數據庫安全能(néng)力内容——安全準入控制矩陣模型構建與實踐
發布時間:
2019.08.05 | 來源:
帕拉迪
随著(zhe)企業(yè)的業(yè)務規模不斷擴大,信息化建設和網絡安全性工(gōng)作的複雜(zá)性越來越高(gāo),安全部門(mén)工(gōng)作的範圍更廣,企業(yè)的安全保障必須及時匹配業(yè)務的發展。
在企業(yè)數據的高(gāo)利益誘惑下(xià),不斷先進的武器(qì)化攻擊方法使得攻擊情報(bào)的收集更加便利也更加難以捕捉。面臨越來越多(duō)的威脅狀況,傳統終端安全和網絡安全顯得捉襟見(jiàn)肘,它們無法保護企業(yè)組織真正重要的東西(xī)--企業(yè)數據和應用程序。
顯然,要想保證業(yè)務連續性和數據安全,維持企業(yè)的核心競争力,需要具備更高(gāo)層次更全面更成熟的數據庫安全能(néng)力(參考DSMM數據安全能(néng)力成熟度模型)。數據庫安全能(néng)力,取決于承載企業(yè)核心數據的數據庫系統軟件(jiàn),而後者已經成為(wèi)業(yè)務運行和數據保護的基礎設施,首當其沖地躍上(shàng)安全部門(mén)的數據安全能(néng)力建設工(gōng)作的清單榜首。
1
保護企業(yè)數據庫和應用程序安全,滿足數據合規要求以及有效管控數據庫免遭數據竊取,是帕拉迪一(yī)直專注在做的事(shì)情。本文将從(cóng)數據庫的安全管控方面,介紹數據庫安全準入控制矩陣模型的構建和實踐,以此為(wèi)企業(yè)的數據安全能(néng)力建設提供借鑒思路(lù)。
随著(zhe)企業(yè)信息化工(gōng)作的開(kāi)展,業(yè)務系統數據化明顯加快,數據被廣泛應用于企業(yè)内部支撐、合作經營、産品研發等。的确,數據共享促進了生(shēng)産力發展,但同時也讓數據的邊界模糊,數據流動變得頻繁。因此,流通(tōng)共享數據給企業(yè)安全訪問控制帶來了更高(gāo)的挑戰。
因為(wèi)傳統的身份認證和訪問控制是基于網絡層的訪問控制,劃分獨立數據網絡區域和運維管理區域,以IP資源(協議端口)為(wèi)對象,控制力度較為(wèi)寬泛,隻能(néng)參與網絡傳輸層的訪問要求。而與業(yè)務系統有關的訪問控制,通(tōng)常以系統功能(néng)為(wèi)中心設計,通(tōng)過控制用戶對不同功能(néng)界面的訪問來達到(dào)權限控制的目的。部分數據共享時,通(tōng)常系統允許以文件(jiàn)或圖片方式保存,并在文件(jiàn)中添加水(shuǐ)印,用于在信息洩露後的追溯,如果高(gāo)權限人員(yuán)對數據庫内具有流動性的單條數據進行傳播的話,系統往往不能(néng)進行有效控制。這些方式在數據中心級别資源池面前,便不足以支撐對企業(yè)内數據傳輸、數據交換、數據處理的更高(gāo)細粒度的訪問準入控制要求。
帕拉迪作為(wèi)行業(yè)内領先的數據庫安全整體解決方案提供商,先後發布了基于登陸參數的數據庫準入控制、基于大流量的數據庫訪問控制的專利技(jì)術(shù)。其數據庫類安全産品,具有專業(yè)的全協議解碼模塊,識别和分析數據庫傳輸協議以及應用層的協議解碼,剝離SQL語句。通(tōng)過流會(huì)話技(jì)術(shù),對協議進行流重組,所有解析語句會(huì)被标記唯一(yī)的标識。在此基礎上(shàng),針對數據庫安全訪問的準入控制方面,總結形成了一(yī)個(gè)安全準入控制矩陣模型。
傳統網絡運維中,不注重數據安全的流向,關注點始終停留在網絡建設層面,對數據庫的訪問準入策略,元素使用網絡傳輸的來源與目标IP、目标端口及協議(TCP/UDP)。
對數據庫的訪問準入還(hái)能(néng)基于哪些元素?
要實現對數據庫訪問準入的控制,必須解決的問題是對數據庫協議的解析。首先需要從(cóng)網絡流量中獲取數據庫的訪問流量,識别數據庫協議,例如Oracle的數據傳輸協議TNS、SQL Server傳輸協議TDS。
然後對數據庫流量協議數據包進行全協議解析,其中必然涉及到(dào)對加密數據庫信息的破解(如SQLServer的TDS協議,需要通(tōng)過獲取加密證書實現加密登錄參數解析),從(cóng)中識别可利用的獨特參數。
從(cóng)以上(shàng)對Oracle數據庫的簡短訪問請求中我們可以看(kàn)到(dào),除了訪問IP、端口和協議外,還(hái)能(néng)夠采集的參數信息包括客戶端應用程序名(navicat.exe)、客戶端主機(jī)名(DESKTOP-VCK0MFC)、客戶端主機(jī)用戶名(J),以及使用的數據庫賬号名(system)和實例服務名(xe),以上(shàng)稱為(wèi)準入控制因子。
主流應用中使用數據庫軟件(jiàn)種類衆多(duō),協議類型、加密方法各不相(xiàng)同,我們通(tōng)過協議解析獲得的數據庫應用協議内的參數信息也不相(xiàng)同,其部分舉例如下(xià):
新的安全準入控制模型,将加入通(tōng)過數據庫流量解析破解識别到(dào)的準入因子,形成更完善的可選控制因子集合。
在安全準入控制模型中,加入以上(shàng)準入控制因子,便可以得到(dào)更高(gāo)細粒度的訪問控制,準入控制策略也将變得更靈活。
企業(yè)内訪問數據庫使用的準入因子多(duō)種多(duō)樣,例如業(yè)務中間件(jiàn)與數據庫集群交互、業(yè)務應用後台維護對數據庫的訪問、運維DBA利用工(gōng)具對數據庫表的操作行為(wèi)。而做到(dào)評估所有“需要知道”的訪問權限信息是非常困難且成本過高(gāo)的,因此需要自(zì)動化且更智能(néng)的方法。
安全準入控制模型,基于大流量的數據庫協議全解碼技(jì)術(shù),通(tōng)過機(jī)器(qì)學習,實現對全網數據庫流量(包含業(yè)務系統請求的南(nán)北(běi)向流量、運維與數據中心内服務器(qì)交互的東西(xī)向流量)内安全訪問準入因子的自(zì)主學習,快速完善數據庫訪問策略,形成準入控制矩陣。
完善可視化的準入控制矩陣,形成了白(bái)名單式的安全規則配置,對數據庫的所有訪問行為(wèi),都需要進入準入控制矩陣進行混合匹配認證,隻有符合複雜(zá)白(bái)名單規則的訪問才被允許。而不斷變換攻擊腳本程序、賬号以及目标設備的異常攻擊行為(wèi),都會(huì)被精準識别并及時阻斷。不管是業(yè)務系統的外來請求,還(hái)是服務器(qì)集群内的東西(xī)向交互訪問,實現完全杜絕非法行為(wèi)的管控。
所以,數據庫安全準入控制矩陣模型的構建是以協議全解碼技(jì)術(shù)為(wèi)基礎,識别多(duō)項準入控制因子,通(tōng)過訪問内容的自(zì)主學習,形成的準入控制矩陣。對數據庫的訪問進行準入控制,對非理性和異常行為(wèi)達到(dào)精準阻斷,有效落地企業(yè)數據庫安全能(néng)力。
數據庫安全準入控制矩陣模型是企業(yè)構建數據庫安全能(néng)力建設之中的一(yī)環,是實現靈活多(duō)變自(zì)适應式的且具有高(gāo)細粒度訪問控制矩陣的最佳實踐。對企業(yè)而言,特别是在面對衆多(duō)以獲取企業(yè)敏感數據信息為(wèi)目的的威脅面前,在未來以數據為(wèi)中心的新經濟時代,通(tōng)過整合來自(zì)人、流程和技(jì)術(shù)的輸入信息,有效構建并提升企業(yè)數據安全能(néng)力,才能(néng)在威脅來臨之際快速、自(zì)信地做出反應。