社保行業(yè)安全分析

通過近幾年的建設(shè)，社保行業(yè)在電子政務(wù)統(tǒng)一網(wǎng)絡(luò)平臺(tái)上，依據(jù)國(guó)家“金保工程”建設(shè)要求，建成了各市級(jí)勞動(dòng)保障數(shù)據(jù)中心，構(gòu) 建了市級(jí)主干廣域網(wǎng)以及局域網(wǎng)，建成了社保專網(wǎng)、核心生產(chǎn)網(wǎng)、勞動(dòng)就業(yè)網(wǎng)等業(yè)務(wù)網(wǎng)，建成了包括社會(huì)保險(xiǎn)管理信息系統(tǒng)（五險(xiǎn)合一）、勞動(dòng)保障社區(qū)服務(wù)平臺(tái)、 勞動(dòng)保障12333咨詢服務(wù)平臺(tái)、行業(yè)統(tǒng)籌養(yǎng)老保險(xiǎn)管理系統(tǒng)、機(jī)關(guān)事業(yè)養(yǎng)老保險(xiǎn)管理系統(tǒng)等在內(nèi)的業(yè)務(wù)信息系統(tǒng)，接入用戶包括公眾用戶、企業(yè)用戶、醫(yī)院、藥 店、就業(yè)相關(guān)單位、社保相關(guān)單位、省廳及各地市社保內(nèi)部工作人員等等，實(shí)現(xiàn)了勞動(dòng)保障業(yè)務(wù)經(jīng)辦的全程信息化。整體系統(tǒng)支持省內(nèi)跨地市、跨省的社會(huì)保險(xiǎn)關(guān)系 轉(zhuǎn)移、異地就醫(yī)和異地離退休人員安置和管理服務(wù)，實(shí)現(xiàn)了社會(huì)保險(xiǎn)、勞動(dòng)就業(yè)及綜合管理等業(yè)務(wù)信息及其統(tǒng)計(jì)類的信息交換與共享，實(shí)現(xiàn)了社會(huì)保障基金的非現(xiàn)場(chǎng) 監(jiān)督，實(shí)現(xiàn)了社會(huì)公眾對(duì)社會(huì)保險(xiǎn)事務(wù)的有關(guān)服務(wù)要求，實(shí)現(xiàn)了與相關(guān)部門的橫向信息交換，實(shí)現(xiàn)了網(wǎng)絡(luò)掃描方式的信息采集和深層次的信息分析，為宏觀決策提供 支持。

隨著社保各業(yè)務(wù)系統(tǒng)信息化進(jìn)程的不斷發(fā)展，龐大的數(shù)據(jù)庫(kù)也面臨著眾多的應(yīng)用數(shù)據(jù)安全問題，如養(yǎng)老保險(xiǎn)數(shù)據(jù)篡改、個(gè)人信息泄露、管理員操作失誤等。目前，社保行業(yè)數(shù)據(jù)庫(kù)信息安全面臨嚴(yán)峻挑戰(zhàn)，并已引起社保信息化主管單位高度重視，成為迫切需要解決的問題。

安恒的解決方案

針對(duì)目前社保行業(yè)面臨的業(yè)務(wù)系統(tǒng)安全風(fēng)險(xiǎn)，杭州安恒信息技術(shù)有限公司根據(jù)用戶的需求進(jìn)行分析，從數(shù)據(jù)安全的角度出發(fā)考慮整 體的數(shù)據(jù)庫(kù)安全性，將應(yīng)用系統(tǒng)各數(shù)據(jù)庫(kù)服務(wù)器的業(yè)務(wù)流量及所需要關(guān)聯(lián)審計(jì)的各WEB服務(wù)器，分別將數(shù)據(jù)流量端口鏡像到明御數(shù)據(jù)庫(kù)審計(jì)與風(fēng)險(xiǎn)控制系統(tǒng) (DAS- Auditor)各端口，并在系統(tǒng)中設(shè)置相應(yīng)的審計(jì)對(duì)象及審計(jì)規(guī)則，總體部署示意圖如下：

圖2－1　系統(tǒng)部署圖

1. 采用靜態(tài)審計(jì)實(shí)現(xiàn)數(shù)據(jù)庫(kù)自身安全隱患的審計(jì)

數(shù)據(jù)庫(kù)靜態(tài)審計(jì)的目的是代替繁瑣的手工檢查,預(yù)防安全事件的發(fā)生。眾所周知，社保數(shù)據(jù)庫(kù)復(fù)雜并且龐大，如果采用人工、手工 去檢查數(shù)據(jù)庫(kù)自身的安全隱患，將會(huì)費(fèi)時(shí)費(fèi)力，而安恒依托其權(quán)威性的數(shù)據(jù)庫(kù)安全規(guī)則庫(kù)，自動(dòng)完成對(duì)幾百種不當(dāng)?shù)纳绫?shù)據(jù)庫(kù)不安全配置、潛在弱點(diǎn)、數(shù)據(jù)庫(kù)用戶 弱口令、數(shù)據(jù)庫(kù)軟件補(bǔ)丁等等靜態(tài)審計(jì)，通過靜態(tài)審計(jì)，可以為后續(xù)的動(dòng)態(tài)防護(hù)與審計(jì)的安全策略設(shè)置提供有力的依據(jù)。

1. 采用數(shù)據(jù)庫(kù)實(shí)時(shí)審計(jì)解決數(shù)據(jù)庫(kù)操作中的細(xì)粒度審計(jì)
1. 采用了細(xì)粒度的審計(jì)策略對(duì)操作與訪問進(jìn)行全監(jiān)控

明御數(shù)據(jù)庫(kù)審計(jì)與風(fēng)險(xiǎn)控制系統(tǒng)提供了對(duì)社保專網(wǎng)所有用戶操作行為的全監(jiān)控，包括帳戶對(duì)數(shù)據(jù)庫(kù)的用戶、表、字段、視圖、索引、過程、函數(shù)、包等元素的訪問操作，

1. 實(shí)現(xiàn)了針對(duì)所有帳戶對(duì)數(shù)據(jù)庫(kù)訪問與操作的全面監(jiān)測(cè)審計(jì)

明御數(shù)據(jù)庫(kù)審計(jì)與風(fēng)險(xiǎn)控制系統(tǒng)提供包括對(duì)社保內(nèi)部和外部系統(tǒng)管理員的賬戶在內(nèi)的所有帳戶登錄、訪問和各種操作行為，可以審 計(jì)來自客戶端直接進(jìn)入數(shù)據(jù)庫(kù)系統(tǒng)的，也可以審計(jì)通過應(yīng)用中間件進(jìn)入數(shù)據(jù)庫(kù)系統(tǒng)的，通過關(guān)聯(lián)分析可以清晰地知道何時(shí)、何地、何人進(jìn)入數(shù)據(jù)庫(kù)系統(tǒng)在做什么，是 授權(quán)的，還是非授權(quán)的，訪問和操作是否合規(guī)或違規(guī)。

1. 加強(qiáng)了對(duì)數(shù)據(jù)庫(kù)臨時(shí)帳戶的審計(jì)監(jiān)測(cè)審計(jì)

社保行業(yè)數(shù)據(jù)庫(kù)系統(tǒng)的維護(hù)人員有時(shí)需要在數(shù)據(jù)庫(kù)中建立一些臨時(shí)的賬戶，用于數(shù)據(jù)庫(kù)的日常維護(hù)，然而這樣的賬戶如果被非系統(tǒng) 維護(hù)人員惡意利用，由于使用時(shí)間較短，系統(tǒng)管理員很難發(fā)現(xiàn)數(shù)據(jù)資源被竊取或是被惡意修改。明御數(shù)據(jù)庫(kù)審計(jì)與風(fēng)險(xiǎn)控制系統(tǒng)具有針對(duì)此類安全風(fēng)險(xiǎn)的審計(jì)功能， 可以把臨時(shí)帳戶對(duì)數(shù)據(jù)庫(kù)的訪問和操作全部記錄在案，保證了審計(jì)記錄的完整性。

1. 加強(qiáng)了針對(duì)重要敏感數(shù)據(jù)的訪問的審計(jì)監(jiān)測(cè)

社保數(shù)據(jù)庫(kù)系統(tǒng)中的數(shù)據(jù)，如醫(yī)療保險(xiǎn)、藥店費(fèi)用結(jié)算、養(yǎng)老金等，都具有商業(yè)性、保密性的特點(diǎn)，如果這些數(shù)據(jù)被泄露或篡改， 會(huì)給社保自身威信和客戶帶來各種嚴(yán)重的后果。明御數(shù)據(jù)庫(kù)審計(jì)與風(fēng)險(xiǎn)控制系統(tǒng)嚴(yán)密的監(jiān)測(cè)審計(jì)功能，可以幫助社保信息中心的系統(tǒng)管理人員嚴(yán)密地監(jiān)測(cè)和掌控所有 對(duì)數(shù)據(jù)庫(kù)系統(tǒng)中重要敏感數(shù)據(jù)的訪問和操作，及時(shí)發(fā)現(xiàn)違規(guī)操作和追根查源。

1. 提供了詳細(xì)的數(shù)據(jù)庫(kù)審計(jì)記錄及分類統(tǒng)計(jì)

明御數(shù)據(jù)庫(kù)審計(jì)與風(fēng)險(xiǎn)控制系統(tǒng)能夠?qū)λ袑徲?jì)信息進(jìn)行記錄、分類統(tǒng)計(jì)。根據(jù)用戶需要，提供內(nèi)容豐富、詳細(xì)的審計(jì)統(tǒng)計(jì)報(bào)表，清晰地掌握數(shù)據(jù)庫(kù)系統(tǒng)安全運(yùn)行和合規(guī)使用情況。

1. 實(shí)現(xiàn)了數(shù)據(jù)庫(kù)異常操作監(jiān)測(cè)報(bào)警

明御數(shù)據(jù)庫(kù)審計(jì)與風(fēng)險(xiǎn)控制系統(tǒng)實(shí)現(xiàn)了數(shù)據(jù)庫(kù)異常操作監(jiān)測(cè)報(bào)警功能。根據(jù)事先制定的監(jiān)測(cè)報(bào)警策略，對(duì)各類操作進(jìn)行實(shí)時(shí)監(jiān)測(cè)。 當(dāng)發(fā)現(xiàn)違反策略的操作時(shí)，立即產(chǎn)生報(bào)警信息(如郵件、短信、SYSLOG等)，警示管理部門盡快查明原因，降低風(fēng)險(xiǎn)系數(shù)，嚴(yán)重的可直接通過堡壘進(jìn)行阻斷。

1. 彌補(bǔ)了數(shù)據(jù)庫(kù)系統(tǒng)內(nèi)置日志審計(jì)的缺陷

數(shù)據(jù)庫(kù)系統(tǒng)內(nèi)置的日志審計(jì)功能單一，日志記錄可以被人為修改、刪除，明御數(shù)據(jù)庫(kù)審計(jì)與風(fēng)險(xiǎn)控制系統(tǒng)是一個(gè)完全獨(dú)立于數(shù)據(jù)庫(kù)系統(tǒng)的“黑盒子”，采用獨(dú)立審計(jì)的工作模式，審計(jì)記錄自保護(hù)性強(qiáng)，彌補(bǔ)了數(shù)據(jù)庫(kù)內(nèi)置日志審計(jì)的缺陷。

1. 應(yīng)用系統(tǒng)與數(shù)據(jù)庫(kù)操作進(jìn)行關(guān)聯(lián)，有效解決操作行為的追溯

在三層或多層的應(yīng)用架構(gòu)中，社保行業(yè)系統(tǒng)通過WEB服務(wù)器實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)的訪問，傳統(tǒng)的數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)只能審計(jì)到WEB服務(wù) 器的相關(guān)信息，無法識(shí)別是哪個(gè)原始訪問者發(fā)出的請(qǐng)求。明御數(shù)據(jù)庫(kù)審計(jì)與風(fēng)險(xiǎn)控制系統(tǒng)通過關(guān)聯(lián)應(yīng)用層的訪問和數(shù)據(jù)庫(kù)層的訪問操作請(qǐng)求，可以追溯到應(yīng)用層的原 始訪問者及請(qǐng)求信息（如：操作發(fā)生的URL、客戶端的IP等信息），產(chǎn)品主要根據(jù)時(shí)間片、關(guān)鍵字等要素進(jìn)行信息篩選，以確定符合數(shù)據(jù)庫(kù)操作請(qǐng)求的WEB訪 問，通過三層審計(jì)更精確地定位事件發(fā)生前后所有層面的訪問及操作請(qǐng)求。

解決方案優(yōu)勢(shì)

• 通過數(shù)據(jù)庫(kù)的安全審計(jì)，能夠在應(yīng)用和數(shù)據(jù)庫(kù)無影響條件下,實(shí)現(xiàn)用戶需要的數(shù)據(jù)實(shí)時(shí)內(nèi)控審計(jì)功能；
• 通過獨(dú)特的專業(yè)技術(shù),實(shí)現(xiàn)對(duì)信息從內(nèi)部和外部的全面保護(hù),防止外部的惡意操作和內(nèi)部的數(shù)據(jù)竊取、誤操作、惡意操作；
• 通過敏感信息的特別監(jiān)控,實(shí)現(xiàn)對(duì)系統(tǒng)內(nèi)部保密數(shù)據(jù)的保護(hù)；
• 支持專業(yè)要求的(等保/SOX/PCI)的詳盡和全面的審計(jì)功能；
• 協(xié)助社保用戶內(nèi)部建立完善的數(shù)據(jù)庫(kù)安全管理體系，規(guī)范內(nèi)部人員的職責(zé)及流程；

客戶案例

• 深圳市人力資源和社會(huì)保障局
• 衢州社保
• 新余社保
• 上饒社保
• 武漢社保
• 金華社保
• 磐安社保
• 四平市人力資源和社會(huì)保障局
• 無錫市勞動(dòng)和社會(huì)保障局
• ……