某市駕駛培訓監管服務平臺 GreatSQL 資料庫適配之旅
一、專案背景
某市駕培系統主要為社會公眾提供駕培單位查詢和學車報名，為相關合作單位提供某市駕培監管、某市駕培考核等功能。業務資訊教練車培訓過程影片資訊、包括培訓機構基本資訊、教練員基本資訊和學員個人等資訊，其服務範圍為社會公眾。資訊系統定級為第三級。
某市駕培系統部署在某市政務雲平臺網際網路區域和政務外網區域，採用 B/S 結構，使用 JAVA 語言開發。使用 JAVA 語言開發。租用了十多臺臺虛擬化伺服器，其中應用類虛擬化伺服器十多臺，資料庫虛擬化伺服器兩臺，十多臺虛擬化伺服器的作業系統均為 CentOS v7.4，應用中間使用 Tomcat 9.0 資料庫使用 MySQL v5.7.29。
某市駕駛培訓監管服務平臺系統拓撲
二、滲透測試、系統漏洞、專家建議（等保測評後）
根據滲透測試及漏洞掃描結果，某市駕培系統平臺某市雲機房所使用的十多臺伺服器中共發現緊急漏洞三個，高風險漏洞十三個,發現安全問題四十多個，中風險問題二十多個等，其伺服器漏洞已與開發單位溝通確認並制定整改計劃，將持續進行整改。
| 序號 | 名稱（地址） | 漏洞型別 | 漏洞數量 | 危險級別 | 整改情況 |
|---|---|---|---|---|---|
| 1 | https://..cn/ | 訂單金額可被篡改 | 1 | 高 | 已整改 |
| 跨站指令碼漏洞 | 2 | 高 | 已整改 | ||
| 不安全的SSL協議 | 1 | 中 | 已整改 | ||
| 點選劫持：X-Frame-Options頭缺失 | 1 | 低 | 已整改 | ||
| 2 | http://124...40:6002/ | 檔案上傳介面越權 | 1 | 高 | 已整改 |
| 跨站指令碼漏洞 | 2 | 高 | 已整改 | ||
| 不安全的SSL協議 | 1 | 中 | 已整改 | ||
| JQuery版本過低 | 1 | 中 | 已整改 | ||
| Cookie未設定HttpOnly | 1 | 低 | 已整改 |
| 序號 | 埠號 | 漏洞名稱 | 風險 | IP | 整改情況 |
|---|---|---|---|---|---|
| 1 | 5353 udp | mDNS服務檢測 | 中風險 | 192.166.. | 整改中 |
| 2 | 3306 | MySQL 5.7.x < 5.7.30存在多個漏洞(2020年04月CPU) | 中風險 | 192.166.. | 整改中 |
| 3 | 3306 | MySQL 5.7.x < 5.7.31存在多個漏洞(2020年7月CPU) | 中風險 | 192.166.. | 整改中 |
| 4 | 3306 | MySQL 5.7.x < 5.7.32存在多個安全漏洞(2020年10月CPU) | 中風險 | 192.166.. | 整改中 |
| 5 | 5353 udp | mDNS服務檢測 | 中風險 | 192.166.. | 整改中 |
| 6 | 8080 | ServletExec 4.1 ISAPI 物理路徑暴露 | 中風險 | 192.166.. | 整改中 |
| 7 | 5672 | AMQP明文驗證 | 中風險 | 192.166.. | 整改中 |
| 8 | 80 | Web 伺服器 HTTP 標頭檔案資訊披露 | 中風險 | 192.166.. | 整改中 |
| 9 | 8080 | Web 伺服器 HTTP 標頭檔案資訊披露 | 中風險 | 192.166.. | 整改中 |
| 10 | 5353 udp | mDNS服務檢測 | 中風險 | 192.166.. | 整改中 |
| 11 | 5353 udp | mDNS服務檢測 | 中風險 | 192.166.. | 整改中 |
| 12 | 5353 udp | mDNS服務檢測 | 中風險 | 192.166.. | 整改中 |
| 13 | 443 | Web 伺服器 HTTP 標頭檔案資訊披露 | 中風險 | 192.166.. | 整改中 |
| 14 | 6003 | Web 伺服器 HTTP 標頭檔案資訊披露 | 中風險 | 192.166.. | 整改中 |
| 15 | 80 | Web 伺服器 HTTP 標頭檔案資訊披露 | 中風險 | 192.166.. | 整改中 |
| 16 | 8080 | Web 伺服器 HTTP 標頭檔案資訊披露 | 中風險 | 192.166.. | 整改中 |
| 17 | 8081 | Web 伺服器 HTTP 標頭檔案資訊披露 | 中風險 | 192.166.. | 整改中 |
| 18 | 5353 udp | mDNS服務檢測 | 中風險 | 192.166.. | 整改中 |
| 19 | 22 | OpenSSH < 7.5 漏洞 | 中風險 | 192.166.. | 整改中 |
| 20 | 22 | OpenSSH < 7.6 檔案建立限制繞過漏洞 | 中風險 | 192.166.. | 整改中 |
| 21 | 22 | OpenSSH 使用者列舉漏洞(CVE-2018-15919) | 中風險 | 192.166.. | 整改中 |
| 22 | 22 | OpenSSH < 7.5 漏洞 | 中風險 | 192.166.. | 整改中 |
| 23 | 22 | OpenSSH < 7.6 檔案建立限制繞過漏洞 | 中風險 | 192.166.. | 整改中 |
| 24 | 22 | OpenSSH 使用者列舉漏洞(CVE-2018-15919) | 中風險 | 192.166.. | 整改中 |
| 25 | 5353 udp | mDNS服務檢測 | 中風險 | 192.166.. | 整改中 |
| 26 | 22 | OpenSSH < 7.5 漏洞 | 中風險 | 192.166.. | 整改中 |
| 27 | 22 | OpenSSH < 7.6 檔案建立限制繞過漏洞 | 中風險 | 192.166.. | 整改中 |
| 28 | 22 | OpenSSH 使用者列舉漏洞(CVE-2018-15919) | 中風險 | 192.166.. | 整改中 |
| 29 | 5353 udp | mDNS服務檢測 | 中風險 | 192.166.. | 整改中 |
| 30 | 99 | Web 伺服器 HTTP 標頭檔案資訊披露 | 中風險 | 192.166.. | 整改中 |
| 31 | Nginx range 過濾器整形溢位漏洞(CVE-2017-7529) | 中風險 | 192.166.. | 整改中 | |
| 32 | 99 | nginx < 1.13.2 整形溢位漏洞 | 中風險 | 192.166.. | 整改中 |
| 33 | 3306 | MySQL 5.7.x < 5.7.30存在多個漏洞(2020年04月CPU) | 中風險 | 192.166.. | 整改中 |
| 34 | 3306 | MySQL 5.7.x < 5.7.31存在多個漏洞(2020年7月CPU) | 中風險 | 192.166.. | 整改中 |
| 35 | 3306 | MySQL 5.7.x < 5.7.32存在多個安全漏洞(2020年10月CPU) | 中風險 | 192.166.. | 整改中 |
| 序號 | 問題類別 | 問題描述 | 風險級別 | 整改措施 | 整改情況 |
|---|---|---|---|---|---|
| 1 | 安全區域邊界 | 未限制無線網路的使用 | 中風險 | 建議嚴格限制無線網路的使用 | 因政務雲服務商環境所限，暫不具備整改條件。需向雲服務商諮詢確認。 |
| 2 | 安全計算環境 | 某市駕駛培訓監管服務平臺前臺、伺服器作業系統和資料庫未採用兩種或兩種以上組合的鑑別技術。 | 中風險 | 建議採用兩種或兩種以上組合的鑑別技術實現使用者身份鑑別，如數字證書、令牌等 | 將透過該系統升級改造等方式實施整改。需向雲服務商詢問情況 |
| 3 | 安全計算環境 | 未採用密碼技術保證重要業務資料、重要審計資料、主要配置資料和部分個人資訊在儲存過程中的保密性 | 中風險 | 建議對系統管理資料、鑑別資訊及重要業務資料採用經國家密碼主管部門認可的密碼技術，保證其在儲存過程中資料的私密性 | 將透過申請該系統密評改造等方式進行整改。 |
| 4 | 安全計算環境 | 未對伺服器作業系統配置檔案進行異地備份，未提供業務資料異地實時備份功能 | 中風險 | 建議利用通訊網路將關鍵資料實時傳送至備用場地，實現異地資料異地備份 | 建議承建單位按照整改措施進行整改。建議每週為週期整體備份系統資料，異地儲存。建議政務雲服務商提供虛擬主機備份的形式。 |
| 5 | 安全計算環境 | 某市駕駛培訓監管服務平臺管理後臺、伺服器作業系統和資料庫未授予不同賬戶為完成各自承擔任務所需的最小許可權 | 中風險 | 建議系統授予不同使用者為完成各自承擔的任務所需的最小許可權，將系統管理員和業務操作員許可權分離，並設定獨立的安全審計員角色，對各類使用者的操作行為進行審計監督 | 建議系統開發單位於12月底前完成整改。 |
三、專案目標
將某市駕培系統目前的版本 MySQL v5.7.29 資料庫升級到 GreatSQL v8.0.32（資料庫名為TYU&……*IO）, 某市駕培系統目前的資料量1T，備份完的資料量 20G（進行壓縮且無備份TY_tra庫及日誌表），備份時間 202408192200
3.1 資料庫基本資訊
| 基本資訊 | |||
|---|---|---|---|
| 版本 | 源端 | 目標端 | |
| 資料庫 | MySQL v5.7.29 | GreatSQL v8.0.32 | |
| OS | CentOS v7.4 | CentOS v7.4 | |
| 資料量 | 1T | 1T | |
| 儲存 | 本地檔案系統 | 本地檔案系統 |
3.2 某市駕培系統源庫相關情況
a) 源庫庫表
庫名
TY_ApolloConfigDB
TY_ApolloPortalDB TY_Longan
TY_Mysql
TY_yg_ass
TY_yg_ins
TY_yg_site
TY_yg_ssj
TY_yg_sys
TY_yg_tra
TY_yg_tra_test
b)源庫庫索引：見表格
c)源庫庫同義詞：無
d)源庫庫序列：無
e)源庫庫觸發器：無
f)源庫庫儲存過程：見表格
g)源庫庫檢視：無
h)源庫庫function：無
i)源庫庫package：無
j)源庫庫package body：無
k)其他
3.3 資料量情況
資料量為訂單900左右/天，培訓數8w左右/天，車載數電子日誌8k左右/天，分鐘學時數200w左右/天，培訓照片20w左右/天；
3.4 遷移停機時間
24小時內完成遷移停機。
四、專案目標上線資料遷移的步驟
五、專案服務執行拓撲
服務軟體安裝包
-rw-r--r-- 1 root root 121M Feb 4 03:02 greatsql-8.0.32-25.1.el7.x86_64.rpm-bundle.tar.xz
-rw-r--r-- 1 root root 19M Feb 2 15:51 greatsql-client-8.0.32-25.1.el7.x86_64.rpm
-rw-r--r-- 1 root root 1.9M Feb 2 15:51 greatsql-devel-8.0.32-25.1.el7.x86_64.rpm
-rw-r--r-- 1 root root 2.1M Feb 2 15:51 greatsql-icu-data-files-8.0.32-25.1.el7.x86_64.rpm
-rw-r--r-- 1 root root 5.0M Feb 2 15:51 greatsql-mysql-router-8.0.32-25.1.el7.x86_64.rpm
-rw-r--r-- 1 root root 93M Feb 2 15:51 greatsql-server-8.0.32-25.1.el7.x86_64.rpm
-rw-r--r-- 1 root root 1.5M Feb 2 15:51 greatsql-shared-8.0.32-25.1.el7.x86_64.rpm
-rw-r--r-- 1 root root 1.5M Feb 2 15:51 greatsql-shell-8.0.32-16-Linux-glibc2.17-x86_64.tar.xz
某市駕培系統資料庫執行拓撲
六、某市駕培系統資料庫環境搭建
7.1、安裝目標端作業系統並且最佳化
A、解決ssl的問題
安裝 SSL 的相關包
openssh-9.8p1-1.el7.x86_64.rpm
openssh-clients-9.8p1-1.el7.x86_64.rpm
openssh-debuginfo-9.8p1-1.el7.x86_64.rpm
openssh-server-9.8p1-1.el7.x86_64.rpm
openssl-1.1.1h.tar，zlib-1.2.11
B、最佳化系統引數配置檔案sysctl.conf、limits.conf、selinux
sysctl.conf：
fs.aio-max-nr = 3145728
fs.file-max = 6815744
kernel.shmmni = 4096
kernel.shmmax = 68719476736
#kernel.shmall = 8388608
kernel.shmall = 16777216
kernel.sem = 250 32000 100 128
kernel.panic_on_oops = 1
kernel.numa_balancing= 0
kernel.pid_max = 131072
net.ipv4.ip_local_port_range = 9000 65500
net.core.rmem_default = 262144
net.core.rmem_max = 4194304
net.core.wmem_default = 262144
net.core.wmem_max = 1048576
vm.min_free_kbytes= 4048576
vm.hugetlb_shm_group =1000
vm.nr_hugepages =21845
net.ipv4.ipfrag_low_thresh=15728640
net.ipv4.ipfrag_high_thresh=16777216
kernel.msgmnb = 65536
kernel.msgmax = 65536
kernel.msgmni = 2878
net.ipv4.ip_forward = 0
net.ipv4.conf.default.rp_filter = 0
net.ipv4.conf.default.accept_source_route =0
net.ipv4.tcp_syncookies = 1
kernel.core_uses_pid = 1
limits.conf：
mysql soft nproc 65536
mysql hard nproc 65536
mysql soft nofile 65536
mysql hard nofile 65536
selinux：
SELINUX=disabled
C、系統加固
加強賬號及口令安全策略
| 編號 | Linux-02001 |
|---|---|
| 名稱 | 加強賬號及口令安全策略 |
| 系統當前狀態 | 系統當前的賬號及口令沒有配置安全策略 |
| 實施方案 | 建議按照如下方式進行賬號及口令安全策略的配置，修改/etc/login.defs檔案，將相應的欄位修改為以下內容：PASS_MAX_DAYS 90 //口令最長存留期PASS_MIN_DAYS 30 //口令最短存留期PASS_MIN_LEN 8 //口令最少字元數PASS_WARN_AGE 15 //口令到期提醒時間 (以上僅對實施完這條策略後，新增加的使用者有效) |
| 實施目的 | 增加Linux系統登陸賬號的安全性 |
| 實施風險 | 無 |
| 回滾方案 | 加固前建立備份目錄，按照日期命名：mkdir /root/backup2021 將需要修改的配置檔案複製儲存在備份目錄：cp /etc/login.defs /root/backup2021/需要回退的時候將修改前的備份檔案覆蓋回配置檔案即可：cp/root/backup2021/login.defs /etc/security/login.defs |
| 是否實施 | （客戶填寫） |
登陸失敗鎖定
| 編號 | Linux-02002 |
|---|---|
| 名稱 | 登陸失敗鎖定 |
| 系統當前狀態 | 登入失敗無處理手段 |
| 實施方案 | 建議按照如下方式進行賬號及口令安全策略的配置，修改/etc/pam.d/system-auth檔案，將相應的欄位修改為以下內容：auth required pam_tally.so deny=5 unlock_time=20 (以上僅對實施完這條策略後，新增加的使用者有效) |
| 實施目的 | 增加Linux系統登陸賬號的安全性 |
| 實施風險 | 無 |
| 回滾方案 | 加固前建立備份目錄，按照日期命名：（不用重複建立） mkdir /root/backup2021將需要修改的配置檔案複製儲存在備份目錄：cp /etc/pam.d/system-auth /root/backup2021/需要回退的時候將修改前的備份檔案覆蓋回配置檔案即可：cp /root/backup2021/system-auth /etc/pam.d/system-auth |
| 是否實施 | （客戶填寫） |
7.2、搭建目標端 GreatSQL 環境，安裝最新補丁
A、調整資料庫引數
1)配置hugepage
# /etc/sysctl.conf中新增如下一行
vm.nr_hugepages=46082
# 對/etc/security/limits.conf檔案進行修改
mysql soft memlock unlimited
mysql hard memlock unlimited
B、資料庫例項配置檔案 my.cnf 如下例所示
[client]
no-beep
socket =/usr/local/mysql/data/mysql.sock
# pipe
# socket=0.0
port=3306
[mysql]
default-character-set=utf8
[mysqld]
basedir=/usr/local/mysql
datadir=/usr/local/mysql/data
port=3306
pid-file=/usr/local/mysql/data/mysqld.pid
#skip-grant-tables
#skip-name-resolve
socket = /usr/local/mysql/data/mysql.sock
character-set-server=utf8
default-storage-engine=INNODB
slow_query_log = 1
slow_query_log_file = /usr/local/mysql/log/slow_query.log
general_log = 0
general_log_file = /usr/local/mysql/log/general_query.log
expire-logs-days = 14
validate_password_dictionary_file='/usr/local/mysql/lib/plugin'
validate_password_check_user_name=on
plugin-load-add=validate_password.so
validate-password=FORCE_PLUS_PERMANENT
#default_password_lifetime=0
skip-external-locking = 1
skip-name-resolve = 1
explicit_defaults_for_timestamp = true
# Server Id.
server-id=22611
log_timestamps=system
log_bin =/usr/local/mysql/log/mysql-bin
log_bin_index=/usr/local/mysql/log/mysql-bin.index
binlog_format = row
relay_log_recovery=ON
relay_log=/usr/local/mysql/log/mysql-relay-bin
relay_log_index=/usr/local/mysql/log/mysql-relay-bin.index
log-error = /usr/local/mysql/data/mysqld.log
#### replication ####
replicate_wild_ignore_table = information_schema.%,performance_schema.%,sys.%
#### semi sync replication settings #####
plugin_dir=/usr/local/mysql/lib/pluginplugin_load = "rpl_semi_sync_master=semisync_master.so;rpl_semi_sync_slave=semisync_slave.so"
loose_rpl_semi_sync_master_enabled = 1
loose_rpl_semi_sync_slave_enabled = 1
loose_rpl_semi_sync_master_timeout = 5000
#binlog-do-db=cfdi,cloudcp
#binlog-ignore-db=mysql
max_connections=2000
query_cache_size=0
max_heap_table_size = 64
Mnet_buffer_length = 8K
table_open_cache=2000
tmp_table_size=246M
thread_cache_size=300 #限定用於每個資料庫執行緒的棧大小。預設設定足以滿足大多數應用
thread_stack = 192k
key_buffer_size=512M
read_buffer_size=4M
read_rnd_buffer_size=32M
binlog_cache_size = 16m
max_binlog_cache_size = 128m
max_binlog_size = 128m
innodb_data_home_dir = /usr/local/mysql/data/
#innodb_data_file_path = libdata1:1024M:autoextend
innodb_flush_log_at_trx_commit=0
innodb_log_buffer_size=16M
innodb_buffer_pool_size=256M
innodb_log_file_size=128M
innodb_log_files_in_group =6
#innodb_log_group_home_dir = /usr/local/mysql/log/redo-log
innodb_thread_concurrency=128
innodb_autoextend_increment=1000
innodb_buffer_pool_instances=8
innodb_concurrency_tickets=5000
innodb_old_blocks_time=1000
innodb_open_files=300
innodb_stats_on_metadata=0
innodb_file_per_table=1
innodb_checksum_algorithm=0
back_log=80
flush_time=0
join_buffer_size=128M
max_allowed_packet=1024M
max_connect_errors=2000
open_files_limit=4161
query_cache_type=0
sort_buffer_size=32M
table_definition_cache=1400
binlog_row_event_max_size=8K
sync_master_info=10000
sync_relay_log=10000
sync_relay_log_info=10000
sync_binlog = 1
#innodb_flush_logs_at_trx_commit=2
innodb_support_xa=ture
#innodb_safe_binlog=1
#批次插入資料快取大小，可以有效提高插入效率，預設為8
Mbulk_insert_buffer_size = 64M
interactive_timeout = 120
wait_timeout = 120
log-bin-trust-function-creators=1
sql_mode=NO_ENGINE_SUBSTITUTION,STRICT_TRANS_TABLES
C、資料庫修改 server-id引數 每臺伺服器的引數ID不能相同
server-id=22611
server-id=22617
server-id=22618
重啟資料庫資料庫例項，使如上配置生效
D、安裝密碼外掛，密碼重用限制，密碼驗證，雙密碼驗證
greatsql> SELECT * FROM mysql.plugin;
#線上新增
greatsql> INSTALL PLUGIN validate_password SONAME 'validate_password.so';
greatsql> SET GLOBAL validate_password_dictionary_file = "/usr/local/mysql/lib/plugin/";
greatsql> SET GLOBAL validate_password_check_user_name= ON;
greatsql> SHOW GLOBAL VARIABLES LIKE '%validate_password%';
greatsql> SHOW STATUS LIKE 'validate_password%';
greatsql> SET GLOBAL validate_password_policy=0;
greatsql> SELECT plugin_name,plugin_status,plugin_type,load_option,plugin_library FROM information_schema.plugins;
7.3、搭建目標端greatsql-mysql-router-8.0.32-25環境，安裝最新補丁
A 、Profile檔案
在 PATH= 新增 mysqlrouter 所在路徑
/usr/local/greatsql-mysql-router-8.0.32/bin/，如：
PATH=$PATH:$JAVA_BIN:$ES_HOME:
/usr/local/greatsql-mysql-router-8.0.32/bin/
驗證是否安裝成功：
$ mysqlrouter --help
B、服務配置
$ mkdir /usr/local/greatsql-mysql-router-8.0.32/log
$ mkdir /usr/local/greatsql-mysql-router-8.0.32/data
$ chown mysql:mysql /etc/mysqlrouter.conf
$ chown -R mysql:mysql /usr/local/greatsql-mysql-router-8.0.32
C、建立配置檔案
#可參考
/usr/local/ greatsql-mysql-router-8.0.32/share/doc/mysqlrouter/sample_mysqlrouter.conf
$ cat mysqlrouter.conf
[DEFAULT]
logging_folder = /usr/local greatsql-mysql-router-8.0.32/log
plugin_folder = /usr/local/greatsql-mysql-router-8.0.32/lib/mysqlrouter
data_folder=/usr/local/greatsql-mysql-router-8.0.32/data
[logger]
level = INFO
[routing:primary]
bind_address = 0.0.0.0
bind_port = 7001
destinations = 192.166.*.*:3306, 192.166.*.*:3306
routing_strategy = first-available
[routing:secondary]
bind_address = 0.0.0.0
bind_port = 7002
destinations = 192.166.*.*:3306
routing_strategy = round-robin
七、遷移測試
7.1 生產庫資料匯出
1)檢視資料庫表
$ mysql -uroot -p
greatsql> USE TYU&……*IO
greatsql> SELECT * FROM test1;
2)生產庫資料匯出
$ /usr/local/mysql/bin/mysqldump -uroot -h192.166.*.*-P3306 -plezhiyun@lzx -d TYU&……*IO> TYU&……*IO20240819.sql
-- 匯出資料庫為dbname某張表(test)結構
$ /usr/local/mysql/bin/mysqldump -uroot -plezhiyun@lzx -d TYU&……*IO > TYU&……*IO.sql
7.2 資料匯入
A、建立使用者
$ mysql -uroot -h192.166.*.* -P3306 -plezhiyun@lzx -A
greatsql> DROP DATABASE TYU&……*IO;
greatsql> CREATE DATABASE IF NOT EXISTS TYU&……*IO DEFAULT CHARSET utf8 COLLATE utf8_general_ci;
B、匯入資料
資料庫匯入：
greatsql> connect TYU&……*IO
greatsql> SOURCE /home/TYU&……*IO.sql
八、專案目標上線資料遷移的專案計劃
| 序號 | 階段 | 工作項 | 預計起始時間 | 執行方 | 執行人 | 備註 |
|---|---|---|---|---|---|---|
| 1 | 環境搭建 | 作業系統的申請安裝 | ||||
| 測試環境叢集資料庫安裝 | ||||||
| 2 | 遷移測試 | 資料匯入測試資料庫 | ||||
| 壓力測試 | ||||||
| 功能測試 | ||||||
| 3 | 正式割接 | 正式割接實施 | ||||
| 4 | 割接後 | 資料庫保障 |
九、回退方案
割接視窗內遷移失敗，則方案進入回退。操作步驟如下；
-
遷移停止；
-
修改原生產庫的IP地址；
-
將原生產庫的監聽開啟；
-
應用程式重新連線至原庫；
十、滿足滲透測試、系統漏洞、專家建議
| 安全計算環境 | 未採用密碼技術保證重要業務資料、重要審計資料、主要配置資料和部分個人資訊在儲存過程中的保密性 | 中風險 | 建議對系統管理資料、鑑別資訊及重要業務資料採用經國家密碼主管部門認可的密碼技術，保證其在儲存過程中資料的私密性 | 將透過申請該系統密評改造等方式進行整改。 |
| 安全計算環境 | 未對伺服器作業系統配置檔案進行異地備份，未提供業務資料異地實時備份功能 | 中風險 | 建議利用通訊網路將關鍵資料實時傳送至備用場地，實現異地資料異地備份 | 建議承建單位按照整改措施進行整改。建議每週為週期整體備份系統資料，異地儲存。建議政務雲服務商提供虛擬主機備份的形式。 |
| 安全計算環境 | 某市駕駛培訓監管服務平臺管理後臺、伺服器作業系統和資料庫未授予不同賬戶為完成各自承擔任務所需的最小許可權 | 中風險 | 建議系統授予不同使用者為完成各自承擔的任務所需的最小許可權，將系統管理員和業務操作員許可權分離，並設定獨立的安全審計員角色，對各類使用者的操作行為進行審計監督 | 建議系統開發單位於12月底前完成整改。 |
| 安全計算環境 | 資料庫設定登入連線超時自動退出時間為8小時，時間過長 | 中風險 | 建議資料庫設定合理的登入連線超時自動退出時間 | 建議系統開發單位於12月底前完成整改。 |
| 安全計算環境 | 伺服器作業系統和資料庫未重新命名或刪除系統預設賬戶 | 中風險 | 建議伺服器作業系統和資料庫重新命名或刪除系統預設賬戶 | 建議系統開發單位於12月底前完成整改。不要使用Root賬戶遠端登入 |
| 安全計算環境 | 伺服器作業系統和資料庫存在共享賬戶的情況 | 中風險 | 建議根據實際需求，為不同的使用者分配不同許可權的賬號，避免共用同一個賬號對系統進行操作 | 建議系統開發單位於12月底前完成整改。 |
| 安全計算環境 | 未對重要主體和客體設定安全標記 | 低風險 | 建議對重要主體和客體設定安全標記，並控制使用者對已標記的敏感資訊的操作 | 建議後期逐步完成敏感資訊的分類分級後逐步完成整改。 |
| 安全計算環境 | 未基於可信根對計算裝置的系統載入程式、系統程式、重要配置引數和應用程式等進行可信驗證 | 低風險 | 建議基於可信根對計算裝置的系統載入程式、系統程式、重要配置引數和應用程式等進行可信驗證，並在應用程式的關鍵執行環節進行動態可信驗證，在檢測到其可信性受到破壞後進行報警，並將驗證結果形成審計記錄送至安全管理中心 | 暫不具備整改條件，測評中心建議可接受此風險。 |
| 安全管理中心 | 未對安全策略配置、惡意程式碼防範措施升級、補丁升級等安全相關事項進行集中管理 | 中風險 | 建議對安全策略配置、惡意程式碼防範措施升級、補丁升級等安全相關事項進行集中管理 | 將根據雲服務商的安全策略進行整改。詢問政務雲服務商具體措施。 |
| 安全管理機構 | 未定期審查審批事項，及時更新需授權和審批的專案、審批部門和審批人等資訊 | 低風險 | 建議定期審查審批事項，及時更新需授權和審批的專案、審批部門和審批人等資訊 | 將於2023年開展測評工作前進行整改。 |
Enjoy GreatSQL 😃
關於 GreatSQL
GreatSQL是適用於金融級應用的國內自主開源資料庫，具備高效能、高可靠、高易用性、高安全等多個核心特性，可以作為MySQL或Percona Server的可選替換，用於線上生產環境，且完全免費併相容MySQL或Percona Server。
相關連結： GreatSQL社群 Gitee GitHub Bilibili
GreatSQL社群：
社群部落格有獎徵稿詳情：https://greatsql.cn/thread-100-1-1.html
技術交流群：
微信：掃碼新增
GreatSQL社群助手微信好友，傳送驗證資訊加群。
