基于工业 4G 路由器电力行业数据库系统安全审计方案 电力行业是国民经济的基础产业，是国民经济发展和人民生活极其重要的基础设施之 一。近些年来，电力的信息化建设取得了非常显著的成就，信息化建设已经有了一定的规 模，电力行业的信息系统庞大复杂，IT 系统治理难度大。 随着智能电网建设的不断向前发展，同时国家电网集团公司对信息安全的指导要求逐 步在加强。 2004 年，国家电力监管委员会发布第 5 号令 《电力二次系统安全防护规定》； 2005 年，电力二次系统安全防护专家组和工作组提出《电力二次系统安全防护总体 方案》； 2008 年，国家电网信息化工作部印发 316 号文件 《国家电网公司信息化 “SG186”工程安全防护总体方案(试行)》通知 这些文件均大篇幅地涵盖了电力系统对 IT 系统治理方面的紧迫要求。有鉴于此，很多 电力公司也在结合切身需求，不断改善和提升自身信息安全综合建设的水平。数据库安全 面临内部恶意操作以及外部恶意入侵两大夹击。如何有效保护数据库信息成为当前信息安 全界最为关注的课题。 安全需求紧迫 根据对某省电力综合业务、数据中心及电力交易的数据库系统的威胁与风险分析，单 位的数据库安全需求主要集中在以下方面： 一是，全面监测数据库超级账户、临时账户等重要账户的数据库操作。 二是，实时监测数据库操作行为，发现非法违规操作能及时告警响应。 三是，详细记录数据库操作信息，并提供丰富的审计信息查询方式和报表，方便安全 事件定位分析，事后追查取证。同时根据《企业内部控制规范 --基本规范的内部审计机 制》以及《计算机信息系统安全等级保护数据库管理技术要求》，数据库审计是必不可少 的一项。 因此需要单位网络中部署专业的数据库安全审计系统，可有效监控数据库访问行为， 准确掌握数据库系统的安全状态，及时发现违反数据库安全策略的事件并实时告警、记录 同时进行安全事件定位分析，事后追查取证，保障单位数据库安全。 才茂解决方案。 通过对某省电力的电力交易系统、数据中心、综合应用的全数据库类型进行综合审计， 能够对电力交易过程中的相关业务数据进行监控，对数据中心的核心业务的保护以及实现 综合应用中数据库操作的有效监管。采用端口镜像将电力交易系统、数据中心、综合应用 系统等各数据库服务器的业务流量分别连接到明御数据库审计与风险控制系统三个端口， 在系统设置相应的审计对象及审计规则，部署图如下： 实现了针对所有帐户对数据库访问与操作的全面监测审计 提供包括对系统管理员的账户在内的所有帐户登录、访问和各种操作，可以审计来自 直接进入数据库系统的，也可以审计通过中间件进入数据库系统的，通过关联可以清晰地 知道何时、何地、何人进入数据库系统在做什么，是授权的，还是非授权的，访问和操作 是否合规或违规。 加强了对数据库临时帐户的审计监测审计 数据库系统的维护人员有时需要在数据库中建立一些临时的账户，用于数据库的日常 维护，然而这样的账户如果被非系统维护人员恶意利用，由于使用时间较短，系统管理员 很难发现数据资源被窃取或是被恶意修改。该系统具有针对此类安全风险的审计功能，可 以把临时帐户对数据库的访问和操作全部记录在案保证了审计记录的完整性。 加强了针对重要敏感数据的访问的审计监测 数据库系统中的数据具有商业性、技术性、保密性特点，如果这些数据被泄露或篡改， 会给电力公司带来各种严重的后果。该系统严密的监测审计功能，可以帮助信息中心的系 统管理人员严密地监测和掌控所有对核心业务数据库系统中重要敏感数据的访问和操作， 及时发现违规操作和追根查源。 提供了详细的数据库审计记录及分类统计 该系统能够对所有审计信息进行记录、分类统计。根据用户需要，提供内容丰富、详 细的审计统计报表，清晰地掌握数据库系统安全运行和合规使用情况。 实现了数据库异常操作监测报警 该系统实现了数据库异常操作监测报警功能。根据事先制定的监测报警策略，对各类 操作进行实时监测。当发现违反策略的操作时，立即产生报警信息，警示管理部门尽快查 明原因，降低风险系数。 弥补了数据库系统内置日志审计的缺陷 数据库系统内置的日志审计功能单一，日志记录可以被人为修改、删除，该系统是一 个完全独立于数据库系统的“黑盒子”，审计记录自保护性强，弥补了数据库内置日志审计 的缺陷。 系统收益 通过部署核心业务系统的数据库安全审计，能够及时发现业务操作过程中存在安全隐 患的数据库操作行为，及时通知相关的责任人员，对安全事件的发生可通过远程操作回放 等功能实现追溯并定位。通过三层审计实现应用与数据库的有效关联，追踪到最终用户端 因此，我们认为数据库安全审计系统能够实现电力核心业务系统的数据操作监控，有效地 规避违规操作的发生。