從刪庫到跑路，教訓(xùn)很多，但類似事件近年來總在重復(fù)上演，有運維部為此連夜鏖戰(zhàn)恢復(fù)，更有企業(yè)陷入“至暗時刻”，經(jīng)濟受損、名譽蒙塵。
組織單位應(yīng)該采取怎樣的策略和積極主動的方法，避免釀成嚴(yán)重的后果?
美創(chuàng)防刪庫解決方案以“刪庫”路徑為著眼點，充分踐行以人為中心的安全理念，并結(jié)合底線防御的核心思想，為您加持三重安全保障：
在數(shù)據(jù)存儲域：通過諾亞防勒索，實時監(jiān)控各類進(jìn)程讀寫操作，防止數(shù)據(jù)庫、數(shù)據(jù)庫文件被刪除，保證數(shù)據(jù)的基礎(chǔ)可信環(huán)境安全;
在數(shù)據(jù)訪問域：通過數(shù)據(jù)庫防水壩、數(shù)據(jù)庫防火墻，進(jìn)行細(xì)粒度的數(shù)據(jù)庫準(zhǔn)入控制、訪問控制，防止數(shù)據(jù)被非法操作;
底線防御、極限生存：通過新一代災(zāi)備一體化平臺，最大程度實現(xiàn)業(yè)務(wù)連續(xù)性和數(shù)據(jù)完整性保障。
第一重保障：存儲域 防止數(shù)據(jù)文件被刪除 典型舉例
2020年，微盟研發(fā)中心運維部核心運維人員賀某在家通過VPN登錄公司數(shù)據(jù)庫停止數(shù)據(jù)庫相關(guān)進(jìn)程后，惡意刪除數(shù)據(jù)庫文件，這一操作導(dǎo)致300余萬用戶無法正常使用微盟SaaS產(chǎn)品，故障時間長達(dá)8天14個小時，微盟市值一天之內(nèi)蒸發(fā)超10億元。
2018年，鏈家公司數(shù)據(jù)庫管理員韓某因?qū)M織調(diào)整有意見，利用財務(wù)系統(tǒng)root權(quán)限便利，登錄公司財務(wù)系統(tǒng)服務(wù)器，并通過執(zhí)行rm、shred命令刪除了服務(wù)器中的數(shù)據(jù)文件。鏈家公司為恢復(fù)數(shù)據(jù)及重新構(gòu)建財務(wù)系統(tǒng)共計花費人民幣18萬元。
2016年12月下旬開始并延續(xù)至2017年1月的大規(guī)模的MongoDB數(shù)據(jù)庫勒索事件，黑客組織通過掃描互聯(lián)網(wǎng)上對外開放連接的MongoDB數(shù)據(jù)庫，利用MongoDB數(shù)據(jù)庫未授權(quán)訪問漏洞，劫持服務(wù)器后對存在漏洞的數(shù)據(jù)庫進(jìn)行“刪庫”操作并留下聯(lián)系方式，以此勒索用戶支付贖金。 問題分析
上述案件的刪庫和勒索手段，均發(fā)生在存儲域(物理域)。主要場景如：在操作系統(tǒng)運維過程中，運維人員通過format、rm等系統(tǒng)級操作直接對操作系統(tǒng)中的數(shù)據(jù)庫文件進(jìn)行刪除(典型微盟、鏈家事件)。此外，黑客入侵某數(shù)據(jù)庫服務(wù)器后，通過惡意程序和惡意代碼等手段，控制未知進(jìn)程對操作系統(tǒng)中存儲的數(shù)據(jù)文件進(jìn)行加密、修改或破壞，進(jìn)而要挾勒索。
常見場景
具體手段
操作系統(tǒng)運維
進(jìn)行數(shù)據(jù)庫、數(shù)據(jù)文件刪除、數(shù)據(jù)庫所處目錄刪除、所屬邏輯卷刪除、所屬磁盤格式化，操作系統(tǒng)格式化。如微盟事件、鏈家事件。
外部威脅
通過惡意程序和惡意代碼等手段，控制未知進(jìn)程對操作系統(tǒng)中存儲的數(shù)據(jù)文件進(jìn)行加密、修改或破壞。
存儲域(物理域)安全是數(shù)據(jù)安全的基礎(chǔ)，構(gòu)建存儲域的基線防線，保障存儲的數(shù)據(jù)不被破壞、篡改，是系統(tǒng)穩(wěn)定運行的根本前提條件。因此，監(jiān)視操作系統(tǒng)中進(jìn)程的變化，確保進(jìn)程的可信性，防止數(shù)據(jù)庫、數(shù)據(jù)庫文件被破壞至關(guān)重要。 解決對策
美創(chuàng)諾亞防勒索系統(tǒng)可實時監(jiān)控各類進(jìn)程和用戶對數(shù)據(jù)文件的讀寫操作，快速識別、阻斷已知、未知勒索病毒的寫操作以及 “rm -rf /”之類的刪除命令行為，確保只有被允許的合法操作才能被執(zhí)行，有效避免微盟事件中自行停止數(shù)據(jù)庫進(jìn)程后刪除數(shù)據(jù)庫文件等數(shù)據(jù)破壞場景。
第二重保障：訪問域 防止數(shù)據(jù)被非法操作 典型舉例
2020年，百度網(wǎng)訊金某某在負(fù)責(zé)測試開發(fā)工作期間，因?qū)υ摪才鸥械讲粷M，在家中使用手機登錄隧道進(jìn)入公司內(nèi)網(wǎng)服務(wù)器，分次對可視化項目程序數(shù)據(jù)庫內(nèi)的項目表進(jìn)行了刪除、鎖定、修改，當(dāng)事人構(gòu)成破壞計算機信息系統(tǒng)罪，被判處有期徒刑9個月，緩刑1年。
2018年，順豐高級運維工程師鄧某錯選RUSS數(shù)據(jù)庫，打算刪除執(zhí)行的SQL。在選定刪除時，因其操作不嚴(yán)謹(jǐn)，光標(biāo)回跳到RUSS庫的實例，在未看清所選內(nèi)容的情況下，便通過delete執(zhí)行刪除，同時鄧某忽略了彈窗提醒，直接回車，導(dǎo)致RUSS生產(chǎn)數(shù)據(jù)庫被刪掉，導(dǎo)致系統(tǒng)中斷590分鐘。 問題分析
在美創(chuàng)實際案例中，同樣發(fā)生類似事件，某單位用戶運維人員通過運維工具訪問數(shù)據(jù)庫，在刪除表A的某行錯誤數(shù)據(jù)時，因為疏忽，執(zhí)行了刪除整表的操作，導(dǎo)致業(yè)務(wù)停機。
對于絕大多數(shù)單位組織而言，往往對數(shù)據(jù)庫運維缺少細(xì)粒度管控，而面臨數(shù)據(jù)庫誤操作、高危操作等，堡壘機作為“系統(tǒng)”層的門禁，僅能對運維人員操作行為以錄屏的方式進(jìn)行安全監(jiān)控，并不能對高危風(fēng)險行為進(jìn)行識別和阻斷處理。 常見場景
具體手段
數(shù)據(jù)庫運維
數(shù)據(jù)庫運維工程師誤操作導(dǎo)致的數(shù)據(jù)刪除或丟失，包括刪除測試環(huán)境因地址錯誤或數(shù)據(jù)庫名稱等錯誤導(dǎo)致刪除、歷史表遷移工作誤刪除;數(shù)據(jù)庫運維工程師的惡意操作導(dǎo)致的數(shù)據(jù)丟失，包括刪除數(shù)據(jù)庫部分或全部數(shù)據(jù)、刪除數(shù)據(jù)庫、刪除數(shù)據(jù)庫實例。如百度網(wǎng)訊事件。
應(yīng)用系統(tǒng)運維
delete不增加where從句的方式對表格進(jìn)行刪除、drop table方式進(jìn)行數(shù)據(jù)刪除、truncate table方式進(jìn)行數(shù)據(jù)刪除、drop user方式進(jìn)行某用戶數(shù)據(jù)刪除、刪除所有用戶數(shù)據(jù)。如順豐事件。 解決對策
美創(chuàng)數(shù)據(jù)庫防水壩(數(shù)據(jù)庫運維安全管控)和數(shù)據(jù)庫防火墻，以資產(chǎn)和身份安全(以人、終端、應(yīng)用、賬戶構(gòu)成身份四要素)為中心，增強準(zhǔn)入控制，聚焦訪問權(quán)限，重點管控刪庫等高危操作行為，有效實現(xiàn)對“DROP DATABASE”等刪除數(shù)據(jù)庫或其他高危SOL操作語句的精細(xì)化控制。同時數(shù)據(jù)庫防水壩誤操作恢復(fù)功能，支持對合法誤刪除的表格數(shù)據(jù)進(jìn)行恢復(fù)，用戶一旦發(fā)生誤操作行為，安全管理員可在管理端頁面進(jìn)行語句追蹤，快速找回誤刪除數(shù)據(jù)。
數(shù)據(jù)庫防水壩產(chǎn)品架構(gòu) 數(shù)據(jù)庫防火墻產(chǎn)品架構(gòu)
第三重保障：容災(zāi)備份 底線思維，極限生存
回溯這兩年刪庫事件，為何業(yè)務(wù)恢復(fù)和數(shù)據(jù)恢復(fù)難的狀況屢見不鮮?究其原因，一方面完備的災(zāi)備建設(shè)，未獲得組織單位應(yīng)有的重視。另一方面，多云、混合云時代帶來的資產(chǎn)復(fù)雜性和災(zāi)備技術(shù)多態(tài)性，給災(zāi)備能力建設(shè)、災(zāi)備資源高效利用和日常災(zāi)備運營提出挑戰(zhàn)。
這需要企業(yè)的災(zāi)備建設(shè)更加科學(xué)合理、災(zāi)備管控更加精準(zhǔn)高效、災(zāi)備運營更加彈性和數(shù)字化。
美創(chuàng)新一代災(zāi)備一體化平臺(DRCC v3.0)，基于云端架構(gòu)，提供 “1 個災(zāi)備管控中心 + 多個災(zāi)備能力”，實現(xiàn)災(zāi)備狀態(tài)可感知、災(zāi)備能力可訂閱、災(zāi)備演練可掌控、災(zāi)難切換可指揮，充分保證業(yè)務(wù)連續(xù)性和數(shù)據(jù)完整性。
新一代災(zāi)備一體化平臺架構(gòu)
三重安全BUFF疊滿，杜絕“刪庫跑路”
無論運維工程師的誤操作，還是黑客或內(nèi)部人員的惡意刪除，“刪庫”事件的發(fā)生不是單一的問題或漏洞導(dǎo)致，人作為安全中最不可控以及最為復(fù)雜的因素，導(dǎo)致了問題的復(fù)雜。例如，“刪庫”當(dāng)事人常常會利用多種手段進(jìn)行刪除破壞，先通過SQL語句對數(shù)據(jù)庫數(shù)據(jù)批量刪除后，再通過操作系統(tǒng)層刪掉數(shù)據(jù)庫備份文件，造成數(shù)據(jù)無法及時修復(fù)。因此，只有深入理解人的安全以及各種場景，通過全方位的管理、制度、技術(shù)保障，才能更游刃有余地應(yīng)對刪庫事件。
美創(chuàng)防刪庫方案以“刪庫”的路徑為著眼點，充分踐行以人為中心的安全理念，并結(jié)合底線防御的核心思想，采用數(shù)據(jù)庫防水壩、數(shù)據(jù)庫防火墻、諾亞防勒索、災(zāi)備一體化平臺等產(chǎn)品工具，形成防刪庫三重保障體系，有效防止數(shù)據(jù)庫被刪庫或規(guī)避刪庫后所造成的后果和影響，為用戶構(gòu)筑全面的“防御工事”和“應(yīng)急救援”的韌性能力!
（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請進(jìn)一步核實，并對任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負(fù)任何法律責(zé)任。
任何單位或個人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。 ）
