針對今日全網(wǎng)大規(guī)模報道的全國30省市社保用戶信息泄露事件，安華金和對烏云歷史報道的社保行業(yè)相關(guān)漏洞進行集中分析，得出的結(jié)論為：大量的信息泄露主要由軟件中存在的SQL注入漏洞引起，而且由外部黑客入侵引起。

實際上根據(jù)安華金和對社保行業(yè)的掌握情況，不僅僅是外部黑客，同時社保內(nèi)部的運維人員、第三方的開發(fā)人員、甚至社保系統(tǒng)的業(yè)務(wù)人員都可以通過直連到數(shù)據(jù)庫，查看或修改相關(guān)信息，從而引起社保數(shù)據(jù)的批量泄露或篡改。

這些問題的解決需要一個系統(tǒng)化的方法，包括管理制度上的改善、安全意識的增強、更嚴(yán)謹(jǐn)?shù)膽?yīng)用代碼、更為安全的網(wǎng)絡(luò)體系結(jié)構(gòu);但從專業(yè)的數(shù)據(jù)庫安全廠商角度來看，社保的數(shù)據(jù)庫安全本身就存在極大的漏洞，特別是社保信息在提供外網(wǎng)訪問時，更是容易被拖庫。

數(shù)據(jù)泄露類的安全問題的分析如下：

(1)外部黑客攻擊者進行社保信息竊取

黑客攻擊者一般有兩種手段進行數(shù)據(jù)的竊?。?/P>

一是入侵到網(wǎng)絡(luò)后，能夠直接訪問數(shù)據(jù)庫服務(wù)器，進行刷庫直接拷貝數(shù)據(jù)文件，再進行異地的數(shù)據(jù)還原。

二是利用應(yīng)用系統(tǒng)的漏洞，通過sql注入，完成對社保人員信息的批量下載，這種方式是當(dāng)前暴漏出來的案例中的主要方式。

(2)系統(tǒng)維護或第三方開發(fā)人員權(quán)限過高

負(fù)責(zé)數(shù)據(jù)庫的維護管理，直接掌握數(shù)據(jù)庫DBA用戶的口令。DBA 既負(fù)責(zé)各項系統(tǒng)維護管理工作，又可以隨時查詢數(shù)據(jù)庫中的一切敏感信息;這些人員被他人利用，完全可以隨時登陸數(shù)據(jù)庫，任意進行社保信息的訪問。

而社保系統(tǒng)的第三方開發(fā)人員，由于對系統(tǒng)的熟悉度更高，往往可以通過程序中的后門程序或直接訪問數(shù)據(jù)庫的機會獲得數(shù)據(jù)。

陜西移動1300萬的數(shù)據(jù)泄露，就是開發(fā)方人員聯(lián)創(chuàng)的人員種植的后門程序，引起的信息泄露。

(3)數(shù)據(jù)庫文件采用明文存儲，拷貝到數(shù)據(jù)文件后引起整體泄露

當(dāng)前的主流數(shù)據(jù)庫中，數(shù)據(jù)文件都是以明文形式進行存儲的。內(nèi)部人員或外部黑客入侵者很容易利用這一漏洞，拿到社保數(shù)據(jù)庫的數(shù)據(jù)文件或備份文件，進行異地還原或使用專門的數(shù)據(jù)解析工具，獲得全部社保信息。

近年，有諸多典型的泄密事件，都是通過直接利用文件層的存儲漏洞竊取數(shù)據(jù);例如小米論壇800萬用戶信息泄密是由于黑客進行刷庫拿到數(shù)據(jù)文件、CSDN1000多萬客戶信息泄密，是由于備份磁盤被人拿到后利用。

數(shù)據(jù)篡改類的安全問題的分析如下：

(1) 非法高權(quán)限維護人員的違規(guī)篡改

在社保數(shù)據(jù)庫系統(tǒng)維護過程中，有大量的維護人員賬戶，以及第三方人員使用的賬戶。為了使用方便，DBA在給這些賬戶分配權(quán)限時，往往簡化處理，直接給予DBA角色的權(quán)限，或者能隨時訪問敏感社保信息的高權(quán)限角色。

掌握這些賬戶口令的人員，一旦出于經(jīng)濟利益或其他原因被人利用，便隨時可以進行參保人員的工資、賬戶余額等經(jīng)濟數(shù)據(jù)信息的篡改。

(2) 利用合法維護人員的身份進行違規(guī)篡改

合法的維護人員由于工作需要，本來就應(yīng)該具備修改工資、賬戶余額的權(quán)限。一旦這些人員被人利用，或者其他人掌握了合法維護人員的口令后，仍然可以任意進行敏感社保數(shù)據(jù)的篡改。

且現(xiàn)有的機制無法準(zhǔn)確追蹤到操作者具體是誰，只能知道使用哪個數(shù)據(jù)庫賬戶進行了數(shù)據(jù)修改操作。

(3) 合法維護人員的誤操作

合法維護人員由于種種原因，也有可能產(chǎn)生社保數(shù)據(jù)修改的誤操作，導(dǎo)致修改結(jié)果不正確。

現(xiàn)有機制也無法準(zhǔn)確審計到合法維護人員每次修改行為的詳細(xì)過程，比如修改前的值，修改后的值等，一旦發(fā)生誤操作可能無法還原及修正。

安華金和作為一家專業(yè)的數(shù)據(jù)庫安全廠商，在社保行業(yè)問題頻頻暴露的過程中，已經(jīng)就其中問題與社保行業(yè)的用戶和廠商進行過多次溝通，根據(jù)雙方的共同討論，形成了一些具體的解決方案，并在一些省市開始應(yīng)用;如下是一個典型的地市的解決方案：

其中外網(wǎng)區(qū)域，安華金和提出主要通過部署數(shù)據(jù)庫防火墻和數(shù)據(jù)庫加密系統(tǒng)提供防護;通過數(shù)據(jù)庫防火墻可以防止sql注入、防止批量下載和防止后門程序;通過數(shù)據(jù)庫加密，使存儲在外網(wǎng)的數(shù)據(jù)庫中的關(guān)鍵信息在存儲層是密文狀態(tài)，從而防止文件層的拖庫。

數(shù)據(jù)庫防火墻，不同于傳統(tǒng)的防火墻，傳統(tǒng)的防火墻無法防止SQL注入等共計手段;數(shù)據(jù)庫防火墻也不同于web防火墻，web防火墻實際上有很多的應(yīng)用限制，有很多的sql注入繞開手段，web防火墻也無法做到防止批量下載和后門程序。

而數(shù)據(jù)庫防火墻可以對數(shù)據(jù)庫的通訊過程進行精確的解析和控制;對于sql注入本身比web防火墻可以攔截的更為徹底;同時可以對社保應(yīng)用建立應(yīng)用特征模型，建立社保正常訪問語句的抽象表達(dá)，對每種語句的返回總量進行控制;從而防止批量下載和后門程序。

而數(shù)據(jù)庫加密產(chǎn)品，不同于磁盤加密和文件加密;后兩種技術(shù)，在數(shù)據(jù)庫啟動后，完全無法防止用戶的拖庫行為。

對于維護域，安華金和提出部署數(shù)據(jù)庫防火墻和數(shù)據(jù)庫審計;數(shù)據(jù)庫防火墻主要對于運維側(cè)的人員(包括運維或開發(fā)人員)的行為進行管控，通過金庫模式等方法在運維側(cè)人員批量訪問敏感表，或進行特殊表的數(shù)據(jù)變更時，引入審批控制流程。而數(shù)據(jù)庫審計可以記錄下來所有人員的數(shù)據(jù)庫訪問行為;可以突破應(yīng)用層限制，將SQL語句與業(yè)務(wù)人員身份有效關(guān)聯(lián)，在發(fā)生安全事件后，形成有效追蹤。

更多信息請查看IT技術(shù)專欄