高校資料安全解決方案-網站版

一、 背景介紹

高校網路中的資料一般包括網站資料、教學資源、圖書資源、教務管理資料、辦公資源、財務管理資料等，如教職工資訊、學生資訊、教學資訊、科研資訊、資產資訊、圖書借閱資訊、師生消費資訊和上網資訊等各種資料內容。學校的招生就業、財務、資產資料等等都是不可外洩且不容篡改的資料，作為核心資料載體——資料庫，一旦發生來自於應用使用者越權操作、程式開發人員和資料庫運維人員的資料洩露和篡改，都將造成巨大的損失，必定會給學校和社會造成重大影響，因此，作為儲存著大量人員資訊的資料庫，需要加強資料安全管理，除了及時完善，有效的處理漏洞，重要的是杜絕再次發生類似的攻擊事件，而能做到這一點的最有力手段就是靈活並有針對性的資料庫安全保護措施。

二、 需求分析

a) 政策需求

2016年11月7日，出示網路安全法中涉及到的資料包括一般網路資料（第21條），並且單獨對資訊基礎設施資料（第34條）、使用者資訊和個人資訊（第42條），進行重點保護：

1、對資料訪問日誌進行審計，且日誌留存時間不低於6個月（第21條）；

2、對資料進行分類，將敏感資料與普通資料區別化對待（第21條）；

3、對重要資料進行備份，容災（第21、34條）；

4、對重要資料進行加密（第21、31條）；

5、對個人資訊進行脫敏（第42條）。

資料安全建設是等級保護2.0建設的核心內容之一，根據新計算環境和業務場景對資料安全保護能力做出了更貼合實際情況的明確要求，下面分別是二級，三級的具體要求：

等保2.0二級要求：

1、應授予管理使用者所需的最小許可權，實現管理使用者的許可權分離（7.1.4.2-訪問控制（二級））；

2、應啟用安全審計功能，審計覆蓋到每個使用者，對重要的使用者行為和重要安全事件進行審計；審計記錄應包括事件的日期和時間、使用者、事件型別、事件是否成功及其他與審計相關的資訊，並應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等（7.1.4.2-安全審計（二級））；

3、應僅採集和儲存業務必需的使用者個人資訊；應禁止未授權訪問和非法使用使用者個人資訊（7.1.4.10個人資訊保護（二級））；

等保2.0三級要求：

等保三級在安全審計及個人資訊保護這兩塊與等保二級要求的內容相同，額外的，等保三級在訪問控制及資料保密性增加了相關要求,具體如下：

1、應配置訪問控制策略，訪問控制策略規定主體對客體的訪問規則；訪問控制的粒度應達到主體為使用者級或程式級，客體為檔案、資料庫表級（8.1.4.2-訪問控制（三級））；

2、應採用密碼技術保證重要資料在儲存過程中的保密性，包括但不限於鑑別資料、重要業務資料和重要個人資訊等（8.1.4.8資料保密性（三級））；

為貫徹落實國家資訊保安等級保護制度，規範和指導全國教育資訊保安等級保護工作，教育部辦公廳釋出《印發關於開展教育系統資訊保安等級保護工作專項檢查的通知》（教辦廳函[2010]80號）。2017年2月20日，教育部網路安全和資訊化領導小組辦公室下發了《關於印發教育部網路安全和資訊化領導小組第二次會議紀要的通知》的通知，會議強調了加快推進網路安全等級保護工作。

b) 業務需求

資訊系統網路安全建設的目的，是依照國家有關資訊保安建設的一系列法規和政策，建立體系完整、安全功能強健、系統效能優良的網路安全系統，從而有效保障各項資訊業務的正常執行，保護網路內敏感資料資訊的安全。具體高校的資料安全建設的業務需求如下：

1、系統眾多，資料形成分散的孤島，管理效率低效；

2、安全人員缺失，人員管理工作繁重；

3、財務、師生隱私資訊等核心資訊資產的破壞和洩漏；

4、高校財務資料被非法篡改導致的資金流失；

5、在開發、測試環境中，第三方外包人員、應用開發人員可能存在的資料洩露風險；

6、傳統高校資訊化資料庫防護存在缺陷。

三、 解決方案

為了解決上述高校業務需求，同時滿足透過高校資訊化等級保護測評，網安等建設工作，需要建立並完善資料庫安全防護。透過環境中部署資料庫審計，加密，防火牆，脫敏系統，提高資料庫的安全水平。

目前高校的資料安全現狀主要呈現為以下3種形式：

1. 已經完成數字校園建設，校內已經建成一站式平臺實現校園業務通辦。校內建成集中式資料中心，各項業務正在由數字校園向智慧校園進行升級，資料中心已經部署了基本的資料庫審計裝置。

2. 正在進行數字校園建設，尚未投入使用，各業務系統分離。正在進行資料中心建設，提取各個老舊系統的存量資料。拓撲結構複雜，尚未劃分安全域。

3. 依然使用原有系統，數字校園處於專案規劃階段和預算階段，想同步進行應用系統迭代建設和資料安全建設。

根據前文所述3類資料安全現狀，分別採取3種不同的技術手段進行安全防護。

1. 已經完成數字校園建設的高校，實行全面資料治理。部署資料安全態勢感知平臺，對校內大融合資料中心內海量資料進行分類分級，完善訪問控制規則，同時增補各個安全節點，實現資料審計、訪問控制、脫敏和加密。

2. 尚未完成資料中心建設的高校，採取資料安全分步建設的方案。首先進行基礎資料安全配置，根據專案進度再進行高階配置，最終平滑無縫升級到資料安全態勢感知平臺，無需大量更新裝置即可實現全面的資料安全建設。

資料態感部署模式

資料安全態勢感知平臺呈現方式

資料分級分類及呈現

使用者行為分析

a) 基礎配置

1、對所有資料庫部署 資料庫審計產品。映象加探針多種方式實現對資料庫及活動線上監控和保護。及時地發現網路上針對資料庫的違規操作行為，並進行記錄、報警。一旦發生威脅可迅速判斷是內部人員的越權操作，還是外部人員的入侵行為，事後追責，滿足合規性要求。

2、對於一些包含重要資料、易受攻擊的系統，尤其是需要對校外人員提供服務的系統，比如一卡通、教育管理、財務管理等系統的資料庫伺服器使用資料庫防火牆，一方面抵禦SQL隱碼攻擊及針對資料庫漏洞的攻擊，另一方面對客戶端IP，主機名進行，有效控制來自內部的全表刪除等誤操作、超級許可權濫用等。同時開啟學習功能，自動生成基線模型白名單，實現規則零配置，解決詳細設定防火牆規則的難題。

基礎配置不僅滿足等保及網安法對審計及訪問控制的基礎要求，也能滿足院方對訪問行為留痕，及內外部非法及越權訪問的要求。

透過資料庫審計產品的部署，對重要命令，重要行為等對資料庫的所有操作，操作所訪問到的資料或者執行的結果進行審計，滿足等保2.0二級或三級安全審計的要求，滿足網安法第21條審計的要求。同時資料庫防火牆的部署可以設定細粒度的訪問控制，粒度可以到表級甚至是欄位、行、語句級。從而實現最小操作許可權，限制DBA等超級管理員許可權，實現分權分離，滿足等保二級及三級對訪問控制，個人資訊保護的要求，滿足網安法第21條區別對待敏感資料與普通資料的要求。

b) 高階配置

1、對於含有敏感資訊系統例如包含資產及財務的財務資料庫系統，還需要部署資料庫加密系統。對對資料庫儲存的資訊進行加密儲存，並且透過獨立的許可權管控系統來實現對敏感資料訪問的許可權控制，確保其資料的安全性。

2、對於開發區，需要對開發分析資料例如科研資料需要部署資料庫靜態脫敏產品，提供批次的資料脫敏能力。透過取樣、替換等方式生成脫敏後的準真實資料，滿足從開發資料庫匯出以供系統開發者使用的需求，防止真實資料洩漏。針對運維環境，尤其是正在開發的應用系統，採用資料庫動態脫敏產品，提供實時的資料脫敏能力，防止第三方維護人員的高許可權訪問，誤操作，惡意操作，防止隱私資料洩露。

高階配置在基礎配置的基礎上增設了加密及脫敏，不僅提供對多型別核心業務系統資料庫的全面防護，也為院方透過等保測試工作提供一機多能的防護技術手段，全面滿足教育行業對資訊保安的建設要求。

透過資料庫加密，實現對重要系統資料按列、按行、按記錄方式進行 加密，滿足等保2.0三級資料保密性的要求，滿足網安法第21條，31條對重要資料進行加密的要求。透過資料庫脫敏，在資料採集過程中實現對個人資訊的脫敏操作，防止未授權訪問和非法使用個人資訊，滿足等保2.0二級及三級對個人資訊保護的要求，滿足網安法第42條對個人資訊進行脫敏的要求。

c) 高校業務系統適用資料安全產品分析

d) 管理方案

1、資料庫賬戶按業務用途嚴格區分，劃定業務許可權，建議與管理終端繫結IP;

2、內部許可權管理,財務部、資產科、資訊科分配獨立資料庫賬號，針對不同業務賬號，最小化開啟對資料庫的訪問許可權；

3、對資料庫進行許可權管理，對核心資料表進行全面監控審計，定期生成使用者活動報表，對越權訪問的IP和資料庫使用者進行阻斷防護，保證合法使用者正常訪問行為。

四、 方案優勢

中安威士技術方案能夠有效解決高校財務系統目前所面臨的資料安全問題，提高資料庫的安全性、機密性、穩定性以及可用性。最大程度的保證不會因外部與內部攻擊、有意或無意的危險操作等原因帶來的資訊洩露、被篡改、被刪除等後果。滿足資訊保安等級保護，網安法及高校資訊保安相關要求。

1、 從核心處解決資料安全問題

從訪問資料庫的SQL語句級別和檢視資料庫的欄位級別進行防控，從根源上徹底防止“篡改資料、刪除資料、竊取資料”的問題。

2、 防止無關業務人員訪問核心資料

對訪問核心資料的人員的許可權體系建立，使核心資料流通在少數的、合規的人員內部，完全遮蔽無關人員與無關業務系統的訪問許可權，只針對運維及財務部門開放訪問許可權並進行集中審計與防護。

3、 防禦為主、審計為輔

在主動防禦的同時，依然對訪問行為進行全程的審計監控，便於時刻分析問題可能發生的時間、地點、人物，以便設定更合理的防禦策略。基於白名單阻斷非法接入及行為，全面精準地審計使用者操作行為。