基于工业 4G 路由器电力行业数据库系统安全审计方 案 电力行业是国民经济的基础产业，是国民经济发展和人民生活极其重要的基础设施之一。 近些年来，电力的信息化建设取得了非常显著的成就，信息化建设已经有了一定的规模， 电力行业的信 息系统庞大复杂，IT 系统治理难度大。 随着智能电网建设的不断向前发展，同时国家电网集团公司对信息安全的指导要求逐步 在加 强。 2004 年，国家电力监管委员会发布第 5 号令 《电力二次系统安全防护规定》； 2005 年，电力二次系统安全防护专家组和工作组提出《电力二次系统安全防护总体方 案》；2008 年，国家电网信息化工作部印发 316 号文件 《国家电网公司信息化“SG186” 工程安全防护总体方案(试行)》通知 这些文件均大篇幅地涵盖了电力系统对 IT 系统治理方面的紧迫要求。有鉴于此，很多电 力公司也在结合切身需求，不断改善和提升自身信息安全综合建设的水平。数据库安全面 临内部 恶意操作以及外部恶意入侵两大夹击。如何有效保护数据库信息成为当前信息安全界 最为关注的课 题。 安全需求紧迫 根据对某省电力综合业务、数据中心及电力交易的数据库系统的威胁与风险分析，单位 的数 据库安全需求主要集中在以下方面： 一是，全面监测数据库超级账户、临时账户等重要账户的数据库操作。 二 是，实时监测数据库操作行为，发现非法违规操作能及时告警响应。 三是，详细记录数据库操作信息，并提供丰富的审计信息查询方式和报表，方便安全事件定 位分析，事后追查取证。同时根据《企业内部控制规范--基本规范的内部审计机制》以及《计算 机信息系统安全等级保护数据库管理技术要求》，数据库审计是必不可少的一项。 因此需要单位网络中部署专业的数据库安全审计系统，可有效监控数据库访问行为，准 确掌 握数据库系统的安全状态，及时发现违反数据库安全策略的事件并实时告警、记录，同 时进行安全事件定位分析，事后追查取证，保障单位数据库安全。 才茂解决方案 通过对某省电力的电力交易系统、数据中心、综合应用的全数据库类型进行综合审计， 能够 对电力交易过程中的相关业务数据进行监控，对数据中心的核心业务的保护以及实现综合应用 中数据库操作的有效监管。采用端口镜像将电力交易系统、数据中心、综合应用系统等各数据库 服务器的业务流量分别连接到明御数据库审计与风险控制系统三个端口，在系统设置相应的审计 对象及审计规则，部署图如下： 实现了针对所有帐户对数据库访问与操作的全面监测审计 提供包括对系统管理员的账户在内的所有帐户登录、访问和各种操作，可以审计来自直 接进 入数据库系统的，也可以审计通过中间件进入数据库系统的，通过关联可以清晰地知道 何时、何地、 何人进入数据库系统在做什么，是授权的，还是非授权的，访问和操作是否合 规或违规。 加强了对数据库临时帐户的审计监测审计 数据库系统的维护人员有时需要在数据库中建立一些临时的账户，用于数据库的日常维 护， 然而这样的账户如果被非系统维护人员恶意利用，由于使用时间较短，系统管理员很难 发现数据资 源被窃取或是被恶意修改。该系统具有针对此类安全风险的审计功能，可以把临 时帐户对数据库的 访问和操作全部记录在案，保证了审计记录的完整性。 加强了针对重要敏感数据的访问的审计监测 数据库系统中的数据具有商业性、技术性、保密性特点，如果这些数据被泄露或篡改， 会给 电力公司带来各种严重的后果。该系统严密的监测审计功能，可以帮助信息中心的系统 管理人员严密地监测和掌控所有对核心业务数据库系统中重要敏感数据的访问和操作，及时 发 现违规操作和追根查源。 提供了详细的数据库审计记录及分类统计 该系统能够对所有审计信息进行记录、分类统计。根据用户需要，提供内容丰富、详细 的审 计统计报表，清晰地掌握数据库系统安全运行和合规使用情况。 实现了数据库异常操作监测报警 该系统实现了数据库异常操作监测报警功能。根据事先制定的监测报警策略，对各类操 作进 行实时监测。当发现违反策略的操作时，立即产生报警信息，警示管理部门尽快查明原 因，降低风 险系数。 弥补了数据库系统内置日志审计的缺陷 数据库系统内置的日志审计功能单一，日志记录可以被人为修改、删除，该系统是一个 完全 独立于数据库系统的“黑盒子”，审计记录自保护性强，弥补了数据库内置日志审计的 缺陷。 系统收益 通过部署核心业务系统的数据库安全审计，能够及时发现业务操作过程中存在安全隐患的 数据库操作行为，及时通知相关的责任人员，对安全事件的发生可通过远程操作回放等功能实现追 溯并定位。通过三层审计实现应用与数据库的有效关联，追踪到最终用户端。因此， 我们认为数据库安 全审计系统能够实现电力核心业务系统的数据操作监控，有效地规避违规操作的发生。