保障入口與訪問者的數(shù)據(jù)安全

2018年高考前夕，鋪天蓋地的是考生和考生家長的緊張，在這看得見的緊張的背后，看不見的是相關(guān)教育部門開展的完善的安全督查，各地自查、督查組抽查，力求為全國考生營造公平公正的安全考試環(huán)境。其中網(wǎng)絡(luò)信息安全的檢查是之中重要環(huán)節(jié)之一。考生和考生家長隨著考試結(jié)束而解放，考生信息安全保護(hù)卻還在繼續(xù)，甚至檢查更為嚴(yán)格。網(wǎng)絡(luò)信息安全檢查的重點是：計算機系統(tǒng)和數(shù)據(jù)安全防護(hù)以及其他相關(guān)安全保障措施落實情況，目的是嚴(yán)防考生信息泄露。

距離網(wǎng)絡(luò)安全法發(fā)布已經(jīng)一年了，網(wǎng)絡(luò)安全法第四十條、四十二條第二款明確規(guī)定了網(wǎng)絡(luò)運營者對個人信息或者說用戶信息有保密、保證信息不被泄露、毀損與丟失的責(zé)任。但近一年來，雖然用戶信息保護(hù)制度一直在健全完善中，但數(shù)據(jù)泄露事件依然不時地發(fā)生。

高考已經(jīng)過去，但是對考生信息的保護(hù)卻絲毫不能放松，個人信息安全保護(hù)容不得半點松懈。對目前個人信息泄露的案例進(jìn)行分析，數(shù)據(jù)庫中的信息泄露大多是外部人員或內(nèi)部人員竊取所致。

針對這兩種情況，其實等級保護(hù)安全設(shè)計已經(jīng)給出了考慮，我們需要做的是嚴(yán)格按照等級保護(hù)安全設(shè)計要求運行與維護(hù)。

觀察網(wǎng)絡(luò)安全法實施一年來的變化，可以發(fā)現(xiàn)，各單位都主動或被動的進(jìn)行了等級保護(hù)測評，并去公安部門進(jìn)行了備案，但被公安機關(guān)、單位、管理人員和大眾普遍忽略的一點是：備案僅僅是開始，還遠(yuǎn)遠(yuǎn)沒有結(jié)束，也永遠(yuǎn)不會結(jié)束。在此基礎(chǔ)上的持續(xù)整改、安全運行與維護(hù)才是根本。

跟蹤等級保護(hù)測評過程，各單位普遍存在這樣的情況：等級保護(hù)中一些重要的、有意義的安全設(shè)計，網(wǎng)絡(luò)管理人員為了自身維護(hù)管理方便直接棄之不用。

本文就從最典型的入口與訪問者角度，談一下現(xiàn)存較為普遍的、保障數(shù)據(jù)安全必須要更改完善的幾個問題，并針對對應(yīng)問題給出修正建議與解決方案。

訪問者管理

1.用戶身份與權(quán)限管理

以最明顯也是最普遍的是對交換機的訪問為例來說明，特別是對核心交換機的訪問。

一般而言，管理交換機的用戶有幾類：正式的網(wǎng)絡(luò)運維人員、廠商的駐場或遠(yuǎn)程技術(shù)支持人員、臨時的操作人員。按等級保護(hù)制度的要求，不同的用戶（而不是不同類）登錄關(guān)鍵設(shè)備，應(yīng)該是不同賬號對應(yīng)不同權(quán)限、訪問者只擁有必要的權(quán)限。

但在實際的管理中，所有人員都使用admin賬號的現(xiàn)象非常普遍，權(quán)限毫無疑問是最高的管理員權(quán)限，可以進(jìn)行任何操作，這種對賬號、權(quán)限不進(jìn)行任何區(qū)分的方式對數(shù)據(jù)的保護(hù)無疑是非常不利的。

針對這個問題，大連理工大學(xué)的方案還是值得借鑒的，比如廠商的所有操作都只能在確定的某一臺機器上進(jìn)行操作修改，對該機器進(jìn)行完全監(jiān)控：錄屏、操作記錄存檔、操作者出入進(jìn)行視頻錄像等，不僅可以保證關(guān)鍵設(shè)備的操作有據(jù)可查、無法抵賴，而且在一定程度上可以威懾意圖竊取信息的訪問者。

但上面的方法只對外部竊取人員有用。內(nèi)部人員都是在單位內(nèi)部計算機上直接遠(yuǎn)程登錄并進(jìn)行操作，執(zhí)行類似上述錄屏、視頻錄像等安全措施明顯是不合適也做不到的。

因此，對內(nèi)部人員的防范還是要針對每個運維人員區(qū)分賬號、密碼和權(quán)限，這才是根本。

2.密碼管理

依然用對交換機訪問的例子，以一個普通院校為例，交換機臺數(shù)動輒幾十上百甚至上千。為每一個交換機配置不同的用戶名、密碼的管理難度可想而知；對于網(wǎng)絡(luò)運維人員，每日登錄交換機的次數(shù)多、操作頻繁，每次都要過幾次認(rèn)證才能進(jìn)行操作，無疑是一種工作負(fù)擔(dān)。于是無密碼登錄、弱口令登錄、單因素認(rèn)證等的普遍存在也就不難理解了。

實際上根據(jù)等保要求，不僅要求是強口令，而且對密碼的更改期限也有一定限制，比如根據(jù)設(shè)備重要性程度不同，強制要求一個月更改一次密碼，三個月或者半年密碼不允許重復(fù)等。

最近頻繁出現(xiàn)郵箱平臺用戶密碼泄露事件，廣大管理人員應(yīng)從安全事件中汲取教訓(xùn)：關(guān)鍵設(shè)備復(fù)用密碼、密碼組合規(guī)律性太強或者更換頻率較低等都是極其危險的，必須養(yǎng)成定期修改密碼、堅決不復(fù)用密碼的安全習(xí)慣。

同理，面對龐大的服務(wù)器群、海量的軟件系統(tǒng)，遠(yuǎn)程登錄服務(wù)器的方式包括用戶名、密碼、無操作時限等各方面也存在同樣問題。

訪問途徑管理

對于結(jié)構(gòu)化數(shù)據(jù)與部分非結(jié)構(gòu)化數(shù)據(jù)，數(shù)據(jù)庫是他們最終的存放地，因此數(shù)據(jù)庫的重要性不言而喻。要獲取數(shù)據(jù)只有兩個途徑：直接訪問數(shù)據(jù)庫，經(jīng)由軟件系統(tǒng)訪問數(shù)據(jù)庫。不論哪種方式，終點都是對數(shù)據(jù)庫的訪問。

經(jīng)由軟件系統(tǒng)訪問數(shù)據(jù)庫的方式，除了對系統(tǒng)用戶名密碼的分配外，還需要特別關(guān)注權(quán)限。曾經(jīng)某地政府部門網(wǎng)站發(fā)生越權(quán)漏洞，任何訪問者登錄該網(wǎng)站注冊任意賬號后可以給任意角色分配權(quán)限，成為“管理員”，并可以對系統(tǒng)的個人信息數(shù)據(jù)進(jìn)行查看與篡改，該漏洞被攻擊者利用，造成了非常惡劣的影響。

實際上這種問題只要通過進(jìn)行一般的測試就可以避免，軟件系統(tǒng)上線前對訪問者的權(quán)限測試是必須的也是基本的。

直接訪問數(shù)據(jù)庫是指直接登錄到服務(wù)器上打開DBMS，這是極其危險的操作，而這部分恰恰是管理人員經(jīng)常忽略的危險區(qū)。

一般而言一個軟件誕生與成長的流程是這樣的：單位購買軟件系統(tǒng)與服務(wù)器，提供軟件系統(tǒng)所需的原始數(shù)據(jù)，然后全權(quán)委托廠商或代理商去安裝部署，最后交付給單位的是系統(tǒng)登錄用戶名與密碼，軟件操作與功能說明文檔。而很少告知關(guān)于數(shù)據(jù)庫、日志等部署或維護(hù)細(xì)節(jié)。根本原因當(dāng)然是單位并不關(guān)心這些“關(guān)鍵的”細(xì)節(jié)，甚至都不清楚數(shù)據(jù)庫與日志的存在。對單位而言，他更關(guān)心的是軟件的使用說明文檔與項目驗收與通過與否；對部署工程師而言，數(shù)據(jù)庫是屬于“后臺”，用戶只需要知道如何使用系統(tǒng)即可，不用關(guān)心“后臺”的部署。

這種現(xiàn)狀產(chǎn)生的另一個重要原因是購買的軟件系統(tǒng)一般是有維保期的，在維保期內(nèi)系統(tǒng)發(fā)生任何問題都是由廠商或代理商的工程師去處理，比如當(dāng)初部署軟件的工程師。在這種情況下，為了后期維護(hù)方便，部署工程師不為數(shù)據(jù)庫設(shè)置密碼或者使用通用用戶名與密碼也就不難理解了。

然而，從系統(tǒng)安全角度來講，數(shù)據(jù)庫作為數(shù)據(jù)的倉庫，是最后一道防線，應(yīng)該引起足夠的重視，對它進(jìn)行任何程度的保護(hù)都不為過。正確的做法應(yīng)該是根據(jù)不同的用戶級，訪問權(quán)限與操作權(quán)限包括創(chuàng)建、讀、寫、修改、刪除等，細(xì)化到表級，甚至細(xì)化到記錄或者字段級。

設(shè)立數(shù)據(jù)保護(hù)官

隨著東航任命公司總法律顧問為公司“數(shù)據(jù)保護(hù)官”的“創(chuàng)舉”，個人信息安全的保護(hù)措施被提到新的高度。實際上“數(shù)據(jù)保護(hù)官”并不是一個新的概念，網(wǎng)絡(luò)安全法第二十一條、第三十四條明確規(guī)定要設(shè)置專門安全管理機構(gòu)和安全管理負(fù)責(zé)人。在等保測評管理部分的安全管理機構(gòu)中“人員配備”明確要求應(yīng)配備專職安全管理員，不可兼任。

不管是訪問者管理還是訪問途徑管理，要保證入口與訪問者這一關(guān)的絕對安全，“數(shù)據(jù)保護(hù)官”的設(shè)立是必須的。因為這是一個持久而彌新的過程，需要專人專責(zé)，持續(xù)的不間斷的運行維護(hù)，否則就是一句空話。

不論是大量的網(wǎng)絡(luò)交換設(shè)備、服務(wù)設(shè)備、軟件系統(tǒng)，或者是同等甚至翻倍數(shù)量級的數(shù)據(jù)庫，即使單單從入口與訪問者這冰山一角考量，需要涉及的人員類別與細(xì)化、權(quán)限等級與分配、密碼更新與保存等工作量就不是簡單輕松的管理二字可以概括的。

結(jié)語

網(wǎng)絡(luò)安全法的亮點之一是將數(shù)據(jù)安全寫入法律，關(guān)于個人信息保護(hù)，很多公司與單位都從技術(shù)角度進(jìn)行檢測、防御，這樣在很大程度上讓管理員誤認(rèn)為保障數(shù)據(jù)安全只是技術(shù)公司的事情。

鮮有文獻(xiàn)從管理者角度剖析，如何對入口與訪問者把關(guān)。誠然，目前有非常多的技術(shù)手段可以幫助我們提高數(shù)據(jù)的安全行與系統(tǒng)的健壯性，有越來越完善的法律法規(guī)監(jiān)督單位完善安全設(shè)施。但“三分技術(shù)、七分管理”，再先進(jìn)的技術(shù)沒有管理人員的有效使用與也是枉然。

本文正是從這個角度出發(fā)，探討如何通過加強入口與訪問者管理為數(shù)據(jù)安全增加一道屏障。