解读 | 如何让DBA不能“删库”也无法“跑路”

近日，北京市第一中级人民法院对一起历时逾两年的“破坏计算机信息系统罪”案件二审驳回上诉，维持原判！犯罪嫌疑人韩某案发时正任职某房屋中介网北京公司（以下简称A公司）数据库管理员：

2018年6月，韩某借其担任A公司数据库管理员且掌握公司财务系统root权限的便利，登录财务系统服务器删除了财务数据及相关应用程序，致使财务系统无法登录。A公司为恢复数据及重新构建财务系统花费高达数十万元。整个案件的发展过程更堪称一出教科书式的DBA“删库跑路”，而这一切本可以避免！

近年来，DBA等企业内部高权限人员“删库”事件频发，虽然具体手段有所不同，但都暴露出企业运维安全管理工作背后的隐患和风险！下文中，安华金和数据安全专家将以此案为引，从数据库及数据安全角度，围绕“事前-事中-事后”三个不同阶段，对当前普遍存在的数据库运维安全问题进行分析解读，并给出防护建议：

事前

根据A公司发布的情况说明，是其财务人员因无法登录系统而最先上报“公司财务总账系统出现故障”这一情况的。说明A公司在“事发”前，并未对韩某的犯罪行为有所察觉，最终造成公司共计9TB财务系统数据被恶意删除，危及公司正常运营并蒙受较大经济损失。

1

问题分析

诸如A公司这般发生企业内部人员恶意删库的事件，近年来已屡见不鲜。究其根本，是企业对内部人员赋予的权限过于宽松，且无有效手段对数据库的运维操作进行全面监控与管理，最终在自以为安全的假象下，给了“内鬼灯下黑”的机会。企业的这种疏漏，就像一颗定时炸弹，“韩某们”可能只是因为一些工作中的小事就心怀不满、伺机报复，从而令企业数据核心资产时刻处于风险之中。一旦爆发，再去亡羊补牢，也难以挽回遭受的经济损失，以及对企业品牌、声誉上造成的负面影响

2

解决思路

针对内部人员权限过高且处于“失控”状态的情况，企业必须给予重视。这类权限过高的内部人员，对涉及企业核心资产的数据库和应用服务的分布更为了解，就如同扼住了企业正常经营和发展的咽喉命脉；针对这类人员的访问操作等行为，管理者如果仅凭主观意识判断，而不依托客观技术手段，那么“删库跑路”将变得易如反掌。安华金和数据库运维管理系统（DOMS），能够帮助企业规范运维操作、细化运维权限、标准化运维流程。通过事前的申请及审批流程，确保任何运维人员想要做重要数据库访问操作时，都需要先申请，审批通过后再执行；若不提前完成申请与审批流程，DOMS的访问控制功能会在防护范围内对未授权的操作进行拦截阻断。此外，DOMS的细粒度能够针对具体表、字段的操作行为进行控制，还能具体到sql语句和sql脚本进行申请与审批；加之DOMS可以提供针对数据库本地访问的控制手段，全面承接数据库的访问操作，并通过规范化、标准化的运维操作流程，对批量数据删除、泄露等恶意操作进行准确、有效的事前阻截，从而保障企业核心数据资产的安全。

DOMS申请审批流程

事中

除事前“失察”外，不少像A公司这般遭遇“删库”的企业，其在“事中止损”层面也大都束手无策。安全防护系统的薄弱或缺失，令企业对“韩某们”的恶意风险操作不具备有效的“拦截或阻断”能力，因而难以在第一时间启动“应急措施”，继而任由事件造成的损失及负面影响不断扩大化。

1

问题分析

伴随企业信息化建设的高速发展，数据安全已成为衡量和判断企业经营健康程度的重要因素之一。如果企业在资金、人员投入上，只关注那些能够直接带来效益的环节，那么短时期内取得的所谓发展成果，都将是“空中楼阁”，随时面临垮塌的风险！应当部署专业的安全产品，采用有效的技术手段，对“高权限人员、高危操作行为、高风险事件”等进行持续监督及有效管控，发生问题及时阻断！

2

解决思路

DOMS系统能够提供强大的策略引擎，可将各类风险操作行为及问题对应到“访问规则、操作规则、信任规则、口令攻击、注入攻击”等具体规则。一旦发生风险问题，就会触发相应的规则，并执行相应的控制动作，从而及时、有效地应对各类数据安全威胁。

DOMS涵盖的规则种类

例如：当发生高风险行为时，策略引擎会根据事先已配置好的规则及策略触发控制动作，在第一时间对高危操作进行拦截和阻断，将“韩某们”的恶意报复“删库”攻击扼杀在萌芽阶段，大大减少企业不必要的经济损失与声誉损害。同时，安华金和建议广大客户完善应急预案，并做好关键数据备份，尽可能降低安全事件对企业数据资产造成的不可逆损失。

事后

事发后，韩某拒不认罪，声称公司内部管理混乱——他在入职后，虽然被分配了登录管理系统的权限，能够在系统上安装和删除相关应用程序；但与此同时，公司张某、杨某、高某及多家第三方合作公司人员都具备同样的权限，他并不是能够进入公司内网且有对应主机名的唯一用户。虽经司法机关详细鉴定，确认了韩某的犯罪事实，但企业对数据安全防护工作的忽视，以及未严格执行流程制度等问题，却给了韩某“开脱罪责”的底气，也大大削弱了数据安全防护体系本身应对不法分子起到的震慑作用。

1

问题分析

为什么韩某在事发后还敢“狡辩”？是他“认为”并没有直接证据表明自己与这起“删库”事件有关；而仅凭数据库所在服务器上记录的IP、mac和时间信息等日志“线索”进行摸排和比对，并不足以给他“定罪”！虽然从一审结果来看，司法机关最终通过调查证实韩某的犯罪事实，但整个取证环节确实较为繁琐且不够直接，也给了韩某借机“拒不认罪”的理由，将案件拖入二审，试图通过混淆视听，继续为自己开脱罪责。

2

解决思路

对于数据库的运维操作行为，企业必须进行全面的日志记录，这样做不仅能为事后追溯提供更加准确、直观、有效的证据，同时也会对“心怀不轨”的运维人员起到更有力的震慑作用，让运维人员清楚自己对数据库的所有操作行为都处于监控之下，那些原本可能滋生的“恶意”便不会再轻易付诸行动，从而大大降低因“主观冲动”引发的“删库”等恶性安全事件。DOMS基于数据库协议，对所有数据库操作行为进行全面日志审计并形成记录，对“在什么时间，以何种方式，对目标数据库进行了哪些操作”能够提供完整的操作记录，为事后追溯、取证出示完整、清晰、直接的证据链。此外，DOMS还具备运维身份管理功能，可在运维人员进行数据库访问操作的同时进行身份认证，根据不同身份的权限，赋予不同等级的数据库访问操作权限；同时，还会将每一次数据库运维操作都标识到具体的运维人员，即“是谁在什么时间、以哪个客户端IP、通过哪个数据库用户、访问了哪个数据库、执行了什么sql语句”等等，这样经过“实名化”的每一条sql语句和每次一数据库访问操作行为，都会是一组完整的证据链，让所有的恶意操作行为无处遁形。DOMS通过“防治结合”，让高权限“内鬼”无处下手、无路可逃！

  DOMS“实名化”操作日志记录

核心优势

DOMS作为一款数据库运维安全管理产品，除了提供有效的数据库访问控制手段外，还能为企业提供更多有效落实数据库运维安全工作的管理手段，可概括为实现运维安全管理的四化：

· 数据库运维操作透明化
通过运维人员身份交付、身份认证等手段，统一管理复杂的运维场景，确保所有运维人员执行的数据库操作、SQL语句等均能定位到人、机器或工具，实现运维操作的透明化。

· 数据库运维工作流程化
通过定义“事前审批、事中管控、事后追溯”的标准化流程，防止因操作失误或恶意破坏等不可控行为导致数据资产遭受安全威胁，实现运维操作的流程化。

· 数据库运维访问标准规范化
针对数据库访问权限及操作行为，建立详实的防护规则与策略；同时，对数据库用户名、密码等进行统一管理。通过以上两种手段相结合的方式，有效防止因内部人员权限过大或数据库密码泄露等导致的生产数据批量外泄风险，实现运维访问标准的规范化。

· 数据库运维操作管理简易化
通过可扩展接口与用户现有IT流程对接，实现DOMS与用户自身运维流程的打通；同时，支持DOMS在用户原有系统上的单点登录，实现运维操作管理的简易化。

值得一提的是，DOMS还能够通过“代理部署+数据本地访问控制”的方式，实现“无后门式”全面承接用户的运维管控工作，并对敏感数据的访问进行动态脱敏，从而实现对敏感数据的有效隔离、分而治之。

在围观“别人家的事儿”之余，更应当从中汲取经验教训，做到旁观者清；勿要等问题发生在自己身上后，再去“亡羊补牢”。信息时代，数据库运维管理首重安全，企业应更加注重安全运维，相关工作须真正落地并形成常态化，让数据使用自由而安全！