> 首頁 > 關于優炫 > 公司動態 > 公司新聞 >

公司新聞

Company News

干貨分享 | 教育行業數據庫安全防護初探

2019-09-29
隨著教育行業信息化的不斷推進,數據庫已經成為日常工作中的基礎。但由于教育行業使用的數據庫版本繁雜,甚至有不少老版數據庫,存在較多隱患,很容易成為攻擊目標。近年發生過多起數據泄露事件,因此教育行業數據庫安全亟待提升。對于教育行業數據庫存在的安全風險,優炫軟件進行簡單分析并提供防護思路,以供分享。

數據庫安全風險

01
缺少專業人員


教育行業的數據庫管理人員多數不是專業人士,因此檢查數據庫時耗時多且不夠深入。同時,缺少對數據庫的整體安全情況評估,也容易忽略重要安全隱患和不正確的安全配置,從而導致弱口令、補丁未更新等脆弱點被威脅利用。

02
防護手段薄弱


目前教育行業的防護手段主要是網絡防火墻、入侵防御設備,并在網絡各區域實施訪問控制策略,但這些手段在數據庫防護時的作用并不明顯。

03
數據庫漏洞防御能力低


雖然相關單位采取了眾多防范措施,但數據庫自身的漏洞防御能力較低。黑客利用Web應用漏洞,進行SQL注入,或以Web應用服務器為跳板,利用數據庫自身漏洞進行攻擊和侵入。

04
數據庫訪問行為管控不嚴


數據庫運維管理員的違規操作也會導致安全隱患增加,例如非授權訪問敏感數據、非工作時間訪問核心業務表、非工作場所訪問數據庫、運維誤操作、(delete、update)高危指令的操作等行為,都可能導致數據泄露。

05
數據明文存儲


隨著教育行業信息化程度的提高,大量機密敏感數據集中存儲在數據庫系統中,比如學籍信息、教師信息、成績信息等,由于這些信息都是明文存儲在數據庫中,這將顯著加劇敏感數據批量泄露風險。

數據庫安全防護方案

根據教育行業數據庫的安全現狀,優炫軟件認為教育行業單位應根據“事前、事中、事后”三個環節,打造“檢查預警、主動防御、底線防守、事后追查”的縱深防護思路,解決數據庫安全防護問題。

01
檢查預警


對業務系統數據庫進行綜合安全風險評估,通過數據庫漏洞掃描產品提供有價值的修復建議,為數據庫系統的安全基線提升提供有效參考。

02
主動防御


通過數據庫防火墻、數據庫安全運維的等產品技術對數據庫進行主動防御。

具體措施如下

2.1執行細粒度訪問控制措施:

首先,業務系統數據庫應僅接受可信人員和應用發起的訪問請求,從根源上徹底杜絕第三方人員、內部人員的非授權行為,減小被攻擊面。其次,建立主動防御安全威脅的措施,通過數據庫防火墻的SQL攻擊防護、虛擬補丁等功能,防范針對數據庫SQL注入和漏洞攻擊行為。

2.2規范化運維管控:

改進管理模式,針對數據庫運維建立規范運維流程,包括事前審批,事中控制,事后記錄操作信息,實現全運維流程的管理,實現規范運營。

在規范化運維管控中,可以使用數據庫安全運維系統對數據庫運維的行為進行審批管控。做到只有提交運維申請并指定運維的時間、對象、操作內容進行審批后方可操作。

03
底線防守


教育行業各相關單位應將存儲在數據庫中的教務信息、學籍信息等敏感信息使用數據庫加密產品進行加密存儲,防止此類敏感信息被解析為明文從而導致信息泄密。

04
事后追查


運用數據庫審計技術對數據庫協議進行精確識別,記錄和回放針對統計數據庫的攻擊、篡改、泄密、誤操作等行為,為事后追查定責提供準確依據,同時對上述行為提供郵件、短信等多種報警方式。

數據庫安全防護不是一勞永逸,需要常抓不懈。教育行業需要在人員、技術等方面進一步提升。優炫軟件作為深耕數據安全領域十余年的知名品牌,自主研發的優炫數據庫(UXDB)相比國外同類產品毫不遜色,擁有足夠的安全性能。此外,圍繞數據庫安全,優炫軟件同樣打造眾多安全產品,全方位護航數據庫安全。
150武器幻化赚钱吗