三、银行业数据安全设计思路

　　为了解决商行数据库在防攻击、防篡改、防丢失、防泄密、防超级权限等问题上。安华金和建议针对商行数据库安全进行整体设计与规划，从数据库安全的三维角度“事前、事中、事后”出发，共同形成整体的数据库纵深防护体系。来确保银行数据库安全防范措施的有效落实。

　　事前诊断

　　通过数据库漏扫技术，有效检测数据库已知漏洞，并有效修复。

　　数据库漏扫技术——银行管理人员定期进行数据库安全检查，防患于未然，对数据库安全风险进行综合评估，对生产网、开发网、办公网、互联网DMZ中数据库的安全现状进行全面检测，防范于未然。检查项应包括：弱口令、缺省口令、弱安全策略、权限宽泛、敏感数据发现、权限提升漏洞、补丁升级等，评估是否存在安全漏洞并提供修复建议，为银行数据库系统的安全基线提升提供整体有效的参考。

　　事中控制

　　通过数据库防火墙技术，防范数据库攻击，有效阻断数据库违规行为。

　　数据库防火墙技术——银行核心应用系统、运维人员访问数据库的行为，应采用数据库防火墙技术进行过滤，从访问源头来保护数据，监测数据库的访问，防止高危和未授权的访问、SQL 注入、权限或角色的非法提升以及对敏感数据的非法访问等行为，并通过虚拟补丁技术避免数据库因为不能进行补丁升级而造成的恶意访问。

　　事后取证

　　采用数据库审计技术解决安全取证难的问题，让攻击和违规行为无处可遁。

　　数据库审计技术——实时记录网络上的数据库活动，对数据库操作进行细粒度审计，对数据库遭受到的风险行为进行告警。它通过对用户访问数据库行为的记录、分析，帮助用户事后生成合规报告、事故追根溯源，同时加强内外部数据库网络行为记录，提高数据资产安全。

　　鉴于上述解决思路，可针对相关系统按照数据库实际需求进行部署和实施。

　　四、银行业数据安全建设方案

　　某银行(已进行脱密处理)核心数据库在全行范围内是负责银行数据存储和处理核心设施，经过评估一旦核心数据机密性、完整性、可用性遭受损失，将会给社会秩序甚至国家安全造成严重损害。银行因此委托了专业的数据库安全厂商，提出了以下4点安全目标：

　　1) 向合法用户提供可靠信息服务;

　　2) 拒绝非法用户对数据库的访问;

　　3) 拒绝对数据库执行高危操作

　　4) 跟踪数据库使用记录，为合规性、安全责任审查提供证据。

▲商行数据库安全部署图

　　遵循国家标准，根据某银行业务分析和安全评估结果，结合4章节设计思路，从以下几个层面进行数据库安全技术部署：

　　1) 事前——数据库安全在线评估：在银行广域网交换机旁路实施数据库漏扫技术，对互联网接入区、核心业务区、业务开发区中数据库进行全面的漏洞和安全配置评估，对数据库弱口令、缺省口令、弱安全策略、权限宽泛、敏感数据发现、权限提升漏洞、补丁升级等提供修复建议，为银行数据库系统的安全强壮度提升提供整体有效的参考。

　　2) 事中——数据库安全运维管控：在银行运维管理区前端串接实施数据库防火墙技术，可有效管控运维区域内第三方人员、业务开发人员、运维人员访问数据库的行为，并对SQL 注入、越权、非授权、敏感数据访问、超量访问等非法行为予以阻断，并通过虚拟补丁技术有效阻断针对数据库漏洞的攻击行为。

　　3) 事后——数据库安全合规监察：在银行核心的数据库前端旁路实施数据库安全合规监察技术，不改变数据库系统的任何设置的情况下对数据库的操作实现跟踪记录、定位，实现数据库的在线监控，在不影响数据库系统自身性能的前提下，实现对数据库的在线监控和保护，及时地发现网络上针对数据库的违规操作行为并进行记录、报警和实时阻断，有效地弥补现有应用业务系统在数据库安全使用上的不足，为数据库系统的安全运行提供了有力保障。

　　通过上述解决方案，有效解决了某银行数据安全所面临的威胁，在满足国家合规性的基础上大大提升了数据库安全强度。

　　结束语

　　数据库安全是银行业信息系统必不可少的组成部分，而数据库技术已经成为世界信息安全领域的一个重点。本文根据银行业安全现状，结合数据库安全技术，首次提出了适用于银行业业务系统特色的“事前检查、事中控制、时候审计”三维安全体系，较好的解决了系统数据库安全技术滞后的问题，有效的对未知安全事件进行防御。上述的安全思路和解决可以有效的保障银行业数据安全落到实处，使得银行建立良好积极的正面形象。