2月25日，微盟集團發(fā)布的一則公告引起輿論熱議。微盟的生產(chǎn)環(huán)境及數(shù)據(jù)遭遇其員工人為“惡意破壞”。該員工因個人精神、生活等原因，通過個人VPN登入公司內(nèi)網(wǎng)跳板機，對微盟線上生產(chǎn)系統(tǒng)環(huán)境進行了大肆破壞，導(dǎo)致系統(tǒng)中斷7天，生產(chǎn)環(huán)境服務(wù)器出現(xiàn)故障，大量用戶數(shù)據(jù)被刪除。

?

微盟事件，再次證明了，在數(shù)字化轉(zhuǎn)型過程中，安全已經(jīng)不是附屬品，是企業(yè)生存和發(fā)展的關(guān)鍵要素。

?

正所謂外行看熱鬧，內(nèi)行看門道。本文依據(jù)運維安全、數(shù)據(jù)安全、SaaS服務(wù)等關(guān)鍵因素，從技術(shù)的角度“庖丁解?！?，解析事件的始末。

?

?

一、對數(shù)據(jù)安全防護不夠重視成根本原因

?

?

事件本質(zhì)上暴露出對數(shù)據(jù)安全防護還未成體系、對數(shù)據(jù)安全防護不夠重視、認識不充分等問題。

?

事態(tài)進一步惡化，體現(xiàn)出事中缺乏有效控制手段，運維過程訪問控制上不夠精細化，核心關(guān)鍵數(shù)據(jù)在內(nèi)控上允許系統(tǒng)運維人員可以隨意操作，暴露出在運維管理上最大的風(fēng)險隱患。

?

同時，微盟沒有做業(yè)務(wù)的雙活，關(guān)鍵數(shù)據(jù)沒有冷備份，導(dǎo)致恢復(fù)數(shù)據(jù)時間超過6小時，恢復(fù)生產(chǎn)時間超過8天。

?

?

二、通過技術(shù)手段處理本次事件

?

?

從微盟官網(wǎng)的賠付計劃中公開的后續(xù)數(shù)據(jù)安全保護措施中：

?

微盟后續(xù)通過堡壘機“進行細粒度權(quán)限分級和授權(quán)管理，同時嚴格審計堡壘機操作日志”，達到事中的精細化控制，和事后的追溯審計取證。

?

不難發(fā)現(xiàn)，通過堡壘機可以實現(xiàn)技術(shù)上對數(shù)據(jù)的有效保護。數(shù)據(jù)安全防護本質(zhì)上是一個系統(tǒng)工程，沒有單一的產(chǎn)品可以保證數(shù)據(jù)絕對安全，每個不同的產(chǎn)品解決的是不同層面的數(shù)據(jù)安全風(fēng)險隱患。

?

數(shù)據(jù)安全防護必須從整體上規(guī)劃，充分認識自身的數(shù)據(jù)安全防護的目標及側(cè)重點，仔細評估各種方案的優(yōu)劣勢，從管理和技術(shù)兩個方面相結(jié)合、從關(guān)鍵處著手、從細節(jié)處逐步落實，才能有效保護企業(yè)核心數(shù)據(jù)的足夠安全。

?

如何做好數(shù)據(jù)安全防護：

?

1、從威脅的結(jié)果來看，一般分為數(shù)據(jù)泄露、數(shù)據(jù)篡改、數(shù)據(jù)刪除三種，其中數(shù)據(jù)刪除和數(shù)據(jù)篡改影響最為嚴重，因其改變了數(shù)據(jù)的完整性，而數(shù)據(jù)泄露只是改變了數(shù)據(jù)的機密性。

?

2、從威脅的人員來看，既有外部的黑客，又有內(nèi)部合法的系統(tǒng)運維人員、數(shù)據(jù)庫管理員、開發(fā)人員、業(yè)務(wù)系統(tǒng)維護人員、第三方開發(fā)維護人員等等，每個人對數(shù)據(jù)操作的權(quán)限不一樣，影響范圍也是不盡相同。

?

從人員數(shù)據(jù)安全防護角度更多的是事中對人員權(quán)限的精細化的訪問控制，針對每個威脅人員防護的方案和側(cè)重點即可不同。從威脅人員評估是數(shù)據(jù)安全防護方案設(shè)計時一大關(guān)注點，優(yōu)點是防護重點明確，手段靈活有效。

?

3、從防護對象來看，從數(shù)據(jù)庫端、運維端、應(yīng)用端、備份端采取不同的措施進行保護，如運維端可以采用堡壘機進行權(quán)限細粒度控制和數(shù)據(jù)的上傳下載，確保運維環(huán)節(jié)細粒度。

?

4、從安全防護體系來看，數(shù)據(jù)安全又分事前數(shù)據(jù)安全檢測評估及態(tài)勢感知、事中訪問控制、事后的審計追溯取證，每個環(huán)節(jié)緊密有機構(gòu)成數(shù)據(jù)安全防護的整個體系，針對客戶情況建立體系化的數(shù)據(jù)安全防護，讓數(shù)據(jù)安全風(fēng)險降到最低。

?

數(shù)據(jù)安全防護是個系統(tǒng)工程，需要結(jié)合自身的企業(yè)信息化情況建設(shè)現(xiàn)狀及特點，整體評估規(guī)劃制定適合企業(yè)自身的數(shù)據(jù)安全防護方案。

?

網(wǎng)絡(luò)安全需要具體問題具體分析，數(shù)據(jù)安全防護還需要從數(shù)據(jù)全生命周期、管理策略以及外部合規(guī)的角度出發(fā)。

?

?

三、從數(shù)據(jù)全生命周期的管理角度看

?

?

數(shù)據(jù)庫通常對外有兩個暴露面，一是通過應(yīng)用系統(tǒng)暴露給外部，二是暴露給內(nèi)部的運維人員、開發(fā)人員。根據(jù)IBM的研究數(shù)據(jù)，有70%的數(shù)據(jù)安全事件是由內(nèi)部人員造成的，微盟事件也恰巧由于運維人員的惡意操作導(dǎo)致的。針對于微盟的內(nèi)部人員刪庫事件，可以從事前評估規(guī)劃、事中異常檢查、事后審計追溯等三個方面入手。

?

1. 事前評估規(guī)劃：數(shù)據(jù)是企業(yè)的核心資產(chǎn)，數(shù)據(jù)庫是數(shù)據(jù)的重要載體，要做好數(shù)據(jù)庫系統(tǒng)的高可用，除此之外還要做到生產(chǎn)系統(tǒng)的雙活和數(shù)據(jù)的異地冷備份，以防發(fā)生類似事件時可以快速恢復(fù)生產(chǎn)。

?

通過人員權(quán)限的分級分類和數(shù)據(jù)的分級分類，將人員的分級分類和數(shù)據(jù)的分級分類關(guān)聯(lián)起來，按照職責(zé)匹配權(quán)限，避免出現(xiàn)越權(quán)訪問和操作的問題。

?

2. 事中異常檢測：及時的察覺和阻斷正在發(fā)生的異常訪問和操作，針對于數(shù)據(jù)庫操作的異常檢測可以通過數(shù)據(jù)庫防火墻來防護，通過數(shù)據(jù)庫防火墻產(chǎn)品有效識別對數(shù)據(jù)庫的惡意訪問和操作，一旦發(fā)現(xiàn)重大危害，進行及時阻斷。如果在微盟的數(shù)據(jù)庫防護系統(tǒng)中有部署數(shù)據(jù)庫防火墻產(chǎn)品，那么也完全可以避免這次事件的發(fā)生。

?

3. 事后審計追溯：當(dāng)事件已發(fā)生，此時最重要的就是盡可能的早知道、早處理，盡可能的減少損失。數(shù)據(jù)庫審計和數(shù)據(jù)庫防火墻一樣可以捕獲對數(shù)據(jù)庫的惡意訪問和操作，并及時產(chǎn)生告警通知，讓客戶第一時間掌握事件的發(fā)生和事件的具體細節(jié)，客戶可以進行快速處理，盡可能的減少損失。

?

通過事前評估規(guī)劃、事中異常檢測、事后審計追溯構(gòu)建一體化數(shù)據(jù)安全防護機制。

?

?

四、從公司的管理策略和外部合規(guī)角度考慮

?

?

作為一套互聯(lián)網(wǎng)線上系統(tǒng)，在管理上核心KPI決定了整套機制的運轉(zhuǎn)。在線系統(tǒng)的管理核心要從機制、人員為核心，以技術(shù)手段為佐證來構(gòu)建整個系統(tǒng)的安全穩(wěn)定運營機制。

?

首先，落實等保合規(guī)或PCI合規(guī)等一系列規(guī)范。制度建設(shè)和執(zhí)行能從根本上解決對個人及技術(shù)的依賴。

?

其次，流程規(guī)范以及敬畏之心。在SaaS系統(tǒng)管理過程中，“研發(fā)不碰生產(chǎn)”、“動生產(chǎn)先風(fēng)評、先做回退方案，再走審批和團隊待崗”應(yīng)成為標準執(zhí)行動作。

?

最后，以技術(shù)手段以客觀數(shù)據(jù)為主要依據(jù)。安全涉及信息內(nèi)容安全以及系統(tǒng)運行安全兩個層面的話題，本質(zhì)來講無論是托管還是自營都必須要解決這兩個層面的問題。

?

安恒信息長期運營SaaS服務(wù)平臺，整個平臺的安全涉及方方面面，從災(zāi)備到權(quán)限，再到內(nèi)容安全，用戶隱私，生產(chǎn)變更等多個環(huán)節(jié)。通過規(guī)范管理制度、生產(chǎn)系統(tǒng)敬畏之心、以技術(shù)手段生成的客觀數(shù)據(jù)落實管理制度來確保核心業(yè)務(wù)安全。

?

SaaS平臺運維穩(wěn)定是基石、制度是核心、技術(shù)是客觀依據(jù)。

?

（本文觀點整合自：安恒“圓桌派”第二期）
?

每個行業(yè)、每個不同用戶，因業(yè)務(wù)系統(tǒng)安全性及全線控制、網(wǎng)絡(luò)環(huán)境、安全防護體系、內(nèi)部管理制度等諸多方面的差異，數(shù)據(jù)安全防護方案又有諸多不同，安全防護體系的建設(shè)需要根據(jù)不同的用戶情況。

?

安恒信息深耕網(wǎng)絡(luò)安全多年，針對金融、互聯(lián)網(wǎng)、運營商、稅務(wù)、公積金等有非常詳細的防護方案，有相關(guān)數(shù)據(jù)安全防護需求的單位可通過聯(lián)系當(dāng)?shù)劁N售人員獲取。