2月25日，微盟集團(tuán)發(fā)布的一則公告引起輿論熱議。微盟的生產(chǎn)環(huán)境及數(shù)據(jù)遭遇其員工人為“惡意破壞”。該員工因個(gè)人精神、生活等原因，通過個(gè)人VPN登入公司內(nèi)網(wǎng)跳板機(jī)，對(duì)微盟線上生產(chǎn)系統(tǒng)環(huán)境進(jìn)行了大肆破壞，導(dǎo)致系統(tǒng)中斷7天，生產(chǎn)環(huán)境服務(wù)器出現(xiàn)故障，大量用戶數(shù)據(jù)被刪除。
微盟事件，再次證明了，在數(shù)字化轉(zhuǎn)型過程中，安全已經(jīng)不是附屬品，是企業(yè)生存和發(fā)展的關(guān)鍵要素。
正所謂外行看熱鬧，內(nèi)行看門道。本文依據(jù)運(yùn)維安全、數(shù)據(jù)安全、SaaS服務(wù)等關(guān)鍵因素，從技術(shù)的角度“庖丁解牛”，解析事件的始末。
一、對(duì)數(shù)據(jù)安全防護(hù)不夠重視成根本原因
事件本質(zhì)上暴露出對(duì)數(shù)據(jù)安全防護(hù)還未成體系、對(duì)數(shù)據(jù)安全防護(hù)不夠重視、認(rèn)識(shí)不充分等問題。
事態(tài)進(jìn)一步惡化，體現(xiàn)出事中缺乏有效控制手段，運(yùn)維過程訪問控制上不夠精細(xì)化，核心關(guān)鍵數(shù)據(jù)在內(nèi)控上允許系統(tǒng)運(yùn)維人員可以隨意操作，暴露出在運(yùn)維管理上最大的風(fēng)險(xiǎn)隱患。
同時(shí)，微盟沒有做業(yè)務(wù)的雙活，關(guān)鍵數(shù)據(jù)沒有冷備份，導(dǎo)致恢復(fù)數(shù)據(jù)時(shí)間超過6小時(shí)，恢復(fù)生產(chǎn)時(shí)間超過8天。
二、通過技術(shù)手段處理本次事件
從微盟官網(wǎng)的賠付計(jì)劃中公開的后續(xù)數(shù)據(jù)安全保護(hù)措施中：
微盟后續(xù)通過堡壘機(jī)“進(jìn)行細(xì)粒度權(quán)限分級(jí)和授權(quán)管理，同時(shí)嚴(yán)格審計(jì)堡壘機(jī)操作日志”，達(dá)到事中的精細(xì)化控制，和事后的追溯審計(jì)取證。
不難發(fā)現(xiàn)，通過堡壘機(jī)可以實(shí)現(xiàn)技術(shù)上對(duì)數(shù)據(jù)的有效保護(hù)。數(shù)據(jù)安全防護(hù)本質(zhì)上是一個(gè)系統(tǒng)工程，沒有單一的產(chǎn)品可以保證數(shù)據(jù)絕對(duì)安全，每個(gè)不同的產(chǎn)品解決的是不同層面的數(shù)據(jù)安全風(fēng)險(xiǎn)隱患。
數(shù)據(jù)安全防護(hù)必須從整體上規(guī)劃，充分認(rèn)識(shí)自身的數(shù)據(jù)安全防護(hù)的目標(biāo)及側(cè)重點(diǎn)，仔細(xì)評(píng)估各種方案的優(yōu)劣勢(shì)，從管理和技術(shù)兩個(gè)方面相結(jié)合、從關(guān)鍵處著手、從細(xì)節(jié)處逐步落實(shí)，才能有效保護(hù)企業(yè)核心數(shù)據(jù)的足夠安全。
如何做好數(shù)據(jù)安全防護(hù)：
1、從威脅的結(jié)果來看，一般分為數(shù)據(jù)泄露、數(shù)據(jù)篡改、數(shù)據(jù)刪除三種，其中數(shù)據(jù)刪除和數(shù)據(jù)篡改影響最為嚴(yán)重，因其改變了數(shù)據(jù)的完整性，而數(shù)據(jù)泄露只是改變了數(shù)據(jù)的機(jī)密性。
2、從威脅的人員來看，既有外部的黑客，又有內(nèi)部合法的系統(tǒng)運(yùn)維人員、數(shù)據(jù)庫管理員、開發(fā)人員、業(yè)務(wù)系統(tǒng)維護(hù)人員、第三方開發(fā)維護(hù)人員等等，每個(gè)人對(duì)數(shù)據(jù)操作的權(quán)限不一樣，影響范圍也是不盡相同。
從人員數(shù)據(jù)安全防護(hù)角度更多的是事中對(duì)人員權(quán)限的精細(xì)化的訪問控制，針對(duì)每個(gè)威脅人員防護(hù)的方案和側(cè)重點(diǎn)即可不同。從威脅人員評(píng)估是數(shù)據(jù)安全防護(hù)方案設(shè)計(jì)時(shí)一大關(guān)注點(diǎn)，優(yōu)點(diǎn)是防護(hù)重點(diǎn)明確，手段靈活有效。
3、從防護(hù)對(duì)象來看，從數(shù)據(jù)庫端、運(yùn)維端、應(yīng)用端、備份端采取不同的措施進(jìn)行保護(hù)，如運(yùn)維端可以采用堡壘機(jī)進(jìn)行權(quán)限細(xì)粒度控制和數(shù)據(jù)的上傳下載，確保運(yùn)維環(huán)節(jié)細(xì)粒度。
4、從安全防護(hù)體系來看，數(shù)據(jù)安全又分事前數(shù)據(jù)安全檢測(cè)評(píng)估及態(tài)勢(shì)感知、事中訪問控制、事后的審計(jì)追溯取證，每個(gè)環(huán)節(jié)緊密有機(jī)構(gòu)成數(shù)據(jù)安全防護(hù)的整個(gè)體系，針對(duì)客戶情況建立體系化的數(shù)據(jù)安全防護(hù)，讓數(shù)據(jù)安全風(fēng)險(xiǎn)降到最低。
數(shù)據(jù)安全防護(hù)是個(gè)系統(tǒng)工程，需要結(jié)合自身的企業(yè)信息化情況建設(shè)現(xiàn)狀及特點(diǎn)，整體評(píng)估規(guī)劃制定適合企業(yè)自身的數(shù)據(jù)安全防護(hù)方案。
網(wǎng)絡(luò)安全需要具體問題具體分析，數(shù)據(jù)安全防護(hù)還需要從數(shù)據(jù)全生命周期、管理策略以及外部合規(guī)的角度出發(fā)。
三、從數(shù)據(jù)全生命周期的管理角度看
數(shù)據(jù)庫通常對(duì)外有兩個(gè)暴露面，一是通過應(yīng)用系統(tǒng)暴露給外部，二是暴露給內(nèi)部的運(yùn)維人員、開發(fā)人員。根據(jù)IBM的研究數(shù)據(jù)，有70%的數(shù)據(jù)安全事件是由內(nèi)部人員造成的，微盟事件也恰巧由于運(yùn)維人員的惡意操作導(dǎo)致的。針對(duì)于微盟的內(nèi)部人員刪庫事件，可以從事前評(píng)估規(guī)劃、事中異常檢查、事后審計(jì)追溯等三個(gè)方面入手。
1. 事前評(píng)估規(guī)劃：數(shù)據(jù)是企業(yè)的核心資產(chǎn)，數(shù)據(jù)庫是數(shù)據(jù)的重要載體，要做好數(shù)據(jù)庫系統(tǒng)的高可用，除此之外還要做到生產(chǎn)系統(tǒng)的雙活和數(shù)據(jù)的異地冷備份，以防發(fā)生類似事件時(shí)可以快速恢復(fù)生產(chǎn)。
通過人員權(quán)限的分級(jí)分類和數(shù)據(jù)的分級(jí)分類，將人員的分級(jí)分類和數(shù)據(jù)的分級(jí)分類關(guān)聯(lián)起來，按照職責(zé)匹配權(quán)限，避免出現(xiàn)越權(quán)訪問和操作的問題。
2. 事中異常檢測(cè)：及時(shí)的察覺和阻斷正在發(fā)生的異常訪問和操作，針對(duì)于數(shù)據(jù)庫操作的異常檢測(cè)可以通過數(shù)據(jù)庫防火墻來防護(hù)，通過數(shù)據(jù)庫防火墻產(chǎn)品有效識(shí)別對(duì)數(shù)據(jù)庫的惡意訪問和操作，一旦發(fā)現(xiàn)重大危害，進(jìn)行及時(shí)阻斷。如果在微盟的數(shù)據(jù)庫防護(hù)系統(tǒng)中有部署數(shù)據(jù)庫防火墻產(chǎn)品，那么也完全可以避免這次事件的發(fā)生。
3. 事后審計(jì)追溯：當(dāng)事件已發(fā)生，此時(shí)最重要的就是盡可能的早知道、早處理，盡可能的減少損失。數(shù)據(jù)庫審計(jì)和數(shù)據(jù)庫防火墻一樣可以捕獲對(duì)數(shù)據(jù)庫的惡意訪問和操作，并及時(shí)產(chǎn)生告警通知，讓客戶第一時(shí)間掌握事件的發(fā)生和事件的具體細(xì)節(jié)，客戶可以進(jìn)行快速處理，盡可能的減少損失。
通過事前評(píng)估規(guī)劃、事中異常檢測(cè)、事后審計(jì)追溯構(gòu)建一體化數(shù)據(jù)安全防護(hù)機(jī)制。
四、從公司的管理策略和外部合規(guī)角度考慮
作為一套互聯(lián)網(wǎng)線上系統(tǒng)，在管理上核心KPI決定了整套機(jī)制的運(yùn)轉(zhuǎn)。在線系統(tǒng)的管理核心要從機(jī)制、人員為核心，以技術(shù)手段為佐證來構(gòu)建整個(gè)系統(tǒng)的安全穩(wěn)定運(yùn)營(yíng)機(jī)制。
首先，落實(shí)等保合規(guī)或PCI合規(guī)等一系列規(guī)范。制度建設(shè)和執(zhí)行能從根本上解決對(duì)個(gè)人及技術(shù)的依賴。
其次，流程規(guī)范以及敬畏之心。在SaaS系統(tǒng)管理過程中，“研發(fā)不碰生產(chǎn)”、“動(dòng)生產(chǎn)先風(fēng)評(píng)、先做回退方案，再走審批和團(tuán)隊(duì)待崗”應(yīng)成為標(biāo)準(zhǔn)執(zhí)行動(dòng)作。
最后，以技術(shù)手段以客觀數(shù)據(jù)為主要依據(jù)。安全涉及信息內(nèi)容安全以及系統(tǒng)運(yùn)行安全兩個(gè)層面的話題，本質(zhì)來講無論是托管還是自營(yíng)都必須要解決這兩個(gè)層面的問題。
安恒信息長(zhǎng)期運(yùn)營(yíng)SaaS服務(wù)平臺(tái)，整個(gè)平臺(tái)的安全涉及方方面面，從災(zāi)備到權(quán)限，再到內(nèi)容安全，用戶隱私，生產(chǎn)變更等多個(gè)環(huán)節(jié)。通過規(guī)范管理制度、生產(chǎn)系統(tǒng)敬畏之心、以技術(shù)手段生成的客觀數(shù)據(jù)落實(shí)管理制度來確保核心業(yè)務(wù)安全。
SaaS平臺(tái)運(yùn)維穩(wěn)定是基石、制度是核心、技術(shù)是客觀依據(jù)。
