数据库的应用（政务云一）

中安威士电子政务云数据库安全加固案例之一

2016年10月，中安威士受邀参与了南方某市政府的电子政务云的建设项目，并具体承担了该项目中云端数据安全保护的部分工作。现将在该项目中实施的云端数据库安全加固解决方案分享给大家。

电子政务云数据安全威胁

借助云计算技术，电子政务云对政府的IT资源进行统一管理、按需使用，可有效节约信息化建设资源投入成本，降低IT资源消耗。但基于云计算模式的电子政务，必定也会面临网络威胁和恶意攻击等，尤其是对数据安全、隐私保护提出了更高的要求。特别是在数据管理权与所有权分离的状态下，数据安全和隐私保护的重要性显得尤为突出。只有在确保网络的可用性和稳定性的同时也能保证数据的安全性和私密性，才能让政府各部门（各委办局）放心地把各自的业务迁移到统一的政务平台上来。

政务云平台云端数据库面临的安全新风险主要有以下几点：

1，电子政务云数据中心服务器有部分是接入互联网或这专网的，面对更广泛的网络攻击；

2，政务云平台计算资源和网络完全虚拟化和分布式，使租户网络的物理边界消失，传统的网络边界防护措施无法保证数据安全；

3，由于多租户结构，同一个政务云平台上的恶意租户有可能利用虚拟机逃逸等方式进行攻击，从而得到数据库中的数据；

4，政务云服务方具有超级用户权限，租户对不可信的云服务无防范手段。

电子政务云

经过与客户的多次深入交流，以及与政务云平台建设方的全面沟通，再根据多年数据库安全防护的实战经验，我们挖掘出政务云平台云端数据库安全的真实需求。总结来说，大概有以下几条：

1，满足政策合规性需求。国家信息中心电子政务外网办安全处处长邵国安强调“政务云基本上按照等保三级建设或者以上建设，重要的数据要求加密”。另外《国家安全法》、《网络安全法》、《云等保》等都有关于数据安全保护的明确规定。不管是运营政务云的部门，还是在云上开展政务的各委办局，都应满足这些法规关于数据安全管理的要求。

2，云端数据活动的可视。各委办局将自己的数据交由政务云平台统一存储和管理，云平台需要对技术人员对云端数据库的访问情况进行记录和审计。同时，各租户也要对各自的数据库访问情况进行记录和审计，这是最基本的安全需求。

3，云端数据活动的可控。可控是指对云数据库的主动防御，通过控制访问云端数据库的活动和操作行为，保证数据的安全。包括两个方面，其一：防泄漏，即防止云数据库中的敏感信息部分或全部被偷窥，被拖库或者镜像；其二：防篡改，即防止云数据库中的敏感信息被非法修改或者删除。同样，对云端数据活动进行控制，对于云平台和各租户都是必须的。

可以说，实现对云端数据库的可视、可控和合规管理，是解决云端数据库安全问题的一个基本思路。

政务云数据安全加固方案

按照可视、可控和合规这样一个基本思路，我们设计了一个针对云端数据库安全管理的完整解决方案：“把数据关进笼子，让数据访问在阳光下进行”。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-K8a2mstK-1575874435281)(http://www.csbit.cn/upload/images/2017/3/13113354711.jpg)]
该方案可以概括为如下几个方面：

1，通过细粒度访问控制和敏感内容加密和脱敏，把数据关进笼子。

细粒度访问控制：基于自动学习，生成细粒度的白名单，阻断异常的查询和访问，防止敏感数据泄漏。阻断异常的和违规的数据修改和删除操作，防止敏感数据被非法篡改；

敏感内容加密和脱敏：有选择性的对敏感内容加密和脱敏，防止在线数据和备份数据的存储介质丢失被窃取导致敏感数据泄露。增强的对加密敏感数据的权限管理，防止越权权限的滥用、合法权限被盗用和滥用导致的数据泄漏。为运营、应用系统、以及开发和测试环境提供准真实数据。

2，云端数据活动的全面审计，让数据访问在阳光下进行。对云端数据的分布、性能、访问和活动情况进行全方位的监控和记录，便于事后审计和追查。及时发现数据的异常活动情况和风险，产生报警。输出可视化的报表，便于分析；

遵循以上思路，中安威士的政务云数据库安全加固解决方案基于自主研发的系列数据库安全加固产品而实现。具体的实施方案如下图所示：
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-tY4NspIY-1575874435283)(http://www.csbit.cn/upload/images/2017/3/13113950689.png)]

该解决方案的要点如下：

1，对所有数据库部署数据库审计系统

通过部署中安威士特有的软件探针，实现全面审计；

开启数据库性风险评估功能，全面评估数据库系统的风险状态；

开启学习功能，自动生成基线模型白名单访问规则；

开启入侵检测功能，及时发现针对数据库的违规操作行为。

2，对更重要的数据库实施数据库防火墙系统

对于更重要的、易受攻击的系统，尤其是对外提供服务的数据库，部署数据库防火墙；

开启入侵保护功能，以抵御SQL注入攻击和针对数据库漏洞的攻击，同时防止全表删除等误操作、超级权限滥用等风险；

开启学习功能，生成白名单规则，并手工添加黑名单规则，解决详细设置数据库防火墙规则困难的问题。

3，对于尤其重要的数据库系统，部署数据库加密系统

对于尤其重要的数据库，对制定的敏感字段进行加密；

通过三权分立的限管控系统来实现对敏感数据访问的权限控制，确保其数据的安全性；

定期轮换密钥，保证加密数据的安全。

4，对于尤其重要的数据库系统，部署数据库动态脱敏系统

对于运维操作，设置动态脱敏规则，确保运维人员在不能看到真实的数据；

对于需要管控的应用程序，设置动态脱敏规则，确保应用系统看到脱敏后的准真实数据。

客户价值

通过上述解决方案，有效满足了政务云所面临的数据安全管理的需求：使数据安全可视、使数据安全可控、使数据安全合规。除带来上述主要价值外，具体来说，中安威士政务云数据安全管理解决方案还带给政务云平台和平台上的租户如下价值：

简化业务治理，提高数据安全管理能力；

完善纵深防御体系，提升整体安全防护能力；

减少核心数据资产被侵犯，保障业务连续性；

从根源上杜绝SQL注入攻击；

维护政府部门的公信力和声誉。

综上所述，中安威士政务云数据安全管理解决方案，对云环境中的政务数据提供了全方位，高水平的保护，有力保障了政务数据在云上的安全，将极大加速我国电子政务上云的进程。

数据库的应用（政务云一）相关推荐

政务云私有云数据库RDS 3306端口仅限内网访问问题
前言: 最近一直在搞政务云,私有云的项目,基本100%有这样的问题,数据库都在内网服务器上,无法公网访问,又或者有设置限定ip地址的问题:与此同时,申请下来的ECS服务器却可以拥有公网IP地址,可以暴 ...
云原生数据库崛起，阿里云POLARDB当选世界互联网领先科技成果
戳蓝字"CSDN云计算"关注我们哦! 作者 | 晶少责编 | 阿秃 10月20日,在第六届世界互联网大会上,阿里云自研数据库POLARDB当选世界互联网领先科技成果,POLAR ...
宁波政务云资源的介绍与申请
介绍如图所示: 宁波政务云分公共服务区与资源共享区. 公共服务区公共服务区,一般部署允许互联网访问的系统,数据不敏感,不重要的,可对外开发的系统. 该区允许互联网访问,不允许访问资源共享区,开通网 ...
银泰抛弃传统数据库转投阿里云PolarDB 投入产出比增长2倍以上
5月15日,银泰百货数据库团队举办数据库上云一周年庆祝活动.银泰数据库负责人李亚博透露,公司核心业务系统中的数据库搬迁至阿里云PolarDB之后,在相同成本的情况下可以支撑三倍以上的业务量. 新零售四 ...
政务云迁移服务项目预算制定
广东省政数局的政务信息化服务预算编制试行规范对云迁移服务的难度定级和预算计算做了比较具体的规定,虽然从屁股出发,预算估计的原则是就高不就低,但就目前这块的空白情况来看,算是一个比较好的参考. 主要内容 ...
政务云公共服务区与资源共享区数据交换的方式
上文<宁波政务云资源的介绍与申请>介绍过,公共服务区与资源共享区是不能互访的,只能是资源共享区单向访问公共服务区. 我有一项目,要能互联网访问,又要访问"宁波大数据共享平台&qu ...
科力锐助力政务云统一灾备中心建设
一.政务云建设趋势随着我国政府向公共服务型政府转型,政府对民生问题的重视不断加强,通过搭建政务云,对政府管理和服务职能进行精简.优化.整合,并通过信息化手段在政务上实现各种业务流程办理和职能服务,经 ...
Data.gov.uk电子政务云，牛津大学NIE金融大数据实验室王宁：数据治理的现状和实践...
牛津大学NIE金融大数据实验室王宁:数据治理的现状和实践我是牛津互联网研究院的研究员,是英国开放互联网的一个主要的研究机构和相关政策制订的一个机构.今天主要给大家介绍一下英国数据治理的一些现状和实践 ...
徐州市大数据管理中心市级政务云灾备服务
徐州古称彭城,历史上为华夏九州之一,是全国重要的综合交通枢纽.淮海经济区中心城市,是国家环保模范城市.国家森林城市.国家卫生城市.国家生态园林城市,蝉联全国文明城市.中国最安全城市,成功摘得联合国人居 ...

数据库的应用（政务云一）

数据库的应用（政务云一）相关推荐

最新文章

热门文章

数据库的应用（政务云一 ）

数据库的应用（政务云一 ）相关推荐

最新文章

热门文章

数据库的应用（政务云一）

数据库的应用（政务云一）相关推荐