教育行业数据库安全应用指南-k8凯发天生赢家

一.  现状

近年在国内，教育行业已经发生多起数据库泄露事件，案件相关人员隐私权益遭到严重损害，教育相关单位的声誉受到严重挑战。

据安全值针对教育行业中4477家数据库情况的统计，发现有515家的数据库直接暴露在互联网中。教育行业使用的数据库种类繁杂，版本多样。但大部分都是存在明显漏洞的旧版数据库。甚至其中有部分mongodb数据库并未设置账号密码验证。黑客可以无需经过身份验证，入侵数据、盗取数据甚至控制数据库。

二.  数据库安全威胁

为了防范这些重大k8凯发天生赢家事故的发生，目前很多教育单位已经从技术和管理上采取了对应的措施，当前的解决办法主要是在技术上对数据库访问路径和数据库本身进行安全加固，但是在数据库安全防护方面依然存在一些不足。

2.1  数据库安全现状不清

教育单位的数据库应用类型比较复杂，对于数据库中存在的数据库安全问题，如：默认管理员账号、弱口令、默认安全策略、缺省配置，宽泛权限等，更多是依靠数据库管理人员自身经验，或者主机漏洞扫描工具进行数据库的安全检查和评估。这几种方式有着自身的不足之处：

1、人工检查需要数据库管理人员具备丰富的数据库安全经验并且需要消耗大量时间。

2、人工检查缺少对数据库整体安全情况评估，不能确定哪些数据库是否安全，那些数据库面临那些严重危害问题。同时，也容易忽略重要安全隐患和不正确的安全配置，从而导致弱口令、补丁未更新等脆弱点被威胁利用。

3、传统的漏洞扫描器与专业的数据库漏洞扫描工具相比，数据库类型、检测项、检测的细粒度都存在不足。

2.2  防护手段薄弱

当前，教育行业相关单位主要的防护手段，依然是依靠传统的网络防火墙、入侵防御等相关设备进行安全防护，并在网络各区域实施访问控制策略。但是，这些网络防火墙和入侵防御设备在对数据库进行防护时存在不足。

2.3  数据库漏洞防御能力低

尽管，教育行业相关单位内已经有很多主机、软件等防范措施，而真正处于核心层的敏感数据载体——数据库的漏洞防御能力较低，抗攻击能力严重不足，黑客利用web应用漏洞，进行sql注入，或以web应用服务器为跳板，利用数据库自身漏洞进行攻击和侵入。

2.4  互联网渗透威胁

黑客通过互联网针对教育行业的公共服务系统数据库进行攻击，从而非法入侵教育行业数据库系统，恶意拷贝、删除系统数据，进行有目的的敏感信息破坏行为。

2.5  数据库访问行为管控不严

对教育行业内部网络来讲，数据库运维管理员等合法人员的行为值得关注。因为，合法人员的依然存在针对核心数据库进行违规操作的安全隐患，例如：非授权访问敏感数据、非工作时间访问核心业务表、非工作场所访问数据库、运维误操作、（delete、update）高危指令的操作等等行为，都可能存在着重大安全隐患。

2.6  数据明文存储

随着教育行业信息化程度的提高，大量机密敏感数据集中存储在数据库系统中，比如学籍信息、教师信息、成绩信息等，由于这些信息都是明文存储在数据库中，这将显著加剧敏感数据批量泄露风险。

数据明文存储的威胁主要体现在数据篡改、数据窃取两方面。

三.  数据库安全应用方案

根据教育行业数据库的安全现状，教育单位应针对数据库的安全建立防护机制，根据数据库使用的“事前、事中、事后”三个层面，建立“检查预警、主动防御、底线防守、事后追查”的纵深防护思路，以解决数据库所面临的复杂的问题。

纵深防御思路

3.1  检查预警

教育单位应对业务系统数据库进行综合安全风险评估，通过产品提供有价值的修复建议，为教育单位数据库系统的安全基线提升提供整体有效的参考。

3.2  主动防御

教育单位应通过、数据库安全运维的运维管控技术对数据库进行主动防御。主动防御的具体技术措施如下：

1）执行细粒度访问控制措施

首先，教育单位的业务系统数据库应仅接受可信人员和应用发起的访问请求，来从根源上彻底杜绝第三方人员、内部人员的非授权行为，并以此减小被攻击面。

其次，教育单位应建立主动防御安全威胁的措施，通过数据库防火墙的sql攻击防护、虚拟补丁等功能，防范针对数据库sql注入和漏洞攻击行为。 

2）规范化运维管控

教育单位应改善传统管理模式，针对数据库运维建立规范的运维流程，包括事前审批，事中控制，事后记录操作信息，实现全运维流程的管理，实现高校运维规范性。

在教育单位规范化运维管控中，可以使用系统对数据库运维的行为进行审批管控。做到只有提交运维申请并指定运维的时间、对象、操作内容进行审批后方可操作。

3.3  底线防守

教育局、教育服务部门、高校应将存储在数据库中的教务信息、学籍信息等敏感信息使用数据库加密产品进行加密存储，防止此类的敏感信息被解析为明文从而造成泄密安全事件。

3.4  事后追查

运用技术对数据库协议进行精确识别，记录和回放针对统计数据库的攻击行为、篡改行为、泄密行为、误操作等行为，为事后追溯定责提供准确依据，同时对上述行为应进行邮件、短信、等多种报警方式。

四.  数据库安全应用感言

 “一直以来单位里存在多位运维人员共享一个登录账号的情况，通过部署安华金和数据库安全运维系统和数据库防火墙系统，对ip分区，禁止通过ip直接访问数据库的行为，有效落实应用端和运维端登录ip分区，合理规划网络环境；给每一位运维人员分配唯一登录账号，划分账号权限，提高监管能力；对运维行为进行事前审批，事中管控和事后审计，实现全运维流程的管理，提高规范性；通过数据库防火墙的sql攻击防护、虚拟补丁等功能，有效防范针对数据库sql注入和攻击行为。”

――某教育机构信息中心负责人