数据库防水坝系统-中国—东盟信息港股份有限公司官网

关于我们

数字化赋能专家数字丝路引领者

了解更多

数字丝绸之路

习近平主席：愿与东盟国家一道建设中国—东盟信息港，推动数字互联互通，打造“数字丝绸之路”。

了解更多

生态合作

携手共建中国—东盟数字经济全方位产业生态圈

了解更多

生态合作平台

以“共建、共创、共享”的理念，搭建上线了中国东信生态合作平台，全方位、立体化链接渠道销售、产品技术及服务支撑等合作伙伴，为合作伙伴提供云端支持服务、加强双方合作链接，实现优势互补、资源共享、合作共赢

招标采购

为潜在合作伙伴提供全方面的信息渠道，实现信息共享、合作共赢

了解更多

招标采购平台

中国东信始终坚持以“公平、公开、公正”的原则，搭建上线了中国东信数字化采购平台，将采购信息、中标信息进行集中整合，为潜在合作伙伴提供全方面的信息渠道，实现信息共享、合作共赢的局面。

诚聘英才

寻找有梦想的你，共创美好未来

了解更多

客户痛点

数据库合规准入

目前数据库管理方式通常是账号密码登陆，在这种场景下，存在账号密码被盗、共享账户、临时账号、登陆工具可能被恶意篡改等等问题，导致重要数据泄漏、删库、数据被篡改等事件发生，且事后难以定位责任人。针对以上问题，需要有效的准入方法，对接入数据库的人员进行有效的身份识别和认证，放行合法用户，拒绝非法接入。同时结合有效的识别手段，将数据库登陆及管理行为与具体人员相关联，便于定位数据库登陆及管理行为的主体。
各类权限管理需求

运维管控中权限管理往往极其复杂，数据库特权账号具有较高的权限，权限高意味着风险高。为避免运维过程出现敏感数据泄露、数据高危操作等事件，数据库的特权账户应与敏感数据相隔离，并且将特权账户权限分离。同时加强内部数据库管理员、开发人员、测试人员、系统维护人员、业务数据维护员、网络管理员及第三方运维人员等的权限管理，避免权限滥用，确保权限合法使用。
访问控制需求

调研发现，企业对数据库管理人员、第三方运维人员等的管理方式大多为粗放式管理，缺少统一的运维操作策略。通用的堡垒机管理数据库更多是基于身份层面的准入识别，而对于登陆数据库后的所有操作（如新增、修改、删除等）是无法控制管理。
实时监控及告警需求

业务系统运行期间需实时监控数据库安全，如若数据库出现违规或非法事件，应第一时间进行告警，提示管理人员进行处理。用户可以制定告警策略，并输出相应报告，保证实时监控数据库运行情况。

产品介绍

数据库防水坝系统主要解决当前运维环境下复杂的权限管控问题，从源头上对运维人员和业务人员进行分离管控，采用多维度的安全认证方式，如对业务系统的终端认证，对sqlplus、Toad等常见运维工具的识别认证，保证运维来源的可信、可控。系统针对不同级别的DBA数据库权限进行分类，Schema级别的敏感数据分类，权限粒度细化到表格级别，对数据库的敏感信息进行分类从而保障用户数据资产的安全。系统主要由访问控制模块、数据库解析模块、防篡改模块、合规审计模块等几大核心模块组成。

产品亮点

1、敏感数据分类分级
清楚保护目标才能落实安全保护措施，数据安全和运维安全需要重点关注1%~10%的敏感数据，必须把敏感数据从普通业务数据中识别出来并进行独立管理。敏感数据分类是数据安全和运维安全的基础性工作，也是重点工作，数据库防水坝系统通过以下三个方面进行数据分级分类：
● 以表格为基础的敏感数据分类：支持自定义敏感表格组成敏感数据集合，方便管理。
● Schema级别的敏感数据分类：支持Schema级别所有表格形成敏感数据集合，自动管理敏感数据表格的生成、变更和消亡，简化敏感数据管理。
● 以业务为单元的敏感数据分类：敏感数据集合作为一个独立于数据库之外的访问控制单元，按照应用程序进行归类，合法应用程序可以自动访问敏感数据。

2、多维度准入控制
数据库防水坝系统对于接入数据库的行为提供多维度的监控，包括身份管理、应用防假冒、防撞库、直连控制和免密登陆等。身份管理通过应用程序名、IP地址、主机名、操作系统账户、数据库账户、数据库实例名、时间、U盾等因素进行任意组合，形成新的登陆认证规则，同时支持签名登陆验证和数字证书认证方式，符合规则予以准入，反之则阻断；对于应用防假冒，防水坝能够识别真实应用特征，防止人为恶意将其他的应用改成业务系统应用，假冒应用访问数据库，进行非法操作；对于撞库攻击，数据库防水坝系统可建立用户信息白名单，通过限制同一个IP的请求次数和请求频率来防止；对于直连控制，在反向代理部署模式下，可对直连数据库的行为进行控制；防水坝系统可通过安全客户端免密登录数据库，避免密码泄露。数据库防水坝系统整体将系统管理员、数据库管理员、第三方代维人员和运维开发人员等的身份进行统一管理，隔离敏感数据，使运维操作更加规范、透明、可控，构建多维度数据库接入认证体系。

3、高危性操作防护
数据库存在众多特权账号，如系统管理员、数据库管理员、开发人员等，可执行DDL、DML、代码类的高危操作，并存在误操作的可能。为解决此类问题，结合防水坝系统访问控制功能，执行delete、update等高风险操作时要求携带where条件，只有符合要求才可进行操作，降低员工误操作的可能性。

4、全面运维审计
数据库防水坝系统提供全面的运维审计功能，可对数据库查询、新增、修改、删除等行为进行监控，可对审计事件进行搜索、管理，审计结果能够锁定操作终端，可基于单个会话进行事件回溯，符合等保三级的核心要求，符合《网络安全法》、《数据安全法》、《个人信息保护法》等对个人隐私数据信息的保护要求，符合GDPR、GLBA、CCPA等法案要求。保护敏感数据资产的安全审计，为运维管理提供极大的便利。

5、实时安全风险感知
为更加直观、可视的监控数据库整体的运行情况，防水坝提供数据库安全实时风险感知平台，实时展示数据库的安全情况，出现风险时可快速定位当前被攻击的数据库及发起攻击的客户端，同时对注入攻击、漏洞攻击、敏感访问、系统运行、流量等进行24小时实时监控，让数据库更安全，让运维更轻松。

6、敏感数据访问控制
为保证敏感数据安全使用，数据库防水坝系统提供敏感数据访问控制。需要授权才能访问敏感数据集合，拒绝不具备访问权限的操作。敏感数据集合支持设置访问规则，访问规则中可设定精细化的访问因子，如应用程序名、IP地址、操作系统账户、数据库实例名、时间、U盾等条件，满足条件方可访问敏感数据集合。同时支持限制特定的JOB作业访问敏感数据集合，或设置特定的JOB作业才可以访问敏感数据集合，多方面控制敏感数据的访问，有效防止敏感数据泄漏。

7、工作流临时授权
日常运维中经常会出现未授权访问，或临时需要访问，为解决临时授权访问问题，数据库防水坝系统设计工作流功能。未授权用户操作数据库前，需要通过工作流提交工单，将需要进行的操作一并提交，审批获得权限即可进行后续操作。工作流包括流程管理和权限管理：
流程管理：工单录入、工单查看、流程提交、审批管理、实时跟踪、统计报表等。
权限管理：脚本上传、SQL语句执行确认、提权确认、权限回收等。

应用场景

以下为数据库防水坝系统适用场景：

共享账户导致的责权不明问题
大权限账户导致的数据泄露、数据丢失问题
安全管理合规问题
假冒应用访问数据库
撞库攻击
窃取备份数据
通过JOB访问敏感数据
恶意代码如勒索攻击

典型案例

电网数据库防水坝案例

客户价值：
市电力公司隶属国家电网公司，负责全市电网规划、建设和运营，承担保障能源安全，为经济社会发展提供安全、可靠、优质电力供应的任务。公司供电面积1.18万平方公里，供电营业户数超过470万户，供电服务人口超过1200万人。

需求背景：
● 核心系统使用人员多
核心系统有大量的运维、研发等人员使用，核心数据库使用人员较大，存在安全风险。
● 核心数据库缺少准入机制
核心数据库统一采用数据库默认认证方式，核心数据库密码传播较广，存在安全风险。
● 敏感数据无防篡改机制
核心系统存在大量的敏感数据，一旦这些数据遭到篡改，将带来严重的损失。
● 符合相关法律法规要求
需要满足《网络安全法》、《数据安全法》、等保2.0等相关要求。

解决方案：
● 数据库防水坝将以旁路的方式部署在核心网中。
● 数据库防水坝通过反向代理的模式接管核心数据库的运维流量。
● 在核心交换机上配置ACL策略，禁止用户直接访问核心数据库。
● 数据库防水坝具有多因子认证功能，并能够实现列级访问控制、动态脱敏等功能。
● 用户通过工单流实现权限的发放与回收。

客户价值：
● 多维度安全访问控制和授权管理，解决运维过程存在的账户共享、临时账号、账号管理混乱、运维操作不透明等数据安全问题。
● 对核心生产库的重要敏感数据进行动态脱敏，实现敏感资产数据和非敏感数据的分离，防止运维人员非法访问敏感数据。
● 智能化报表与告警订阅，利于把控数据库运维的整体安全态势。
● 满足安全合规审计要求，保护敏感数据资产的安全审计。