近日，人社部辟謠社保信息泄露事件，稱未發現公民個人信息泄露。同時，要求針對主機、網絡、數據庫等信息系統的各個方面，采取有針對性的防控措施，將風險限定在可控范圍，確保廣大群眾的切身利益不受侵害。
而此前，鋪天蓋地的報道，以及5279.4萬條數據遭泄露傳聞著實嚇人，許多網絡安全專家紛紛表示擔心，一旦這些敏感信息被竊取，很可能將淪為黑客交易市場的“新品”。專家的擔心絕非杞人憂天，在這幾年里，我們碰到了太多大型數據泄露事件，如2000萬條酒店開房記錄泄密、火車票購票網站12306被曝漏洞、職稱英語考試考生信息打包出售、快遞網站1400萬條個人信息被層層轉賣的事件。相信大多數人的感受是既擔憂，又感覺到一絲無力。
泄密事件頻發，切忌“管中窺豹”
隨著互聯網的普及與各類應用不斷深入，用戶基本個人信息也在以各種各樣的形式在互聯網上被采集、存儲和傳輸。互聯網在為用戶提供各種便利的同時，也為個人信息的泄漏提供了更快的傳播方式和更多可能的傳播途徑。如今，在日常生活中，隱私泄密的陰影籠罩著每個人。比如：在新房交房之際，一大波裝修公司通過移動電話聯系到業主；在汽車保險將要到期前，一個個保險公司蜂擁而至；在嬰兒呱呱落地后，家長就收到各種介紹孩童用品的推銷電話。
在信息化迅猛發展的今天，如何保證個人關鍵信息不被泄露、篡改、偽造，不僅是每個公民最基本的訴求，也是作為政府職能部門樹立政府公信力，建設和諧社會的重要職能。為此，人社部胡曉義副部長表示：“隨著信息技術的發展，黑客的攻擊手段也越來越強，而防范的成本越來越高。對于影響廣大群眾切身利益的各種信息安全威脅，我們將不遺余力地予以封堵，即使低度威脅，我們也將采取有效的措施，將風險限定在可控范圍。我們歡迎社會各界對社保系統安全提出建議和意見，對于發現的安全漏洞，通過合法渠道向國家有關部門報告，或直接與人社部聯系。”
而縱觀歷史上中到的泄露事件，其泄露渠道、泄露方式也是紛繁復雜。所以，應從整體進行分析，切忌“管中窺豹”，并杜絕“頭疼醫頭”的做法。下面，就讓我們以最為常見的數據泄露途徑為例，展開來看。
例如社保信息數據，它們就像是存放在社保IDC里的固定資產一樣，在不被授權的情況獲取，可能存在的原因無外乎有幾下三種：
第一、內部人員泄密：內部人員可能是外包運維人員，也可能是內部員工，抑或正在或者曾經在服務器上有過開發經歷的人員所為；
第二、外部人員泄密：通過黑客手法利用已知或者未知漏洞攻擊應用服務器，獲取權限復制出關鍵信息；
第三、不明原因的泄密：敵對組織或者國家通過更為底層、尖端的技術，利用其芯片或者BIOS后門等方式竊密上層應用數據。
針對以上三條泄密途徑，單一的安全產品勢必難當重任，那么，我們又有什么完整的解決辦法呢？
7把 “安全鎖”鑄成可信鏈，4個“抑制點”不懼泄露
作為中國領先的云計算產品和方案提供商、信息安全技術的領頭羊，浪潮的建議是這樣的：針對入侵和數據泄露的全過程，以浪潮可信服務器為底層依托，在可信鏈條上建立4個“抑制點”，減少數據外泄的可能性。其技術特點包括了7把“安全鎖”，即：“進不來、打不開、拿不走、看不懂、可控制、可管理、可追溯”。
浪潮S系列6大產品線 針對數據泄露建立“抑制點”
第1個抑制點：網絡入口
首先，對數據訪問入口需要安裝“進不來”這把鎖，它包括兩個維度，即：內部運維人員、開發人員越權訪問行為進不來；外部惡意攻擊者通過應用層訪問進不來。具體做法是采用浪潮SSC運維安全管控系統產品，保證內部運維人員、開發人員的越權訪問行為進不來，SSC通過4A技術對管理人員分不同角色與權限對后臺要管理的資產進行權限控制，即所有要訪問后臺服務器、數據庫、中間件等資產的行為，都需要經過SSC產品的審核，通過審核才可放行，反之拒絕。并且所有角色的管理操作行為都以360度無死角的形式進行保存歸檔，以供查驗。
在產品層面，在這個抑制點上還采用了SSA安全應用交付系統，保證外部惡意攻擊者不會通過應用層端口進入到內部系統竊取信息，所有外部訪問請求數據必須經過SSA設備的WAF模塊的過濾才可以進入內部應用進行訪問。
第2個抑制點：系統加固
加固需要兩把鎖，即：“打不開、拿不走”。需要針對操作系統和數據庫系統安全加固來進行防護，所采用的產品為SSR主機安全增強系統，以及SDP數據庫安全審計加固系統。首先，這兩款產品均采用管理權限“三權分立”、白名單、強制訪問控制等技術，保證白名單規則之外的所有行為不被執行，從而保證操作系統與數據庫關鍵信息的安全。其次，SDP產品是采用數據庫的防火墻產品部署在前置應用服務器與后端服務器之間，做到對前端訪問請求的訪問控制，保證不被授權的訪問行為不被傳遞到后臺數據庫。
第3個抑制點：數據加密
隨著安全加固步步深入，數據本身也需要一把鎖，這就是“看不懂”，確保即使發生數據竊取事件，。通過浪潮SDP產品的透明加解密功能，用戶提前將數據庫中的數據進行加密，沒有經過單獨授權體系的授權操作的用戶（或攻擊者）看到的返回結果將會是密文或者無返回結果，這樣攻擊者就無法去修改涉密信息等數據。因此，即使將數據庫中數據通過拷貝等途徑泄露，數據也會是安全的，這樣就可以從根本上避免社保信息等此類高保密信息泄露所造成的巨大損失和不良影響。
第4個抑制點：安全審計
最后的三把安全鎖，分別是“可控制、可管理、可追溯”，功能實現由浪潮SSC、SSM、SDP三款產品構成并進行控制。SSC負責對維護、管理、開發的數據資產進行集中的權限控制與行為記錄審核，當發生安全事件后可提供全面的日志與錄屏方式，記錄進行事件追蹤。而遵循ITIL最佳運維實踐標準的SSM應用監管系統，可以模擬專業人員的監控管理行為，實時的對于計算環境相關的所有資產安全狀態信息進行收集分析，并通過多種渠道進行告警信息的傳遞。對細枝末節的安全風險也能夠做到全局把控。最后，SDP產品的數據庫審計模塊，可以針對發生的安全事件進行數據庫層面的安全審查。
除了上述解決方案之外，浪潮推出了應用于物理環境安全防護的可信服務器，從硬件服務器加電開始對硬件的啟動、加載等環節進行可信校驗。直到SSR產品對操作系統進行防護之前的環節，都是由可信服務器進行安全防護，實現了從硬件到上層軟件的可信鏈傳遞。
利用浪潮可信服務器構筑可信鏈
數據防泄露注重整體，APT攻擊非單一產品可抗
社保信息泄露事件的傳聞再次對我們敲響警鐘，希望在今后，公民的個人隱私能得到真正有效的防護。而通過上述安全產品的防護，可實現對各大行業計算環境中的硬件、操作系統、數據庫、人員等方面的技術及制度的完善，真正提升計算環境的安全防護等級。
如今，高級黑客們早已經度過了篡改網站頁面的“青春期”，攻擊者利用APT攻擊方式進入網絡之后，他們會滲透更多的內部主機，收集憑證、提升權限級別，實現持久控制。隨后，攻擊者通常會跟蹤核心數據庫系統的位置，使用一定的技巧和工具將攻擊者權限提升到跟管理者一樣。這個過程一旦成功，攻擊者便會為自己創建合法的帳戶和訪問權限，以竊取數據庫中價值極高的信息。
而企業用戶需要面對不斷襲來的APT數據竊取攻擊，傳統的信息安全解決方案或單一的安全產品都已經難以應對信息安全威脅的進化。所以，安全建設人員需要通盤考慮所有與之相關的可能因素，并提出相應解決方案才可真正阻止類似事件的發生。
京公網安備 11010502049343號