1、数据平安“四句箴言|四句箴言 我们经常说，平安都是相对的。这句话的意思是，不是把所有能用到的平安设备都“嵌在网络平台上，这个系统就是平安的。使用源于需求，我们在进行平安环境搭建前，首先要确定保护的目标。被保护的重点不一样、平安级别不一样，需要使用的平安措施就会有差异。我们应该做到有的放矢，而不是昂贵的平安设备堆砌。 本文将从根底环境、网络边界、应用级别、数据级别四方面进行的平安产品部署、平安策略说明。 箴言一：根底环境要评估 提到设备部署，必须要对供电环境也就是根底环境进行考量，以使内部保障设备每天能够正常开启或者24小时运转。除了设备的物理环境保障外，还要充分建立起主机房内完善的防盗、防火、
2、温控、通风以及监控、报警设施，加强机房平安管理和人员进出入制度管理，做到设置不同的访问权限、密码定期更换、身份识别等要素，这些是最根本的平安措施。 箴言二：网络边界保平安 网络设备本身也有可能受攻击，要防止这类平安隐患，一方面要选用成熟的网络产品；另一方面，要对网络设备进行合理地配置，控制网络用户可达的区域和端口。从网络系统平安方面，这里主要分析边界平安设备的部署。常见的设备包括防火墙和入侵检测。 1.防火墙 防火墙主要用于过滤不平安的访问，提高网络的平安性。对于外部访问和内部访问，有着不同的平安级别要求，均需通过防火墙的合理配置，提供内部用户访问和外部用户访问的两个通道，通过ip地址过滤、t
3、cp/ip端口过滤等措施，使内部用户可作为信任区域直接通过防火墙访问系统内部效劳器，而外部用户那么只能在有限的权限和范围内对开放的效劳器应用进行访问。而ip地址过滤、tcp/ip端口过滤也是将攻击防御在外的有效措施之一。 2.网络入侵检测（ids） 在网络中部署入侵检测系统，通过对流经网络的数据进行监控和分析，能够及时发现攻击行为，通过记录、报警和阻断等方式保护系统的平安。 此外，通过防火墙和ids联动，可以进行两种平安策略的优势互补，增强系统的平安防护。 箴言三：应用系统重防御 应用平安是指，在应用层上保证资源整合工程中各个应用系统的信息平安。应用层的信息平安是面向用户和应用程序的，它采用授
4、权管理、应用审计以及数据库平安作为根本手段，可根据具体应用系统的实际需求，提供灵活而可靠的分期部署信息平安保障。 从应用系统角度来说，计算机系统的威胁来源主要来自于外部和内部。其中内部入侵尤为值得关注，其一般都是本系统的合法用户，但并未得到相关权限授权。内部入侵者又可以被进一步分为： 假冒者他们偷取其他用户的标识，获得那些用户的权限。 秘密用户他们成功躲开审计机制，执行一些非法操作。 违法行为者他们是滥用权利的授权用户。 针对上述的平安威胁来源，我们可以选用网页防篡改系统、web平安防御、平安审计设备、认证效劳等产品或应用进行防御。当然，系统内部效劳器部署杀毒软件，也是一个补救措施。 从另一方
5、面来说，应用系统包括多项业务，有不同的工作对象和业务操作，需要一种集中管理的手段，实时采集分布的日志，对整个业务流程进行监控。同时，也需要统计和分析工具进行直观地数据汇总。 箴言四：数据保护不无视 数据层的平安除了需要考虑数据库的平安之外，还需考虑其他非结构化数据的平安。 数据库平安机制涉及本系统的各个平安区域。除尽量防止由于客观因素，如掉电、火灾所造成的物理性破坏外，设计一个好的数据库结构也是一个关键。好的数据库结构包括对一个字段的修改不至于影响其他字段以保持逻辑完整性、定期数据库备份以及设置一个合理的数据库权限管理等要素。 其中，需要提醒的是，我们需要在数据库系统设计时就做好平安规划，而不
6、要“亡羊补牢。比方，在设计时，应用系统就要采取三层应用结构，通过采取应用中间件的策略，保证最终用户不能直接访问数据库。此外，我们还可以执行对远程数据库连接进行加密、选择性部署数据库扫描器以及数据库主机网络入侵检测系统等操作。 从更深层次的平安角度来讲，还可以再增加以下平安措施： 数据加密存放； 用户身份鉴别确保每个用户被正确识别，防止非法用户入侵； 访问控制指对用户可访问的数据进行分级管理，授权访问。 为了确保系统的稳定和在灾难发生时的迅速恢复，系统需要经常进行数据备份和容灾，以保证备份数据的实时有效性，在灾难恢复时可靠有效。当然，根据信息系统的实际情况，规划好备份策略，也是采用备份软件实现数据保护效果的关键措施。 上述的分析只是平安环境部署的某几个层面，应该说，其中任何一个层面，都可以成为一个研究课题，其中涉及的技术细节和实现方式，也是多种多样的。在进行系统搭建前，进行细致合理的规划，使系统能够高效、稳定运行，才是我们做平安部署的最终目的。 第5页 共5页
