醫院承載著海量的資料資源，伴隨著各種新業務、新應用的不斷湧現，面臨著越來越多的安全挑戰與合規壓力。其中，因醫院在資料庫運維管控上缺乏有效措施，成為重要隱患之一，諸如：

• 假冒合法客戶端訪問業務系統敏感資料；

• 盜用客戶端內建的應用資料庫賬號；

• 來自工具端的資料庫登入安全威脅（暴力破解\綠色版工具）；

• 高許可權DBA使用者違規訪問敏感資料；

• 敏感資料違規匯出、系統物件操作無控制，資料被竊取；

• 違規人員/駭客惡意刪庫、勒索鎖庫，高危操作無控制。

同時，鑑於醫療健康資料的高價值和隱私性成為黑產及不法分子關注的焦點，因缺乏資料庫主動防禦機制，資料庫處於“裸奔狀態”，面臨利用資料庫漏洞進行攻擊、利用應用程式進行SQL隱碼攻擊等風險。

針對上述場景如何採取有效的資料安全防護措施？ 本期案例主角— 寧波市鎮海區中醫醫院以資料庫防火牆外防，以資料庫防水堤壩內控，築牢資料安全屏障。

成立於1990年，寧波市鎮海區中醫醫院作為一家集中醫醫療、教學、科研、預防於一體的中醫醫院，經過多年資訊化建設，核心業務系統資料規模日益增加，HIS、PACS、整合平臺等系統生產、匯聚大量敏感資料資產。

醫院安全的核心是資料安全，為滿足《資料安全法》、等保2.0等合規性要求，醫院 擬採用針對性安全防護措施，對資料庫運維側以及業務側存在的安全薄弱環節進行安全加固：

醫院第三方外包人員較多，存在共用相同資料庫大許可權賬號、使用任意資料庫運維工具的情況，有越權訪問敏感資訊，批次查詢和匯出資訊等風險隱患。

現階段醫院部分核心資料庫存在高危漏洞，但醫院缺乏有效防範資料庫攻擊威脅的安全措施，一旦發生資料庫漏洞攻擊入侵行為，將可能導致嚴重的資料安全事件。

0 1 建設方案

基於上述風險及防護需求，寧波市鎮海區中醫醫院透過部署美創 資料庫防火牆及資料庫防水壩系統 ，實現運維側及業務側的防護，從而解決內部資料庫運維側人員雜、許可權大、無控制、難追溯等問題，防止資料庫漏洞攻擊、 S Q L注入攻擊等風險。

運維側安全防護

針對醫院運維過程中如何有效管控管理等問題，資料庫防水壩實現事前-事中-事後全流程、細粒度的安全管控，包括：運維事前使用者多因素身份准入、事中細粒度許可權控制以及事後運維審計問題。

資料庫防水壩透過對運維人員、開發人員、測試人員進行精準識別，以多維身份認證，來規範資料准入控制，避免非運維人員利用運維工具訪問。同時，透過對敏感資料資產進行定義與分類分級，實現細粒度的安全管理。透過對特權賬戶進行統一管理，防止敏感資料被越權。

此外，資料庫防水壩風險監測響應引擎可快速阻斷違規操作，支援對誤刪除資料進行恢復。結合實際應用的靈活性，資料庫防水壩支援當運維人員必須進行某些危險性操作或者需要訪問敏感資料時，可提交臨時授權工單，由安全管理員進行逐級審批後方可進行操作。

業務側安全防護

針對外部資料庫入侵風險，透過部署美創資料庫防火牆系統，解決資料庫業務應用側的安全問題。

資料庫防火牆採用全面的資料庫通訊協議解析，透過 SQL協議分析，和SQL隱碼攻擊特徵抽象技術，能快速有效的捕獲SQL隱碼攻擊的行為特徵，根據預定的SQL白名單策略決定讓合法的 SQL 操作透過執行，對符合SQL隱碼攻擊特徵的可疑的非法違規操作進行阻斷，從而形成一個資料庫的外圍防禦圈, 實現SQL 危險操作的主動預防、實時審計，防止外部駭客的資料庫入侵行為。

0 2 建設收益

1、解決寧波市鎮海區中醫醫院內部運維過程中賬戶共享、臨時賬號，賬號管理混亂、運維操作不透明、第三方業務單位運維過程存在資料安全風險問題。

2、從資料庫SQL語句精細化控制的技術層面，提供一種主動安全防禦措施。同時，結合獨立於資料庫的安全訪問控制規則，幫助使用者應對來自內部和外部的資料安全威脅。

3、滿足《網路安全法》、《資料安全法》、等保2.0及醫療行業相關法規政策要求。

應對資料安全典型薄弱點，這家醫院“外防內控”築牢屏障

相關文章