第三方運維人員數據庫誤操作致業務中斷
堡壘機凸顯短板
這家銀行如何破局？
走在數字化轉型前沿的銀行業，不斷增加的IT資產、業務系統，給IT運維提出了更高的挑戰。銀行運維的核心之一在于數據安全、系統穩定，面臨著龐雜的運維場景及復雜人員構成，如果不具備細粒度的數據庫運維安全管控能力，那么諸如數據被誤操作、被篡改、惡意批量刪除等將帶來嚴重風險。
A銀行，某地經營規模居前、盈利能力領先的地方性股份制商業銀行。
在自身發展需求和市場環境影響下，A銀行以數字化賦能金融創新，跑出數字賦能的加速度。伴隨數字化轉型不斷提速，銀行運維管理環境也更加復雜，來自不同公司、不同部門、不同外包商的眾多人員，駐場開發、數據庫運維、第三方運維已達100余人。
為提升運維安全管理、完善系統防護、滿足合規需求，A銀行里已部署堡壘機作為運維行為的管控設備，運維人員通過堡壘機進行調用SQL工具進行數據庫訪問，但堡壘機存在以下安全“盲區”：
對運維人員操作行為只能以錄屏的方式進行安全監控；
對于刪除、更改、更新表等操作無法第一時間進行阻斷處理；
對于人員登錄的PC留痕跟蹤問題無法精確覆蓋詳細信息；
無法進行全面審計記錄，三方廠商排查相關問題，需要對數據庫進行大量的交互工作。
此前，該行第三方運維人員在處理核心數據庫時失誤操作，導致業務停機十余分鐘。
數據庫肩負金融數據存儲重任，安全運維甚為重要。如何保護核心數據，讓安全運維縱深至數據庫，實現數據庫運維更可控、更安全？解決這一問題成為A行當務之急。
綜合考慮目前堡壘機在數據庫運維層面存在的安全短板，以及設備性能瓶頸，A銀行希望剝離數據庫運維流量進行獨立管控，管控數據庫包括核心系統數據庫、外幣數據庫、國結數據庫、電子渠道數據庫、財務系統數據庫、人臉識別、現金管理平臺、管理會計數據庫、信貸管理系統數據庫等300余個，覆蓋Informix、Greenplum、DM、DB2、OceanBase-oracle等多種類型。
經過前期的充分調研、測試，該銀行最終選擇美創數據庫防水壩，化解數據庫運維安全之憂。
?美創數據庫防水壩 以零信任為基礎，以資產和身份為中心，根據敏感數據分類分級、職責分離原則，通過敏感數據快速發現和管理、多因素身份準入機制、動態訪問控制、敏感數據脫敏、誤操作恢復、合規審計等核心功能，實現對數據訪問行為進行精細化風險防御，細粒度數據庫運維安全管控。
在此次項目中，數據庫防水壩從堡壘機分擔數據庫運維流量進行獨立管控，聚焦針對數據庫中敏感數據資產的操作行為的精準防護與風險實時阻斷，同時，防水壩以免密登錄為起點，通過身份分組授權，結合管理制度，實現統一運維安全管理。
根據A行要求，數據庫防水壩無需借助堡壘機的應用發布，也能夠進行獨立管控，同時數據庫防水壩需解決準入前安全隱患：提供多因素身份認證保證準入安全能力，同時針對SQL管理工具登錄信息—數據庫賬戶、密碼歷史記錄留痕，導致的登錄憑證被竊取冒用的現象進行管控。
數據庫防水壩提供多因素身份認證保證準入安全能力，為了防止數據庫賬號泄漏，數據庫防水壩打破只基于賬號密碼的準入機制，提供安全客戶端免密登錄功能，運維人員通過安全管理員授予的合法客戶端即可訪問指定數據庫。同時，使用免密登陸，依然可實現授權到人、審計到人、責任到人。
避免免密登錄注冊的數據庫數量過多，導致無法直觀在登錄界面找到需要登錄的目標數據庫。
數據庫防水壩安全客戶端可自定義數據庫名稱或在鏈接后面添加易于識別的數據庫的注冊名稱，并支持在選框中基于關鍵字檢索，從而快速定位到目標數據庫，從而解決注冊數據庫數量龐大，運維人員登錯數據庫的問題。
保障安全客戶端安全訪問，避免共享賬號等帶來的安全隱患，數據庫防水壩基于銀行現有OTP應用實現OTP二次驗證進行登錄認證，通過賬戶密碼+OTP或軟證書+OTP雙因子組合方式，實現安全可靠的身份校驗；
安全管控，制度先行。數據庫防水壩通過免密登錄功能統一運維登錄入口，從敏感數據的快速發現和管理、嚴密的身份準入機制、資產細粒度管控、動態訪問控制、誤操作恢復、合規審計等方面全面支持數據庫運維安全管控。
同時，A銀行內部制定并采取嚴格的運維工作管理制度，強制運維人員必須使用安全客戶端，通過免密登錄數據庫開展運維工作，針對此前已暴露的數據庫賬戶的密碼將逐步進行刷新，并收斂其他運維通道，限制唯一運維入口，減少安全風險。
基于零信任的數據庫防水壩，實現統一的數據庫運維安全管理，全方位支持A銀行實現運維過程細粒度、全程管理，行為可管、可控、可追溯。
以人為中心的身份管理，多因素準入控制完美解決“身份管理難”，阻斷假冒應用、身份劫持等違背真實意愿的操作。
風險監測響應引擎快速阻斷各類越權訪問、高危刪改操作、拖庫等違規行為。
動態脫敏、返回行控制等技術，控制響應結果批量流出，保障數據可控。
臨時操作審批管理 提供多層級的工單審批機制，為必要訪問建立合規訪問機制。
誤操作一鍵恢復，強大的垃圾箱機制，快速解決誤刪、惡意刪除帶來的數據丟失問題。
基于會話的一致性回溯，提供從登錄到退出的全流程事件審計回溯。
同時數據庫防水壩提供也帶來更便捷的安全運維體驗。
敏感資產自動發現與管理功能，實現敏感資產、Schema、表、列級別的細粒度安全管控，資產管控范圍靈活可擴充，有效過濾非敏感資產帶來的防護成本負擔。
防水壩客戶端在身份檢測下沉到訪問終端身份檢測更精確、更全面的同時，減輕了管理員的工作壓力，運維調用SQL工具更快捷。免密登錄功能避免賬號密碼泄露，同時有效解決離職賬號回收的困擾。
數據庫防水壩對數據庫支持的多元化，主流數據庫以及大數平臺等相關數據庫全面管控，讓相關的配置操作更加簡單。
浙公網安備 33010502006954號 
