AI+安全
數據安全
數據基礎設施
態勢感知
云安全
基礎安全
終端安全
商用密碼
軟件供應鏈安全
網絡空間靶場
工業互聯網安全
物聯網安全
安全托管服務
運營管理服務
解析微盟事件 如何建設完善的數據安全防護體系
2月25日，微盟集團發布的一則公告引起輿論熱議。微盟的生產環境及數據遭遇其員工人為“惡意破壞”。該員工因個人精神、生活等原因，通過個人VPN登入公司內網跳板機，對微盟線上生產系統環境進行了大肆破壞，導致系統中斷7天，生產環境服務器出現故障，大量用戶數據被刪除。
?
微盟事件，再次證明了，在數字化轉型過程中，安全已經不是附屬品，是企業生存和發展的關鍵要素。
?
正所謂外行看熱鬧，內行看門道。本文依據運維安全、數據安全、SaaS服務等關鍵因素，從技術的角度“庖丁解牛”，解析事件的始末。
?
?
一、對數據安全防護不夠重視成根本原因
?
?
事件本質上暴露出對數據安全防護還未成體系、對數據安全防護不夠重視、認識不充分等問題。
?
事態進一步惡化，體現出事中缺乏有效控制手段，運維過程訪問控制上不夠精細化，核心關鍵數據在內控上允許系統運維人員可以隨意操作，暴露出在運維管理上最大的風險隱患。
?
同時，微盟沒有做業務的雙活，關鍵數據沒有冷備份，導致恢復數據時間超過6小時，恢復生產時間超過8天。
?
?
二、通過技術手段處理本次事件
?
?
從微盟官網的賠付計劃中公開的后續數據安全保護措施中：
?
微盟后續通過堡壘機“進行細粒度權限分級和授權管理，同時嚴格審計堡壘機操作日志”，達到事中的精細化控制，和事后的追溯審計取證。
?
不難發現，通過堡壘機可以實現技術上對數據的有效保護。數據安全防護本質上是一個系統工程，沒有單一的產品可以保證數據絕對安全，每個不同的產品解決的是不同層面的數據安全風險隱患。
?
數據安全防護必須從整體上規劃，充分認識自身的數據安全防護的目標及側重點，仔細評估各種方案的優劣勢，從管理和技術兩個方面相結合、從關鍵處著手、從細節處逐步落實，才能有效保護企業核心數據的足夠安全。
?
如何做好數據安全防護：
?
1、從威脅的結果來看，一般分為數據泄露、數據篡改、數據刪除三種，其中數據刪除和數據篡改影響最為嚴重，因其改變了數據的完整性，而數據泄露只是改變了數據的機密性。
?
2、從威脅的人員來看，既有外部的黑客，又有內部合法的系統運維人員、數據庫管理員、開發人員、業務系統維護人員、第三方開發維護人員等等，每個人對數據操作的權限不一樣，影響范圍也是不盡相同。
?
從人員數據安全防護角度更多的是事中對人員權限的精細化的訪問控制，針對每個威脅人員防護的方案和側重點即可不同。從威脅人員評估是數據安全防護方案設計時一大關注點，優點是防護重點明確，手段靈活有效。
?
3、從防護對象來看，從數據庫端、運維端、應用端、備份端采取不同的措施進行保護，如運維端可以采用堡壘機進行權限細粒度控制和數據的上傳下載，確保運維環節細粒度。
?
4、從安全防護體系來看，數據安全又分事前數據安全檢測評估及態勢感知、事中訪問控制、事后的審計追溯取證，每個環節緊密有機構成數據安全防護的整個體系，針對客戶情況建立體系化的數據安全防護，讓數據安全風險降到最低。
?
數據安全防護是個系統工程，需要結合自身的企業信息化情況建設現狀及特點，整體評估規劃制定適合企業自身的數據安全防護方案。
?
網絡安全需要具體問題具體分析，數據安全防護還需要從數據全生命周期、管理策略以及外部合規的角度出發。
?
?
三、從數據全生命周期的管理角度看
?
?
數據庫通常對外有兩個暴露面，一是通過應用系統暴露給外部，二是暴露給內部的運維人員、開發人員。根據IBM的研究數據，有70%的數據安全事件是由內部人員造成的，微盟事件也恰巧由于運維人員的惡意操作導致的。針對于微盟的內部人員刪庫事件，可以從事前評估規劃、事中異常檢查、事后審計追溯等三個方面入手。
?
1. 事前評估規劃：數據是企業的核心資產，數據庫是數據的重要載體，要做好數據庫系統的高可用，除此之外還要做到生產系統的雙活和數據的異地冷備份，以防發生類似事件時可以快速恢復生產。
?
通過人員權限的分級分類和數據的分級分類，將人員的分級分類和數據的分級分類關聯起來，按照職責匹配權限，避免出現越權訪問和操作的問題。
?
2. 事中異常檢測：及時的察覺和阻斷正在發生的異常訪問和操作，針對于數據庫操作的異常檢測可以通過數據庫防火墻來防護，通過數據庫防火墻產品有效識別對數據庫的惡意訪問和操作，一旦發現重大危害，進行及時阻斷。如果在微盟的數據庫防護系統中有部署數據庫防火墻產品，那么也完全可以避免這次事件的發生。
?
3. 事后審計追溯：當事件已發生，此時最重要的就是盡可能的早知道、早處理，盡可能的減少損失。數據庫審計和數據庫防火墻一樣可以捕獲對數據庫的惡意訪問和操作，并及時產生告警通知，讓客戶第一時間掌握事件的發生和事件的具體細節，客戶可以進行快速處理，盡可能的減少損失。
?
通過事前評估規劃、事中異常檢測、事后審計追溯構建一體化數據安全防護機制。
?
?
四、從公司的管理策略和外部合規角度考慮
?
?
作為一套互聯網線上系統，在管理上核心KPI決定了整套機制的運轉。在線系統的管理核心要從機制、人員為核心，以技術手段為佐證來構建整個系統的安全穩定運營機制。
?
首先，落實等保合規或PCI合規等一系列規范。制度建設和執行能從根本上解決對個人及技術的依賴。
?
其次，流程規范以及敬畏之心。在SaaS系統管理過程中，“研發不碰生產”、“動生產先風評、先做回退方案，再走審批和團隊待崗”應成為標準執行動作。
?
最后，以技術手段以客觀數據為主要依據。安全涉及信息內容安全以及系統運行安全兩個層面的話題，本質來講無論是托管還是自營都必須要解決這兩個層面的問題。
?
安恒信息長期運營SaaS服務平臺，整個平臺的安全涉及方方面面，從災備到權限，再到內容安全，用戶隱私，生產變更等多個環節。通過規范管理制度、生產系統敬畏之心、以技術手段生成的客觀數據落實管理制度來確保核心業務安全。
?
SaaS平臺運維穩定是基石、制度是核心、技術是客觀依據。
?
（本文觀點整合自：安恒“圓桌派”第二期）
?
每個行業、每個不同用戶，因業務系統安全性及全線控制、網絡環境、安全防護體系、內部管理制度等諸多方面的差異，數據安全防護方案又有諸多不同，安全防護體系的建設需要根據不同的用戶情況。
?
安恒信息深耕網絡安全多年，針對金融、互聯網、運營商、稅務、公積金等有非常詳細的防護方案，有相關數據安全防護需求的單位可通過聯系當地銷售人員獲取。
