電力信息網(wǎng)絡的工作十分繁雜，為此涉及到大量的數(shù)據(jù)信息，而每一個數(shù)據(jù)信息的運算背后后關系到電力信息系統(tǒng)的業(yè)務工作，如果這些教據(jù)受到外界的攻擊，發(fā)生了絲毫差錯的話，就會危及影響到整個電力系統(tǒng)的發(fā)展。電力中的敏感數(shù)據(jù)主要存儲在數(shù)據(jù)庫中，對于數(shù)據(jù)庫的安全防護措施屬于當前安全體系的薄弱環(huán)節(jié)，對應等保安全要求的數(shù)據(jù)庫防護思路如下表：
功能 | 備選產品 | 保護效果 |
身份鑒別 · | 數(shù)據(jù)庫漏掃 | 檢測數(shù)據(jù)庫的弱口令、連續(xù)登錄失敗鎖定的次數(shù)等。 |
訪問控制● | 數(shù)據(jù)庫漏掃 | 檢查數(shù)據(jù)庫系統(tǒng)的缺省賬戶，多余、過期的共享賬戶。 |
數(shù)據(jù)庫防火墻? | 提供細粒度的訪問控制、提供行數(shù)限制的閥值控制等。 | |
數(shù)據(jù)庫加密 · | 防止特權用戶敏感數(shù)據(jù)訪問；對重要信息形成敏感標記。 | |
安全審計● | 數(shù)據(jù)庫審計4 | 每個用戶的行為、各種可疑操作并進行告警通知，能對 |
入侵防范 | 數(shù)據(jù)庫漏掃? | 可以檢測出數(shù)據(jù)庫吊洞、補丁未升級；2 |
數(shù)據(jù)庫防火墻 | 虛擬補丁技術能阻止針對補丁未升級的惡意攻擊行為。 | |
惡意代碼防范 | 數(shù)據(jù)庫漏掃 | 能檢測存儲過程、函數(shù)中存在的惡意代碼。 |
數(shù)據(jù)庫防火墻 | SQL注入等漏洞特征庫、通過虛擬補丁防范惡意攻擊。 | |
資源控制 | 數(shù)據(jù)庫防火墻 | 提供每個用戶對敏感數(shù)據(jù)的最大連接數(shù)限制等。 |
數(shù)據(jù)保密性 | 數(shù)據(jù)庫加密 | 對數(shù)據(jù)庫中敏感信息按列進行加密保存。 |
等保數(shù)據(jù)安全應對點
在物理隔離條件下不同數(shù)據(jù)庫間數(shù)據(jù)同步，通過在內部網(wǎng)建立臨時的中間數(shù)據(jù)庫，實現(xiàn)了不同網(wǎng)絡環(huán)境數(shù)據(jù)庫間同步的緩沖，同時滿足了數(shù)據(jù)的同步和完整性要求，并通過設計元數(shù)據(jù)表，提高了操作的靈活性。本方法在安全性要求高，需要內外網(wǎng)物理隔離，且數(shù)據(jù)量較大的不同數(shù)據(jù)庫間的數(shù)據(jù)同步中能夠穩(wěn)定的工作。
隔離裝置系統(tǒng)架構主要由內、外網(wǎng)處理單元和隔離交換單元三部分構成。內網(wǎng)處理單元與內網(wǎng)相連，外網(wǎng)處理單元與外網(wǎng)相連，內、外網(wǎng)處理單元分別負責內外網(wǎng)信息的獲取和協(xié)議分析，隔離交換單元在內外網(wǎng)主機間按照指定的周期進行安全數(shù)據(jù)的擺渡，并根據(jù)安全策略完成信息的安全檢測。
國家保密局對安全隔離與信息交換類產品的應用進行了規(guī)定，規(guī)定安全隔離與信息交換系統(tǒng)在以下四種網(wǎng)絡環(huán)境下應用：
不同的涉密網(wǎng)絡之間；
同一涉密網(wǎng)絡的不同安全域之間；
與 Internet 物理隔離的網(wǎng)絡與秘密級涉密網(wǎng)絡之間；
未與涉密網(wǎng)絡連接的網(wǎng)絡與 Internet 之間。
針對不同環(huán)境下的安全要求，以及通用隔離裝置無法對私有協(xié)議進行數(shù)據(jù)內容檢查的問題，隔離裝置從技術線路上分為單向隔離裝置和信息交換隔離裝置。
隔離裝置用于低安全區(qū)域到高安全區(qū)域數(shù)據(jù)流的單向傳輸，接收端無需任何反饋，以電力企業(yè)生產控制大區(qū)安全區(qū)I/II到管理信息大區(qū)安全區(qū)III的單向數(shù)據(jù)傳遞為例，如圖所示：
正向隔離裝置用于高安全區(qū)域到低安全區(qū)域數(shù)據(jù)流的單向傳輸，與反向隔離裝置不同的是，正向隔離裝置允許存在tcp應答，但是從低安全區(qū)到高安全區(qū)的TCP 應答禁止攜帶應用數(shù)據(jù)，從而保證數(shù)據(jù)流的傳輸是單向的，以電力企業(yè)管理信息大區(qū)安全區(qū) III 到生產控制大區(qū)安全區(qū) I/II 的單向數(shù)據(jù)傳遞為例，如圖所示：
信息交換隔離裝置用于在保障信息安全的前提下，在兩個不同安全級別的網(wǎng)絡區(qū)域間進行適量的、可靠的數(shù)據(jù)交換
電力企業(yè)內部自研的邏輯強隔離裝置僅支持SQL代理方式進行數(shù)據(jù)交換，以電力企業(yè)互聯(lián)網(wǎng)大區(qū)到管理信息大區(qū)的數(shù)據(jù)交換為例，如圖所示：
Sql型正反向隔離裝置的原理和架構
SQL正反向隔離裝置是在雙網(wǎng)隔離條件下提供外網(wǎng)業(yè)務系統(tǒng)訪問內網(wǎng)數(shù)據(jù)庫功能的專用安全裝置，常用于電力信息內外網(wǎng)邊界，是一種基于協(xié)議隔離的網(wǎng)絡安全隔離裝置，通過提供兼容JDBC3.0標準的SG-JDBC驅動程序，基于專門設計的私有加密通信協(xié)議在SG-JDBC驅動程序與隔離裝置間構建安全通道，實現(xiàn)數(shù)據(jù)庫代理訪問。通過在內網(wǎng)和外網(wǎng)的網(wǎng)絡邊界部署SQL正反向隔離裝置，僅允許內外網(wǎng)間必須的業(yè)務數(shù)據(jù)在可控的數(shù)據(jù)庫通信方式下進行交互，并切斷內網(wǎng)主機與互聯(lián)網(wǎng)之間的任何連接，保證業(yè)務訪問的可靠性和安全性。
SQL正反向隔離裝置架構由裝置、管理軟件客戶端、SG-JDBC驅動三大部分組成。裝置通過外網(wǎng)處理單元接收外網(wǎng)業(yè)務應用訪問數(shù)據(jù)庫的SQL請求，根據(jù)設定的規(guī)則做必要的安全檢查和sql語句重建，然后通過內置的相應數(shù)據(jù)庫驅動，經過內網(wǎng)處理單元將請求發(fā)送至內網(wǎng)真實數(shù)據(jù)庫服務器，最后將訪問應答結果發(fā)送至外網(wǎng)業(yè)務應用。SQL正反向隔離裝置相對于應用服務器而言，就是數(shù)據(jù)庫服務器。在應用服務器上，需要使用SQL代理服務器的JDBC驅動與SQL代理服務器進行通信。
SQL正反向隔離裝置本質還是信息交換隔離裝置，通過減少較多功能來增加安全性，隨著數(shù)字經濟進程的不斷推進，照片、聲音、短視頻傳輸?shù)葮I(yè)務交互需求日益增多，實現(xiàn)數(shù)字共享、拆除信息壁壘、聯(lián)通信息孤島已成為當前“數(shù)字經濟”發(fā)展下的必然趨勢，因此，尋求“安全隔離保障”與“高效互聯(lián)互通”之間的平衡是當前面臨的主要難題。
400-001-8882
