海信廣場作為青島市知名高級百貨店，客戶數據與财務數據衆多，為實現對海信廣場數據庫的安全防護，美創聯手海信廣場打造美創數據庫防火牆，為海信廣場數據庫保駕護航。

一、項目背景

作為青島的時尚地标建築，海信廣場于1997年7月1日創立，首次将國際品牌引入青島，集合了Hermès、LV、Prada 、TIFFANY&Co.、BVLGARI、BOTTEGA VENETA、BURBERRY等世界一線品牌，開啟了山東省的高級百貨時代，是中國最早的高級百貨店之一。

圖 1青島海信廣場

海信廣場青島總部主要的業務系統數據庫為Oracle數據庫，用戶數據庫中的重要數據有兩類：一類是客戶數據，包括客戶消費數據和會員個人信息數據；另一類是财務數據，包括商場流水、資金結算、員工工資等。

當前階段，青島海信廣場業務系統和數據庫都在一個區域内。本次建設主要訴求是實現對數據庫的安全防護，重點為内部運維，涉及部分外部防護，具體如下：

1）身份認證和識别， 針對數據庫的訪問主要有業務系統訪問和内部運維人員訪問，現有的網絡安全設備無法區分這兩種訪問形态，無法針對性的提供防護策略；

2）運維特權賬戶的管控，特别針對于内部運維層面的sys、system等特權賬戶，權限過高，如發生誤操作或者非法操作極有可能導緻重要數據的損毀或洩露；

3）針對運維層面的高風險操作的識别和攔截，如無where條件的删除、更新等，但也要能夠區别風險操作和常規操作，如一些tmp開頭的臨時文件的删除操作需要放行；

4）能夠全面監管并攔截針對于數據庫漏洞攻擊以及SQL注入攻擊等行為；

5）由于海信廣場為高端商品賣場，業務連續性非常重要，數據庫安全設備要求盡可能的避免對業務系統的影響，要求具有業務連續性保障。

二、解決方案

經過前期溝通以及方案交流，青島海信廣場最終選擇美創數據庫防火牆系統用于對業務系統數據庫的防護，兼顧内部運維人員管控和外部應用入侵防護。

根據實際需求，本次項目采用數據庫防火牆串接方式進行防護。

圖 2美創數據庫防火牆部署圖

Q：數據庫防火牆如何部署？

A:将數據庫服務器從服務器區域分離出來，增加交換機單獨劃分出一個數據庫區域，将數據庫防火牆串接在數據庫區域和核心交換機之間，所有對數據庫的訪問都要經過數據庫防火牆，起到過濾和防護作用。

具體實現功能如下：

（1）多因素身份識别，通過對數據庫訪問流的的分析和識别，通過IP地址、計算機名、使用工具等對訪問者身份進行識别，準确識别出運維訪問、應用訪問等身份形态；

（2）對業務和運維訪問進行規範化管理，劃定特定的IP作為合法的運維終端，同時指定專用的運維軟件，隻允許運維終端和業務系統訪問數據庫，同時隻放行業務服務器通過業務軟件的方式，拒絕業務服務器上通過運維工具的訪問；

（3）通過虛拟補丁功能，開啟内置的數據庫漏洞防護策略和SQL注入防護策略，全面防護來自外部的威脅和風險；

（4）限制特權賬戶，對于運維操作，放行常規運維操作，攔截提權操作、表空間操作、私建帳戶等越權風險操作，避免特權賬戶權限過高，可能對數據庫帶來的損毀風險；

（5）高危操作管控，對重要的數據表提供專門的防護，攔截對重要數據表的drop操作，以及沒有where條件的删除、更新等操作，同時為了便于運維操作的靈活性，允許對于tmp表的删除操作；

（6）數據庫防火牆提供硬件Bypass功能，在數據庫防火牆出現任何故障，包括軟硬件故障時都能盡快聯通網絡，保障業務系統的正常運行。

三 、方案價值

通過部署美創數據防火牆，海信廣場完美解決了在傳統網絡安全防護中無法針對數據庫和數據進行防護和管控的問題，具體如下：

1、 提高海信廣場數據庫抗風險能力

通過虛拟補丁有效的識别和攔截外部針對數據庫的攻擊和破壞行為，充分補齊傳統網絡安全的短闆，提高海信廣場數據庫的抗風險能力。

2、 采用準确的身份識别，細顆粒度管控數據操作

通過多因素的身份識别，準确識别應用和運維操作，并根據各自的操作特點指定細顆粒度的管控手段，在不影響業務和正常運維的情況下，最大限度的保障數據安全。

3、 高可靠性打消客戶疑慮

采用硬件Bypass功能，在數據庫防火牆出現故障時能夠快速恢複，保障業務正常運行。

為國内數據安全領域的領導企業，美創科技對于數據庫防火牆技術、性能、應用、商業化等研究一直走在前列，并擔任數據庫防火牆新國标的研制工作。美創數據庫防護牆系統目前已成功應用于醫療、人社、政府、交通 通信等衆多事關國計民生的重要領域，獲得廣泛認可與好評。

更多精彩资讯请关注tft每日頭條，我们将持续为您更新最新资讯!