BOSS敏感资料管控平台.ppt

联创安全内控审计解决方案BOSSBOSS敏感资料安全管控平台敏感资料安全管控平台电信、联通、移动前台后台央视3.15曝光信息泄露和垃圾短信《刑法修正案七》《个人信息法》背景背景国家工业与信息化部集团公司通管局驱动力驱动力安全自查安全自查安全整改安全整改IT/业务支撑系统部存储了所有客户个人信息，主任作为第一责任人，有责任、有义务保证个人信息的安全泄漏个人信息泄漏个人信息可判三年，追求主管可判三年，追求主管领导职责领导职责泄漏源泄漏源业务梳理、泄露途径分析业务梳理、泄露途径分析BOSS/BOMC/BASS/CRM主机/数据库批量泄漏个人信息批量泄漏个人信息为最最严重问题为最最严重问题运维人员、开发人员只需一条SQL语句，即可导出全省个人信息资料前台的查询、导出，应用系统一般有日志可查难于批量泄露个人信息背景背景央视央视315315晚会爆料个别运营商晚会爆料个别运营商用户信息泄露用户信息泄露 用户信息每个被卖用户信息每个被卖五分钱五分钱案例案例2 2：程某：程某3131岁，是岁，是X X公司资深软件研发工程师，从公司资深软件研发工程师，从20052005年年2 2月，他由月，他由A A地地运营商系统进入运营商系统进入B B地运营商的业务系统地运营商的业务系统————充值中心数据库，获得最高系统充值中心数据库，获得最高系统权限，根据权限，根据““已充值已充值””的充值卡显示的的充值卡显示的1818位密码破解出对应的位密码破解出对应的3434位密钥，位密钥，然后把然后把““已充值已充值””状态改为状态改为““未充值未充值””，并修改其有效日期，激活了已经，并修改其有效日期，激活了已经使用过的充值卡。

他把面值使用过的充值卡他把面值300300元的充值密码以元的充值密码以281.5281.5到到285285元面值不等价格元面值不等价格在网上售出，非法获利在网上售出，非法获利380380万 案例1信息安全面临的挑战信息安全面临的挑战BOSSBOSS系统数据库维护现状系统数据库维护现状•多种方式分散接入•缺乏有效的控制手段•帐号管理混乱、帐号滥用•授权混乱、越权访问•敏感资料泄密•缺乏审计，无法进行事后稽核BOSS敏感数据包括：a)客户资料（包括普通客户资料、个人大客户资料、集团大客户资料、渠道合作伙伴资料等）b)计费帐务数据（包括详单、账单、帐务信息和记录等）c)统计数据（包括统计报表、结算报表等）运营商的迫切需求运营商的迫切需求访问控制功能要求访问控制功能要求具备较强访问控制能力，能够在核实人员真实身份的基础上，控制其能够访问的BSS/BOSS系统中的具体数据库，以及能够精确到那些表，防范越权访问用户资料管控需求用户资料管控需求涉及用户资料的批量查询、批量下载的操作行为，需实现可管理、可控制、可跟踪的管控需求，批量下载等操作需要申请、审批等流程审计能力需求审计能力需求平台能够纪录维护人员的操作，为安全审计和事件调查提供原始资料。

同时批量下载的文件需要进行存档统一运维需求统一运维需求•支持Plsql、Sqlplus、Toad等常用的数据库维护工具，单点登录到数据库实体，提升运维管理效率需求探讨需求探讨pp我们已经部署数据库审计系统，能够审计出后台操作命令，还我们已经部署数据库审计系统，能够审计出后台操作命令，还需要需要CDMPCDMP吗吗? ?恩，当然恩，当然~~~~敏感资料的导出在审计系统上只能看到敏感资料的导出在审计系统上只能看到select命令操作，命令操作，无法审计出是否导出无法审计出是否导出 pp我们已有我们已有4A4A系统，请问和系统，请问和4A4A系统如何进行整合？系统如何进行整合？和和4A4A系统可以实现无缝整合，在系统可以实现无缝整合，在4A4A平台上看到所有资源，点击资源，平台上看到所有资源，点击资源，调用调用CDMPCDMP发布的运维工具，实现发布的运维工具，实现“ “瘦瘦” ”客户端接入机制客户端接入机制pp使用使用CDMPCDMP，运维的复杂度是否变高？是否影响开发进度？，运维的复杂度是否变高？是否影响开发进度？ 通过通过CDMPCDMP实现数据库、主机的单点登录，无需输入密码，提高了实现数据库、主机的单点登录，无需输入密码，提高了工作效率，而且能够实现资源密码自动变更，无需通知维护人员。

工作效率，而且能够实现资源密码自动变更，无需通知维护人员pp如何实现数据库细粒度授权？如何实现数据库细粒度授权？通过网络嗅探技术实时抓取和截获数据包，实现数据库操作的实时控通过网络嗅探技术实时抓取和截获数据包，实现数据库操作的实时控制，如是否允许对敏感表进行制，如是否允许对敏感表进行select select 查询？查询？•敏感数据安全管控平台敏感数据安全管控平台(Confidential Date (Confidential Date Manage platformManage platform，，以下简称以下简称CDMP））是南京联创公司经过长时间的技术积累和攻关研发，针对数据库的安全管理、日志审计，业界领先并且拥有自主知识产权的一款信息管控产品•实现功能如下：实现功能如下：–数据库的细粒度授权数据库的细粒度授权–敏感资料的管控（申请、审批）敏感资料的管控（申请、审批）–操作行为的日志审计操作行为的日志审计•四重四重授授权权功能功能，，–应用程序授权应用程序授权 - -授权用户可访问哪些应用授权用户可访问哪些应用程序–实体级授权实体级授权- -授权用户可使用的数据库实例授权用户可使用的数据库实例和目标和目标IPIP。

–实体内授权实体内授权- -授权用户可使用的表、授权用户可使用的表、sqlsql语语句的授权句的授权–数据下载授权数据下载授权- -授权用户可下载的表数据授权用户可下载的表数据•日志记录功能实现日志记录功能实现CDMPCDMP的日志记录能力对于的日志记录能力对于经过该平台的维护操作，应当形成日志记录，经过该平台的维护操作，应当形成日志记录，以便于日后审计与追踪以便于日后审计与追踪联创联创CDMPCDMP产品介绍产品介绍集中管理集中管理访问控制访问控制闭环控制闭环控制管理与部署管理与部署实现维护接入的集中化管理CDMP管理员在一点上可对不同系统中的接入维护进行统一管理实现批量下载等操作行为的可控化，如果维护人员的确因业务需要下载用户数据，则需要根据事先约定的申请、审批等环节，实现基于信息安全监察机制的闭环控制体系联创联创CDMPCDMP功能解析功能解析实现接入维护的行为审计记录接入操作的日志信息，包括被管理资源的高敏感度数据访问和关键操作行为，以支持审计，提高对萨班斯法案的遵从性实现接入维护的访问控制可以在CDMP平台上基于用户的权限，进行统一的资源层和应用层访问控制，提高系统安全性实现维护终端应用web发布。

采用类似堡垒主机的技术，避免维护人员使用不安全的终端直接访问通信网、业务网及各支撑系统设备行为审计行为审计管理部署管理部署 敏感数据安全管控平台对业务支撑网数据的泄漏及数据篡改泄漏及数据篡改做到事前预防事前预防、事中控事中控制制、事后审计事后审计（稽查），以保证核心数据的高机密性 防止客户资料外泄：防止客户资料外泄：q外部非法入侵，盗取客户资料q内部合法用户有意或无意下载客户资料造成泄密 防止非法操作、篡改：防止非法操作、篡改：q改话费余额q改帐户属性q新建充值卡非法营利事后审计（稽核）：事后审计（稽核）：q有据可查，快速定位泄漏源建设目标建设目标建设目标维护人员接入控制帐号管理认证转发日志记录监控人员技术支持人员通信网业务系统支撑系统VPN资源控制本地……单点登录授权系统管理账号管理￿￿应用发布￿￿访问策略管理￿￿￿￿日志记录接口￿￿￿SYSLOG4A、ISMP、SOC￿CDMP平台联创联创CDMPCDMP系统架构系统架构CDMPCDMP功能功能实现数据库的细粒度授权构建信息安全的闭环控制体系基于数据进出的申请、审批流程管理三大创新对业务支撑网数据的泄漏及数据篡改做到事前预防、事中控制、对业务支撑网数据的泄漏及数据篡改做到事前预防、事中控制、事后审计，构建了申请、审批、实时告警、审计的信息安全闭事后审计，构建了申请、审批、实时告警、审计的信息安全闭环控制体系，保证了核心数据的高机密性，有效杜绝了可能存环控制体系，保证了核心数据的高机密性，有效杜绝了可能存在的不安全因素，为业务支撑的优秀运作提供了强有力的保障在的不安全因素，为业务支撑的优秀运作提供了强有力的保障和支持。

和支持敏感数据管控敏感数据管控传统的审计系统，类似于监控系统这个机密文件被谁看过，是可以审计，但此文件是否被复印？不得而知房间门禁系统，类似于细粒度授权，给数据库的表安装了一个门禁系统保安，进入需要出示工牌，搜身检查，物品进行登记等同于认证，实现一人一账号；敏感数据需要申请、审批、PDF水印等和数据库审计的区别和数据库审计的区别数据库用户1网关节点1网关节点2网关节点nCDMP管理中心用户2用户n网关节点群网关节点群CDMP安全管控平台安全管控平台联创联创CDMPCDMP连接示意图连接示意图数据库数据库域/文档服务器 服务器服务器数据库数据库传统模式传统模式集中模式集中模式 桌面桌面/ /客户端客户端 桌面桌面/ /客户端客户端 桌面桌面/ /客户端客户端CDMPCDMP安安全管控平全管控平台台服务器服务器数据库数据库数据中心数据中心维护用户维护用户 桌面桌面/ /客客户端户端维护用户维护用户维护用户维护用户CDMPCDMP带来维护集中化带来维护集中化简化部署，强化安全管理简化部署，强化安全管理•提供对维护工具的管理（UltraEdit、SecureCRT、Plsql、Sqplus、Toad、C/S客户端等）。

•提供实体级管理（主机、网络设备、数据库、应用系统资源等）•提供实体内管理，可对资源可使用的主机命令(unix/linux命令)以及sql语句进行授权,分为操作指令的细粒度授权、数据库操作的细腻粒度授权•单点登录：提供统一登录界面，代填用户访问不同目标资源的密码•闭环控制：提供申请、审批等流程，实现敏感数据的闭环控制•核心技术：–Windows 2008-终端服务–Windows 2008-终端服务 RemoteApp&Web access Web化发布–Windows 2008-终端服务 TS Session Broker 负载均衡•配置依据：–每用户RDP请求消耗50M/用户内存，并发120用户即60G内存，现在配置了32G内存CDMPCDMP系统简介系统简介WEBWEB桌面虚拟化桌面虚拟化虚拟桌面虚拟应用应用安装应用安装应用管控应用管控应用发布应用发布用户：虚拟桌面用户：虚拟桌面+ +虚拟应用虚拟应用PLSQLSqlplus个人文件夹SelectUpdate清单/详单表集中接入维护系统使用流程集中接入维护系统使用流程敏感数据1敏感数据2下载申请下载存档20数据库表数据库表selectUpdateDelete备注备注BOSS1√√√√√√BOSS2√√√√BOSS3√√√√集中维护系统演示集中维护系统演示通过水印技术、PDF安全级别技术实现敏感数据导出的可控制、可追查，构建信息安全的闭环控制体系无论敏感数据的访问、操作、导出等各个层面的接触都可以实现短信实时告警通过应用虚拟化技术实现敏感数据全面管理和控制实现与数据库系统无关的细粒度授权控制CDMP创新点创新点CDMPVS￿￿Citrix￿MetaFrame联创联创CDMPCitrix MetaFrameCitrix MetaFrame屏幕录像●●应用程序控制●●应用发布WEB化发布WEB化发布操作系统Windows 2008 serverWindows 2003 server相同点差异点　联创联创CDMPCitrix MetaFrameCitrix MetaFrame 连接协议RDP 专用使用端口80 443 80 1494 身份认证方式内嵌，也可转发第三方系统仅依赖于外部系统录像的内容搜索● 〇 SQL语句审计● 〇 资源访问控制● 〇 命令行控制与审计● 〇 文件管理● 〇 PDF水印技术● 〇 关键字操作实时告警● 〇 产品定位定位于运行维护的安全控制与审计定位于应用程序的Web化发布，而非安全用途移动行业成功案例移动行业成功案例陕西移动陕西移动CDMPCDMP系统案例系统案例项目数值陕西移动CDMP用户数量200陕西移动最高并发使用用户100管控数据库个数17管控数据库表个数32000用户默认磁盘限额200M支持下载转换成PDF格式的文件csv、txt、doc、xls常用发布软件Ovsd、word、excel、SecureCRT 、cdmpfile日访问用户120谢谢 谢！谢！ 谢谢 谢谢 。