2020年5月建设银行员工(gōng)贩卖5万多(duō)条客户个人信息、電(diàn)话号码、余额甚至交易记录售卖给下家，进行谋利。

2020年8月，不法分(fēn)子与圆通快递多(duō)位“内鬼”勾结，导致40万条公(gōng)民(mín)个人信息被泄露。紧接着有(yǒu)媒體(tǐ)连日调查发现，此现象不止圆通一家，网上存在贩卖快递用(yòng)户信息的“黑产(chǎn)”链条，涉及申通、德(dé)邦、EMS、韵达等多(duō)家快递公(gōng)司。大量包含快递客户姓名(míng)、住址、電(diàn)话的信息被打包在网上出售，每条售价从0.8元至10元不等…

以上只是数据库安(ān)全事件中(zhōng)的冰山(shān)一角，其中(zhōng)如企业内部DBA删库跑路、恶意报复类事件更是屡见不鲜。用(yòng)户个人信息等企业敏感数据被批量泄露、恶意删除或于暗网售卖等现象层出不穷，无不揭示当前各行业的一个普遍现状，即企业对内部的数据安(ān)全防范意识淡薄，数据安(ān)全相关工(gōng)作(zuò)落实不到位！

刨析企业内部数据安(ān)全风险

1、企业数字化转型带来时代性安(ān)全风险

随着企业数据化转型的加速发展，数据俨然已成為(wèi)企业最有(yǒu)价值的资产(chǎn)。现如今数据不再是传统意义上的静态存储，為(wèi)了支撑企业业務(wù)发展，逐渐演变成数据交换、共享变得愈加频繁的发展趋势。因此，如何实现数据在“流动过程中(zhōng)创造价值”的同时，保障数据安(ān)全，防止发生上述数据泄露的安(ān)全事件，是企业可(kě)持续发展中(zhōng)面临的重要课题。

2、企业数据运维场景复杂性带来安(ān)全风险

在数据运维场景中(zhōng)，可(kě)以分(fēn)两个方向考虑，一个是数据运维场景复杂，一个是运维人员权限宽泛。随着企业发展，机房建设、人员波动、业務(wù)系统扩容会变得愈加频繁，带来了复杂的运维场景，例如公(gōng)用(yòng)数据库账号、公(gōng)用(yòng)运维主机、公(gōng)用(yòng)的操作(zuò)系统账号等；与此同时，数据的运维管理(lǐ)工(gōng)作(zuò)仍是传统的“企业运维人员+一大堆第三方厂商(shāng)人员”模式。面对如此复杂、混乱的运维场景，如果不具(jù)备有(yǒu)效的、细粒度的管控能(néng)力，那么诸如数据被误操作(zuò)、恶意批量删除、高权限用(yòng)户的滥用(yòng)、敏感数据的泄露等数据安(ān)全事件的发生，将难以避免，并对企业造成不可(kě)估量的经济损失与声誉损害。

3、企业数据安(ān)全落实不到位带来安(ān)全风险

（1）传统网络安(ān)全手段无法满足当今的数据安(ān)全需求

传统的网络安(ān)全访问控制，都是基于“安(ān)全體(tǐ)系以网络為(wèi)中(zhōng)心”的立场，主要涉及网络安(ān)全域、防火墙、网络访问控制等场景，特别是以堡垒机為(wèi)代表的企业内部运维的网络访问控制设备被大量使用(yòng)，访问控制元素包含：运维用(yòng)户、运维客户端地址、资源地址、协议、时间，基于列举的这些元素，不难看出网络层的安(ān)全控制还是以通过划分(fēn)独立数据网络區(qū)域和运维管理(lǐ)區(qū)域為(wèi)主导，以IP资源（协议端口）為(wèi)对象来构建网络层的安(ān)全，这样的控制力度较為(wèi)宽泛，是涵盖不了如今以“数据”為(wèi)中(zhōng)心构建的资产(chǎn)體(tǐ)系带来的数据流动、交换、访问等更為(wèi)复杂、精(jīng)细的场景。

而基于“安(ān)全體(tǐ)系以数据為(wèi)中(zhōng)心”的数据安(ān)全理(lǐ)念则更贴近安(ān)全目标，因為(wèi)数据安(ān)全主要依靠的是一种“协议解析”技(jì )术，对数据库流量协议数据包进行全协议解码，从数据库协议、应用(yòng)协议中(zhōng)抽取出更為(wèi)细粒度的SQL语句以及应用(yòng)客户端、访问源IP、目标数据库IP、数据库用(yòng)户、数据库实例等信息，以该技(jì )术為(wèi)基础进行数据级的细粒度控制手段，才能(néng)满足企业内部数据传输、数据访问、数据处理(lǐ)的更高细粒度的访问准入控制要求。

（网络控制元素与协议解析控制元素举例比对）

（2）数据库自身权限控制无法有(yǒu)效落实数据安(ān)全工(gōng)作(zuò)

在数据库中(zhōng)有(yǒu)两类账户，一类是管理(lǐ)员账户，另外一类是普通账户。这两类账户若只依托于数据库自身权限的管理(lǐ)控制，就会造成DBA高权限账户的权限不在控制范围内，存在安(ān)全漏洞；对于普通账户如果依托于数据自身权限的管理(lǐ)，是无法控制普通用(yòng)户关于数据库下的字段级、数据级、访问响应返回等细粒度访问权限的控制。且数据库自身审计日志(zhì)存储周期有(yǒu)限，无法為(wèi)企业管理(lǐ)工(gōng)作(zuò)提供有(yǒu)效的事后追溯、统计分(fēn)析等关键能(néng)力，再加上我们上述提到的数据运维场景的复杂性，如果存在高权限账户的滥用(yòng)、普通账户的越权使用(yòng)、数据库密码泄露等问题，那么数据库自身权限的控制能(néng)力面对复杂的数据运维场景只能(néng)捉襟见肘。

综上，安(ān)华金和推出以协议解析技(jì )术為(wèi)基础的数据库运维管理(lǐ)系统DOMS，作(zuò)為(wèi)独立于企业外第三方的一款安(ān)全产(chǎn)品，在满足合规的同时，从企业内部数据实际运维场景出发，以数据资产(chǎn)為(wèi)核心，独立于数据库自身权限以外，為(wèi)企业内部数据库的安(ān)全构建更加全面、细粒度的安(ān)全访问防控能(néng)力，有(yǒu)效落实企业内部数据运维安(ān)全管控方面的工(gōng)作(zuò)，希望以安(ān)华十逾年数据安(ān)全治理(lǐ)经验，為(wèi)流通、共享数据的安(ān)全建设提供更多(duō)可(kě)借鉴的思路。

在下一篇文(wén)章中(zhōng)，安(ān)华金和数据安(ān)全专家将详细介绍通过DOMS落实企业内部数据运维管理(lǐ)工(gōng)作(zuò)的解决思路与方案内容，敬请关注安(ān)华金和官方订阅号。