杭州美创CAAA敏感信息安全保护解决方案2015.ppt

* 美创科技 MeiChuang @2015 美创科技 MeiChuang * 美创科技 MeiChuang @2015 * 美创科技 MeiChuang @2015 闻建霞 wenjx@ 杭州美创科技有限公司 敏感信息保护解决方案 Trust CAPAA System V2.0 解决方案思路 2 美创科技敏感数据保护解决方案 3 敏感数据保护的推动力 1 本质上而言，几乎所有的安全措施都应该是围绕着敏感信息保护存在。 在现实生活中，我们对于私密空间加锁，对于重要的财产和物品放置在隐秘的地方，往往还会加锁以防止其他人员意外接触。 为什么敏感信息需要被保护？ 商业秘密 核心机密 重要财产 隐私数据 法规遵循 黑客入侵 越权访问 密码被盗…… 巨大的商业价值 开发商人员管理 保护，审计或者同时存在？ 在生活中，我们几乎都会采用加锁的方式来保护敏感信息。少数环境下，我们会增加摄像头之类的设备进行监视。 也许在技术上的困难导致了目前在信息系统中敏感信息审计优先于敏感信息保护 敏感数据 登陆 访问 审计 第三方服务人员如何管理 误删除如何恢复 如何禁止危险操作 发现异常访问如何及时通知…… 全面审计 审计信息量过大 …… 敏感信息审计的困境 很少有审计系统可以执行全面的审计，几乎总是存在不可审计的场景，现实中摄像头总有死角。 当安全事件发生之后，对于安全事件处理人员要求很高，很少有机构可以满足安全事件处理的快速响应。 想象一下穿着蒙面的黑衣黑帽的银行ATM机取款场景。 只能事后 追查威慑 无法提前预防 易被旁路 无法全面审计 无法阻断 B/S应用无法获取终端 监控不清晰 蒙面的黑衣人 缺少监控 只有报警才能处理 监控有盲区 无法识别假冒应用 海量审计 处理延迟 解决方案思路 2 美创科技敏感数据保护解决方案 3 敏感数据保护的推动力 1 安全基础：敏感信息保护 敏感 数据 数据库 操作系统 服务器 内网 外网 防火墙 敏感信息保护是信息安全的基础性工作 等级保护三级明确要求对于敏感信息进行独立管理 敏感信息保护实现流程 管理 敏感信息 事先预防 1 2 事后审计 3 对不符合访问规则的操作进行阻断； 发现异常及时告警 授权管理…… 基于规则的审计 统一的事件搜索引擎 个性化订阅、个性化报表 …… 事中控制 敏感性操作也需要进行保护 Change password Grant DBA Change View Drop Table Change Package Truncate Table Create User 其他敏感操作 敏感操作 1、Drop Table，Truncate Table等敏感操作会带来巨大的业务伤害和信息丢失问题，即使在严谨的银行业，误操作也时有发生。 2、Grant DBA等敏感操作是数据库管理失控的先兆，也是入侵者最喜欢的操作 3、仅仅监视敏感操作是不够的，敏感操作需要加以保护，同敏感信息一样实现事先防范，事中阻断和告警，事后审计和报表。 敏感信息保护的关键挑战 敏感信息保护 1、敏感信息私有化是敏感信息保护的先决条件 2、社交网络攻击 3、DBA的先天敏感信息访问能力限制 4、应用程序注入攻击和假冒 5、Schema User的敏感信息访问能力限制 6、SQL注入攻击 7、运维用户的无意识或者有意识访问敏感信息 私有化 DBA 运维 用户 社交网络攻击 应用程序注入攻击 SQL注入攻击 Schema User 解决方案思路 2 美创科技敏感数据保护解决方案 3 敏感数据保护的推动力 1 美创科技敏感信息保护解决方案 多因素 访问控制 敏感信息 事先预防 事中控制 及时通知 事后审计 事后 事先 事中 敏感信息私有化， 脱离Schema User的控制 敏感信息加壳， 形成敏感信息堡垒 只有被授权的用户 才可以访问敏感信息 未知因素的主动性防御 阻断千变万化的外部入侵 敏感信息进行标签管理， 简化身份访问 SQL 注入检测和防御 应用程序注入检测和防御 分权管理、权限细化 违规报告 企业用户访问控制 应用程序透明 基于规则的访问控制 分权管理 特权用户管理 访问应用管理 敏感资产分类 敏感资产的拥有者，替代数据库中的Schema User存在。 数据管理分权机制 CA owner 管理数据库日常运行和监视。可以进一步细分为帐户创建、帐户管理、运行维护不同的DBA角色 DBA 管理敏感资产，负责敏感资产创建、分类、归属、授权和审计。可以进一步细分为创建、授权、审计等角色。 安全管理员 生产数据库 安全服务器 MD5值不相同 MD5值不相同 MD5值不相同 MD5值不同 MD5值相同 MD5值