【数据安全案例】车管系统遭入侵，数据库安全须设防

在2009年的时候，有这样一则消息，说湖北仙桃破获一起非法入侵公安机关车辆管理系统，通过修改数据，为非法渠道购得的豪华车“办理”车牌号。表像就是如果你去查车管系统，这个车牌是存在的，信息一应俱全。但是，实际上这条记录没有对应的原始登记档案。犯罪嫌疑人付强，武汉�~口人，此前系深圳某信息技术有限公司武汉办事处工程师，曾经帮助湖北省公安厅科技处金盾办开发软件，为省交警总队开发车驾管信息程序，拥有该信息库的“超级管理员”身份。据仙桃市公安局网络监察大队介绍，付强团伙入侵公安机关信息系统，非法牟利的案件，在全国尚属首例。
这的确是一个很典型的利用职务之便的信息篡改事件。跟之前深圳福彩事件类似，犯罪嫌疑人都是曾经接触过被入侵的信息系统，了解他们的情况。这个案例是说他有系统的帐号。如果确实如此的话，至少说明信息系统的帐号管理有问题，一个是管理员帐号的受控问题，另一个是对外包人员的帐号管理问题。 都属于10大数据库威胁之列。
1）超级管理员用户范围应该严格受控，防止权限滥用和误用。即便没有这个付强，车管系统的内部用户一般也不能拥有超级管理员帐号。
2）对外包人员的管理问题。开发时期的帐号与上线后的帐号一定要分开，应该重新设定，最好帐号重建，至少口令要全部修改。具我所知，这个问题很严重。有的系统开发的时候为了测试方便，建立了一堆数据库帐号，很多简易的信息系统登录帐号口令。在系统正式上线后，这些帐号根本没有进行清理，连登录口令都没有更换。 这就为外包人员作案有了可乘之机。上次的移动神州行事件也是如此。
3）这个问题反映到数据库系统上，属于审计记录不足的问题，也就是没有对数据库的“合法行为”进行审计。如果前两点我们都错过了，但是我们有一套审计体系，那么问题可能也会很快被发现。如果在数据库旁边部署了一个网络行为审计系统，对所有合法数据操作进行审计，那么可能会发现貌似合法的违规行为。

我想再次提醒所有人，哪怕是公安机关，对于信息系统的数据库安全保护一定要注意！要制定有效的管理制度，尤其是对外包人员的管理，要设置必要的审计机制，至少要进行日志审计。有条件的，一定要考虑部署数据库审计产品，对网络行为进行审计。