一、方案概述： 

目前數據庫在各級電子政務平臺應用十分廣泛，深入到政府各個部門。數據庫系統作為信息的聚集體，是計算機信息系統的核心部件，其安全性至關重要。小則關系到企業興衰、大則關系到國家安全。

在政府各部門涉及大量的敏感信息，往往是一個無價的數據寶藏：領導批示、公文、醫療記錄和HIV狀態（健康部門和EMS），社會安全號碼，敏感的法律信息（警察部門、法院和其他部門）等等。為了保障這些敏感信息的安全，各單位廣泛的實施了安全防護措施，包括：機房安全、物理隔離、防火墻、入侵檢測、加密傳輸、身份認證等等。以上安全措施雖一定程度上遏制了黑客入侵，但每周都有新的系統漏洞發現，手段高明的入侵者和新的攻擊手法仍能得逞。據美國《安全賽伯空間》雜志所作的調查，89%的用戶安裝了防火墻，60%的用戶安裝了入侵檢測系統，但其中仍有90%用戶的系統安全受到破壞，保密信息被隨意竊取。美國FBI網絡安全調查報告表明，72%的攻擊行為發生在內部。所以，來自外部的黑客和來自內部的攻擊行為不可避免，而且這些非法攻擊的真正目標恰恰是數據庫。但國內數據庫幾乎都是明文存儲，沒有任何加密措施。數據庫的安全問題卻一直讓管理員束手無策。原因是目前市場上缺乏有效的數據庫安全增強產品。

數據庫及其應用系統普遍存在一些安全隱患。其中比較嚴峻的幾個方面表現在：

（1）由于國外對高技術出口和安全產品出口的法律限制，國內市場上只能購買到C2安全級別的數據庫安全系統。該類系統只有最基本的安全防護能力。在數據庫系統中DBA角色能擁有至高的權限，權限可以不受限制的傳播。一旦攻擊者獲得DBA角色的權限，數據庫將對其徹底暴露,毫無任何安全性可言。

（2）由于DBA擁有至高無上的權利，其可以在不被人察覺的情況下查看和修改任何數據（包括敏感數據）。因此DBA掌控著數據庫中數據安全命脈，DBA的任何操作、行為無法在技術上實施監管。而DBA往往只是數據的技術上的維護者，甚至可能是數據庫廠商的服務人員，并沒有對敏感數據的查看和控制權。現階段并沒有很好的技術手段來約束DBA對數據的訪問權限，因此存在巨大安全隱患，特別是在DBA權限被非法獲取的情況下，更是無法保證數據的安全。

（3）由于C2級的商業數據庫對用戶的訪問權限的限制是在表級別的。一旦用戶擁有了一個表的訪問權限，那么表中的任何數據都具有訪問權限。但是一個表中可能存在敏感和非敏感字段。對于敏感數據，只有特定權限的人才能訪問。此時數，據庫自身的安全控制就顯得力不從心。

（4）數據庫系統是一個復雜的系統，根據已經公布的資料，數據庫存在許多風險，其中不少是致命的缺陷和漏洞。舉例來說，全球公認安全性出眾的數據庫產品在2010 年1 月發布了其季度安全補丁包中就修補了多個產品中的60 多個漏洞。其中不少漏洞可以非常容易地被黑客利用。一旦遭到攻擊，攻擊者可能以DBA的身份進入數據庫系統，也可能進入操作系統，下載整個數據庫文件。

從上面分析可以看出，僅靠邊界安全防護(防火墻、防病毒、入侵檢測、漏洞掃描)是不可能解決數據庫相關的所有的安全問題。尤其不能解決數據庫內部敏感數據的安全問題。

公安部、國家保密局、國家密碼管理局和國務院信息化工作辦公室等部委于2006年出臺了相關規定，要求信息系統，尤其是重要部門的信息系統要充分運用密碼技術對信息系統進行保護。對于采用密碼對涉及國家秘密的信息和信息系統進行保護的，密碼的設計、實施、使用、運行維護和日常管理等，應該按照國家秘密管理有關規定和相關標準執行；對于采用密碼對不涉及國家秘密的信息和信息系統進行保護的，應該遵照《商用密碼管理條例》和密碼分類分級保護有關規定和相關標準。

另外，國家出臺了相關規定，要求重要部門的信息系統對數據資產實行等級保護。對于信息系統中的信息資產，應該根據其敏感程度，指定不同的安全等級，實施不同的安全保護策略。

為增強數據庫系統的安全，滿足數字資產等級化的安全防護要求，有選擇性的保護數據庫內部敏感數據的安全性，M2-S5100 DBsecurity產品通過在數據庫管理系統的內核中嵌入自主研發的安全防護系統，通過字段級別的訪問控制來達到對敏感數據的防護目的。敏感數據以亂碼的形式存在，通過基于機器特征與數字簽名技術實現強訪問控制，非授權用戶（包含DBA）查看到的數據為亂碼，而授權用戶可以正常訪問數據。通過智能審計與分析引擎，對數據庫敏感信息訪問進行持續監控與防御，對違反安全策略事件實時告警與阻斷。并且M2-S5100 DBSecurity產品對于應用系統來說是完全透明的，不需要對數據庫的現有應用系統做任何改動。

二、方案描述

采用Microprofit公司的M2-S5100 DBSecurity數據庫安全平臺解決方案，在保留原有應用系統不變的情況下，對汲及數據庫中敏感數據進行加密保護，有效防范網絡黑客、內部人員對敏感數據的竊取（即使數據庫管理員未經授權也無法查看敏感數據）等功能。有效防止政府數據信息不會外泄。

2.1 方案配置

M2-S5100 DataSecurity 數據庫加密企業版

M2-S5100 DataSecurity 數據庫審計 DB1000

2.2方案價值 

采用M2-S5100 DataSecurity產品保護的數據系統，即使（防火墻、IDS、防病毒等）其他安全防護措施被入侵者突破、數據被竊取、被拷貝，被加密保護的信息也不會泄漏。

（1）防止外部入侵者突破邊界防護進行的數據破解

隨著Internet、無線網絡的普及，黑客有了更多辦法繞過防火墻和入侵檢測系統，到用戶的業務系統中進行窺視；當數據以明文的形式暴露在文件系統和數據庫中時，黑客很容易獲得敏感數據。當我們對數據進行了有效加密保護，再厲害的黑客，在不掌握密鑰的情況下，都無法獲得敏感數據的明文信息。

M2-S5100 DBSecurity不僅對敏感數據進行了加密，同時提供了高度安全的密鑰管理體系，有效地防止了黑客入侵所引起的的數據泄密。

（2）防止數據庫超級用戶或內部人員進行的數據竊取

在數據庫系統，DBA具有至高無上的權利，可以訪問到任何數據；在大型企業和政府機構中，除了系統管理員，以用戶數據分析人員、程序員、開發方維護人員為代表的特權用戶，也可以訪問到敏感數據。這些都為數據的泄密，留下了極大的隱患。

M2-S5100 DBSecurity通過獨立于數據庫權限控制之外的安全權限體系，對數據的加解密進行了獨立的控制。 由安全管理員負責決定哪些數據庫用戶有權訪問敏感數據的明文信息；防止DBA 成為不受控制的超級用戶的同時，又可以使DBA 和開發人員正常地工作。

（3）防止硬件存儲設備丟失或被盜所引起的機密信息泄密

當數據以明文形式存儲在硬件設備上時，無論是數據庫運行的存儲設備，還是用于數據備份的磁帶，若發生丟失或者維修，都會存在相應的數據丟失風險。

使用M2-S5100 DBSecurity，無論是運行環境的硬件存儲設備，還是數據備份的磁帶，敏感數據都是以加密的形態存儲的，從而有效地防止了由于硬件丟失或硬件維修等無意識的泄密。

（4）防止操作系統文件引起的數據泄密

數據庫文件的數據是以明文的形式存儲在操作系統的文件中；通過對文件系統的訪問，就會訪問到敏感數據。這樣，該主機的操作系統管理員和高權限用戶都可以接觸到這些敏感數據。另外通過網絡訪問到這些文件的用戶，也可以接觸到這些敏感數據。

通過M2-S5100 DBSecurity對數據庫系統進行加密保護，敏感數據都是以密文的形式存儲在操作系統上，從而有效防止了由操作系統文件引起的數據泄密。

（5）實時監控與防御，對違反安全策略事件實時告警與阻斷

M2-S5100 DataSecurity依賴智能自學習創建的正向安全模型，可防止數據庫受到特權濫用、已知漏洞攻擊、人為失誤等等的侵害。當用戶與數據庫進行交互時，M2-S5100 DataSecurity會自動根據預設置的訪問控制策略進行第一道防護、繼而通過對數據庫活動的實時監控，進行特征檢測及異常檢測。任何嘗試的攻擊都會被檢測到并實時阻斷或告警。

2.3方案特點：

（1） 透明數據加密，無需對現有應用系統和使用習慣做任何更改

M2-S5100 DBSecurity采用我國的密碼管理機構認定的加密算法。對數據庫的指定列進行加密，保證敏感數據在存儲層為密文存儲，防止數據庫數據以明文形式暴露，以實現存儲層的安全加固。

透明的數據加密有兩層含義，一是對應用系統透明，即用戶或開發商不需要對應用系統進行任何改動；二是對有密文訪問權限合法用戶看到的是明文數據，該過程對用戶完全透明。

（2）強制訪問控制，杜絕數據庫管理員、特權用戶訪問敏感數據

M2-S5100 DBSecurity采用三權分立安全模型，DBA 、DSA、ASA 完全獨立，共同實現對敏感字段的強存取控制，實現真正的責權一致。DBA 實現對普通字段的一般性訪問權限控制，DSA 實現對敏感字段的密文訪問權限控制和加解密處理。

有效防止了數據庫管理員、特權用戶（程序開發人員、維護人員、安全管理員等）對敏感數據的非法訪問。

（3） 高效密文數據檢索，保持數據庫原有高效訪問能力

M2-S5100 DBSecurity采用自主專利、高度安全的加密索引技術，突破了傳統技術對加密列不能使用索引的限制；在保證索引數據的高度安全基礎上，提供對已加密數據為檢索條件的索引查詢；在加密列上仍可進行等于、大于、小于和Like 等操作，并依然可以使用索引。

（4） 不間斷持續對敏感數據的使用進行跟蹤審計，對違反安全策略的訪問實時告警與阻斷

通過M2-S5100 DBSecurity內置的安全審計管理員（Data Audit Administrator，DAA），可實時對數據庫中指定字段訪問行為的記錄，以便對數據庫的敏感數據的訪問進行審計追蹤，并對違反安全訪問策略的訪問實時阻斷。

傳統的審計技術，由于審計的信息量大，審計功能的開啟，將對性能造成極大的影響；M2-S5100 DBSecurity 中僅針對敏感數據進行審計，極大降低了審計的負載，在保證安全性的同時有效保證在開啟審計功能時的數據庫性能。

（5） 零影響部署和超高性能

采用硬件裝置：提供多千兆位吞吐量和毫秒級延遲時間。

 設備規格