2023年8月1日发(作者：)

word格式-可编辑-感谢下载支持

安华金和数据库安全公积金

行业解决方案

一. 客户需求与挑战

住房公积金管理中心拥有住房公积金、补贴、贷款有关人员和单位的信息档案，住房公积金归集的归集和使用，处理从开户、缴交、保全、转移、支取直至销户等一系列日常业务，住房贷款的客户管理、开发商管理、小区及楼盘管理、业务申办管理等多个重要的数据库。核心数据库目前存在明显的安全威胁，可能导致严重的数据库安全事故发生。

以下是面临的挑战：

（1）内部：贷款人员信息批量泄密的风险

 数据库DBA：可直接访问数据库，随时导出所有贷款数据；

 实施维护人员/开发人员：可能通过掌握的数据库账户口令，绕开业务系统，直接访问贷款数据库

 测试人员：访问测试库，照样可以看到所有真实的贷款数据；

（2）内部：重要贷款数据被恶意或误操作批量修改、删除的风险

 数据库DBA：可随时任意访问数据库，直接修改篡改人事信息；

 实施维护人员/开发人员：

可能通过掌握的数据库账户口令，直接访问人事数据库，修改贷款信息；

（3）外部：通过B/S的应用为跳板，直接攻击数据库，进行刷库

外部攻击人员：以外网应用系统作为跳板，利用数据库的漏洞，直接进行sql注入或提升权限等操作，批量获得批量贷款数据； word格式-可编辑-感谢下载支持

二. 解决方案概述及要点描述

建立公积金系统使用数据库防火墙产品+数据库审计产品，全面实现主动防御和事后审计追踪相结合、全方位防护内部、外部、第三方运维人员对敏感公积金数据的安全防护。思路如下：

1. 主动防御：明确识别住房公积金管理中心哪些数据属于敏感信息。

2. 底线防守：严格细化敏感数据的访问控制，主动预防批量公积金信息的泄露、恶意篡改。

 运维人员的防控

 数据库外部入侵防护

3. 事后追查：全面审计，对非法批量导出、恶意篡改进行及时告警，实现有效地追责定责。

接口区信息中心维护厂商业务处室地市级公积金中心（生产区)维护人员区县窗口社保厂商信息中心业务处室窗口客户端直接连市局数据库应用服务器区PL/SQL客户端直接访问房管Webservice公共区个人贷款归集支付系统系统客户管理系统EDI数据交换银行数据抽取数据库防火墙审计流量镜像户籍税务贷款库归集支付库客户信息库服数务据器库区数据库 审计

图1公积金行业数据库安全部署图

安华金和建议公积金行业客户逐步建立并完善数据库安全防护，从应用侧和运维侧两方面对数据库展开安全防护。

（1）运维侧：通过数据库防火墙精细访问控制

防护目标：通过运维侧串联部署数据库防火墙，防止接口区运维人员、信息中心、厂商、业务处人员等在运维过程中造成的恶意篡改资金数据操作、批量导出客户隐私信息、高危误操作。

1） 防止恶意资金篡改操作

数据库防火墙具备灵活的访问策略配置，以及阻断、告警能力。 word格式-可编辑-感谢下载支持

通过对最敏感的资金、账户、缴纳信息项，定制严格的访问控制策略，限制在指定IP、指定工具名称、合法的账户情况下才能执行。

否则直接进行阻断或拦截，并告警通知。

2） 防止批量导出客户信息

利用数据库防火墙中的返回行数和影响行数控制，可进行数据查看行数进行阀值控制。一旦超标，则仅返回阀值范围内的信息，并及时告警通知。

3） 防止高危误操作

数据库防火墙提供比数据库系统自身更详细的访问控制能力。控制策略包括：用户+操作+对象+时间。在控制操作中增加了update Nowhere、delete Nowhere等高危操作；

一旦发现资金、客户信息等敏感数据表有可疑高危操作，可疑直接拦截。

（2）应用侧：通过数据库审计进行安全监控与审计

防护目标：防止刷库等外部入侵行为，通知对违规行为进行准确的追责、定责。

A、外部入侵防护

数据库监控与审计设备，具备上百种数据库外部攻击的规则和知识库，包括SQL注入、权限提升、缓冲区溢出等等。完全可以及时监控到通过B/S应用系统作为跳板，利用数据库的漏洞，直接进行sql注入或提升权限等操作，批量刷库获得客户隐私数据；

B、全面精准的审计追踪

数据库监控与审计设备可以提供最精确、详细的敏感操作访问信息。包括：操作者、IP来源、使用的工具(或程序名称)、访问的对象、访问时间、SQL语句、执行结果（成功、失败和详细的失败原因）、被影响的记录等。

4） 无论是来自应用端、还是维护侧所有人员的数据访问信息都将被记录，一旦发生资金异动或泄密事件，可以有效的进行追踪定责。

通过上述解决方案，有效解决了某公积金数据安全所面临的威胁，在满足国家合规性的基础上大大提升了数据库安全强度。

三. 方案客户价值呈现

 有效免责：将敏感数据的访问、维护权限控制在最小范围，规避DBA及高权限维护开发人员无法逃脱被怀疑的尴尬。

 准确定责：能准确定位造成敏感数据发生异动的人员，无论是内部，还是第三方维护开发人员。

 全面覆盖：覆盖能接触到核心贷款数据库的各类人群

 防止数据库中的贷款人员信息批量泄漏。

 完善信息审计：一方面满足合规要求，另一方面可以进行对行为事后追溯； word格式-可编辑-感谢下载支持

四. 方案优势

 提升数据库安全整体防御效果，有效抵御各类攻击。

 维护和提升公积金机构的形象和公信力；

 解决运维人员专业安全分析能力不足问题；

 协助安全事件取证以及事后追溯；

 防止贷款人敏感信息丢失或泄露；

2023年8月1日发(作者：)

word格式-可编辑-感谢下载支持

安华金和数据库安全公积金

行业解决方案

一. 客户需求与挑战

住房公积金管理中心拥有住房公积金、补贴、贷款有关人员和单位的信息档案，住房公积金归集的归集和使用，处理从开户、缴交、保全、转移、支取直至销户等一系列日常业务，住房贷款的客户管理、开发商管理、小区及楼盘管理、业务申办管理等多个重要的数据库。核心数据库目前存在明显的安全威胁，可能导致严重的数据库安全事故发生。

以下是面临的挑战：

（1）内部：贷款人员信息批量泄密的风险

 数据库DBA：可直接访问数据库，随时导出所有贷款数据；

 实施维护人员/开发人员：可能通过掌握的数据库账户口令，绕开业务系统，直接访问贷款数据库

 测试人员：访问测试库，照样可以看到所有真实的贷款数据；

（2）内部：重要贷款数据被恶意或误操作批量修改、删除的风险

 数据库DBA：可随时任意访问数据库，直接修改篡改人事信息；

 实施维护人员/开发人员：

可能通过掌握的数据库账户口令，直接访问人事数据库，修改贷款信息；

（3）外部：通过B/S的应用为跳板，直接攻击数据库，进行刷库

外部攻击人员：以外网应用系统作为跳板，利用数据库的漏洞，直接进行sql注入或提升权限等操作，批量获得批量贷款数据； word格式-可编辑-感谢下载支持

二. 解决方案概述及要点描述

建立公积金系统使用数据库防火墙产品+数据库审计产品，全面实现主动防御和事后审计追踪相结合、全方位防护内部、外部、第三方运维人员对敏感公积金数据的安全防护。思路如下：

1. 主动防御：明确识别住房公积金管理中心哪些数据属于敏感信息。

2. 底线防守：严格细化敏感数据的访问控制，主动预防批量公积金信息的泄露、恶意篡改。

 运维人员的防控

 数据库外部入侵防护

3. 事后追查：全面审计，对非法批量导出、恶意篡改进行及时告警，实现有效地追责定责。

接口区信息中心维护厂商业务处室地市级公积金中心（生产区)维护人员区县窗口社保厂商信息中心业务处室窗口客户端直接连市局数据库应用服务器区PL/SQL客户端直接访问房管Webservice公共区个人贷款归集支付系统系统客户管理系统EDI数据交换银行数据抽取数据库防火墙审计流量镜像户籍税务贷款库归集支付库客户信息库服数务据器库区数据库 审计

图1公积金行业数据库安全部署图

安华金和建议公积金行业客户逐步建立并完善数据库安全防护，从应用侧和运维侧两方面对数据库展开安全防护。

（1）运维侧：通过数据库防火墙精细访问控制

防护目标：通过运维侧串联部署数据库防火墙，防止接口区运维人员、信息中心、厂商、业务处人员等在运维过程中造成的恶意篡改资金数据操作、批量导出客户隐私信息、高危误操作。

1） 防止恶意资金篡改操作

数据库防火墙具备灵活的访问策略配置，以及阻断、告警能力。 word格式-可编辑-感谢下载支持

通过对最敏感的资金、账户、缴纳信息项，定制严格的访问控制策略，限制在指定IP、指定工具名称、合法的账户情况下才能执行。

否则直接进行阻断或拦截，并告警通知。

2） 防止批量导出客户信息

利用数据库防火墙中的返回行数和影响行数控制，可进行数据查看行数进行阀值控制。一旦超标，则仅返回阀值范围内的信息，并及时告警通知。

3） 防止高危误操作

数据库防火墙提供比数据库系统自身更详细的访问控制能力。控制策略包括：用户+操作+对象+时间。在控制操作中增加了update Nowhere、delete Nowhere等高危操作；

一旦发现资金、客户信息等敏感数据表有可疑高危操作，可疑直接拦截。

（2）应用侧：通过数据库审计进行安全监控与审计

防护目标：防止刷库等外部入侵行为，通知对违规行为进行准确的追责、定责。

A、外部入侵防护

数据库监控与审计设备，具备上百种数据库外部攻击的规则和知识库，包括SQL注入、权限提升、缓冲区溢出等等。完全可以及时监控到通过B/S应用系统作为跳板，利用数据库的漏洞，直接进行sql注入或提升权限等操作，批量刷库获得客户隐私数据；

B、全面精准的审计追踪

数据库监控与审计设备可以提供最精确、详细的敏感操作访问信息。包括：操作者、IP来源、使用的工具(或程序名称)、访问的对象、访问时间、SQL语句、执行结果（成功、失败和详细的失败原因）、被影响的记录等。

4） 无论是来自应用端、还是维护侧所有人员的数据访问信息都将被记录，一旦发生资金异动或泄密事件，可以有效的进行追踪定责。

通过上述解决方案，有效解决了某公积金数据安全所面临的威胁，在满足国家合规性的基础上大大提升了数据库安全强度。

三. 方案客户价值呈现

 有效免责：将敏感数据的访问、维护权限控制在最小范围，规避DBA及高权限维护开发人员无法逃脱被怀疑的尴尬。

 准确定责：能准确定位造成敏感数据发生异动的人员，无论是内部，还是第三方维护开发人员。

 全面覆盖：覆盖能接触到核心贷款数据库的各类人群

 防止数据库中的贷款人员信息批量泄漏。

 完善信息审计：一方面满足合规要求，另一方面可以进行对行为事后追溯； word格式-可编辑-感谢下载支持

四. 方案优势

 提升数据库安全整体防御效果，有效抵御各类攻击。

 维护和提升公积金机构的形象和公信力；

 解决运维人员专业安全分析能力不足问题；

 协助安全事件取证以及事后追溯；

 防止贷款人敏感信息丢失或泄露；