从专业角度看微盟集团，如何避免删库事件重现
德国哲学家黑格尔曾说，人类唯一能从历史中吸取的教训就是，人类从来都不会从历史中吸取教训。这几天删库事件再次上了头条，而顺丰删库跑路、华住酒店数据泄漏、VPS 服务商Kuriko数据清空等事件仿佛就在昨天。
我们通常错误地认为企业越大，数据安全保护措施会更加严密。事实上，顺丰删库跑路、华住酒店数据泄漏、VPS 服务商Kuriko数据清空等事件都印证着一个事实：绝大多数企业在快速发展的过程中，并未投入过多的时间和精力在数据安全领域。而这类企业往往存在许多关键的业务信息，一旦发生诸如微盟删库事件，后果不堪设想。
>>>> 观点【2】 ：企业数据被破坏，受害者到底是谁？
就微盟本次的事件看，核心关键的业务数据库被删除，意味着核心业务数据的完整性受到了严重的破坏，根据相关报道，微盟市值因此一天蒸发了9亿，几乎是致命的打击，可见数据对业务的影响、业务连续运行对公司财务以及投资人的影响。
同样的，微盟有非常多的商家入驻，如电商、酒店、餐饮类商家，业务也因这次的删库事件受到了重创，商家背后的客户群体也因此失去了原有的客户体验。微盟当务之急，除了我们看到的需要解决数据修复问题，还需要对商家进行赔付，总而言之，一系列连锁反应造成了更多的危机，受害者群体也因此急剧增大。
>>>> 观点【3】 ：各类安全事件动机多样化，人是最不可控的因素。
根据美创多年来对各类内控安全事件的剖析，我们发现“人是最不可控的因素”，换句话说，内控安全事件多数是由于人的行为不确定性造成。我们做了这样的统计，在企业中，常见的破坏资产信息的动机有：
〓 巨大利益的驱动、竞争对手反水，常造成数据盗卖、数据篡改、数据拖库等事件。〓 公司与员工的纠纷、员工之间的竞争报复、员工个人情绪失控，常造成如删库跑路等事件。〓 员工不够谨慎，造成数据误删等问题。而本次微盟事件正是由于个人情绪失控造成的蓄意破坏，属于典型的企业类数据被人为破坏的案例，从数据安全角度来看，微盟的关键任务之一是需要及时采取措施控制内部人员的权限，以防类似行为重现。
>>>> 观点【4】 ：微盟企业潜藏的数据安全危机？
就微盟集团的声明来看，我们发现了其中潜藏的众多数据安全危机，这里举例说明。
（1）缺乏运维人员的行为管控
贺某是运维部核心的运维人员，仅通过个人VPN登入公司内网跳板机后，就能够对核心数据库进行高权限操作（如删除、修改）等，如果按照等保的要求来看，这点已然不符合规定。
在微盟集团这样含有高度商业机密内容的企业中，应当有严密的内控行为管理措施，尤其需要收回DBA等高权限用户的账号，严格控制其进入数据库、操作数据库的权限，对于数据误删除事件，要有数据恢复能力。必要时，需严格执行工单审批流程，只有授权后才能进行高危操作，并对恶意告警进行第一时间告警处理。
（2）对于运维人员账号的管理
微盟集团本次事件追踪的关键动作是对嫌疑人的登录账号及IP地址，如果内部存在账号、IP地址被冒用等问题，是否可能存在栽赃、拒不承认等问题？
（3）内部数据安全问题
贺某的行为除了删库带来的众多后果，也引发了我们对微盟集团内部数据安全的担忧，既然贺某能轻易删除，也意味着其能够轻易看到数据库中的所有业务信息，也就是说，这些商户的信息可以倒卖给竞争对手、可以倒卖给其它需要客户隐私的第三方群体。而微盟集团内部不仅仅只有贺某拥有这样的高权限，其余的员工行为因此更需要严加管控。
（4）容灾备份是关键
我们认真思考一下，如果微盟集团本次没有对新、老客户进行备份，那么后果不堪设想。
对于微盟集团来说，这次数据修复、数据恢复需要依靠大量的人力、物力弥补，所以在致商户的通告中可以看到大部分数据的修复确实需要花费一些时间。这带来一些新的思考：
如果部分业务数据没有进行实时的备份，那么数据丢失的问题会引来更多的商户纠纷；如果数据恢复后，不能进行顺利的业务切换，那么业务停滞的时间将会更久，损失也会越大。
（5）需要警惕勒索事件
微盟集团数据删库的新闻在互联网掀起了激烈的讨论，包括其网络安全也受到了部分网友的质疑，通常勒索病毒对这类上市公司有极大的兴趣，面对linux环境的勒索危机事件，我们需要加以措施防控。
>>>> 观点【5】 ：事前监管、事中阻断、事后追踪是关键。
在微盟集团本次的公告中，除了有不足，也有值得借鉴之处。
“▓ 服务出现故障时，有系统监控报警。我们在数据中心运维的过程中，需要有一套完整的机制，其中包括对数据中心的操作系统、数据库、内存等进行实时监控，一旦发生异常，需要及时进行告警处理。
▓ 对操作行为进行审计，已有的跳板机只能对操作行为进行审计，无法进行阻断，但仍然为本次事件提供了追溯参考，可见审计是追踪本次事件的关键。
▓ 结合应急响应机制，形成事件的闭环。微盟集团在事件发生后，拥有较为快速的应急响应机制，这在大型企业的数据安全解决方案中，是最重要的一个环节，没有坚实的管理制度、应急响应制度，那么事件的处理将会变得更加繁杂。
”
但以上都属于事后追踪。面对微盟集团这样庞大的企业，如上文所述，光有事后追踪远远不足，我们还需要结合管理制度、事前监管、事中阻断的流程，注重事件的防范、员工的安全意识培训，才能够从本质上减少大部分的隐患和损失。
一个安全架构
▲▲美创零信任安全架构六大实践原则
两套解决方案
方案一：Linux环境下：防勒索+防水坝+灾备方案
1）通过美创诺亚防勒索系统，监控所有被保护文件的IO，识别是否是合法应用执行的“写”权限，不在白名单范围以内的，都会被过滤、拦截。
▲▲美创诺亚防勒索优势
2）通过美创数据库防水坝，对数据进行分级分类，实现特权账户管理和三权分立，内控合规保障数据安全，解决非法接入、数据篡改、敏感数据泄漏等问题。
▲▲美创数据库防水坝
▐ 敏感数据操作权限控制：通过特权账户权限隔离、访问操作预授权管理、行数阈值管控、访问频次控制、关联表个数控制、敏感SQL管理。特别是针对高危操作如Drop Table，Truncate Table等操作，运维人员需进行提交临时授权工单，由安全管理员进行逐级审批后方可进行操作。
▐ 动态脱敏管理：对未授权的账户访问敏感数据实现动态脱敏功能，确保业务人员、运维人员以及外包开发人员严格根据其工作所需和安全等级访问敏感数据。产品支持对字符串类型、数据类型、日期类型数据脱敏，通过随机、转换、遮盖等方式实现动态脱敏效果，防止第三方运维人员直接接触重要敏感数据信息和个人隐私数据。
3）通过美创DBRA灾备解决方案，帮助用户做好数据的备份和业务应用的连续性保护工作，实现数据安全的底线防御：
▐ 业务容灾：实现应用程序、中间件和数据库等业务系统各组成部分的数据同步，当发生故障时，能够在5分钟内根据不同的细粒度要求一键应急切换到灾备中心，保障整个业务系统持续运行，避免业务掉线，极大降低损失和影响。
方案二：数据安全运维方案（防水坝+堡垒机）
常见的传统运维安全方案中，网络运维安全和数据运维安全难以有效结合成为当前运维安全面临的困境。
但是，当我们以合力的思维，以堡垒机，严控运维入口，特别是针对组织内部复杂的网络运维场景，守住数据中心网络运维入口的第一道防线，而通过防水坝，在最靠近数据的位置建立最坚固的防线：
从而形成1+1>2的专业的美创运维安全整体解决方案，从而为客户带来立体化的保护，能够实现：统一账号、追踪溯源；集中管理、分级保护；访问控制、细化授权；动态脱敏、放心运维。
往期精选