安华金和数据库安全成功案例北京市南水北调办公室

合集下载

安华金和数据库安全成功案例北京市委市政府

安华金和数据库安全成功案例北京市委市政府一. 项目背景北京市委市政府向公共服务型政府的转型，对电子政务建设提出了更高要求。

云计算技术以其虚拟化、可扩展、可靠性等优势，在推动电子政务基础设施共建共享和共用、提高资源利用率、减少重复建设以及节能减排等方面，发挥着越来越重要的作用。

市委机要局和信息中心需要将原先已经开发完成的，如组织部、宣传部的应用集中放到政务专有云中，借助云平台的弹性资源服务实现按需租用，从而节省整体硬件采购成本，将原有的oracle、SQL Server、kingbase等关系型数据库，迁移到政务专有云中使用的数据库虚拟资源池，故设立“数据库虚拟资源池安全防护项目”，重点解决市委内网办公业务系统、二级单位业务系统敏感涉密数据防非法篡改和泄密问题。

二. 解决方案市委政务专有云数据库以虚拟资源池的方式提供服务，业务层面会出现以下几点安全风险需要我们进行重点防护：1）缺乏有效的数据库安全管控机制，要做到权责明晰；信息中心作为数据库资源池的统管单位，承担着数据安全风险的最大责任和压力，但对于数据库DBA、实施维护等高权限人员的敏感数据操作无法施加任何的影响和控制。

2）数据集中泄密的风险剧增，需要加大防御力度；数据库入侵：被刷库后数据泄密、或由于数据库漏洞被攻击破坏将可能牵连多个部门的系统的数据库不能使用。

CVE上公布了2000多个数据库安全漏洞，其中Oracle数据库占1000多个，SQL Server 占200多个，人大金仓在CVE上虽然未被公布过数据库漏洞，但是也存在一定的安全隐患。

市委政务专有云数据库虚拟资源池安全防护的产品层面采用数据库防火墙系统的部署图如下：三. 客户价值市委政务云在通过数据库防火墙进行安全防护后，有效分清安全管理手段或机制，实现三权分立，使得信息中心和政府业务部门之间，对敏感数据的访问相互制约、互相监督。

数据库虚拟资源池将数据库集中管理，通过数据库防火墙的虚拟补丁有效防数据库入侵，防止集中泄密或数据库被攻击。

安华金和数据库安全公积金行业解决方案

安华金和数据库安全公积金行业解决方案一. 客户需求与挑战住房公积金管理中心拥有住房公积金、补贴、贷款有关人员和单位的信息档案，住房公积金归集的归集和使用，处理从开户、缴交、保全、转移、支取直至销户等一系列日常业务，住房贷款的客户管理、开发商管理、小区及楼盘管理、业务申办管理等多个重要的数据库。

核心数据库目前存在明显的安全威胁，可能导致严重的数据库安全事故发生。

以下是面临的挑战：（1）内部：贷款人员信息批量泄密的风险●数据库DBA：可直接访问数据库，随时导出所有贷款数据；●实施维护人员/开发人员：可能通过掌握的数据库账户口令，绕开业务系统，直接访问贷款数据库●测试人员：访问测试库，照样可以看到所有真实的贷款数据；（2）内部：重要贷款数据被恶意或误操作批量修改、删除的风险●数据库DBA：可随时任意访问数据库，直接修改篡改人事信息；●实施维护人员/开发人员：可能通过掌握的数据库账户口令，直接访问人事数据库，修改贷款信息；（3）外部：通过B/S的应用为跳板，直接攻击数据库，进行刷库外部攻击人员：以外网应用系统作为跳板，利用数据库的漏洞，直接进行sql注入或提升权限等操作，批量获得批量贷款数据；二. 解决方案概述及要点描述建立公积金系统使用数据库防火墙产品+数据库审计产品，全面实现主动防御和事后审计追踪相结合、全方位防护内部、外部、第三方运维人员对敏感公积金数据的安全防护。

思路如下：1. 主动防御：明确识别住房公积金管理中心哪些数据属于敏感信息。

2. 底线防守：严格细化敏感数据的访问控制，主动预防批量公积金信息的泄露、恶意篡改。

●运维人员的防控●数据库外部入侵防护3. 事后追查：全面审计，对非法批量导出、恶意篡改进行及时告警，实现有效地追责定责。

数据库审计图1公积金行业数据库安全部署图安华金和建议公积金行业客户逐步建立并完善数据库安全防护，从应用侧和运维侧两方面对数据库展开安全防护。

（1）运维侧：通过数据库防火墙精细访问控制防护目标：通过运维侧串联部署数据库防火墙，防止接口区运维人员、信息中心、厂商、业务处人员等在运维过程中造成的恶意篡改资金数据操作、批量导出客户隐私信息、高危误操作。

安华金和数据库安全成功案例北京市西城区卫生局

安华金和数据库安全成功案例北京市西城区卫生局一. 项目背景随着北京市西城区卫生局区域医疗卫生信息平台建设落地，在卫生信息化系统互通互联、数据共享的同时使得医疗数据更为集中，同时也使得数据安全的威胁更加显现，特别是居民身份信息、隐私病历和诊疗等健康档案信息在数据中心集中泄露风险尤为突出。

区域医疗信息化平台数据库监控与审计项目采用有针对性的数据库安全审计策略，集中的策略统一分发，统一日志分析，统一管理运维，达到有效保护居民健康档案信息的目标。

二. 解决方案西城区卫生局区域医疗卫生信息平台包括15家社区卫生服务中心如广外中心、月坛中心、德胜中心、牛街中心等，各中心通过医疗专用网连接，有总控中心进行统一管理。

因所有数据中心均需进行包括患者基本信息、诊疗病史资料、检验检查报告、医学影像、检查报告等在内的大量数据交换，数据库操作需要进行全面审计。

从业务层面既要保证医疗节点和区域数据中心的交互，又要确保数据在使用过程中数据库操作可查，可追溯，本项目的亮点有以下几个：1）总控中心可以向各15个中心统一下发策略，同时进行统一日志分析和报表展现；2）在数据库审计设备管理方面可以实现统一运维，各分中心又可以根据各自的情况配置有针对性的策略；从产品层面选择了安华金和数据库监控与审计集中管理系统部署在总控中心，15个分中心部署安华金和监控与审计设备，总控中心与各分中心之间通过医疗专用网实现操作的全审计，有效的实现患者信息、病案信息、诊疗信息的统一安全审计策略，数据库操作全面准确。

、ris接入系统广外分中心远程医疗转院预约双向确诊德胜分中心数据接入总控中心三. 客户价值区域医疗信息化平台数据库监控与审计项目在总控中心，只需登录一次，就可以管理15个分中心的数据库审计策略，实现统一的策略下发，15个分中心日志统一分析和汇总。

区域医疗服务平台节点多，应用较为复杂，且涉及大量的患者重要隐私信息，通过安华金和数据库监控与审计平台实现总控中心和各分中心的全面数据库审计，通过设备和策略的有机结合，辅之以行之有效的安全管理制度，保证区域医疗信息化平台的敏感信息不外泄。

安华金和数据库安全成功案例北京市律师协会

安华金和数据库安全成功案例北京市律师协会一. 项目背景北京市律师协会是依据《中华人民共和国律师法》、《律师协会章程》成立的具有独立法人资格的社会团体，是律师的行业自律性组织，依法履行对全市律师事务所和执业律师的管理，协会主要职能是承担律师的行业管理工作；维护律师的合法权益，支持律师依法执业，对律师和律师所实施奖励和惩戒。

北京市律师协会安全集成服务项目主要是通过数据库防火墙实现数据库安全防护，近期要通过广电总局测评中心等保二级测评，重点防护的系统包括网站系统和会员服务系统，律师专业人才库的敏感信息不泄漏。

二. 解决方案北京市律师协会安全集成服务项目就是针对面向互联网服务的网站和律师会员服务系统进行数据库的安全防护，随着应用系统及数据库的部署规模、访问人员和密集度的不断增加，来自于外部攻击、第三方运维和开发人员、内部维护人员的访问，给数据库安全带来了严峻的挑战。

后台数据库中存储的敏感数据一旦发生泄密或者被非法篡改，都将是责任重大的信息安全事故。

主要安全需求包括：1、外部黑客攻击者一般有三种手段进行数据的窃取：一是利用数据库的一系列缺省账户、权限提升等漏洞，获取DBA身份的高权限用户，直接导出数据。

二是利用应用系统的漏洞，通过sql注入，完成对敏感信息的批量下载，这种方式是当前暴漏出来的案例中的主要方式。

安华金和数据库防火墙部署图机#2#1三. 客户价值北京市律师协会安全集成服务项目首先要保证对现有生产系统性能和稳定性影响最低，同时也要解决应用侧来自于互联网的外部的黑客攻击（这类风险占80%）和运维侧的批量导出和恶意操作的安全威胁（这类风险占20%）。

安华金和数据库防火墙产品具备两点核心优势能满足客户以上需求：一是基于lex/yacc 的SQL 完全解析，实现附件4、5数据库访问协议包的SQL 语句准确解析；二是对现有应用系统要经过学习期、学习完善期和保护期，构建合法语句的行为模型（白名单），避免对合法应用程序发出的SQL 语句误报，同时有效发现非法的数据库操作。

安华金和数据库安全成功案例北京市交通学院

安华金和数据库安全成功案例北京市律师协会一. 项目背景北京交通运输职业学院是一所全日制普通高等学校，行政隶属于北京市交通委员会，是北京市交通行业唯一一所高等职业学院，学院已经积累了丰富的职业人才培养经验和发展实力，很好地支持了北京市交通行业的发展。

随着校园信息化的快速建设，教育云虚拟化也带来了安全问题：业务网络边界消失、传统安全措施无法部署、数据集中存储导致泄漏风险加倍，校园虚拟化网络环境云数据库审计项目就是有针对性的实现教育业务系统、一卡通、财务系统中，学员、教学学系统的数据库操作的全部记录。

二. 解决方案教育部曾于2014年10月下发《教育行业信息系统安全等级保护定级工作指南（试行）》，要求部属各高等学校加强教育行业信息安全工作，并要求高校参照国家对信息系统的安全保护等级标准的等级划分，形成教育行业信息系统安全等级划分。

校园网通过联通、电信和教育专网连接，教授在家就可以通过互联网将科研项目预算、关键技术点上报，由于网站存在严重漏洞，已有某大学科研预算等敏感信息被恶意公布在互联网上的情况。

学生和教职员工个人隐私信息、学校财务、科研、教务管理等，如：身份证号、姓名、联系方式、单位的部分财务信息、科研预算、考试成绩等，这些敏感信息价值极高，批量泄漏会对主管院校乃至社会有严重影响。

因此，校园虚拟化网络环境云数据库审计项目能实现以上业务系统的全面审计。

传统数据库审计在虚拟环境下进行部署，需要从物理交换机镜像数据流量，而虚拟环境下，访问数据库所在虚拟主机的数据实时镜像至虚拟审计服务器的监听端口以实现对数据的采集，这种采集方式能够保证网络层所有访问数据库的数据流都被准确及时的捕获，并交由数据库审计产品进行分析处理。

这种部署方式不仅可以保证数据库审计产品的功能一切正常，还可以保证对原有虚拟应用平台透明，无影响。

虚拟化数据库审计部署图将数据库审计产品结合到虚拟环境中的部署图如图所示，ESXi为使用虚拟技术组合起来的物理节点，在虚拟环境下面，运行着三套应用系统APP1、APP2、APP3，以及其对应的后台数据库DB1、DB2、DB3。

安华金和数据库安全评估系统(DSAS)

任何个人、机构未经安华金和的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录安华金和数据库安全评估系统（DSAS） (1)目录 (2)一. 关于安华金和 (3)1.1发展历史 (3)1.2产品路标 (4)二. 数据库安全评估系统（DSAS） (5)2.1产品概述 (5)2.2客户价值 (5)2.2.1 满足合规安全检测 (5)2.2.2 发现数据库自身漏洞 (5)2.2.3 发现使用中安全隐患 (5)2.2.4 数据库安全状态监控 (6)2.3产品优势 (6)2.3.1 风险级别准确 (6)2.3.2 数据库安全检查范围全面 (6)2.3.3 数据库安全检查技术先进 (6)2.3.4 独特的数据库安全状况监控 (6)2.3.5 自身安全性高 (6)2.4适用场景 (7)一. 关于安华金和1.1 发展历史北京安华金和科技有限公司（以下简称安华金和），2009年3月2日成立，长期专注于数据安全领域，是中国专业的数据安全产品及解决方案提供商。

安华金和由长期致力于数据处理和信息安全的专业人士共同创造，作为中国“数据安全治理”体系框架的提出者，安华金和提供涵盖人员组织、安全策略、流程制定及技术支撑全方位的整体数据安全思路与方案；同时，安华金和作为独立的第三方云数据安全服务商（CDSP），为国内外各大云平台用户提供专业的数据安全保障；安华金和也是中国最大的公有云平台——阿里云在数据安全领域的战略合作方。

安华金和总部位于北京，分设北京营销中心与天津研发中心，下设11大分支机构，业务覆盖华北、东北、华东、华中、华南、西南等全国省市地区。

在政府、军工、金融、能源、教育、医疗、企业等各大行业建立多个标杆案例，并取得了良好的信誉口碑。

安华金和数据库漏洞扫描系统介绍

安华金和数据库漏洞扫描系统产品简介安华金和数据库漏洞扫描系统xSecure-DBScan一款帮助用户对当前的数据库系统进行自动化安全评估的专业软件，能有效暴露当前数据库系统的安全问题，提供对数据库的安全状况进行持续化监控，帮助用户保持数据库的安全健康状态。

一、xSecure-DBScan的核心价值发现外部黑客攻击漏洞，防止外部攻击：实现非授权的从外到内的检测；模拟黑客使用的漏洞发现技术，在没有授权的情况下，对目标数据库的安全性作深入的探测分析；收集外部人员可以利用的数据库漏洞的详细信息。

分析内部不安全配置，防止越权访问：通过只读账户，实现由内到外的检测；提供现有数据的漏洞透视图和数据库配置安全评估；避免内外部的非授权访问。

监控数据库安全状况，防止数据库安全状况恶化：对于数据库建立安全基线，对数据库进行定期扫描，对所有安全状况发生的变化进行报告和分析。

二、xSecure-DBScan的竞争力（1）最大的DBMS安全漏洞知识库xSecure-DBScan支持1311个安全漏洞库；国内普通安全厂商的漏洞检测数在300个左右；专业数据库漏洞工具的检测数600-700个。

（2）最全面的数据库安全检查范围xSecure-DBScan支持4163个安全检测点；覆盖DBMS漏洞、管理员维护漏洞、程序代码漏洞和高危敏感数据检测四个方面的数据库安全检查。

（3）先进的数据库安全检查技术xSecure-DBScan支持多种数据库自动化检查技术；先进的网络数据库发现技术，不仅提供数据库服务器发现技术，还提供数据库实例发现技术；实现多种DBMS的密码生成技术，提供1万多个口令爆破库，实现快速的弱口令检测方法。

（4）持续的数据库安全状况监控突破传统的漏扫产品仅作为数据库漏洞检查工具的限制，实现对数据库运维安全状况的监控，包括相关安全配置、连接状况、用户变更状况、权限变更状况、代码变更状况等全方面的安全状况评估；建立安全基线，实现安全变化状况报告与分析。

安华金和电子政务数据库安全整体方案

任何个人、机构未经安华金和的书面授权许可，不得以任何方式复制或引用本文的任何片断。

©2019安华金和目录1.概述32.电子政务安全分析32.1.安全概述32.2.系统分析42.3.安全问题52.4.安全误区62.5.安全威胁63.防护思路分析113.1逐级防护113.2用户管理123.3权限控制133.4分类展示143.5数据保密153.6敏感混淆173.7兼容扩展183.8内容审计193.9政策合规204.数据库整体安全设计214.1.设计原则214.2.总体思路224.3.数据库分区分域设计244.4.数据库安全防护设计255.方案优势365.1周期防护构建纵深365.2主动防御减少威胁365.3权限控制解决拖库365.4透明部署零改应用365.5政策合规满足标准361.概述随着互联网的发展，电子政务信息化浪潮日益深刻，信息网络技术的应用正日益普及，应用层次正在深入，应用领域从传统的、小型业务系统逐渐向大型、关键业务系统扩展，典型的如业务部门服务系统、行政部门办公系统、机关部门涉密系统等。

随着电子政务网络的层次化、分组化以及宽带化发展，政府部门越来越多的统计决策业务、日常监督检查业务、OA等管理性业务以及面向多媒体的综合业务都开始向数字化、网络化转变，这符合当前信息网络融合发展的趋势。

电子政务在多网融合后各类信息系统的数据变得集中，数据是电子政务业务的根本，数据库承载了电子政务信息系统的运行，作为电子政务业务系统的信息载体，使之能方便的收集各单位、部门上传来的数据，海量的数据信息因为数据库的而变得更加容易管理和使用。

伴随信息化的普及，数据安全日益成为影响电子政务效能的重要问题，而电子政务所具有的公开性、便捷性和权威性，在增加应用自由度的同时，对安全提出了更高的要求。

安华金和数据库安全电子政务内网解决方案4.doc

安华金和数据库安全电子政务内网解决方案4安华金和数据库安电子政务内网解决方案一. 方案概述电子政府内网中的诸多数据均属机密数据，需要严格的保护，防止信息的泄漏和篡改，同时对数据的访问踪迹实现完全可追踪化。

由于历史的原因，信息中心的诸多核心系统主要使用的是Oracle和SQL Server为代表的国外数据库产品，同时由于数据库技术的复杂性，短期内难以替代。

斯诺登事件的发生，证明了我国的机密数据放在国外数据库中，若是不采用国产自主可控的数据库安全技术进行加固，数据库中的涉密信息将有很大的泄漏风险。

即使在实现了国产化数据库系统的涉密信息系统中，当前也存在数据库运维的三元分立、防止SQL注入、漏洞攻击和全部操作要审计等诸多数据库安全需求，因此，数据库安全加固方案具有普遍意义。

本方案对电子政务内网门户、内网办公和纵向内网业务三大类信息系统，后台的数据库系统面临的安全风险、核心安全需求进行认真分析，并提出了通过事前诊断、事中控制和事后审计实现全防护时机的数据库安全解决方案，以满足对国内外数据库的安全加固要求。

二.安全需求分析2.1业务驱动需求当前电子政务内网信息系统中的涉密数据在数据库集中存储，传统的信息安全解决方案主要是通过网络传输通道加密、PKI 或增强身份认证、防火墙、IPS、堡垒机等技术构成综合的信息安全应对策略，但这些方案在现实中变得弱不禁风，大量信息泄露事件频繁爆发。

（1）传统解决方案对应用访问和数据库访问协议没有任何控制能力，比如:SQL注入就是一个典型的数据库黑客攻击手段；（2）数据泄露常常发生在内部，大量的运维人员直接接触敏感数据，传统以防外为主的网络安全解决方案失去了用武之地；（3）由于数据库漏洞被攻击破坏将可能牵连多个部门的系统的数据库不能使用，导致被刷库后数据集中泄密；（4）缺乏数据库安全管控手段，需要实现精细控制，当前的技术手段下，信息中心无法控制和追踪数据库管理员对敏感数据的访问；（5）数据库的存储文件解析后为明文，主流的大型数据库数据文件的组织结构主动或被动公开化，只要得到这些数据文件，存储的数据其实就是透明的。

安华金和数据库安全成功案例北京口腔医院

安华金和数据库安全成功案例北京口腔医院一. 项目背景首都医科大学附属北京口腔医院创建于1945年，是集医疗、教学、科研、预防为一体的三级甲等口腔专科医院，日均门诊量2000余人次，先后获得全国百姓放心示范医院、双十佳人民满意医院等称号。

北京口腔医院的各类信息系统如HIS系统后台数据库存在安全漏洞，主要有三类信息安全问题：患者隐私信息批量泄密，医疗财务数据异动导致资金流失，非法“统方”导致医药贿赂事件频频发生，故设立患者病例信息及身份信息保护项目，通过安华金和数据库防火墙实现数据库的安全防护。

二. 解决方案从北京口腔医院业务层面，主要的安全需求如下：1）等保对三甲以上医院的数据库安全政策要求：“三级甲等医院的核心业务信息系统”的等级保护要求定为三级，因此三甲医院HIS系统需按照等保三级要求来建设；2）等级保护对数据库安全的要求：在等级保护《基本要求》中的位置数据库安全是主机安全的一个部分，数据库的测评指标是从“主机安全”和“数据安全及备份恢复”中根据数据库的特点映射得到的。

对三级及以上系统中的关键敏感数据安全防护，提出了严格要求。

3）卫生部对医疗行业“防统方”政策要求：《卫生部关于进一步深化治理医药购销领域商业贿赂工作的通知》中明确指出，“未经批准不得统方，严禁为商业目的统方”。

对于违反规定未经批准擅自“统方”的，不仅要对当事人从严处理，还要严肃追究医院有关领导和科室负责人的责任。

三. 客户价值通过对数据库进行整体安全防护，北京口腔医院通过患者病例信息及身份信息保护项目可实现外网数据防黑客入侵和批量导出，面对来自于外部黑客的入侵行为，提供防SQL注入和数据库虚拟补丁包功能；通过虚拟补丁包，数据库系统不用升级、打补丁，即可完成对主要数据库漏洞的防控。

通过独立的权限控制能力，以及基于IP和时间的精细控制，严格保证合法的用户才能访问敏感信息，通过敏感数据详细变更审计能力，准确定位非法访问责任人，责任界定明确。

最佳实践案例丨双十一来了,别让物流行业的敏感数据裸奔

最佳实践案例丨双十一来了，别让物流行业的敏感数据裸奔双11购物狂欢节，阿里巴巴创造的节日，多少剁手党们翘首以盼。

阿里更没让大家失望，原本24小时的狂欢，今年延长至24天，真是越玩越大的节奏。

听到这个消息后，我想大概会有两个群体倍感压力，一个自然是负责清空购物车的老公们，另一个则是各大物流公司。

稍等，我们今天要说的不是快递员，而是容易被大家遗忘的幕后英雄，物流行业的IT运维人。

几个月前，我们交流了一家来自上海的大型物流企业，现在，他们已经是安华金和的用户了。

作为国内排名前三的大型物流企业，用户的信息系统建设起步较早，在2009年即启动建设以核心业务系统为主体的信息技术平台，并部署了传统的网络安全产品，以应对来自网络层的外部攻击。

然而，近年来随着各大电商平台的交易量飞速上涨，与订单量成正比的物流数据正在直面愈加复杂的安全威胁。

据统计，2015年快递企业信息泄露案件达43起，泄露包含消费者个人隐私数据的订单信息数量，保守估计高达上百万。

在这些案件中，更有数起源于内部人员泄露或内外勾结窃取数据。

作为物流行业领头羊之一，用户自然不希望这个锅砸到自己身上，于是有了这一次针对核心数据库的安全防护交流，希望从安华金和找到满意的安全对策。

简单交流后，我们的咨询工程师将用户需求归纳为：在不影响业务系统的正常运行下，对来自应用侧、运维侧的数据库访问行为进行监控与审计，提升数据库安全指数。

对于这一需求，旁路部署安华金和数据库审计系统(DBAudit)显然是最为合适的解决方案。

客户对方案表示认可，但同时补充道：“对你们产品最大的挑战恐怕不单是数据库的安全保障，还有今年的双十一。

”我们明白，在各大电商集体爆发的双十一期间，对于物流行业信息系统的最大挑战，自然是超高的数据处理压力。

用户的核心数据库系统，主要服务于以淘宝为主的大型电商平台传送来的物流信息。

系统承载的日均SQL语句数量为3w条/s，而在双十一期间，日均处理量将飙升至三倍以上。

安华金和数据库安全电子政务外网解决方案

安华金和数据库安电子政务外网解决方案中国软件测评中心(中国国家工业和信息化部下属单位)2014年12月3日发布《2014年中国政府网站绩效评估总报告》显示，今年评估的900余家政府网站当中，超过93%的网站存在着本级的安全漏洞，其中97%的区县网站被监测到有安全隐患，接受评估的网站包括部委网站、省级政府网站、副省级政府网站、地市政府网站及区县政府网站。

这个也给政府的形象带来了很不利的影响，甚至给政府工作的正常运行带来了严重的威胁。

由于人们对互联网的依赖性日益增强，互联网数据资产所蕴含的经济价值更加巨大。

以CSDN 600万用户信息泄露开始，中国互联网接连爆发的信息泄露为“互联网之殇”再添一笔。

近年来，因为互联网技术漏洞导致用户信息泄露的事件时有发生，2014年5月小米论坛疑似被“拖库”，该漏洞影响约有800万左右小米论坛用户，2014年3月，携程网也曾连续爆发安全漏洞，导致部分携程用户的银行卡信息被泄露并被利用，未来针对隐私信息的破解和攻击会愈演愈烈。

如何确保信息安全，加强信息保障工作，将是政务外网建设关注的重中之重。

一、政务外网敏感数据泄漏问题分析真正有效的解决网络信息的安全问题，首先就需要分析批量个人隐私信息数据泄密、篡改途径，包括来自于外部攻击者，第三方运维人员、开发人员等内部人员的各种可能性。

从系统安全体系的角度来分析，然后找出可行的技术手段，才能真正从全方位保证网络信息安全。

核心数据安全是针对核心敏感数据的保护，处于整个安全体系的核心位置！经过对诸多网络信息安全事件的分析，发现信息泄密及篡改的最大威胁来自于外部黑客、内部运维人员及数据库管理员DBA、以及第三方服务外包人员。

外部：黑客攻击者黑客攻击者一般有两种手段进行数据的窃取：一是入侵到网络后，能够直接访问数据库服务器，进行刷库直接拷贝数据文件，利用主流数据库明文存储的缺陷，直接进行异地的数据还原，即可获得所有数据。

二是利用数据库自身的一系列缺省端口号、缺省用户密码、权限提升等漏洞，轻松获取DBA身份的高权限用户，直接导出数据。

安华金和数据库安全成功案例北京市东城区政府

安华金和数据库安全成功案例北京市东城区政府一. 项目背景北京市东城区从2012年至今，逐步由数字东城向智慧东城迈进，在东城区委区政府的领导下，在智慧东城的建设过程当中，社会服务平台、资金管理平台、公共基础数据平台、社区卫生服务的平台、楼宇信息平台等核心信息系统，交易信息、结算信息、信贷信息以及成员单位信息，个人隐私信息、楼宇工商信息是该系统的核心敏感数据。

北京市东城区智慧城市数据库整体安全防护项目，按信息安全等级保护要求，对重要人员、组织机构、枢纽位置信息需要加密保护，其余敏感信息的数据库操作需要从网络层进行安全防护和审计。

二. 解决方案东城区智慧城市十几个信息系统，通过互联网提供便民信息服务，随着应用系统及数据库的部署规模、访问人员和密集度的不断增加，来自于外部攻击、第三方运维和开发人员、内部维护人员的访问，给数据库安全带来了严峻的挑战。

后台数据库中存储的敏感数据一旦发生泄密或者被非法篡改，都将是责任重大的信息安全事故。

东城区智慧城市数据库整体安全防护项目共分两期实施，一期解决的是重要人员、组织机构、枢纽位置信息的加密保护；二期从网络层实现数据库的整体安全防护和审计。

一期数据库加密以“保护敏感信息”为最终目标，以“最小的代价换取尽量大的安全提升”的原则，定义出该系统的核心敏感数据，并进行有效的安全访问控制。

产品部署图如下：二期数据库安全防护以数据库防火墙和数据库监控与审计为主，首先确保对现有生产系统性能和稳定性影响最低，同时解决了来自于互联网的外部黑客对应用侧攻击（这类风险占80%），内部运维侧的批量导出和恶意操作的安全威胁（这类风险占20%），同时实现数据库访问行为的全面审计。

互联网三. 客户价值1）从根源上彻底防止敏感信息泄密从数据库级别进行防控，从根源上彻底控制社会服务管理平台敏感信息数据的泄露。

传统的访问控制类产品能够防止应用层面的数据窃取行为，但无法阻止维护人员、第三方人员通过存储层和直接访问数据库导致的泄密。

安华金和数据库安全成功案例国家电网

安华金和数据库安全成功案例国家电网一. 项目背景当前，我国信息系统的基础性、全局性、全员性作用日益增强，信息安全作为信息化深入推进的重要保障，已成为国家安全战略的重要组成部分。

国内外信息安全形势日趋严峻，境内外敌对势力长期利用互联网络实施攻击、情报窃取等活动猖獗，手段隐蔽，技术不断出新，信息安全工作呈现长期性、艰巨性、复杂性的特点。

互联网的急速发展使得企业数据库信息的价值及可访问性得到了提升，数据库在国网公司各安全大区中都有大量业务系统应用，记录有大量的用户信息、用电信息、生产数据等关键数据或敏感信息，是最具有战略性的资产，数据库的安全稳定运行也直接决定着业务系统能否正常使用。

二. 系统概况电力市场交易系统由国网总部研发并统一分发至各网省，各网省中应用与数据库的逻辑架构保持一致。

该系统采用Weblogic提供web服务，同时搭建了集群保障web应用的高可用性。

应国网要求应用系统均已接入内部监控IMS系统，各网省的电力市场交易系统均采用统一认证平台ISC进行web登录认证，且认证过程用户名处于加密状态。

应用系统的详细描述如下表所示：表3：系统环境信息表1.1. 安全需求●电力市场交易外网系统面向互联网，等于间接将内网的数据库暴漏在互联网上，很容易遭受外部的恶意人员针对电力市场交易系统漏洞进行SQL注入攻击。

●电力市场交易系统的数据库遭受数据泄露、数据篡改时，无法及时的告警。

管理人员发现攻击事件存在滞后性。

●电力市场交易内网系统采用统一的安全认证平台，通过门户网站集中管理多个应用模块，当任意业务账户被窃取后将导致多个应用模块面临风险。

发生事件时需要快速定位业务账户和应用客户端IP地址，将损失控制到最小化。

三. 解决方案图2：系统逻辑拓扑图表4：部署描述表●在电力市场交易系统数据库服务器物理旁路部署DBAudit系统，交换机采用流量镜像的方式将访问数据库的通讯包复制给DBAudit一份，用于审计并分析所有针对电力市场交易系统数据库的SQL访问行为。

安华金和云数据审计系统——捍卫云上数据安全

安华金和云数据审计系统——捍卫云上数据安全近两年，随着企业用户应用上云，用户数据也跟着进入到云端存储，鉴于有些数据是企业的商业机密，数据的安全性关系到企业的生存和发展。

用户应用上云，云端数据安全必然面临严峻挑战。

于是，云安全伴随着云计算的崛起也呈现出方兴未艾之势。

作为数据库安全领域的专业厂商，安华金和始终保持着对数据安全的敏锐触角，企业数据上云，用户云上数据安全防护需求应运而生，这也意味着我们守护企业数据安全的步伐需要紧紧跟上。

安华金和基于自身多年的数据库安全经验累积，将成熟的数据库安全防护能力延伸至云端，帮助用户实现数据安全享用。

这就相当于给身处数据安全疑虑之中的用户吃下了一颗定心丸。

从守护数据库安全到关注云数据安全，安华金和始终没有改变“让数据使用更安全”这一企业发展使命。

今年10月13日，在2016年阿里云栖大会上，安华金和作为第三方厂商，正式入驻云市场，同时重磅发布安华金和首款云安全产品——云数据审计系统Audit-EnCloud，这款产品是基于企业线下多年数据库安全技术积累，将数据库审计系统与云端环境结合，形成云环境下对数据库运维和安全管理人员，提供安全、诊断与维护能力为一体的安全管理工具。

Audit-EnCloud满足政策合规性要求目前，凭借突出的产品价值与优势，安华金和的云数据审计系统从发布到现在短短1个多月，已经赢得了客户的青睐，打响了安华金和云产品推向市场的第一枪。

就目前安华金和对云安全市场的需求了解来看，企业对云审计产品的关注度和需求越来越高，这不仅是云端企业安全防护意识不断增强的表现，也和国家以及相关行业的安全管理政策要求有关系。

Audit-EnCloud——实现云上无忧审计1.保留传统产品优良血统安华金和传统数据库审计系统DBAudit，经过了市场多年的实践检验，凭借其高性能、高可用已经成为广受认可的成熟数据库审计产品，而Audit-EnCloud秉承其优良血统，在云环境下依然可以保持全面精确审计，100%准确应用用户关联审计，充分体现出了该产品对云环境下核心数据的安全防护，以及对云端数据库提供安全诊断、安全维护、安全管理等价值。

北京市人民政府办公厅关于南水北调中线工程北京段输水干线“4·14”生产安全事故调查处理情况的通报

北京市人民政府办公厅关于南水北调中线工程北京段输水干线“4·14”生产安全事故调查处理情况的通报文章属性•【制定机关】北京市人民政府•【公布日期】2007.06.05•【字号】京政办发[2007]40号•【施行日期】2007.06.05•【效力等级】地方规范性文件•【时效性】现行有效•【主题分类】公安综合规定正文北京市人民政府办公厅关于南水北调中线工程北京段输水干线“4·14”生产安全事故调查处理情况的通报（京政办发〔2007〕40号）各区、县人民政府，市政府各委、办、局，各市属机构：2007年4月14日13时40分左右，在位于房山区长沟镇北甘池村的南水北调中线工程北京段输水干线西甘池隧洞爆破工程施工中，发生一起生产安全事故，造成2人死亡。

这起事故是爆破员在未清场情况下违规启动爆破器进行爆破造成的，导致尚未撤出的2名作业人员死亡，后果严重。

经市政府同意，现将事故调查处理情况通报如下：经查，北京中大爆破技术工程公司于2006年3月与北京创兴爆破工程有限公司签订联营协议，共同承担西甘池隧洞爆破工程。

但该工程作业现场管理混乱，未按《爆破安全规程》要求做到爆破作业现场统一指挥，未划定爆破安全警戒区，未明确安全警戒人员，加之爆破员违章作业，导致事故发生。

工程监理单位河南华北水电工程监理中心对爆破单位违章操作行为未及时制止和督促整改。

工程总承包单位北京通成达水务建设有限公司对分包单位安全管理混乱、违章作业行为监管不到位。

这是一起因违章作业而造成的生产安全责任事故。

为吸取教训，决定对北京中大爆破技术工程公司、北京创兴爆破工程有限公司、河南华北水电工程监理中心、北京通成达水务建设有限公司通报批评。

市政府有关部门对事故责任单位和责任人员已依法进行了处理。

为有效遏制生产安全事故发生，现就进一步加强本市建设工程安全生产工作提出以下要求：一、各级政府及有关部门要认真履行安全生产监管职责。

按照《北京市人民政府办公厅转发国务院办公厅关于在重点行业和领域开展安全生产隐患排查治理专项行动文件的通知》（京政办发〔2007〕34号）精神，研究制定工作方案，组织、指导和督促重点行业和领域生产经营单位认真开展专项行动，全面排查各类安全隐患，并迅速采取有效措施整改消除。

安华金和数据库安全教育行业解决方案.doc

安华金和数据库安全教育行业解决方案4 安华金和数据库安全教育行业解决方案一. 行业需求与挑战教育行业学院信息中心的招生咨询、学员管理、网络课件等数据都属于学院内部极其重要的数据，作为核心数据载体——数据库，一旦发生来自于应用用户越权操作、程序开发人员和数据库运维人员的数据泄露和篡改，都将造成巨大的损失。

近年，学院信息中心在信息化安全建设上投入明显，已经采购了网络防火墙、入侵防护系统和主机安全检测系统等网络安全产品，可以完善地防护突破边界造成的外部入侵。

然而这些只能防止外部黑客入侵，但对于存储核心“数据资产”的数据库却缺乏有效安全防护措施。

当前，在系统中至少存在以下重要数据库安全威胁，能够直接导致百利留学敏感信息等重要数据的泄密发生：（1）网络管理员等：解析数据库文件获取明文数据库是系统的核心，提高信息中心数据库安全是百利留学数据安全管理工作的重要部分。

由于数据库在操作系统下都是以文件形式进行管理的，当窃取数据库文件解析后即可得到明文的敏感数据。

对数据库中的敏感数据进行加密处理，是堵塞这一通向DBMS 的“隐秘通道”的有效手段。

（2）维护人员：权限过高批量导出敏感数据负责数据库的维护管理，直接掌握数据库高权限账户的维护人员既负责各项管理工作，例如资源分配、用户授权、系统审计等，又可以查询数据库中的一切信息；这些人员的帐户被他人利用，完全可以随时登陆数据库，从而导致敏感信息泄密。

（3）业务人员：“越权操作”敏感信息目前百利留学信息系统的教职工帐户，业务功能应因岗位而异，数据应因部门级别而异，操作权限应因层次而异，既要保证合法使用者的正常使用，又要防止越权获得信息、篡改信息的行为。

（4）程序开发人员等：利用数据库账户窃取数据程序开发和测试人员知道数据库账户信息，利用这些账户一方面可以在生产系统中加入后门程序，通过这些后门程序从数据库中窃取数据，另一方面测通过测试系统接触真实数据导致敏感信息泄密。

二. 方案概述2.1 解决方案概述及要点描述本方案从存储层、数据库访问层、应用访问层三个层面对数据库面临的安全威胁进行分析，以学院信息中心敏感数据的主动预防为目标，提出整体的数据库安全加固解决方案。

安华金和电信行业解决方案CRM系统客户信息保密7.doc

安华金和-电信行业解决方案--CRM系统客户信息保密7CRM系统客户信息保密解决方案1.背景在以“客户信息为中心”的CRM系统中，存储着大量重要客户资料，如客户的姓名、电话账户、余额、资费套餐等，都是电信运营商最重要的核心业务数据。

为保护这些“数字资产”不被泄露，运营商们花费了很大代价，购买并实施了包括防火墙、入侵检测系统、异常流量检测与过滤、集中管控等在内的大量信息安全产品,在边界防护上构筑了一道固若金汤的安全防护“铁闸”。

然而，在近几年电信运营商数据泄密事件仍频频发生，除造成直接的经济损失外，这些泄密事件带来的损失还包括：被泄密客户诉讼、被客户/潜在客户抛弃、品牌受损失、促进竞争对手的成长。

程序员程稚瀚四次侵入北京移动充值中心数据库盗取充值卡密码，获利达300多万元。

2003年，广东联通7名人员利用内部工号和密码对欠费停机手机进行充值，使联通损失260万元。

今年，3.15晚会曝光了移动、联通及原中国网通三大电信运营商的3个“内鬼”多次向“私家侦探”泄露客户信息、通话记录、手机定位信息共获利300万元，其犯罪手段就是通过应用数据库用户口令获取操作员的工号和口令，再通过业务系统导出各种信息,目前，3人均已获刑。

……2.CRM系统客户隐私保密需求分析目前，各大运营商围绕着网络防护、主机防护和应用防护展开了一些列的安全建设，已建立起相对安全的数据应用环境，但由于技术局限和相关安全产品匮乏等原因，数据库安全建设一直未能得到有效开展。

因此，在CRM系统中，至少存在以下数据库安全漏洞，能够导致客户隐私信息泄密的发生：1）应用系统引起的敏感数据泄密目前CRM系统是一个统一的应用系统，集中了业务受理、投诉申告、故障受理、欠费催缴管理、流失管理、信用度管理、大客户分析、业务分析、收益分析等核心业务模块，同时为计费、BOSS等核心系统进行数据支撑，这些模块和系统共用同一个数据库用户。

这种方案存在两个问题：（1）绕开应用系统直接访问数据库中的敏感数据：在电信系统内，为便于开发和维护系统，服务外包人员、开发人员往往掌握着应用系统使用的数据库账户，可轻易的接触到数据库中重要客户资料，一旦外泄将导致客户隐私的泄密；（2）无法进行有效授权：由于不同模块/系统公用同一数据库用户访问数据，无法有效的限定数据库用户的访问能力，特别是统计分析业务和精确查询的区别管理。