数据库安全构建阶段检视要点

2023-11-16 理论教育版权反馈

【摘要】：从有效的DB安全构建事前准备阶段开始，到建成运营，DB安全组织必须通过进行如下事项，使DB安全能够成功导入、应用和构建。1） DB安全企划阶段构建DB安全要建立基本企划，这是开发DB安全政策和方针、指南等的阶段。3） DB安全构建阶段构建阶段是根据设计阶段的实施结果，在现实中具体实现并测试各技术要素的阶段。分析弱点的改善程度，持续确认DB相关的安全性也是运营阶段中的重要事项。

从有效的DB安全构建事前准备阶段开始，到建成运营，DB安全组织必须通过进行如下事项，使DB安全能够成功导入、应用和构建。

（1）为DB安全选定要导入应用的技术要素，定义选择标准，据此决定导入应用的技术要素对象。

（2）构建技术要素，在导入决定和解决方案时，为选定合适的解决方案，要定义评价标准，据此选定公平细致的评价及最佳解决方案。

（3）为提高公司全体员工的认识标准及促进DB安全顺利构建，要进行DB安全必要性、DB安全事故案例教育等认识转变教育。

（4）为导入技术要素相关的解决方案，进行发单管理及预算管理等。

因此，作为长期的基本检视项目，数据库安全必须经过企划、设计、构建、运营等全部过程，按不同阶段进行详细检视。

1） DB安全企划阶段

构建DB安全要建立基本企划，这是开发DB安全政策和方针、指南等的阶段。为此识别并分类安全对象数据，为DB安全定义原则、方针等，要定义负责DB安全的组织构成和作用、责任等。还有改善、补全DB安全政策内容的流程，DB安全技术要素相关的内容或技术要素的改善、补全、更改、追加等相关流程，运营DB安全管制的流程等都包含在DB安全方针、指南里。要能够让企业及组织全体成员明确理解并遵守DB安全政策、方针、指南等，以此为目标进行教育。与此相同，在DB安全构建、运营过程中，必要的教育种类、对象、实行责任等教育关联事项等，也是应该包含在DB安全政策、方针、指南等中的内容。包含DB安全政策、方针、指南等的开发，随着DB安全技术要素相关的导入、构建流程和日程，选定实施责任人，导入、构建DB安全技术要素，定义执行组织构成和作用、责任，选定必要的教育并确定日程等，是企划阶段已实现的DB安全构建计划中包含的主要内容。企划阶段的主要检视事项有如下两个方面。

（1） DB安全构筑计划及应用范围。

（2） DB安全政策、方针、指南、教育计划等。

2） DB安全设计阶段

设计阶段是为实现如DB访问控制规则、DB操作决策规则等各技术要素，定义详细规则并设立实验计划的阶段。DB访问限制相关设计阶段的主要实施内容是通过访问限制规则定义，这里有关用户认证、登录、SQL控制、联机、信息、SQL伪装（masking）等的信息规则必须经过定义，定义监控指标和确定信息运营方案的内容也包含在内。

DB加密相关设计阶段的主要实施内容是制订要赋予译码权限的对象和其权限的管理方法，制订秘钥及算法等。

DB操作决策相关设计阶段的主要实施内容是通过制订操作决策规则，在此需定义决策通道和决策规则，决策内容的联机方案等，DB操作决策的实现情况或定义其记录相关的监控指标，确立详细运营方案等内容都包含在内。

DB弱点分析相关设计阶段的主要实施内容是通过确立弱点分析计划，在此DB环境构成和其管理、账户管理、密码管理、权限管理、认证管理、远程访问管理等相关弱点分析的计划都包含在内。设计阶段的主要检视事项有如下两个方面。

（1）（不同技术要素）设计书。(www.chuimin.cn)

（2）（不同技术要素）实验计划书。

3） DB安全构建阶段

构建阶段是根据设计阶段的实施结果，在现实中具体实现并测试各技术要素的阶段。DB访问控制相关构建阶段的主要实施内容是具体实现设计好的访问控制规则，防止迂回访问，探讨并补全具体实现环境，通过安全应用测试，确认迂回访问的可能性和迂回访问方案的可信度。

DB加密相关构建阶段的主要实施内容是根据设计阶段的实施结果进行对象数据的加密，将加密的数据与原数据对照，确认密码门的可信度，在DB中删除原数据，去除原对象数据担负的关于访问流出的解读可能。并且，还包括维护DB加密管理制约事项、管理秘钥、探讨补全与此相关的具体实现环境，通过安全应用测试，检查加密数据是否可解读等内容。

DB操作决策相关构建阶段的主要实施内容是根据设计内容，具体实现操作决策流程，防止迂回决策，探讨补全相关环境，通过安全应用测试，确认迂回决策的可能性与操作决策功能的可信度等内容。

DB弱点分析相关构建阶段的主要实施内容是根据设计阶段确立的弱点分析计划，进行模拟黑客袭击，确认有无弱点，并排除发现的弱点。而且在应用解决方案时，弱点确定和追加弱点自动在DB弱点分析中是否有所反映，还要为确认前者进行弱点分析测试等。而且为确认有无利用弱点进行的非许可访问等还要进行内部安全检查。构建阶段的主要检视事项有如下两个方面。

（1）（不同技术要素）实验结果书。

（2）（不同技术要素）实现明细书。

4） DB安全运营阶段

运营阶段要监控具体实现的技术要素的运行状态及结果，导出并实行补全、改善，是与此相关的安全规则的维护及管理阶段。在运营阶段，为持续维护和改善、补全具体实现的技术要素，主要应实现技术性、管理性的安全。

运营阶段的主要实施内容与访问控制规则、操作决策规则等一样，根据设计阶段的制订内容，维护、管理具体实现的安全规则，应用安全规则相关的变更、改善、补全等控制流程，管理其他变更记录，也包含生成、维护备份安全规则的内容，以及检视用户记录并分析，确认有无不适当尝试或赋予权限的适当性等，监控具体实现的技术要素的运作状态。必须检查登录记录或运营报告书、检视结果等，进行导出调整、改善事项的管理活动。

必须持续收集弱点并反映在现有的弱点名单上，进行检视及弱点排除。分析弱点的改善程度，持续确认DB相关的安全性也是运营阶段中的重要事项。为此，在运营阶段中，必须将全部要检视的事项做成检视表，随时或定期进行检视，不遗漏重要检视事项，确认全部检视事项得到系统性确认和管理。运营阶段的主要检视事项有如下两个方面。

（1） DB安全检视表及检视结果。

（2）（不同技术要素）运营报告书。

数据库安全构建阶段检视要点

相关推荐