勒索病毒防御 运维安全管控 | 某烟草公司数据安全建设实践

对于烟草行业而言，加快数字化转型是建设现代化烟草经济体系、实现高质量发展的重要支撑。但新技术的普及与应用，在给烟草行业带来便利、创造价值的同时，也使行业面临的数据安全威胁与日俱增。

在数据安全监管合规持续升级的大背景下，持续加强数据安全管理和个人信息保护已成为基础工作内容，《烟草行业数据安全管理办法（试行）》、《关于组织开展行业数据安全专项检查的通知》、《关于加强烟草行业数据安全和共享共作的意见》均对此明确要求。

某烟草公司负责当地卷烟市场管理、卷烟经营，专卖管理，稽查等工作，建设有决策管理系统，专卖管理系统，营销系统，网格平台，OA系统等核心业务系统。

与绝大多数烟草公司一样，该烟草公司网络安全建设已相对完善，但未进行全面的数据安全建设。当前，无论是国家对数据安全的重视以及行业监管检查要求，还是自身业务有序健康发展的需要，进一步更全面的数据安全建设成为必要之举。

数据安全风险分析

01  内部数据运维风险

该烟草公司综合数据分析平台，分拣系统等存在大量敏感、重要数据信息，各业务系统主要由第三方负责日常运维服务，但由于对各类第三方运维、开发人员管理、特权账号管理、数据库违规操作管控手段偏弱，存在核心敏感数据被泄露的安全威胁隐患。运维堡垒机作为运维管理的统一入口，仅停留在应用系统层面基于账号的运维管理，无法深入到数据层将数据资产与人员的关联关系以及交互过程进行有效的精细化管控。

02  勒索病毒防御风险

勒索病毒已是当前各行业面临的主要网络威胁，该烟草公司已部署防病毒系统、入侵检测系统，但这些防护系统主要基于静态特征（即黑名单）检测，无法有效防御，持续变种、隐蔽性强且无明显破坏特征的勒索病毒及挖矿软件，当系统其分析发现病毒时之时往往已经对系统文件进行了加密，或已经达到了挖矿的目的。

03  业务逻辑安全风险

除勒索病毒对数据造成的威胁以外，由应用程序业务逻辑漏洞或外来攻击所导致的风险构成极大的安全隐患，其中SQL注入攻击尤甚，因其能轻易躲过网络防火墙、IPS、IDS，且手段隐蔽、特征诸多，使入侵者直达数据库，对数据造成严重威胁。

数据安全建设方案

为填平补齐上述风险，提高整体数据安全水平，美创科技基于烟草行业实践经验，为该公司提供基于零信任数据安全理念，以“数据库防水坝、数据库防火墙、诺亚防勒索系统”为核心的数据安全建设方案。

01  细粒度运维安全管控

通过部署数据库防水坝从数据库登陆、访问控制、动态脱敏、数据防篡改、工单系统、运维审计等方面全方位支持数据库运维安全管理，满足运维安全内控和各类法规法令的要求。具体包括：

敏感数据分级分类管理：基于数据库防水坝敏感数据分级分类功能，以表格或列为单位进行细粒度管理，将重要及敏感数据从普通业务数据中脱离进行独立管理，将同类数据进行归类，形成资产集合，再将资产集合的访问授权分配给不同角色的人员；

细粒度访问控制：数据库防水坝系统通过对运维人员、开发人员、业务操作人员进行身份鉴别，基于最小化权限原则，根据不同的数据使用人员授予不同的数据使用权限，进行敏感数据访问控制，隔离DBA、SYSDBA、SchemaUser、Any等特权，使其只能访问授权范围内的敏感表格数据；

工具登陆控制：设置未受认证运维工具拒绝登陆数据库，设置受认证运维工具允许登陆数据库；

高危操作防范：对DDL、DML、代码类高危操作，结合细粒度访问控制和工作流审批进行监控，支持数据恢复机制，避免误操作导致的数据丢失。

02  勒索病毒主动防御

在数据库服务器上安装诺亚防勒索系统，指定防护应用类型和添加信任可执行程序，添加需要保护的现有的数据库服务器文件，新建的数据库服务器文件会自动受到保护，未授权执行程序试图修改数据库服务器文件，将认定为可疑勒索事件，及时被拦截，只允许可信任执行程序对受保护的数据库服务器文件执行相关操作。从而实现：

未知病毒防御：诺亚防勒索系统基于零信任体系构建，并不关心病毒特征，未经过授权的应用无法对于受保护的文件和数据进行加密或破坏，让各种未知威胁防得住。

携毒生存能力：长期潜伏在业务系统且不易发现的勒索病毒，依然可以运行，从而造成信息系统二次、三次感染等状况。“诺亚”则大大提升业务系统的带毒生存能力，可以在勒索病毒侵袭的服务器上保护关键机密文档和数据库不受破坏，保障关键业务程序正常运行。

核心驱动保护：诺亚防勒索引擎作用在核心驱动层，确保安全策略不会被旁路。核心驱动引擎监控所有程序的运行和修改操作，检查操作是否符合安全策略，对于非法的更新操作进行阻断，从而防御勒索病毒加密或删除文档。

03  抵御消除业务逻辑漏洞

通过部署数据库防火墙，以数据库访问控制为基础，以攻击防护和敏感数据保护为核心，采用全面的数据库通讯协议解析，通过SQL协议分析和SQL注入特征抽象技术，快速有效的捕获SQL注入的行为特征，根据预定的SQL白名单策略决定让合法的SQL操作通过执行，对符合SQL注入特征的可疑的非法违规操作进行阻断，做到SQL危险操作的主动检测、预防、实时审计。

内置1600+虚拟补丁，便捷补丁添加方式，快速应对0DAY漏洞风险；

SQL白名单及SQL注入特征双重防护，精准防御已知未知SQL注入；

智能识别拖库和撞库行为，及时阻断告警；

高速率处理性能，支持高并发、大流量。

项目建设收益

1、提升该烟草公司的整体数据安全防护能力，规范其针对第三方运维人员、内部管理人员进行整体管控，避免内部主动或者被动数据泄露事件。

2、提升该烟草公司外部入侵及勒索病毒防护能力，降低企业损失。

3、满足烟草安全合规检查要求，提升在烟草行业的整体信息化建设影响力。

4、更好地保障烟草业务数据的安全，防止信息泄密，并提升业务连续性和稳定性。

5、更好地兼容烟草未来智慧烟草建设的发展，有效实现业务与安全相互促进。