（文章來源：安華金和）

近年來，國內(nèi)教育行業(yè)已經(jīng)發(fā)生多起數(shù)據(jù)庫泄露事件，相關(guān)人員隱私權(quán)益遭受嚴重損害，涉案企業(yè)、機構(gòu)聲譽大打折扣。

為防范重大數(shù)據(jù)安全事故的發(fā)生，很多教育單位已經(jīng)在技術(shù)和管理層面采取了對應的措施，不過當前的解決辦法主要是從技術(shù)層面對數(shù)據(jù)庫訪問路徑和數(shù)據(jù)庫本身進行安全加固，在數(shù)據(jù)庫安全防護方面仍存在諸多問題。

教育單位的數(shù)據(jù)庫應用類型比較復雜，對于數(shù)據(jù)庫中存在的安全問題，如：默認管理員賬號、弱口令、默認安全策略、缺省配置，寬泛權(quán)限等，更多是依靠數(shù)據(jù)庫管理人員自身經(jīng)驗，或者主機漏洞掃描工具進行數(shù)據(jù)庫的安全檢查和評估。但這幾種方式都有著自身的不足之處。

人工檢查要求數(shù)據(jù)庫管理人員具備豐富的數(shù)據(jù)庫安全經(jīng)驗，且執(zhí)行需要消耗大量時間；人工檢查缺少對數(shù)據(jù)庫整體安全情況的評估，難以確定哪些數(shù)據(jù)庫是安全的，或是有哪些數(shù)據(jù)庫、正面臨著何種安全風險；同時容易忽略重要安全隱患和不正確的安全配置，從而導致弱口令、補丁未更新等被人惡意利用；傳統(tǒng)的漏洞掃描器與專業(yè)的數(shù)據(jù)庫漏洞掃描工具相比，在數(shù)據(jù)庫類型、檢測項、檢測細粒度等方面都存在缺陷。

當前，教育行業(yè)相關(guān)單位的主要安全防護手段，仍是依靠在網(wǎng)絡(luò)各區(qū)域?qū)嵤┰L問控制策略，并通過傳統(tǒng)的網(wǎng)絡(luò)防火墻、入侵防御相關(guān)設(shè)備完成的。但是，這些網(wǎng)絡(luò)防火墻和入侵防御設(shè)備在對數(shù)據(jù)庫進行防護時則“能力有限”。

盡管教育行業(yè)內(nèi)已有很多單位配置了主機、軟件等防范措施，可真正處于核心層的敏感數(shù)據(jù)載體——數(shù)據(jù)庫的漏洞防御能力卻不高，實際抵御攻擊的能力往往相差甚遠…讓黑客有機可乘，利用Web應用漏洞進行SQL注入；或以Web應用服務器為跳板，利用數(shù)據(jù)庫自身漏洞發(fā)起攻擊和侵入等行為。

黑客通過互聯(lián)網(wǎng)針對教育行業(yè)的公共服務系統(tǒng)數(shù)據(jù)庫進行攻擊，實現(xiàn)非法入侵，繼而對系統(tǒng)數(shù)據(jù)進行惡意拷貝、刪除或?qū)γ舾行畔⑦M行有目的性的破壞。

對教育行業(yè)內(nèi)部網(wǎng)絡(luò)來講，數(shù)據(jù)庫運維管理員等合法人員的行為同樣需要管控——即便是合法人員，依然存在針對核心數(shù)據(jù)庫進行違規(guī)操作的可能，例如：非授權(quán)訪問敏感數(shù)據(jù)、非工作時間訪問核心業(yè)務表、非工作場所訪問數(shù)據(jù)庫、運維誤操作、高危指令（delete、update）操作等行為，都存在重大安全風險。

隨著教育行業(yè)信息化程度的提高，學籍、成績等大量機密敏感信息集中存儲在數(shù)據(jù)庫系統(tǒng)中。由于是明文存儲，使敏感數(shù)據(jù)面臨被篡改、被竊取的威脅，數(shù)據(jù)批量泄露的風險也大大提高。

安華金和深耕教育行業(yè)多年，憑借豐富的數(shù)據(jù)安全治理方案實踐與經(jīng)驗積累，建議教育單位應根據(jù)行業(yè)實際狀況，針對數(shù)據(jù)庫的安全建立防護機制——從數(shù)據(jù)庫使用的“事前、事中、事后”三個層面，建立起“檢查預警、主動防御、底線防守、事后追查”的縱深防護體系，用以解決教育行業(yè)數(shù)據(jù)庫所面臨的復雜問題，讓數(shù)據(jù)使用更安全。