針對(duì)今日全網(wǎng)大規(guī)模報(bào)道的全國30省市社保用戶信息泄露事件，安華金和對(duì)烏云歷史報(bào)道的社保行業(yè)相關(guān)漏洞進(jìn)行集中分析，得出的結(jié)論為：大量的信息泄露主要由軟件中存在的SQL注入漏洞引起，而且由外部黑客入侵引起。

實(shí)際上根據(jù)安華金和對(duì)社保行業(yè)的掌握情況，不僅僅是外部黑客，同時(shí)社保內(nèi)部的運(yùn)維人員、第三方的開發(fā)人員、甚至社保系統(tǒng)的業(yè)務(wù)人員都可以通過直連到數(shù)據(jù)庫，查看或修改相關(guān)信息，從而引起社保數(shù)據(jù)的批量泄露或篡改。

這些問題的解決需要一個(gè)系統(tǒng)化的方法，包括管理制度上的改善、安全意識(shí)的增強(qiáng)、更嚴(yán)謹(jǐn)?shù)膽?yīng)用代碼、更為安全的網(wǎng)絡(luò)體系結(jié)構(gòu);但從專業(yè)的數(shù)據(jù)庫安全廠商角度來看，社保的數(shù)據(jù)庫安全本身就存在極大的漏洞，特別是社保信息在提供外網(wǎng)訪問時(shí)，更是容易被拖庫。

數(shù)據(jù)泄露類的安全問題的分析如下：

(1)外部黑客攻擊者進(jìn)行社保信息竊取

黑客攻擊者一般有兩種手段進(jìn)行數(shù)據(jù)的竊?。?/P>

一是入侵到網(wǎng)絡(luò)后，能夠直接訪問數(shù)據(jù)庫服務(wù)器，進(jìn)行刷庫直接拷貝數(shù)據(jù)文件，再進(jìn)行異地的數(shù)據(jù)還原。

二是利用應(yīng)用系統(tǒng)的漏洞，通過sql注入，完成對(duì)社保人員信息的批量下載，這種方式是當(dāng)前暴漏出來的案例中的主要方式。

(2)系統(tǒng)維護(hù)或第三方開發(fā)人員權(quán)限過高

負(fù)責(zé)數(shù)據(jù)庫的維護(hù)管理，直接掌握數(shù)據(jù)庫DBA用戶的口令。DBA 既負(fù)責(zé)各項(xiàng)系統(tǒng)維護(hù)管理工作，又可以隨時(shí)查詢數(shù)據(jù)庫中的一切敏感信息;這些人員被他人利用，完全可以隨時(shí)登陸數(shù)據(jù)庫，任意進(jìn)行社保信息的訪問。

而社保系統(tǒng)的第三方開發(fā)人員，由于對(duì)系統(tǒng)的熟悉度更高，往往可以通過程序中的后門程序或直接訪問數(shù)據(jù)庫的機(jī)會(huì)獲得數(shù)據(jù)。

陜西移動(dòng)1300萬的數(shù)據(jù)泄露，就是開發(fā)方人員聯(lián)創(chuàng)的人員種植的后門程序，引起的信息泄露。

(3)數(shù)據(jù)庫文件采用明文存儲(chǔ)，拷貝到數(shù)據(jù)文件后引起整體泄露

當(dāng)前的主流數(shù)據(jù)庫中，數(shù)據(jù)文件都是以明文形式進(jìn)行存儲(chǔ)的。內(nèi)部人員或外部黑客入侵者很容易利用這一漏洞，拿到社保數(shù)據(jù)庫的數(shù)據(jù)文件或備份文件，進(jìn)行異地還原或使用專門的數(shù)據(jù)解析工具，獲得全部社保信息。

近年，有諸多典型的泄密事件，都是通過直接利用文件層的存儲(chǔ)漏洞竊取數(shù)據(jù);例如小米論壇800萬用戶信息泄密是由于黑客進(jìn)行刷庫拿到數(shù)據(jù)文件、CSDN1000多萬客戶信息泄密，是由于備份磁盤被人拿到后利用。

數(shù)據(jù)篡改類的安全問題的分析如下：

(1) 非法高權(quán)限維護(hù)人員的違規(guī)篡改

在社保數(shù)據(jù)庫系統(tǒng)維護(hù)過程中，有大量的維護(hù)人員賬戶，以及第三方人員使用的賬戶。為了使用方便，DBA在給這些賬戶分配權(quán)限時(shí)，往往簡化處理，直接給予DBA角色的權(quán)限，或者能隨時(shí)訪問敏感社保信息的高權(quán)限角色。

掌握這些賬戶口令的人員，一旦出于經(jīng)濟(jì)利益或其他原因被人利用，便隨時(shí)可以進(jìn)行參保人員的工資、賬戶余額等經(jīng)濟(jì)數(shù)據(jù)信息的篡改。

(2) 利用合法維護(hù)人員的身份進(jìn)行違規(guī)篡改

合法的維護(hù)人員由于工作需要，本來就應(yīng)該具備修改工資、賬戶余額的權(quán)限。一旦這些人員被人利用，或者其他人掌握了合法維護(hù)人員的口令后，仍然可以任意進(jìn)行敏感社保數(shù)據(jù)的篡改。

且現(xiàn)有的機(jī)制無法準(zhǔn)確追蹤到操作者具體是誰，只能知道使用哪個(gè)數(shù)據(jù)庫賬戶進(jìn)行了數(shù)據(jù)修改操作。

(3) 合法維護(hù)人員的誤操作

合法維護(hù)人員由于種種原因，也有可能產(chǎn)生社保數(shù)據(jù)修改的誤操作，導(dǎo)致修改結(jié)果不正確。

現(xiàn)有機(jī)制也無法準(zhǔn)確審計(jì)到合法維護(hù)人員每次修改行為的詳細(xì)過程，比如修改前的值，修改后的值等，一旦發(fā)生誤操作可能無法還原及修正。

安華金和作為一家專業(yè)的數(shù)據(jù)庫安全廠商，在社保行業(yè)問題頻頻暴露的過程中，已經(jīng)就其中問題與社保行業(yè)的用戶和廠商進(jìn)行過多次溝通，根據(jù)雙方的共同討論，形成了一些具體的解決方案，并在一些省市開始應(yīng)用;如下是一個(gè)典型的地市的解決方案：

其中外網(wǎng)區(qū)域，安華金和提出主要通過部署數(shù)據(jù)庫防火墻和數(shù)據(jù)庫加密系統(tǒng)提供防護(hù);通過數(shù)據(jù)庫防火墻可以防止sql注入、防止批量下載和防止后門程序;通過數(shù)據(jù)庫加密，使存儲(chǔ)在外網(wǎng)的數(shù)據(jù)庫中的關(guān)鍵信息在存儲(chǔ)層是密文狀態(tài)，從而防止文件層的拖庫。

數(shù)據(jù)庫防火墻，不同于傳統(tǒng)的防火墻，傳統(tǒng)的防火墻無法防止SQL注入等共計(jì)手段;數(shù)據(jù)庫防火墻也不同于web防火墻，web防火墻實(shí)際上有很多的應(yīng)用限制，有很多的sql注入繞開手段，web防火墻也無法做到防止批量下載和后門程序。

而數(shù)據(jù)庫防火墻可以對(duì)數(shù)據(jù)庫的通訊過程進(jìn)行精確的解析和控制;對(duì)于sql注入本身比web防火墻可以攔截的更為徹底;同時(shí)可以對(duì)社保應(yīng)用建立應(yīng)用特征模型，建立社保正常訪問語句的抽象表達(dá)，對(duì)每種語句的返回總量進(jìn)行控制;從而防止批量下載和后門程序。

而數(shù)據(jù)庫加密產(chǎn)品，不同于磁盤加密和文件加密;后兩種技術(shù)，在數(shù)據(jù)庫啟動(dòng)后，完全無法防止用戶的拖庫行為。

對(duì)于維護(hù)域，安華金和提出部署數(shù)據(jù)庫防火墻和數(shù)據(jù)庫審計(jì);數(shù)據(jù)庫防火墻主要對(duì)于運(yùn)維側(cè)的人員(包括運(yùn)維或開發(fā)人員)的行為進(jìn)行管控，通過金庫模式等方法在運(yùn)維側(cè)人員批量訪問敏感表，或進(jìn)行特殊表的數(shù)據(jù)變更時(shí)，引入審批控制流程。而數(shù)據(jù)庫審計(jì)可以記錄下來所有人員的數(shù)據(jù)庫訪問行為;可以突破應(yīng)用層限制，將SQL語句與業(yè)務(wù)人員身份有效關(guān)聯(lián)，在發(fā)生安全事件后，形成有效追蹤。

更多信息請(qǐng)查看IT技術(shù)專欄