針對(duì)今日全網(wǎng)大規(guī)模報(bào)道的全國(guó)30省市社保用戶信息泄露事件，安華金和對(duì)烏云歷史報(bào)道的社保行業(yè)相關(guān)漏洞進(jìn)行集中分析，得出的結(jié)論為：大量的信息泄露主要由軟件中存在的SQL注入漏洞引起，而且由外部黑客入侵引起。

實(shí)際上根據(jù)安華金和對(duì)社保行業(yè)的掌握情況，不僅僅是外部黑客，同時(shí)社保內(nèi)部的運(yùn)維人員、第三方的開(kāi)發(fā)人員、甚至社保系統(tǒng)的業(yè)務(wù)人員都可以通過(guò)直連到數(shù)據(jù)庫(kù)，查看或修改相關(guān)信息，從而引起社保數(shù)據(jù)的批量泄露或篡改。

這些問(wèn)題的解決需要一個(gè)系統(tǒng)化的方法，包括管理制度上的改善、安全意識(shí)的增強(qiáng)、更嚴(yán)謹(jǐn)?shù)膽?yīng)用代碼、更為安全的網(wǎng)絡(luò)體系結(jié)構(gòu);但從專業(yè)的數(shù)據(jù)庫(kù)安全廠商角度來(lái)看，社保的數(shù)據(jù)庫(kù)安全本身就存在極大的漏洞，特別是社保信息在提供外網(wǎng)訪問(wèn)時(shí)，更是容易被拖庫(kù)。

數(shù)據(jù)泄露類的安全問(wèn)題的分析如下：

(1)外部黑客攻擊者進(jìn)行社保信息竊取

黑客攻擊者一般有兩種手段進(jìn)行數(shù)據(jù)的竊?。?/P>

一是入侵到網(wǎng)絡(luò)后，能夠直接訪問(wèn)數(shù)據(jù)庫(kù)服務(wù)器，進(jìn)行刷庫(kù)直接拷貝數(shù)據(jù)文件，再進(jìn)行異地的數(shù)據(jù)還原。

二是利用應(yīng)用系統(tǒng)的漏洞，通過(guò)sql注入，完成對(duì)社保人員信息的批量下載，這種方式是當(dāng)前暴漏出來(lái)的案例中的主要方式。

(2)系統(tǒng)維護(hù)或第三方開(kāi)發(fā)人員權(quán)限過(guò)高

負(fù)責(zé)數(shù)據(jù)庫(kù)的維護(hù)管理，直接掌握數(shù)據(jù)庫(kù)DBA用戶的口令。DBA 既負(fù)責(zé)各項(xiàng)系統(tǒng)維護(hù)管理工作，又可以隨時(shí)查詢數(shù)據(jù)庫(kù)中的一切敏感信息;這些人員被他人利用，完全可以隨時(shí)登陸數(shù)據(jù)庫(kù)，任意進(jìn)行社保信息的訪問(wèn)。

而社保系統(tǒng)的第三方開(kāi)發(fā)人員，由于對(duì)系統(tǒng)的熟悉度更高，往往可以通過(guò)程序中的后門程序或直接訪問(wèn)數(shù)據(jù)庫(kù)的機(jī)會(huì)獲得數(shù)據(jù)。

陜西移動(dòng)1300萬(wàn)的數(shù)據(jù)泄露，就是開(kāi)發(fā)方人員聯(lián)創(chuàng)的人員種植的后門程序，引起的信息泄露。

(3)數(shù)據(jù)庫(kù)文件采用明文存儲(chǔ)，拷貝到數(shù)據(jù)文件后引起整體泄露

當(dāng)前的主流數(shù)據(jù)庫(kù)中，數(shù)據(jù)文件都是以明文形式進(jìn)行存儲(chǔ)的。內(nèi)部人員或外部黑客入侵者很容易利用這一漏洞，拿到社保數(shù)據(jù)庫(kù)的數(shù)據(jù)文件或備份文件，進(jìn)行異地還原或使用專門的數(shù)據(jù)解析工具，獲得全部社保信息。

近年，有諸多典型的泄密事件，都是通過(guò)直接利用文件層的存儲(chǔ)漏洞竊取數(shù)據(jù);例如小米論壇800萬(wàn)用戶信息泄密是由于黑客進(jìn)行刷庫(kù)拿到數(shù)據(jù)文件、CSDN1000多萬(wàn)客戶信息泄密，是由于備份磁盤被人拿到后利用。

數(shù)據(jù)篡改類的安全問(wèn)題的分析如下：

(1) 非法高權(quán)限維護(hù)人員的違規(guī)篡改

在社保數(shù)據(jù)庫(kù)系統(tǒng)維護(hù)過(guò)程中，有大量的維護(hù)人員賬戶，以及第三方人員使用的賬戶。為了使用方便，DBA在給這些賬戶分配權(quán)限時(shí)，往往簡(jiǎn)化處理，直接給予DBA角色的權(quán)限，或者能隨時(shí)訪問(wèn)敏感社保信息的高權(quán)限角色。

掌握這些賬戶口令的人員，一旦出于經(jīng)濟(jì)利益或其他原因被人利用，便隨時(shí)可以進(jìn)行參保人員的工資、賬戶余額等經(jīng)濟(jì)數(shù)據(jù)信息的篡改。

(2) 利用合法維護(hù)人員的身份進(jìn)行違規(guī)篡改

合法的維護(hù)人員由于工作需要，本來(lái)就應(yīng)該具備修改工資、賬戶余額的權(quán)限。一旦這些人員被人利用，或者其他人掌握了合法維護(hù)人員的口令后，仍然可以任意進(jìn)行敏感社保數(shù)據(jù)的篡改。

且現(xiàn)有的機(jī)制無(wú)法準(zhǔn)確追蹤到操作者具體是誰(shuí)，只能知道使用哪個(gè)數(shù)據(jù)庫(kù)賬戶進(jìn)行了數(shù)據(jù)修改操作。

(3) 合法維護(hù)人員的誤操作

合法維護(hù)人員由于種種原因，也有可能產(chǎn)生社保數(shù)據(jù)修改的誤操作，導(dǎo)致修改結(jié)果不正確。

現(xiàn)有機(jī)制也無(wú)法準(zhǔn)確審計(jì)到合法維護(hù)人員每次修改行為的詳細(xì)過(guò)程，比如修改前的值，修改后的值等，一旦發(fā)生誤操作可能無(wú)法還原及修正。

安華金和作為一家專業(yè)的數(shù)據(jù)庫(kù)安全廠商，在社保行業(yè)問(wèn)題頻頻暴露的過(guò)程中，已經(jīng)就其中問(wèn)題與社保行業(yè)的用戶和廠商進(jìn)行過(guò)多次溝通，根據(jù)雙方的共同討論，形成了一些具體的解決方案，并在一些省市開(kāi)始應(yīng)用;如下是一個(gè)典型的地市的解決方案：

其中外網(wǎng)區(qū)域，安華金和提出主要通過(guò)部署數(shù)據(jù)庫(kù)防火墻和數(shù)據(jù)庫(kù)加密系統(tǒng)提供防護(hù);通過(guò)數(shù)據(jù)庫(kù)防火墻可以防止sql注入、防止批量下載和防止后門程序;通過(guò)數(shù)據(jù)庫(kù)加密，使存儲(chǔ)在外網(wǎng)的數(shù)據(jù)庫(kù)中的關(guān)鍵信息在存儲(chǔ)層是密文狀態(tài)，從而防止文件層的拖庫(kù)。

數(shù)據(jù)庫(kù)防火墻，不同于傳統(tǒng)的防火墻，傳統(tǒng)的防火墻無(wú)法防止SQL注入等共計(jì)手段;數(shù)據(jù)庫(kù)防火墻也不同于web防火墻，web防火墻實(shí)際上有很多的應(yīng)用限制，有很多的sql注入繞開(kāi)手段，web防火墻也無(wú)法做到防止批量下載和后門程序。

而數(shù)據(jù)庫(kù)防火墻可以對(duì)數(shù)據(jù)庫(kù)的通訊過(guò)程進(jìn)行精確的解析和控制;對(duì)于sql注入本身比web防火墻可以攔截的更為徹底;同時(shí)可以對(duì)社保應(yīng)用建立應(yīng)用特征模型，建立社保正常訪問(wèn)語(yǔ)句的抽象表達(dá)，對(duì)每種語(yǔ)句的返回總量進(jìn)行控制;從而防止批量下載和后門程序。

而數(shù)據(jù)庫(kù)加密產(chǎn)品，不同于磁盤加密和文件加密;后兩種技術(shù)，在數(shù)據(jù)庫(kù)啟動(dòng)后，完全無(wú)法防止用戶的拖庫(kù)行為。

對(duì)于維護(hù)域，安華金和提出部署數(shù)據(jù)庫(kù)防火墻和數(shù)據(jù)庫(kù)審計(jì);數(shù)據(jù)庫(kù)防火墻主要對(duì)于運(yùn)維側(cè)的人員(包括運(yùn)維或開(kāi)發(fā)人員)的行為進(jìn)行管控，通過(guò)金庫(kù)模式等方法在運(yùn)維側(cè)人員批量訪問(wèn)敏感表，或進(jìn)行特殊表的數(shù)據(jù)變更時(shí)，引入審批控制流程。而數(shù)據(jù)庫(kù)審計(jì)可以記錄下來(lái)所有人員的數(shù)據(jù)庫(kù)訪問(wèn)行為;可以突破應(yīng)用層限制，將SQL語(yǔ)句與業(yè)務(wù)人員身份有效關(guān)聯(lián)，在發(fā)生安全事件后，形成有效追蹤。

更多信息請(qǐng)查看IT技術(shù)專欄