网络空间安全:行业资讯、技术分享、法规研讨、趋势分析……

忘记密码
“游侠安全网”创建了网络安全从业者QQ大群(群号:1255197) ,欢迎各位同仁加入!有其它问题如合作等,请联系站长“网路游侠”,QQ:55984512


用户敏感信息频繁泄密,谁之过?  

2015-03-19 07:04 推荐: 浏览: 69 字号:

摘要: 近日,有关报道披露了多个航空公司旅客个人信息泄露漏洞,包括姓名、航班信息、身份证号和手机号在内的旅客个人信息,在贩子手中的价格每条就高达20元。这些信息经过黑色产业链条,最终可能成为逼真的“退改签”诈骗短信。不仅是旅客信息,包括网购记录、开房信息和考生信息等 ...

近日,有关报道披露了多个航空公司旅客个人信息泄露漏洞,包括姓名、航班信息、身份证号和手机号在内的旅客个人信息,在贩子手中的价格每条就高达20元。这些信息经过黑色产业链条,最终可能成为逼真的“退改签”诈骗短信。不仅是旅客信息,包括网购记录、开房信息和考生信息等 “海量”的个人信息也曾以几毛钱一条被贩卖,如此猖獗的信息泄密,不禁让大众对互联网数据安全担忧,直接影响了涉事企业的信任度。到底是哪个环节出了问题,怎样才能杜绝敏感信息泄密,保护企业声誉呢?

昂楷科技专家表示:“随着企业信息化建设的加快,对信息安全的需求日益凸显。特别是对于存有大量用户私密信息的企业,数据库安全的重要性越来越突出。通常情况下,信息安全侧重于防备外来未授权用户的非法访问,而对于内部合法用户的访问行为,则防范较弱。防火墙、入侵检测系统可以抵御各种外网活动所带来的威胁,但是不能有效防范内部威胁。而这些都是现有系统访问控制机制不能防止的,诸如此类的内部信息安全问题一旦出现,所造成的经济损失和社会影响将是无法估量的。面对可能的安全威胁,建立一套有效的信息安全审计体系,加强对数据库信息的监管力度,有效管理并尽量降低信息安全风险,是非常重要而且必要的。”

数据库系统是企业里最具有战略性的资产,随着业务系统的不断增加伴随着数据库信息价值以及可访问性提升,使得数据库面对来自内部和外部的安全风险大大增加,如违规越权操作、恶意入侵导致机密信息窃取泄漏,但事后却无法有效追溯和审计,数据库安全存在如下风险:

(1)核心数据维护人员越来越多,既有本公司的信息维护人员,也有系统开发商、第三方运维外包公司的操作监控失效等等,致使安全事件发生时,无法追溯并定位真实的操作者。

(2)授权人员的权限滥用;如:已授权的人员通过自己拥有可查询、修改的权限进行滥用。他们通过信息化系统如财务系统、OA系统、BI系统查询核心数据库敏感信息。

(3)现有的安全工具(比如:防火墙、IDS、IPS等)无法阻止内部用户的恶意操作、滥用资源和泄露企业机密信息等行为。

昂楷数据库审计系统是基于DPI+DFI技术的数据库审计系统,对来自应用系统客户端和DBA对数据库的访问行为进行全面审计,不仅针对SQL语句,还可以对FTP、TELETN等远程访问进行审计。审计系统能详细记录查询、删除、增加、修改等行为及操作结果,对危险操作还可以实时预警、及时阻止,从而达到保护数据库的良好效果。

联系站长租广告位!

中国首席信息安全官