數據安全“四句箴言”

我們經常說，安全都是相對的。這句話的意思是，不是把所有能用到的安全設備都“嵌”在網絡平臺上，這個系統就是安全的。使用源于需求，我們在進行安全環境搭建前，首先要確定保護的目標。被保護的重點不一樣、安全級別不一樣，需要使用的安全措施就會有差別。我們應該做到有的放矢，而不是昂貴的安全設備堆砌。

本文將從基礎環境、網絡邊界、應用級別、數據級別四方面進行的安全產品部署、安全策略說明。

箴言一：基礎環境要評估

提到設備部署，必須要對供電環境也就是基礎環境進行考量，以使內部保障設備每天能夠正常開啟或者24小時運轉。除了設備的物理環境保障外，還要充分建立起主機房內完善的防盜、防火、溫控、通風以及監控、報警設施，加強機房安全管理和人員進出入制度管理，做到設置不同的訪問權限、密碼定期更換、身份識別等要素，這些是最基本的安全措施。

箴言二：網絡邊界保安全

網絡設備本身也有可能受攻擊，要防止這類安全隱患，一方面要選用成熟的網絡產品；另一方面，要對網絡設備進行合理地配置，控制網絡用戶可達的區域和端口。從網絡系統安全方面，這里主要分析邊界安全設備的部署。常見的設備包括防火墻和入侵檢測。

1．防火墻

防火墻主要用于過濾不安全的訪問，提高網絡的安全性。對于外部訪問和內部訪問，有著不同的安全級別要求，均需通過防火墻的合理配置，提供內部用戶訪問和外部用戶訪問的兩個通道，通過IP地址過濾、TCP/IP端口過濾等措施，使內部用戶可作為信任區域直接通過防火墻訪問系統內部服務器，而外部用戶則只能在有限的權限和范圍內對開放的服務器應用進行訪問。而IP地址過濾、TCP/IP端口過濾也是將攻擊防御在外的有效措施之一。

2．網絡入侵檢測（ids）

在網絡中部署入侵檢測系統，通過對流經網絡的數據進行監控和分析，能夠及時發現攻擊行為，通過記錄、報警和阻斷等方式保護系統的安全。

此外，通過防火墻和IDS聯動，可以進行兩種安全策略的優勢互補，增強系統的安全防護。

箴言三：應用系統重防御

應用安全是指，在應用層上保證資源整合項目中各個應用系統的信息安全。應用層的信息安全是面向用戶和應用程序的，它采用授權管理、應用審計以及數據庫安全作為基本手段，可根據具體應用系統的實際需求，提供靈活而可靠的分期部署信息安全保障。

從應用系統角度來說，計算機系統的威脅來源主要來自于外部和內部。其中內部入侵尤為值得關注，其一般都是本系統的合法用戶，但并未得到相關權限授權。內部入侵者又可以被進一步分為：

假冒者 他們偷取其他用戶的標識，獲得那些用戶的權限。

秘密用戶 他們成功躲開審計機制，執行一些非法操作。

違法行為者 他們是濫用權利的授權用戶。

針對上述的安全威脅來源，我們可以選用網頁防篡改系統、Web安全防御、安全審計設備、認證服務等產品或應用進行防御。當然，系統內部服務器部署殺毒軟件，也是一個補救措施。

從另一方面來說，應用系統包括多項業務，有不同的工作對象和業務操作，需要一種集中管理的手段，實時采集分布的日志，對整個業務流程進行監控。同時，也需要統計和分析工具進行直觀地數據匯總。

箴言四：數據保護不忽視

數據層的安全除了需要考慮數據庫的安全之外，還需考慮其他非結構化數據的安全。

數據庫安全機制涉及本系統的各個安全區域。除盡量避免由于客觀因素，如掉電、火災所造成的物理性破壞外，設計一個好的數據庫結構也是一個關鍵。好的數據庫結構包括對一個字段的修改不至于影響其他字段以保持邏輯完整性、定期數據庫備份以及設置一個合理的數據庫權限管理等要素。

其中，需要提醒的是，我們需要在數據庫系統設計時就做好安全規劃，而不要“亡羊補牢”。比如，在設計時，應用系統就要采取三層應用結構，通過采取應用中間件的策略，保證最終用戶不能直接訪問數據庫。此外，我們還可以執行對遠程數據庫連接進行加密、選擇性部署數據庫掃描器以及數據庫主機網絡入侵檢測系統等操作。

從更深層次的安全角度來講，還可以再增加下列安全措施：

數據加密存放；

用戶身份鑒別 確保每個用戶被正確識別，避免非法用戶入侵；

訪問控制 指對用戶可訪問的數據進行分級管理，授權訪問。

為了確保系統的穩定和在災難發生時的迅速恢復，系統需要經常進行數據備份和容災，以保證備份數據的實時有效性，在災難恢復時可靠有效。當然，根據信息系統的實際情況，規劃好備份策略，也是采用備份軟件實現數據保護效果的關鍵措施。

上述的分析只是安全環境部署的某幾個層面，應該說，其中任何一個層面，都可以成為一個研究課題，其中涉及的技術細節和實現方式，也是多種多樣的。在進行系統搭建前，進行細致合理的規劃，使系統能夠高效、穩定運行，才是我們做安全部署的最終目的。