内部维护人员的恶意访问，给企业数据安全带来了严峻的挑战。
由于数据库安全是一个信息安全中一个新兴的领域，大部分的企业在数据安全方面普遍存在着技术能力不足的问题，这就产生对数据安全专业服务的需求。
1.2服务目标
过去二十多年信息化和互联网经济的发展，数据成为继现金和技术之后又一核心价值资产。数据黑产在过去十年里蓬勃发展，让每个人、每个企业和国家的数据都面临着巨大威胁。保证客户对敏感数据的安全管理和使用，是数据安全服务的核心服务目标。只有合理地处理好数据资产的使用与安全问题，企业与国家才能在新的数据时代稳健而高速发展。
1.3参考法规及标准
《中华人民共和国网络安全法》
GB/T 22239-2008 《信息安全技术信息系统安全等级保护基本要求》
GB/T 28448-2012 《信息安全技术信息系统安全等级保护测评要求》
GB/T 28449-2012 《信息安全技术信息系统安全等级保护测评过程指南》
ISO/IEC 27000 系列标准族
等等
2数据安全服务体系架构
2.1核心内容
数据安全服务的核心内容，首先是来自对数据资产进行有效的理解、分析和定位，根据数据的重要程度和敏感度不同，尽可能对数据做到有差别和针对性的防护，实现在适当安全保护下的数据自由流动。通过数据库安全服务能够为客户提供针对不同数据、不同使用者的数据管理控制措施；除了数据管控，我们还需要有效地对数据的访问行为监控和审计，对收集的日志记录进行定期地合规性分析和风险分析。
2.2服务框架
数据库安全服务框架如下图:
整个数据安全服务体系由三大板块组成:数据安全清查板块、数据安全管控板块和数据安全稽核板块组成。每个板块又由多个子服务板块组成，每个板块即可以单独为客户提供服务，也可以将各个板块组合，为客户提供更加全面、可靠的服务。
2.3与传统安全服务区别
3数据安全清查板块
数据安全清查服务板块主要是对客户的数据资产分级分类、分布情况、使用情况、风险情况进行梳理，并将数据资产以较为清晰的图表方式展现给客户，做到对数据资产心中有数。
3.1数据分级分类服务
服务内容：通过对数据进行有效分类，能够避免一刀切的控制方式，在数据的安全管理上采用更加精细的措施，使数据在共享使用和安全使用之间获得平衡。数据分级分类主要依据数据的来源、内容和用途对数据进行分类；按照数据的价值、内容的敏感程度、影响和分发范围不同对数据进行敏感级别划分。
服务方式：顾问访谈、采用数据静态梳理工具（未购置）定期服务
输出物：分级分类管理制度、《数据分级分类清单》
3.2数据资产定位服务
服务内容：客户业务系统运营的过程中会产生大量的数据，这些数据都是企业宝贵的数据资产，这些数据资产绝大部分都保存在为这些业务系统提供支撑的数据库中。数据资产定
位服务能够为客户客观、高效、清晰的定位其信息系统中运行着那些数据库，避免客户由于系统更新迭代、人员变动、管理复杂造成对数据库及数据资产的失控。
服务方式：采用“数据库漏洞扫描系统”定期服务
输出物：现运行数据库清单
3.3数据资产梳理服务
服务内容：数据资产梳理是采用自动扫描的方式，完成对敏感数据存储分布状况信息采集的服务工作。通常经过梳理后，能够将个人信息（如：姓名、身份证号、电话、地址、银行卡号等）及业务敏感信息在数据库中的分布情况进行客观的展现。
服务方式：数据梳理工具（未购置）定期扫描
输出物：敏感数据分布报告，敏感数据分布清单
3.4数据热度分析服务
服务内容：数据热度分析是采用数据库访问流量镜像的方式，对核心数据或敏感数据的访问源及访问频度进行统计和分析，得出数据资产的存储分布、数据资产的系统访问状况、数据资产的批量访问状况、数据资产的访问风险，帮助客户掌握数据资产被什么业务系统或运营人员访问，为数据安全管理和保护提供依据。
服务方式：数据热度分析系统在线分析，技术人员定期进行服务
输出物：数据热度分析报告
3.5数据库漏洞评估服务
服务内容：通过对数据库漏洞检测，对数据库安全状况进行评估，评估的内容包括相关安全配置、弱口令情况、存在的漏洞、默认配置缺陷、补丁情况等；并为客户提供安全整改建议。主要价值如下:
?DBMS漏洞：扫描数据库系统自身存在的漏洞，如果数据库存在漏洞会引发数据泄漏、权限提升或拒绝攻击问题。
?弱口令：检查数据库用户口令的安全强度是否符合安全性要求，比如由于使用了111111这样的弱口令，会造成数据库易受攻击。
?缺省口令：是否存在数据库系统安装的缺省口令，由于这样的口令是被公众掌握的，安全隐患很大。
?配置缺陷：由于数据库配置不当造成的安全缺陷或风险点，如果有安全配置缺陷极易被非法入侵者找到突破点，从而攻陷数据库。
?补丁检查：检查数据库的版本和安全补丁安装情况,提供相应的补丁更新建议。
服务方式：采用“数据库漏洞扫描系统”定期服务
输出物：数据库安全检测报告
4数据安全管控板块
数据安全管控服务板块是通过专业服务将客户对数据资产的流程、制度等管理策略落地的过程，从而真正实现对核心数据及敏感数据进行安全防护的目标。
4.1数据安全防护服务
服务内容：针对数据库可能遭受到的风险（来自外部的入侵和来自内部的非法操作）进行实时的主动防护，对应用访问及运维管理进行细粒度管控。其主要价值如下：?网络可信接入
应用服务器可信：通过IP/MAC绑定，确保只有授权服务器、设备可以访问数据库。
?应用身份识别
通过对应用身份识别，让合法应用发出的SQL语句可以直接访问数据库，而其他登陆工具和应用未经过授权或绑定，都无法登陆后台数据库，确保数据来自指定应用。
?抵御SQL注入
建立SQL注入特征库，通过对SQL语句进行注入特征描述，完成对“SQL注入”行为的检测和阻断。
?虚拟补丁
在数据库外的网络访问路径上创建了一个安全层，数据库在无需补丁情况下，完成对数据库漏洞防护，对于有“扩展脚本”和“缓冲区溢出”攻击的特征的SQL语句，可通过匹配特征库直接进行拦截。
?阻断漏洞攻击
对数据库的访问设置许可或禁止模型，按照SQL自身语法结构划分SQL类别，通过自定义模型添加新的SQL注入特征，进行有效拦截。
?用户权限细粒度管理
建立比DBMS系统更详细的虚拟权限控制，对建立的虚拟权限的用户提供细粒度的控制。控制策略例如：用户+操作+对象+时间；在控制操作中增加了Update Nowhere、delete Nowhere等高危操作阻断；对于返回行数和影响行数实现精确控制。
服务方式：数据库防火墙系统在线安全防护，技术人员定期服务
输出物：数据库安全防护综合报告
4.2数据运维管控服务
服务内容：针对数据库可能遭受到的风险（来自外部的入侵和来自内部的非法操作）进行实时的主动防护，并对运维人员直接对数据库的变更维护操作进行实时监督和控制。其主要价值如下：
?事中运维控制
数据库防火墙依据数据库协议精确解析与语法重构与匹配技术，能够将运维人员对数据库的访问操作与预先申请的语句或规则进行准确对比，满足允许条件的访问行为将被放行，而未申请或匹配失败的操作将无法执行，有效防范恶意操作或误操作。
?自主识别、风险提示
基于精确协议解析技术和语法重构技术，能够根据用户申请SQL的语法特征和关键词进行自动识别，对输入SQL能够实时、快速、准确判断是否语法语义错误。
为敏感表库和敏感操作制定规则，对于提前预定义的高危操作可以在审批者审批时给予提醒和关注。
?多维分析、快速定位
对于所有的运维操作进行持久化存储，并且提供从数据库对象、操作类别、IP地址、时间等多维的统计分析和组合检索能力，方便事件快速定位。
服务方式：数据库防火墙系统在线运维管控，技术人员定期服务
输出物：数据库运维管控综合报告
4.3核心数据加密服务
服务内容：通过对存储于数据库中的核心数据和敏感数据进行物理存储加密，防止明文存储引起的数据泄密、突破边界防护的外部黑客攻击和来自于内部高权限用户的数据窃取，从物理存储层面解决数据库敏感数据泄漏问题。主要价值如下：
?防止由于明文存储引起的泄密
数据库的底层存储实际上是未经加密处理的，数据文件、备份磁带的丢失都存在重大的泄密风险，通过数据存储加密，从根本上保证数据安全，即使反向解析数据文件仍是加密后的乱码。
?防止内部高权限用户数据窃取
以sys、sysdba或sa为代表的超级用户天然具备数据访问、授权和审计的权限；在大型企业和政府机构中，除了系统管理员，以数据分析员、程序员、服务外包人员为代表的数据库用户，也可以访问到敏感数据。通过对特权用户进行有效权力拆分，增设了安全管理员(DSA)，即使是DBA用户，在未经DSA授权时照样无法访问到密文数据，实现权限分离。
服务方式：数据库保险箱系统在线加解密，技术人员定期服务
输出物：加密数据清单、授权访问用户清单
4.4数据脱敏服务
服务内容：客户信息系统建设和运营过程中，往往需要敏感数据在不同的安全区域中流动，当需要在开发测试、数据分析、数据分享中使用生产数据时，需要对生产数据进行去个性化处理，数据脱敏服务能满足客户需求，具体价值如下：
?敏感数据自动发现
自动发现数据库中的敏感数据，并形成数据字典；
?可订制的脱敏策略
制定脱敏策略，可以进行掩码处理、局部脱敏、高仿真、保持一致性等不同的数据脱敏方案；
?脱敏操作简单方便
脱敏任务执行，支持各类数据源，并可以实现数据源到目标库入库一步完成操作；
?生产数据不落地
对于库到库脱敏，未脱敏数据不落地，防止敏感信息泄露。
服务方式：数据脱敏系统在线处理，技术人员根据工作量提供服务
输出物：脱敏字段清单、脱敏后数据、数据脱敏服务报告
5数据安全稽核板块
通过数据安全稽核服务板块，能使客户数据库系统满足《网络安全法》、《网络安全等级保护制度》等政策合规性中，对数据访问审计的要求，同时还能发现非正常的访问行为和系统中存在的潜在威胁。
5.1数据库监控与审计服务
服务内容：数据库监控与审计服务采用数据流量端口镜像的方式，实时监控数据库运维和应用程序对数据库的访问操作，监控记录可用于事后的追溯、审计和检查。主要价值如下：?监控外部黑客攻击：通过漏洞攻击检测技术捕获和分析漏洞攻击行为，监控SQL 注入行为。
?监控内部高危操作：通过对无where条件的更新和删除、drop、truncate等高危操作及时告警，避免大规模损失，用户还可以依据数据资产、操作类型自定义高
危操作。
?监控敏感数据泄漏：依据数据查询和下载数量、敏感数据访问的用户、地点和时间等进行监控，并可及时告警，告警规则可以自定义。
?审计追踪非法行为：提供对所有数据访问行为的记录，对风险行为进行sysLog、邮件、短信等方式的告警，提供事后追踪分析工具。
?审计日志记录：审计系统存储的日志记录大于180天，满足合规要求。
服务方式：数据库监控与审计系统在线记录，技术人员定期服务
输出物：数据库访问日志、数据监控与审计服务报告
5.2数据库安全基线分析服务
服务内容：为保证数据库稳定、安全运行，需要对数据库的功能设置及安全设置建立基线，建立基线往往需要大量的实践经验和行业要求进行结合，数据库安全基线分析服务可以
根据行业最佳实践和客户自身业务特性结合，为客户量身定制数据库安全基线，并跟踪基线的变化情况。
服务方式：数据库安全基线工具在线分析，技术人员定期服务
输出物：数据库基线配置表、数据库基线服务报告