运营商行业数据库运维管理实践

运营商一直十分重视数据安全作业，但是真正针对数据的安全防护办法还相当有限。关于一些暴露在互联网上的事务，存在遭到各类外来进犯或内部走漏带来的数据安全危险。当时，运营商虽已树立较为完整的安全防护体系，但相关技能手段大多侧重“防外”，而关于内部重要灵敏数据库运维的安全防护办法、流程与才能还存不少问题。

因而，运营商在展开数据安全作业进程中，不只要抵挡来自外部的黑客侵略进犯以及网络病毒传达等危险，一起也要严加防范来自内部、尤其是具有必定权限的运维人员的违规拜访、歹意操作、数据盗取等隐患。

需求痛点

在数据安全面对极大挑战的新环境下，运营商职业对中心数据、灵敏信息等内部安全防护仍存在诸多薄弱环节，亟需凭借专业、适合、有针对性的数据安全产品与技能手段，加强并提升运营商自身全体数据安全防护才能，然后有用下降重要灵敏信息的走漏危险。

其间，内部威胁首要源于办理人员乱用职权、执行人员操作不妥、内部办理疏漏、软硬件存在缺陷等方面：

1. 安全办理制度不健全，执行力度不到位。例如：对数据库存在不合法接入、不合法外联、职权乱用、外设乱用等状况。

2. 体系自身存在漏洞。例如：未能及时有用检测数据库漏洞或问题装备等危险要素。

3. 内部懂技能、会编程的人员直接编写进犯代码，盗取或损坏体系中的重要灵敏信息。

4. 运维外包人员歹意盗取灵敏信息。例如：现在在运营商职业中，运维外包是一个普遍存在的现象，即外包人员可直接或经过内部体系拜访到数据库等等。虽然内部体系也可审计并记载相关拜访进程，但却无法阻挠灵敏数据被查看或被批量导出等危险操作。更何况，运维人员还或许经过“跳板”，绕过内部体系直接拜访到灵敏数据库。

5. 体系办理员或运用办理员越权拜访、盗取灵敏数据。例如：在运营商职业运营中心，有众多运用体系，这些运用体系的办理员具有拜访数据库的直连通道和帐号密码；其间不少运用体系是外包开发的，相应的体系办理员也是外部人员，危险可想而知。

6. 体系开发和测试运用实在数据。例如：在开发和测试进程中，内部人员运用高权限账号调取实在数据，极易形成实在数据走漏。

解决方案

安华金和依据对数据安全范畴的深度了解与丰富实践，经过对运营商客户场景及需求的详细调研，一起遵循“安全合规是生命线、安全事件零忍受、灵敏数据不出门”的数据价值观，构建涵盖“安全组织、安全战略，安全技能、安全运营”，自主可控的数据安全防护体系，然后有用保证运营商事务及运用数据安全。

安华金和针对运营商在数据安全防护难点，经过布置数据库运维办理体系（DOMS）满意其三大中心需求——可视、可控和合规。在运维人员和信息体系（网络、主机、数据库、运用等）之间搭建仅有的入口及一致的交互界面，然后完成针对信息体系关键软硬件设备的运维操作行为进行管控与审计。例如：将相关设备、运用体系的办理接口，经过强制战略路由的方法转发至运维办理体系，完成对办理用户的身份辨别；经过“数字证书”认证方法，作为“用户名+口令”验证身份的有用补充和增强，完成等保三级要求的双要素身份认证等。

数据库运维办理体系经过与运营商已有办理体系相结合，可以供给数据库代理及安全保证，并可以遵从安全办理规范、优化办理流程，完成以下功能：

1. 拜访操控：经过对接安全办理渠道，运用一套战略，进行用户拜访操控。可以经过对用户、人物、行为和资源的授权，增加对资源的保护和对用户行为的监控及审计。

2. 数据库协议解析与代理：支撑用户运用第三方客户端东西，经过数据库防火墙的协议解析与代理登录相关事务数据库进行相应操作。

3. 灵活审计：经过对接安全办理渠道，运用一套模型和规范，对用户操作进程进行全息留痕，以供给审计支撑。

4. 账户办理：支撑对一切登录帐号的会集办理，下降了办理很多用户帐号的难度和作业量。一起，还可以拟定一致、标准的用户帐号安全战略；一起，会集帐号办理可以完成将帐号与详细的自然人相关联，然后完成针对自然人的行为审计。

5. 一致身份认证：为用户供给一致的认证接口。选用一致的认证接口不光便于对用户认证的办理，并且可以选用愈加安全的认证模式，进步认证的安全性和可靠性。会集身份认证供给UKEY、数字证书、一次性口令和密码桥等多种认证方法；一起还供给接口，方便与第三方认证服务对接。

6. 一致资源授权：供给一致的界面，对用户、人物、行为和资源进行授权，以到达对权限的细粒度操控，最大限度保护用户数据的安全。经过会集拜访授权和拜访操控可以对用户经过B/S对数据的拜访进行审计和阻断。授权的目标包含用户、用户人物和用户行为。体系不光能授权用户“可以经过什么人物拜访资源”等依据运用边界的粗粒度授权，对某些运用还可约束用户的操作，及“在什么时间进行操作”等细粒度授权。

7. 细粒度拜访操控：供给细粒度的拜访操控，最大限度保护用户资源的安全。细粒度的指令战略是指令的调集，可所以一组可执行指令，也可所以一组非可执行的指令。该指令调集用来分配给详细的用户，来约束其体系行为，办理员会依据其自身的人物，为其指定相应的操控战略来约束用户。拜访操控战略是保护体系安全性的重要环节，拟定良好的拜访战略可以更好的进步体系安全性。

8. 操作行为审计：操作行为审计办理首要审计操作人员的帐号运用状况（登录、拜访）等。操作行为审计能更好地对帐号的完整运用进程进行追寻，并对过后溯源供给必定的依据。

客户价值

经过上述解决方案，安华金和数据库运维办理体系（DOMS）有用满意了某运营商客户面对的数据安全运维办理需求——数据安全可视、数据安全可控、数据安全合规。除上述价值外，安华金和供给的解决方案还为该运营商客户带来如下价值：

规范运维行为

1. 规矩战略

DOMS为客户供给语句操作规矩，经过装备拜访来源、操作目标、执行成果、条件约束、时间等元素，生成针对数据库的操作规矩，以此定义合法操作与不合法操作。

2. 身份识别

DOMS选用双要素身份认证机制，准确识别运维人员身份，认证机制包含批阅口令码、动态令牌、Web身份认证和UKey身份认证。

3. 操作批阅

DOMS要求运维人员对数据库的一切高危操作、重要操作和涉敏操作必须先经过批阅后才可执行，并能在其执行进程中持续监控相关操作，确保与批阅操作的一致性。

4. 行为审计

DOMS不只可以审计一切针对数据库的操作行为，还可以审计运维操作的请求及批阅信息。

遮盖灵敏数据

DOMS可以供给灵敏数据掩码遮盖返回才能，约束具有超高权限的运维账户读取灵敏数据。一起，确保运维人员的日常作业（数据备份恢复、资源清理、体系状况监控与保护等）不受影响，而是仅在查询灵敏数据时返回遮盖后的成果。