教育行业数据库安全解决方案

行业需求与挑战:

    教育行业学院信息中心的招生咨询、学员管理、网络课件等数据都属于学院内部极其重要的数据，作为核心数据载体——数据库，一旦发生来自于应用用户越权操作、程序开发人员和数据库运维人员的数据泄露和篡改，都将造成巨大的损失。

    近年，学院信息中心在信息化安全建设上投入明显，已经采购了网络防火墙、入侵防护系统和主机安全检测系统等网络安全产品，可以完善地防护突破边界造成的外部入侵。

    然而这些只能防止外部黑客入侵，但对于存储核心“数据资产”的数据库却缺乏有效安全防护措施。

当前，在系统中至少存在以下重要数据库安全威胁，能够直接导致百利留学敏感信息等重要数据的泄密发生：

（1） 网络管理员等：解析数据库文件获取明文
数据库是系统的核心，提高信息中心数据库安全是百利留学数据安全管理工作的重要部分。由于数据库在操作系统下都是以文件形式进行管理 的，当窃取数据库文件解析后即可得到明文的敏感数据。对数据库中的敏感数据进行加密处理，是堵塞这一通向DBMS 的“隐秘通道”的有效手段。
（2） 维护人员：权限过高批量导出敏感数据
负责数据库的维护管理，直接掌握数据库高权限账户的维护人员既负责各项管理工作，例如资源分配、用户授权、系统审计等，又可以查询数据库中的一切信息；这些人员的帐户被他人利用，完全可以随时登陆数据库，从而导致敏感信息泄密。
（3） 业务人员：“越权操作”敏感信息
目前百利留学信息系统的教职工帐户，业务功能应因岗位而异，数据应因部门级别而异，操作权限应因层次而异，既要保证合法使用者的正常使用，又要防止越权获得信息、篡改信息的行为。
（4）程序开发人员等：利用数据库账户窃取数据
程序开发和测试人员知道数据库账户信息，利用这些账户一方面可以在生产系统中加入后门程序，通过这些后门程序从数据库中窃取数据，另一方面测通过测试系统接触真实数据导致敏感信息泄密。

解决方案概述及要点描述：

    本方案从存储层、数据库访问层、应用访问层三个层面对数据库面临的安全威胁进行分析，以学院信息中心敏感数据的主动预防为目标，提出整 体的数据库安全加固解决方案。基于数据库加密产品安华金和数据库保险箱系统（简称DBCoffer），设计实现了应用访问层、数据库访问层和存储层的全方 位敏感信息安全加固解决方案。

    DBCoffer通过数据存储加密、独立的权限控制、三权分立、应用安全访问等核心能力，能够主动预防来自于内部维护人员、第三方合作人员、内部工作人员的各种数据窃取行为，将对数据库系统进行有效地安全加固，弥补当前学院信息中心的数据库安全“短板”。

防止敏感信息泄密:

加密存储：对关键敏感信息等敏感信息进行加密，防止备份文件、数据文件丢失或被窃取引起的泄密。
敏感数据访问权限控制：通过密问权控体系，仅对合法业务系统的后台数据库账户，开放加密信息的访问权限。
限定访问的ip和地址：限定能访问加密信息的应用服务程序，所在的IP地址和时间范围。
提高数据加密安全性：使用国际通用的加密算法AES128、AES256、3DES等，通过256位密钥，每列使用不同的唯一密钥，定期更换加密密钥，进一步屏蔽破解的可能性。

方案价值：

通过DBCoffer的密文权限控制体系，限制DBA、服务外包人员、第三方开发人员对敏感数据的访问权限，使其只能维护数据而无法访问敏感数据，远离了泄密和被篡改的危险；
仅将敏感数据的访问能力开放给合法的应用系统和必要的数据库维护人员，同时对这些敏感数据的访问，开启审计进行详细记录。
敏感信息加密存储，核心的敏感信息包括：包括教员信息、学生个人身份信息；对这些敏感信息进行存储加密，保证备份、存储设备丢失或被盗也不会引起关键信息泄漏。

方案优势：

从数据库级别进行防控，从根源上彻底控制百利留学敏感信息数据的泄露。
DBCoffer通过加密技术和权限控制增强技术，将敏感信息的数据从存储层进行保护，从数据库访问层进行有效的权限控制，使信息的保护真正提升到主动防御的水平。
现有的一些管理解决方案，更多地是相互制约的角度出发，增加对DBA或维护管理用户的人员监督；造成工作的成本增加，工作的效率降低，工作职责的混乱。
DBCoffer的实施，对于现有应用系统的SQL语句、开发接口，都无需改造，原有数据库核心特性均可继续使用。同时DBCoffer集中控制的模式，能够更快地、无缝地融合到现有信息管理系统中。