數(shù)據(jù)安全“四句箴言”

我們經(jīng)常說(shuō)，安全都是相對(duì)的。這句話的意思是，不是把所有能用到的安全設(shè)備都“嵌”在網(wǎng)絡(luò)平臺(tái)上，這個(gè)系統(tǒng)就是安全的。使用源于需求，我們?cè)谶M(jìn)行安全環(huán)境搭建前，首先要確定保護(hù)的目標(biāo)。被保護(hù)的重點(diǎn)不一樣、安全級(jí)別不一樣，需要使用的安全措施就會(huì)有差別。我們應(yīng)該做到有的放矢，而不是昂貴的安全設(shè)備堆砌。

本文將從基礎(chǔ)環(huán)境、網(wǎng)絡(luò)邊界、應(yīng)用級(jí)別、數(shù)據(jù)級(jí)別四方面進(jìn)行的安全產(chǎn)品部署、安全策略說(shuō)明。

箴言一：基礎(chǔ)環(huán)境要評(píng)估

提到設(shè)備部署，必須要對(duì)供電環(huán)境也就是基礎(chǔ)環(huán)境進(jìn)行考量，以使內(nèi)部保障設(shè)備每天能夠正常開(kāi)啟或者24小時(shí)運(yùn)轉(zhuǎn)。除了設(shè)備的物理環(huán)境保障外，還要充分建立起主機(jī)房?jī)?nèi)完善的防盜、防火、溫控、通風(fēng)以及監(jiān)控、報(bào)警設(shè)施，加強(qiáng)機(jī)房安全管理和人員進(jìn)出入制度管理，做到設(shè)置不同的訪問(wèn)權(quán)限、密碼定期更換、身份識(shí)別等要素，這些是最基本的安全措施。

箴言二：網(wǎng)絡(luò)邊界保安全

網(wǎng)絡(luò)設(shè)備本身也有可能受攻擊，要防止這類安全隱患，一方面要選用成熟的網(wǎng)絡(luò)產(chǎn)品；另一方面，要對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行合理地配置，控制網(wǎng)絡(luò)用戶可達(dá)的區(qū)域和端口。從網(wǎng)絡(luò)系統(tǒng)安全方面，這里主要分析邊界安全設(shè)備的部署。常見(jiàn)的設(shè)備包括防火墻和入侵檢測(cè)。

1．防火墻

防火墻主要用于過(guò)濾不安全的訪問(wèn)，提高網(wǎng)絡(luò)的安全性。對(duì)于外部訪問(wèn)和內(nèi)部訪問(wèn)，有著不同的安全級(jí)別要求，均需通過(guò)防火墻的合理配置，提供內(nèi)部用戶訪問(wèn)和外部用戶訪問(wèn)的兩個(gè)通道，通過(guò)IP地址過(guò)濾、TCP/IP端口過(guò)濾等措施，使內(nèi)部用戶可作為信任區(qū)域直接通過(guò)防火墻訪問(wèn)系統(tǒng)內(nèi)部服務(wù)器，而外部用戶則只能在有限的權(quán)限和范圍內(nèi)對(duì)開(kāi)放的服務(wù)器應(yīng)用進(jìn)行訪問(wèn)。而IP地址過(guò)濾、TCP/IP端口過(guò)濾也是將攻擊防御在外的有效措施之一。

2．網(wǎng)絡(luò)入侵檢測(cè)（ids）

在網(wǎng)絡(luò)中部署入侵檢測(cè)系統(tǒng)，通過(guò)對(duì)流經(jīng)網(wǎng)絡(luò)的數(shù)據(jù)進(jìn)行監(jiān)控和分析，能夠及時(shí)發(fā)現(xiàn)攻擊行為，通過(guò)記錄、報(bào)警和阻斷等方式保護(hù)系統(tǒng)的安全。

此外，通過(guò)防火墻和IDS聯(lián)動(dòng)，可以進(jìn)行兩種安全策略的優(yōu)勢(shì)互補(bǔ)，增強(qiáng)系統(tǒng)的安全防護(hù)。

箴言三：應(yīng)用系統(tǒng)重防御

應(yīng)用安全是指，在應(yīng)用層上保證資源整合項(xiàng)目中各個(gè)應(yīng)用系統(tǒng)的信息安全。應(yīng)用層的信息安全是面向用戶和應(yīng)用程序的，它采用授權(quán)管理、應(yīng)用審計(jì)以及數(shù)據(jù)庫(kù)安全作為基本手段，可根據(jù)具體應(yīng)用系統(tǒng)的實(shí)際需求，提供靈活而可靠的分期部署信息安全保障。

從應(yīng)用系統(tǒng)角度來(lái)說(shuō)，計(jì)算機(jī)系統(tǒng)的威脅來(lái)源主要來(lái)自于外部和內(nèi)部。其中內(nèi)部入侵尤為值得關(guān)注，其一般都是本系統(tǒng)的合法用戶，但并未得到相關(guān)權(quán)限授權(quán)。內(nèi)部入侵者又可以被進(jìn)一步分為：

假冒者 他們偷取其他用戶的標(biāo)識(shí)，獲得那些用戶的權(quán)限。

秘密用戶 他們成功躲開(kāi)審計(jì)機(jī)制，執(zhí)行一些非法操作。

違法行為者 他們是濫用權(quán)利的授權(quán)用戶。

針對(duì)上述的安全威脅來(lái)源，我們可以選用網(wǎng)頁(yè)防篡改系統(tǒng)、Web安全防御、安全審計(jì)設(shè)備、認(rèn)證服務(wù)等產(chǎn)品或應(yīng)用進(jìn)行防御。當(dāng)然，系統(tǒng)內(nèi)部服務(wù)器部署殺毒軟件，也是一個(gè)補(bǔ)救措施。

從另一方面來(lái)說(shuō)，應(yīng)用系統(tǒng)包括多項(xiàng)業(yè)務(wù)，有不同的工作對(duì)象和業(yè)務(wù)操作，需要一種集中管理的手段，實(shí)時(shí)采集分布的日志，對(duì)整個(gè)業(yè)務(wù)流程進(jìn)行監(jiān)控。同時(shí)，也需要統(tǒng)計(jì)和分析工具進(jìn)行直觀地?cái)?shù)據(jù)匯總。

箴言四：數(shù)據(jù)保護(hù)不忽視

數(shù)據(jù)層的安全除了需要考慮數(shù)據(jù)庫(kù)的安全之外，還需考慮其他非結(jié)構(gòu)化數(shù)據(jù)的安全。

數(shù)據(jù)庫(kù)安全機(jī)制涉及本系統(tǒng)的各個(gè)安全區(qū)域。除盡量避免由于客觀因素，如掉電、火災(zāi)所造成的物理性破壞外，設(shè)計(jì)一個(gè)好的數(shù)據(jù)庫(kù)結(jié)構(gòu)也是一個(gè)關(guān)鍵。好的數(shù)據(jù)庫(kù)結(jié)構(gòu)包括對(duì)一個(gè)字段的修改不至于影響其他字段以保持邏輯完整性、定期數(shù)據(jù)庫(kù)備份以及設(shè)置一個(gè)合理的數(shù)據(jù)庫(kù)權(quán)限管理等要素。

其中，需要提醒的是，我們需要在數(shù)據(jù)庫(kù)系統(tǒng)設(shè)計(jì)時(shí)就做好安全規(guī)劃，而不要“亡羊補(bǔ)牢”。比如，在設(shè)計(jì)時(shí)，應(yīng)用系統(tǒng)就要采取三層應(yīng)用結(jié)構(gòu)，通過(guò)采取應(yīng)用中間件的策略，保證最終用戶不能直接訪問(wèn)數(shù)據(jù)庫(kù)。此外，我們還可以執(zhí)行對(duì)遠(yuǎn)程數(shù)據(jù)庫(kù)連接進(jìn)行加密、選擇性部署數(shù)據(jù)庫(kù)掃描器以及數(shù)據(jù)庫(kù)主機(jī)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)等操作。

從更深層次的安全角度來(lái)講，還可以再增加下列安全措施：

數(shù)據(jù)加密存放；

用戶身份鑒別 確保每個(gè)用戶被正確識(shí)別，避免非法用戶入侵；

訪問(wèn)控制 指對(duì)用戶可訪問(wèn)的數(shù)據(jù)進(jìn)行分級(jí)管理，授權(quán)訪問(wèn)。

為了確保系統(tǒng)的穩(wěn)定和在災(zāi)難發(fā)生時(shí)的迅速恢復(fù)，系統(tǒng)需要經(jīng)常進(jìn)行數(shù)據(jù)備份和容災(zāi)，以保證備份數(shù)據(jù)的實(shí)時(shí)有效性，在災(zāi)難恢復(fù)時(shí)可靠有效。當(dāng)然，根據(jù)信息系統(tǒng)的實(shí)際情況，規(guī)劃好備份策略，也是采用備份軟件實(shí)現(xiàn)數(shù)據(jù)保護(hù)效果的關(guān)鍵措施。

上述的分析只是安全環(huán)境部署的某幾個(gè)層面，應(yīng)該說(shuō)，其中任何一個(gè)層面，都可以成為一個(gè)研究課題，其中涉及的技術(shù)細(xì)節(jié)和實(shí)現(xiàn)方式，也是多種多樣的。在進(jìn)行系統(tǒng)搭建前，進(jìn)行細(xì)致合理的規(guī)劃，使系統(tǒng)能夠高效、穩(wěn)定運(yùn)行，才是我們做安全部署的最終目的。