文/陳軍

1 背景介紹

南京市人力資源和社會(huì)保障應(yīng)用系統(tǒng)數(shù)據(jù)庫(kù)開發(fā)人員擁有合法的訪問身份（如數(shù)據(jù)庫(kù)口令）能直接進(jìn)入數(shù)據(jù)庫(kù)，甚至是生產(chǎn)庫(kù)進(jìn)行訪問操作，當(dāng)前在訪問渠道上各類安全措施（例如防火墻、VPN、甚至堡壘機(jī)等）對(duì)此類人員是很難達(dá)到預(yù)期的安全控制效果的。南京人社信息系統(tǒng)各應(yīng)用系統(tǒng)開發(fā)人員用于數(shù)據(jù)庫(kù)訪問及操作的主要工具為PL/SQL Developer，此軟件在中文破解的過程中部分版本被注入勒索病毒，此類病毒具有很長(zhǎng)的潛伏期且不易被發(fā)現(xiàn)，病毒一旦爆發(fā)，會(huì)造成如被清空數(shù)據(jù)庫(kù)等非常嚴(yán)重的后果。南京市人力資源和社會(huì)保障應(yīng)用系統(tǒng)內(nèi)部操作人員（如開發(fā)人員和運(yùn)維人員）的安全管理主要還是以制度規(guī)范管理為主，缺乏技術(shù)管控手段，很難有效的遏制違規(guī)違法的數(shù)據(jù)庫(kù)操作行為。因此，為進(jìn)一步強(qiáng)化市人社應(yīng)用系統(tǒng)數(shù)據(jù)庫(kù)運(yùn)維安全的管控力度，加強(qiáng)對(duì)內(nèi)部操作人員日常對(duì)數(shù)據(jù)庫(kù)開發(fā)及運(yùn)維操作過程的可視監(jiān)控。

2 設(shè)計(jì)思路

筆者結(jié)合自身近20年的應(yīng)用系統(tǒng)及數(shù)據(jù)庫(kù)管理經(jīng)歷擬設(shè)計(jì)南京市人力資源和社會(huì)保障應(yīng)用系統(tǒng)及數(shù)據(jù)庫(kù)安全管控軟件，支持全程監(jiān)控、管理相關(guān)人員對(duì)數(shù)據(jù)庫(kù)的后臺(tái)操作，做到全程留痕，減少人社數(shù)據(jù)資源安全隱患，從而為市人社應(yīng)用系統(tǒng)的數(shù)據(jù)資源的安全提供堅(jiān)實(shí)有力的保障。一方面對(duì)內(nèi)部人員通過違規(guī)違法操作數(shù)據(jù)庫(kù)謀取私利等行為起到有效的震懾作用，達(dá)到“不能做、不敢做”的效果；另一方面，通對(duì)開發(fā)和運(yùn)維人員開庫(kù)操作腳本的日積月累，形成數(shù)據(jù)庫(kù)運(yùn)維的知識(shí)庫(kù)，提升數(shù)據(jù)庫(kù)運(yùn)維效率，降低對(duì)固定開發(fā)及運(yùn)維人員的依賴。

3 設(shè)計(jì)方案

3.1 設(shè)計(jì)數(shù)據(jù)庫(kù)訪問及相關(guān)數(shù)據(jù)庫(kù)程序開發(fā)功能

設(shè)計(jì)用于數(shù)據(jù)庫(kù)訪問及開發(fā)運(yùn)維的核心功能，進(jìn)行數(shù)據(jù)庫(kù)的各項(xiàng)日常操作（如各類DDL、DML 操 作，對(duì)TABLE、VIEW、SYNONYMS、FUNCITON、PROCEDURE、PACKAGE、TRIGGERS、SEQUENCES、JOBS 等數(shù)據(jù)庫(kù)對(duì)象的創(chuàng)建、編譯操作）支持根據(jù)權(quán)限的設(shè)定實(shí)現(xiàn)開發(fā)及運(yùn)維人員能進(jìn)行特定數(shù)據(jù)庫(kù)操作（如KILL 等），使運(yùn)維人員通過此平臺(tái)就能完成日常的數(shù)據(jù)庫(kù)運(yùn)維工作，而不是通過第三方工具。

3.2 設(shè)計(jì)監(jiān)控分析運(yùn)維人員數(shù)據(jù)庫(kù)開庫(kù)功能

設(shè)計(jì)數(shù)據(jù)庫(kù)運(yùn)維管控監(jiān)控、分析功能，在不影響運(yùn)維人員工作前提下，將運(yùn)維及開發(fā)人員所有對(duì)數(shù)據(jù)庫(kù)的操作，都進(jìn)行結(jié)構(gòu)化的登記處理，并細(xì)化到每一次操作終端的計(jì)算機(jī)名稱、IP 地址等身份信息；同時(shí)采用實(shí)名制注冊(cè)、登記，并且有完整的權(quán)限管理程序，用于對(duì)每個(gè)使用人員的權(quán)限進(jìn)行控制。通過對(duì)開庫(kù)執(zhí)行過程中部分特殊指令（如DROP、TRUNCATE等命令），在實(shí)際執(zhí)行前予以預(yù)警提示，以防誤操作。

3.3 設(shè)計(jì)數(shù)據(jù)庫(kù)運(yùn)維知識(shí)庫(kù)功能

在日常的應(yīng)用系統(tǒng)數(shù)據(jù)庫(kù)運(yùn)維執(zhí)行過程中，通過應(yīng)用系統(tǒng)及數(shù)據(jù)庫(kù)安全管控軟件對(duì)所有的執(zhí)行節(jié)點(diǎn)操作進(jìn)行全過程監(jiān)控，將所有事項(xiàng)構(gòu)造成完整的業(yè)務(wù)鏈，進(jìn)行結(jié)構(gòu)化處理后形成知識(shí)條目，經(jīng)過長(zhǎng)期的不斷積累，形成完備的數(shù)據(jù)為運(yùn)維知識(shí)庫(kù)，幫助應(yīng)用系統(tǒng)管理方能快速掌握應(yīng)用系統(tǒng)數(shù)據(jù)庫(kù)運(yùn)維；對(duì)同類型的系統(tǒng)數(shù)據(jù)庫(kù)運(yùn)維工單，能精確定位歷史處理案例，從而極大提升運(yùn)維的工作效率及安全。

4 系統(tǒng)功能細(xì)化

4.1 數(shù)據(jù)庫(kù)對(duì)象管理

數(shù)據(jù)庫(kù)對(duì)象管理主要實(shí)現(xiàn)對(duì)市人社應(yīng)用系統(tǒng)數(shù)據(jù)庫(kù)對(duì)象的創(chuàng)建、編輯、維護(hù)等功能，用于管理當(dāng)前用戶下所有的數(shù)據(jù)庫(kù)對(duì)象，包括各種函數(shù)、過程、包、包體、表、視圖、同義詞、觸發(fā)器、序列等。每種數(shù)據(jù)庫(kù)對(duì)象分為兩個(gè)程序進(jìn)行操作設(shè)計(jì)：一是只有查看對(duì)象及其腳本的功能；二是在此基礎(chǔ)上，增加編輯功能，包括新增、或刪除，并且任何修改、刪除操作，系統(tǒng)應(yīng)都會(huì)自動(dòng)備份編輯前的所有腳本。從而方便進(jìn)行授權(quán)，可以對(duì)操作人員只授予查詢權(quán)限，以防止誤操作。

4.2 開庫(kù)管理

開庫(kù)管理功能在不影響運(yùn)維人員工作的前提下，對(duì)運(yùn)維人員數(shù)據(jù)庫(kù)開庫(kù)行為進(jìn)行監(jiān)控、分析，對(duì)所有數(shù)據(jù)庫(kù)操作進(jìn)行結(jié)構(gòu)化登記處理。另外通過與運(yùn)維平臺(tái)一期信息協(xié)調(diào)單、求管理系統(tǒng)無縫對(duì)接，實(shí)現(xiàn)應(yīng)用系統(tǒng)運(yùn)維閉環(huán)管理，避免無授權(quán)數(shù)據(jù)庫(kù)開庫(kù)行為。

4.3 文件導(dǎo)入

此程序?qū)崿F(xiàn)外來數(shù)據(jù)導(dǎo)入功能，支持EXCEL、CSV 等文件格式。在文件導(dǎo)入過程中，支持目標(biāo)表字段勾選、裝載文件功能。另外，可以根據(jù)實(shí)際要自行選擇要導(dǎo)入的列及行，可以將不要導(dǎo)入的列或行的勾選去掉。同時(shí)也支持通過拖拽方式調(diào)整此區(qū)域的列順序，保證其順序與要導(dǎo)入的表的字段順序一致。在導(dǎo)入數(shù)據(jù)量較大（＞=10000）的情況下，支持中間分步提交功能。

4.4 數(shù)據(jù)庫(kù)用戶管理

數(shù)據(jù)庫(kù)用戶管理主要實(shí)現(xiàn)對(duì)應(yīng)用系統(tǒng)數(shù)據(jù)庫(kù)用戶的登記和管理等功能，通過對(duì)數(shù)據(jù)庫(kù)用戶的注冊(cè)、管理及授權(quán)，運(yùn)維人員便可通過此平臺(tái)訪問對(duì)應(yīng)的數(shù)據(jù)庫(kù)用戶，進(jìn)行日常的開庫(kù)處理等工作，避免直接將數(shù)據(jù)庫(kù)密碼暴露給運(yùn)維人員，杜絕了因運(yùn)維人員流失后，導(dǎo)致數(shù)據(jù)庫(kù)密碼的泄露的風(fēng)險(xiǎn)。支持?jǐn)?shù)據(jù)庫(kù)用戶注冊(cè)功能，由管理員操作（一般為DBA 或者管理人員、安全人員），進(jìn)行數(shù)據(jù)庫(kù)用戶注冊(cè)，注冊(cè)人員同時(shí)可以獲得該用戶的使用權(quán)限，其他人員要通過授權(quán)處理。支持?jǐn)?shù)據(jù)庫(kù)用戶變更功能，對(duì)已經(jīng)注冊(cè)的數(shù)據(jù)庫(kù)用戶，可通過此功能進(jìn)行相關(guān)連接信息的變更。另外，對(duì)于變更數(shù)據(jù)庫(kù)密碼，要提供具有修改數(shù)據(jù)庫(kù)密碼權(quán)限的用戶，否則只修改登記注冊(cè)的信息，而不能直接連接數(shù)據(jù)庫(kù)用戶的密碼本身。密碼支持自動(dòng)生成或自己設(shè)定兩種模式。

支持?jǐn)?shù)據(jù)庫(kù)用戶注銷功能，在安全管控平臺(tái)中注銷已經(jīng)注冊(cè)的數(shù)據(jù)庫(kù)用戶，用戶注銷后，所有操作人員均不能再通過管控平臺(tái)選擇、使用該數(shù)據(jù)庫(kù)用戶。通過與南京人社市人社信息系統(tǒng)統(tǒng)一門戶系統(tǒng)的對(duì)接，實(shí)現(xiàn)數(shù)據(jù)庫(kù)運(yùn)維機(jī)構(gòu)、人員、登錄密碼等信息的獲取。支持?jǐn)?shù)據(jù)庫(kù)用戶權(quán)限分配功能，對(duì)已經(jīng)注冊(cè)的數(shù)據(jù)庫(kù)用戶，可以對(duì)運(yùn)維人員進(jìn)行權(quán)限分配，包括授權(quán)（打鉤）及回收權(quán)限（取消打鉤）兩種功能；同時(shí)要支持無限分級(jí)授權(quán)。另外，還支持限制用戶執(zhí)行部分危險(xiǎn)命令的功能，可以通過配置的方式進(jìn)行增減。

4.5 用戶中心

用戶中心支持系統(tǒng)操作人員的個(gè)性化設(shè)置功能，例如常用功能快捷鍵設(shè)置等。

另外，支持查詢所有平臺(tái)用戶執(zhí)行的腳本，包括通過數(shù)據(jù)庫(kù)對(duì)象管理下的各個(gè)模塊、開庫(kù)管理下的各個(gè)應(yīng)用所執(zhí)行的腳本；支持查詢當(dāng)時(shí)執(zhí)行腳本時(shí)的終端信息（包括IP、MAC、電腦名稱等）、運(yùn)維工單信息、執(zhí)行時(shí)所影響到的記錄數(shù)等，并能通過多個(gè)條件進(jìn)行組合查詢、精準(zhǔn)定位。

4.6 系統(tǒng)管理

系統(tǒng)管理功能主要用于對(duì)平臺(tái)的菜單功能進(jìn)行管理，包括系統(tǒng)菜單管理、角色管理、功能授權(quán)以及對(duì)運(yùn)維人員在此平臺(tái)的登錄情況、腳本執(zhí)行情況的監(jiān)控、查詢等。對(duì)整個(gè)平臺(tái)的應(yīng)用程序進(jìn)行管理，包括程序的新增、修改、刪除等，實(shí)現(xiàn)整個(gè)平臺(tái)應(yīng)用程序的動(dòng)態(tài)管理、有效擴(kuò)展。支持新程序發(fā)布功能，既包括對(duì)新增程序的發(fā)布，也可支持對(duì)已有程序更新版本后的發(fā)布。新程序一旦發(fā)布后，所有終端在運(yùn)行此程序時(shí)，可以自動(dòng)更新并運(yùn)行，確保整個(gè)系統(tǒng)應(yīng)用版本的一致性。角色權(quán)限管理：支持對(duì)系統(tǒng)進(jìn)行角色權(quán)限管理，包括新建、變更角色，實(shí)現(xiàn)角色與具體應(yīng)用的關(guān)聯(lián)，方便進(jìn)行后續(xù)人員應(yīng)用的授權(quán)。

4.7 人員應(yīng)用權(quán)限管理

支持對(duì)平臺(tái)用戶進(jìn)行授權(quán)管理，通過將具體角色授權(quán)給平臺(tái)用戶，使得用戶能獲得具體菜單功能，從而進(jìn)行系統(tǒng)操作。系統(tǒng)登錄情況查詢:支持對(duì)系統(tǒng)登錄情況的查詢功能，可以詳細(xì)查看運(yùn)維人員使用此平臺(tái)時(shí)的登錄及退出情況。

5 結(jié)束語

南京市人力資源和社會(huì)保障應(yīng)用系統(tǒng)及數(shù)據(jù)庫(kù)安全管控軟件是市人社信息化建設(shè)的一個(gè)重要組成部分，為市人社信息系統(tǒng)應(yīng)用系統(tǒng)數(shù)據(jù)庫(kù)的安全運(yùn)行提供堅(jiān)實(shí)的保障。因此，要站在人社信息化全局的高度，進(jìn)行統(tǒng)一規(guī)劃、統(tǒng)一管理、有序?qū)嵤?。?yīng)用系統(tǒng)及數(shù)據(jù)庫(kù)安全管控軟件設(shè)計(jì)應(yīng)做到結(jié)構(gòu)模塊化、程序結(jié)構(gòu)化、數(shù)據(jù)格式標(biāo)準(zhǔn)化、代碼統(tǒng)一化，各種文檔資料規(guī)范化。系統(tǒng)設(shè)計(jì)應(yīng)充分考慮應(yīng)用系統(tǒng)及數(shù)據(jù)庫(kù)安全管控軟件功能需求多變的特性，易于進(jìn)行功能擴(kuò)充，以保障系統(tǒng)使用的長(zhǎng)期性和可擴(kuò)展性。設(shè)計(jì)系統(tǒng)用戶界面簡(jiǎn)單明了，功能區(qū)域一目了然，菜單層級(jí)和歸類設(shè)計(jì)規(guī)范合理，符合數(shù)據(jù)庫(kù)運(yùn)維日常操作流程，具有人性化特點(diǎn)，筆者認(rèn)為通過使用市人力資源和社會(huì)保障應(yīng)用系統(tǒng)及數(shù)據(jù)庫(kù)安全管控軟件在后續(xù)的應(yīng)用系統(tǒng)數(shù)據(jù)庫(kù)運(yùn)維工作中可以有效地減輕操作人員的工作量，提高工作效率，有效增強(qiáng)系統(tǒng)的安全性，填補(bǔ)人社領(lǐng)域應(yīng)用系統(tǒng)及數(shù)據(jù)庫(kù)安全管控技術(shù)手段空白，具有較高的社會(huì)效益和經(jīng)濟(jì)效益。