在2009年的时候,有这样一则消息,说湖北仙桃破获一起非法***公安机关车辆管理系统,通过修改数据,为非法渠道购得的豪华车“办理”车牌号。表像就是如果你去查车管系统,这个车牌是存在的,信息一应俱全。但是,实际上这条记录没有对应的原始登记档案。犯罪嫌疑人付强,武汉硚口人,此前系深圳某信息技术有限公司武汉办事处工程师,曾经帮助湖北省公安厅科技处金盾办开发软件,为省交警总队开发车驾管信息程序,拥有该信息库的“超级管理员”身份。据仙桃市公安局网络监察大队介绍,付强团伙***公安机关信息系统,非法牟利的案件,在全国尚属首例。
这的确是一个很典型的利用职务之便的信息篡改事件。跟之前深圳福彩事件类似,犯罪嫌疑人都是曾经接触过被***的信息系统,了解他们的情况。这个案例是说他有系统的帐号。如果确实如此的话,至少说明信息系统的帐号管理有问题,一个是管理员帐号的受控问题,另一个是对外包人员的帐号管理问题。 都属于10大数据库威胁之列。
1)超级管理员用户范围应该严格受控,防止权限滥用和误用。即便没有这个付强,车管系统的内部用户一般也不能拥有超级管理员帐号。
2)对外包人员的管理问题。开发时期的帐号与上线后的帐号一定要分开,应该重新设定,最好帐号重建,至少口令要全部修改。具我所知,这个问题很严重。有的系统开发的时候为了测试方便,建立了一堆数据库帐号,很多简易的信息系统登录帐号口令。在系统正式上线后,这些帐号根本没有进行清理,连登录口令都没有更换。 这就为外包人员作案有了可乘之机。上次的移动神州行事件也是如此。
3)这个问题反映到数据库系统上,属于审计记录不足的问题,也就是没有对数据库的“合法行为”进行审计。如果前两点我们都错过了,但是我们有一套审计体系,那么问题可能也会很快被发现。如果在数据库旁边部署了一个网络行为审计系统,对所有合法数据操作进行审计,那么可能会发现貌似合法的违规行为。
我想再次提醒所有人,哪怕是公安机关,对于信息系统的数据库安全保护一定要注意!要制定有效的管理制度,尤其是对外包人员的管理,要设置必要的审计机制,至少要进行日志审计。有条件的,一定要考虑部署数据库审计产品,对网络行为进行审计。
这的确是一个很典型的利用职务之便的信息篡改事件。跟之前深圳福彩事件类似,犯罪嫌疑人都是曾经接触过被***的信息系统,了解他们的情况。这个案例是说他有系统的帐号。如果确实如此的话,至少说明信息系统的帐号管理有问题,一个是管理员帐号的受控问题,另一个是对外包人员的帐号管理问题。 都属于10大数据库威胁之列。
1)超级管理员用户范围应该严格受控,防止权限滥用和误用。即便没有这个付强,车管系统的内部用户一般也不能拥有超级管理员帐号。
2)对外包人员的管理问题。开发时期的帐号与上线后的帐号一定要分开,应该重新设定,最好帐号重建,至少口令要全部修改。具我所知,这个问题很严重。有的系统开发的时候为了测试方便,建立了一堆数据库帐号,很多简易的信息系统登录帐号口令。在系统正式上线后,这些帐号根本没有进行清理,连登录口令都没有更换。 这就为外包人员作案有了可乘之机。上次的移动神州行事件也是如此。
3)这个问题反映到数据库系统上,属于审计记录不足的问题,也就是没有对数据库的“合法行为”进行审计。如果前两点我们都错过了,但是我们有一套审计体系,那么问题可能也会很快被发现。如果在数据库旁边部署了一个网络行为审计系统,对所有合法数据操作进行审计,那么可能会发现貌似合法的违规行为。
我想再次提醒所有人,哪怕是公安机关,对于信息系统的数据库安全保护一定要注意!要制定有效的管理制度,尤其是对外包人员的管理,要设置必要的审计机制,至少要进行日志审计。有条件的,一定要考虑部署数据库审计产品,对网络行为进行审计。