寫給從事IT運(yùn)維管理的兄弟

“重建設(shè) 輕管理”一直是我國(guó)各行業(yè)信息化發(fā)展的主要困境，這個(gè)問題在數(shù)據(jù)庫系統(tǒng)的建設(shè)、運(yùn)維管理工作中同樣存在。近年來，這種局面造成的后果已開始明顯顯現(xiàn)：各類來自內(nèi)部或第三方外包人員的數(shù)據(jù)泄露、丟失和被篡改事件頻頻發(fā)生，由此導(dǎo)致的珍貴數(shù)據(jù)資產(chǎn)損失和相關(guān)系統(tǒng)功能癱瘓等情況，如同緊箍咒一般，三不五時(shí)地刺激著運(yùn)維部門本就緊繃的神經(jīng)。

數(shù)據(jù)庫運(yùn)維安全現(xiàn)狀

數(shù)據(jù)庫運(yùn)維人員需要承擔(dān)數(shù)據(jù)庫系統(tǒng)的權(quán)限分配、故障處理、性能優(yōu)化、數(shù)據(jù)遷移備份等工作任務(wù)，這些關(guān)鍵環(huán)節(jié)中，如果出現(xiàn)任何紕漏，都可能導(dǎo)致不可逆的數(shù)據(jù)資產(chǎn)損失或其他不良后果。由于缺乏細(xì)粒度的管控手段，數(shù)據(jù)庫運(yùn)維工作普遍存在內(nèi)部人員、甚至第三方外包人員間的賬號(hào)共享、主機(jī)共享、高權(quán)限賬戶濫用等情況，加之人工操作無法保證100%的準(zhǔn)確度，數(shù)據(jù)庫日常運(yùn)維操作面臨以下一系列安全風(fēng)險(xiǎn)：

• 操作身份不明確
• 操作過程不透明
• 操作內(nèi)容不可知
• 操作行為不可控
• 操作事故不可溯等

面向不同的數(shù)據(jù)庫運(yùn)維場(chǎng)景，操作申請(qǐng)人、執(zhí)行人、審批人、操作對(duì)象、操作內(nèi)容各不相同，如何提高對(duì)數(shù)據(jù)庫運(yùn)維操作的把控力?實(shí)現(xiàn)“透明化”管理是運(yùn)維主管心目中的好答案。因此，專業(yè)的數(shù)據(jù)庫安全運(yùn)維系統(tǒng)應(yīng)運(yùn)而生。

圖1.數(shù)據(jù)庫安全運(yùn)維系統(tǒng)的全流程管控模式

事前審批-為運(yùn)維管理者提供專業(yè)的統(tǒng)一平臺(tái)

為了規(guī)范內(nèi)部人員及第三方外包人員對(duì)數(shù)據(jù)庫的訪問管控，不少企業(yè)的管理部門已制定相關(guān)要求，這里概括為以下幾個(gè)重點(diǎn)：

1、運(yùn)維人員身份鑒別：通過雙因素認(rèn)證機(jī)制，解決數(shù)據(jù)庫賬戶共享、運(yùn)維主機(jī)共享的場(chǎng)景下的運(yùn)維人員精準(zhǔn)身份鑒別及權(quán)限劃分。認(rèn)證機(jī)制包括：

• 審批口令碼：運(yùn)維人員提交申請(qǐng)并通過后獲得審批碼，當(dāng)運(yùn)維人員登錄數(shù)據(jù)庫后，需提交審批碼，方可繼續(xù)執(zhí)行獲準(zhǔn)的運(yùn)維操作。
• 動(dòng)態(tài)令牌：運(yùn)維人員在登錄數(shù)據(jù)庫后，通過輸入動(dòng)態(tài)令牌顯示的數(shù)字，校驗(yàn)自身身份，校驗(yàn)通過后，方可執(zhí)行與自身身份相符的運(yùn)維操作。

2、涉及數(shù)據(jù)庫的批量操作(批量查詢、批量導(dǎo)入導(dǎo)出、批量為客戶開通、取消或變更業(yè)務(wù)等)，運(yùn)維人員必須執(zhí)行相應(yīng)的審批流程，由相關(guān)主管審批后方可執(zhí)行。涉及超權(quán)限的數(shù)據(jù)庫運(yùn)維操作，運(yùn)維人員需要額外提交申請(qǐng)，由相關(guān)主管審批后授權(quán)操作。

3、涉及業(yè)務(wù)投訴、統(tǒng)計(jì)取數(shù)、批量業(yè)務(wù)操作、批量數(shù)據(jù)修復(fù)等需求進(jìn)行的客戶敏感數(shù)據(jù)查詢、變更等操作前，運(yùn)維人員必須取得業(yè)務(wù)管理部門的相關(guān)公文，并執(zhí)行審批流程。執(zhí)行操作時(shí)，對(duì)極高敏感度的數(shù)據(jù)操作，需要保證多人在場(chǎng)、多人協(xié)作方式以確保操作安全性。

4、需要對(duì)所有審批流程的操作工單整理備案，記錄操作原因和工單編號(hào)，并由專人負(fù)責(zé)審核。

我們看到管理要求中對(duì)運(yùn)維操作的事前審批進(jìn)行了重點(diǎn)要求，在實(shí)際落地中，目前大多數(shù)單位的普遍做法是由運(yùn)維人員通過紙質(zhì)申請(qǐng)單或辦公OA系統(tǒng)填寫工單，說明運(yùn)維操作事項(xiàng)，提交相關(guān)領(lǐng)導(dǎo)審批。純紙質(zhì)化辦公模式存在的問題很明顯：效率低、成本高、資料保存和查詢困難、不便于多人協(xié)同辦公等，而類似OA系統(tǒng)的審批平臺(tái)，不僅功能細(xì)化程度不夠，對(duì)于數(shù)據(jù)庫運(yùn)維操作的申請(qǐng)歸根結(jié)底還要依靠審批人的判斷，人工把握操作風(fēng)險(xiǎn)，OA系統(tǒng)僅僅解決了流程上的問題。

綜上，在審批環(huán)節(jié)中，專業(yè)的數(shù)據(jù)庫運(yùn)維系統(tǒng)應(yīng)該能夠提供兩方面的能力：其一，必須能夠整合審批流程，為內(nèi)部運(yùn)維人員、第三方外包人員、業(yè)務(wù)主管等多角色提供細(xì)致統(tǒng)一的審批平臺(tái)，能夠提供對(duì)操作人、操作對(duì)象、操作內(nèi)容、操作時(shí)間、相關(guān)審批人等等細(xì)粒度的申請(qǐng)條件，使審批過程清晰、透明。

基于人性化設(shè)計(jì)，考慮審批人的職位不同，需要能夠支持技術(shù)化或業(yè)務(wù)化的申請(qǐng)模式，專業(yè)的安全運(yùn)維系統(tǒng)需要支持多種申請(qǐng)?zhí)峤环绞剑纾禾峤煌暾僮髡Z句、提交“時(shí)間+對(duì)象+操作”的條件組合，以禁止某些高危操作和敏感表訪問的方式進(jìn)行審批授權(quán)，提交指定時(shí)間和周期的執(zhí)行腳本。此外，另一個(gè)重要能力是，應(yīng)當(dāng)能夠提供對(duì)申請(qǐng)內(nèi)容的智能分析能力，能夠?qū)Σ僮魃暾?qǐng)進(jìn)行風(fēng)險(xiǎn)預(yù)估和異常行為評(píng)測(cè)，為審批者提供決策依據(jù)，在操作前大可能的降低運(yùn)維事故概率。此外，在審批時(shí)應(yīng)當(dāng)提供對(duì)下一步操作執(zhí)行過程的校驗(yàn)機(jī)制，以確保操作人與操作內(nèi)容的安全性。目前，使用校驗(yàn)碼是最為周全的方法，審批通過后系統(tǒng)隨機(jī)生成一串口令，在后續(xù)的操作中，通過識(shí)別口令碼進(jìn)行身份驗(yàn)證，確保操作人的身份安全性。

圖2.數(shù)據(jù)庫運(yùn)維操作的申請(qǐng)方式

事中管控-實(shí)現(xiàn)透明化管理的關(guān)鍵發(fā)力點(diǎn)

我們都清楚運(yùn)維人員的工作強(qiáng)度：他們真的太忙了!不是蹲在機(jī)房調(diào)試服務(wù)器，就是穿梭在各業(yè)務(wù)部門之間處理系統(tǒng)故障，自然，手頭的系統(tǒng)運(yùn)維操作被突然打斷也是常有的事。同時(shí)兼顧多個(gè)數(shù)據(jù)庫的日常維護(hù)工作，運(yùn)維人員的電腦界面總是鋪滿了多個(gè)工作窗口，這樣多交叉、多并行的工作性質(zhì)，誤操作的發(fā)生在所難免。曾有運(yùn)維人員向我們講述過自己最驚心動(dòng)魄的運(yùn)維事故：某天，在例行的數(shù)據(jù)庫表內(nèi)數(shù)據(jù)刪除操作時(shí)，一個(gè)走神，語句中where條件后沒加“id=”，而是直接鍵入了某個(gè)數(shù)字，短短幾秒間，幾百萬條數(shù)據(jù)被刪除，事后的數(shù)據(jù)恢復(fù)工作進(jìn)行了整晚，依然沒有搶救回全部數(shù)據(jù)，核心數(shù)據(jù)庫文件的丟失導(dǎo)致關(guān)鍵服務(wù)完全癱瘓。現(xiàn)在，運(yùn)維部門同事都不敢在白天進(jìn)行核心數(shù)據(jù)庫的運(yùn)維操作，生怕忙中出錯(cuò)。辛苦一整年，一鍵誤操作卻功虧一簣。

目前數(shù)據(jù)庫運(yùn)維工作的管理模式重在事前審批，審批通過后則由運(yùn)維人員自行安排操作執(zhí)行，也可能由其他人員代操作，整個(gè)操作過程不定因素很多：

• 運(yùn)維人員實(shí)際操作是否與申請(qǐng)一致?
• 實(shí)際操作人是誰?
• 出現(xiàn)誤操作，如何追溯?
• 如何管控來自內(nèi)部或第三方運(yùn)維人員有意無意的高危操作?

堡壘機(jī)是目前大多數(shù)企業(yè)的普遍解決方案。而事實(shí)上，由于缺乏對(duì)數(shù)據(jù)庫通訊協(xié)議的精確解析能力，堡壘機(jī)只能實(shí)現(xiàn)對(duì)操作人身份、操作目標(biāo)庫等最基本的身份識(shí)別，這其中差了最關(guān)鍵的一環(huán)：對(duì)操作內(nèi)容、操作過程的有效管控。因此，對(duì)執(zhí)行過程進(jìn)行透明化管控是數(shù)據(jù)庫安全運(yùn)維系統(tǒng)的重要使命。

當(dāng)申請(qǐng)人執(zhí)行操作事項(xiàng)時(shí)，專業(yè)的數(shù)據(jù)庫運(yùn)維系統(tǒng)應(yīng)當(dāng)能夠結(jié)合操作前的申請(qǐng)事項(xiàng)，通過與申請(qǐng)內(nèi)容的細(xì)化匹配以及自身的智能分析，幫助管理者進(jìn)行實(shí)時(shí)的運(yùn)維過程監(jiān)控;自動(dòng)根據(jù)預(yù)設(shè)置的風(fēng)險(xiǎn)控制策略，結(jié)合對(duì)數(shù)據(jù)庫訪問的實(shí)時(shí)監(jiān)控信息，進(jìn)行語句特征檢測(cè)及審計(jì)規(guī)則檢測(cè)，任何嘗試的數(shù)據(jù)庫攻擊、違反安全策略或有悖于申請(qǐng)事項(xiàng)的疑似危險(xiǎn)操作，都會(huì)被檢測(cè)到并實(shí)時(shí)阻斷或告警。

圖3.數(shù)據(jù)庫安全運(yùn)維系統(tǒng)的工作架構(gòu)

此外同樣重要的一點(diǎn)是，真正有價(jià)值的產(chǎn)品絕不能對(duì)用戶原有的工作習(xí)慣產(chǎn)生過多影響。比如當(dāng)運(yùn)維人員需要其他人進(jìn)行代理操作時(shí)，用戶依然可以通過第三方工具登錄數(shù)據(jù)庫進(jìn)行操作。通過運(yùn)維系統(tǒng)提供的操作口令碼進(jìn)行簡(jiǎn)單認(rèn)證，口令通過者只能執(zhí)行其申請(qǐng)的操作內(nèi)容，未經(jīng)口令認(rèn)證者同樣無法操作敏感數(shù)據(jù);在不改變?cè)泄ぷ髁?xí)慣的基礎(chǔ)上，防止越權(quán)操作及違規(guī)操作。

以上，針對(duì)運(yùn)維人員的操作行為做出嚴(yán)格的事中控制，實(shí)現(xiàn)了對(duì)敏感數(shù)據(jù)操作的權(quán)限控制，但是運(yùn)維人員仍可以看到敏感數(shù)據(jù)。所以，在此基礎(chǔ)上，DBController增加了敏感數(shù)據(jù)遮蔽功能，可以大程度從運(yùn)維側(cè)規(guī)避數(shù)據(jù)泄露風(fēng)險(xiǎn)，數(shù)據(jù)庫安全運(yùn)維系統(tǒng)通過靈活的配置，實(shí)現(xiàn)敏感數(shù)據(jù)動(dòng)態(tài)屏蔽，讓具有不同訪問數(shù)據(jù)庫權(quán)限的人員看到不同的數(shù)據(jù)，既不影響正常運(yùn)維、開發(fā)工作，有防止了敏感數(shù)據(jù)泄露。

事后追責(zé)-讓運(yùn)維管理者有據(jù)可查

事后追責(zé)和審查取證是數(shù)據(jù)庫運(yùn)維管控的最后一環(huán)，這里需要運(yùn)維系統(tǒng)對(duì)存儲(chǔ)的申請(qǐng)與執(zhí)行的操作記錄進(jìn)行數(shù)據(jù)分析，通過運(yùn)維人員和審批人的行為記錄形成可視化的統(tǒng)計(jì)分析。提供各維度的報(bào)表系統(tǒng)，當(dāng)出現(xiàn)安全事故后，能夠精確定位到違規(guī)操作的實(shí)際執(zhí)行人、審批人，為事后追責(zé)和審察取證提供無可爭(zhēng)辯的準(zhǔn)確依據(jù)。

圖4.數(shù)據(jù)庫安全運(yùn)維系統(tǒng)的應(yīng)用場(chǎng)景

至此，數(shù)據(jù)庫安全運(yùn)維系統(tǒng)完成了對(duì)整個(gè)運(yùn)維過程的全流程管控，通過引入這樣的專業(yè)運(yùn)維管控系統(tǒng)，實(shí)現(xiàn)了事前審批、事中控制、事后追蹤三步重要環(huán)節(jié)的透明化管理，為企業(yè)數(shù)據(jù)庫系統(tǒng)“重建設(shè)輕管理”的現(xiàn)實(shí)問題，給出了令人滿意的答案。另一方面，這樣自動(dòng)化的智能管控技術(shù)，更是對(duì)數(shù)據(jù)庫運(yùn)維人員的解放，高強(qiáng)度的工作量硬撐了一年，別讓不經(jīng)意間的數(shù)據(jù)安全事故成了壓垮運(yùn)維人員的最后一根稻草。

標(biāo)題名稱：寫給從事IT運(yùn)維管理的兄弟
文章URL：http://www.bm7419.com/news48/105298.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站排名、網(wǎng)站營(yíng)銷、做網(wǎng)站、營(yíng)銷型網(wǎng)站建設(shè)、企業(yè)建站、云服務(wù)器

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來源： 創(chuàng)新互聯(lián)