何維

（國(guó)網(wǎng)湖南省電力有限公司信息通信分公司，湖南長(zhǎng)沙 410000）

1 事件基本情況

2 事件發(fā)生、處理過(guò)程

上級(jí)單位檢查組對(duì)公司進(jìn)行帳號(hào)權(quán)限治理專項(xiàng)工作檢查，檢查系統(tǒng)涉及統(tǒng)一權(quán)限、統(tǒng)一視頻、營(yíng)銷檔案、電網(wǎng)GIS平臺(tái)。檢查組發(fā)現(xiàn)營(yíng)銷檔案數(shù)據(jù)庫(kù)帳號(hào)system口令、統(tǒng)一視頻數(shù)據(jù)庫(kù)帳號(hào)sysman為弱口令后，公司立即組織相關(guān)部門(mén)開(kāi)展了排查，并向檢查組提交了申訴材料。檢查組要求公司徹查問(wèn)題原因，提交分析報(bào)告，制定整改措施，并盡快完成所有弱口令問(wèn)題的排查與整改。

經(jīng)排查確認(rèn)，事件具體情況如下：

2.1 營(yíng)銷檔案管理系統(tǒng)

本次檢查過(guò)程中營(yíng)銷檔案系統(tǒng)運(yùn)維人員使用了營(yíng)銷檔案的測(cè)試環(huán)境迎檢，其原因是：為了實(shí)現(xiàn)同業(yè)對(duì)標(biāo)考核中“統(tǒng)一權(quán)限集成數(shù)量”的加分，營(yíng)銷檔案系統(tǒng)在2016年6月23日完成了其測(cè)試環(huán)境與統(tǒng)一權(quán)限系統(tǒng)的集成，而帳號(hào)權(quán)限專項(xiàng)檢查涉及到營(yíng)銷檔案系統(tǒng)與統(tǒng)一權(quán)限端數(shù)據(jù)的比對(duì)，因此必須采用已與統(tǒng)一權(quán)限集成的測(cè)試環(huán)境數(shù)據(jù)庫(kù)迎檢。

由于前期公司對(duì)該系統(tǒng)進(jìn)行過(guò)多次檢查，均未發(fā)現(xiàn)弱口令，而系統(tǒng)運(yùn)維人員也一直未對(duì)賬號(hào)密碼進(jìn)行修改，因此在此次檢查前未對(duì)系統(tǒng)賬號(hào)是否存在弱口令做再次確認(rèn)。

在接到檢查組通知后，公司立即組織數(shù)據(jù)庫(kù)運(yùn)維團(tuán)隊(duì)進(jìn)行核查，發(fā)現(xiàn)該系統(tǒng)測(cè)試環(huán)境數(shù)據(jù)庫(kù)system帳號(hào)確實(shí)為弱口令，數(shù)據(jù)庫(kù)管理員反饋，測(cè)試環(huán)境的數(shù)據(jù)庫(kù)帳號(hào)、口令主要由營(yíng)銷檔案系統(tǒng)運(yùn)維團(tuán)隊(duì)自己掌握，數(shù)據(jù)庫(kù)運(yùn)維團(tuán)隊(duì)不清楚具體情況。

隨后公司組織營(yíng)銷檔案系統(tǒng)運(yùn)維團(tuán)隊(duì)進(jìn)行排查，結(jié)果如下：

（1）通過(guò)數(shù)據(jù)庫(kù)日志分析，發(fā)現(xiàn)數(shù)據(jù)庫(kù)system用戶于3月21日曾被修改口令。（2）通過(guò)對(duì)數(shù)據(jù)庫(kù)登錄審計(jì)日志進(jìn)行分析，發(fā)現(xiàn)在密碼修改前幾分鐘有操作系統(tǒng)登錄數(shù)據(jù)庫(kù)的行為日志。（3）通過(guò)操作系統(tǒng)登錄日志檢查，發(fā)現(xiàn)3月21日確實(shí)有人登錄過(guò)測(cè)試環(huán)境數(shù)據(jù)庫(kù)服務(wù)器，登錄IP為10.223.42.63。并且密碼是在第一次登陸后的8分鐘后被修改。（4）經(jīng)排查，該IP為備份系統(tǒng)的IP，目前由數(shù)據(jù)庫(kù)運(yùn)維團(tuán)隊(duì)使用。（5）營(yíng)銷檔案系統(tǒng)管理員向數(shù)據(jù)庫(kù)管理員核實(shí)情況，確認(rèn)修改system口令的人員為數(shù)據(jù)庫(kù)運(yùn)維團(tuán)隊(duì)人員。

經(jīng)了解，由于近期公司正搭建測(cè)試環(huán)境數(shù)據(jù)庫(kù)資源池，新測(cè)試數(shù)據(jù)庫(kù)需要從老測(cè)數(shù)據(jù)庫(kù)導(dǎo)數(shù)，在使用expdp數(shù)據(jù)泵導(dǎo)數(shù)時(shí)需要使用到system用戶。測(cè)試環(huán)境數(shù)據(jù)庫(kù)由系統(tǒng)運(yùn)維團(tuán)隊(duì)和數(shù)據(jù)庫(kù)運(yùn)維團(tuán)隊(duì)共同使用，但數(shù)據(jù)庫(kù)帳號(hào)口令主要由系統(tǒng)運(yùn)維團(tuán)隊(duì)掌握。由于測(cè)試環(huán)境導(dǎo)數(shù)匆忙，數(shù)據(jù)庫(kù)運(yùn)維人員在不知道口令的情況下自行對(duì)口令進(jìn)行了修改，將其改成了弱口令，隨后也未及時(shí)改成強(qiáng)口令。

跨境電商是新專業(yè)，高校和企業(yè)還沒(méi)來(lái)得及深度合作，這就導(dǎo)致高?？缇畴娚虒I(yè)教學(xué)過(guò)程中，學(xué)生學(xué)習(xí)與企業(yè)實(shí)踐需求嚴(yán)重脫節(jié)。沒(méi)有引入企業(yè)，專業(yè)教師能夠赴企業(yè)頂崗的機(jī)會(huì)就非常少。相比起其他專業(yè)，跨境電商專業(yè)嚴(yán)重缺乏“雙師型”教師。只靠講解書(shū)上的這個(gè)概念、那個(gè)理論，無(wú)法教授學(xué)生跨境電商操作技能。

2.2 統(tǒng)一視頻系統(tǒng)

數(shù)據(jù)庫(kù)管理員及運(yùn)維團(tuán)隊(duì)前期按照公司工作安排認(rèn)真開(kāi)展了業(yè)務(wù)系統(tǒng)授權(quán)與賬號(hào)權(quán)限弱口令排查工作，對(duì)在運(yùn)系統(tǒng)賬號(hào)及口令進(jìn)行了排查整改。

在檢查統(tǒng)一視頻數(shù)據(jù)庫(kù)系統(tǒng)帳號(hào)時(shí)發(fā)現(xiàn)數(shù)據(jù)庫(kù)日志中存在關(guān)于sysman賬號(hào)登陸日志，運(yùn)維團(tuán)隊(duì)沒(méi)有進(jìn)一步分析，根據(jù)表面現(xiàn)象判斷該系統(tǒng)需要使用sysman賬號(hào)，因此未禁用此賬號(hào)。

在使用數(shù)據(jù)庫(kù)常用密碼（如oracle,ora-.123,P@ssw0rd等口令）進(jìn)行測(cè)試后，發(fā)現(xiàn)沒(méi)有使用這些數(shù)據(jù)庫(kù)常用弱口令，就主觀判斷該口令未使用弱口令，未進(jìn)一步分析確認(rèn)。

3 事件原因分析

3.1 系統(tǒng)運(yùn)維人員弱口令排查工作存在疏漏

自2016年10月以來(lái)的數(shù)次賬號(hào)權(quán)限遠(yuǎn)程檢查，營(yíng)銷檔案管理系統(tǒng)一直是被檢查系統(tǒng)。由于營(yíng)銷檔案項(xiàng)目組在首次檢查時(shí)即對(duì)系統(tǒng)賬號(hào)弱口令情況進(jìn)行了排查與整改，且歷次檢查中未發(fā)現(xiàn)弱口令，而運(yùn)維人員也一直未對(duì)賬號(hào)密碼進(jìn)行修改，因此未常態(tài)化開(kāi)展弱口令排查工作，在此次檢查前也未對(duì)系統(tǒng)賬號(hào)是否存在弱口令做再次確認(rèn)，導(dǎo)致弱口令未被及時(shí)發(fā)現(xiàn)。

統(tǒng)一視頻系統(tǒng)是本次檢查中新增的系統(tǒng)，其數(shù)據(jù)庫(kù)sysman賬號(hào)是Oracle自帶管理工具（Grid Control）的登錄賬號(hào)，在大部分?jǐn)?shù)據(jù)庫(kù)中，該賬號(hào)是直接禁用的。盡管數(shù)據(jù)庫(kù)運(yùn)維團(tuán)隊(duì)提前進(jìn)行了檢查，但并沒(méi)有進(jìn)行充分測(cè)試，僅對(duì)常用弱口令進(jìn)行了枚舉檢測(cè)，而統(tǒng)一視頻系統(tǒng)中設(shè)置的口令為非常用弱口令，則未被及時(shí)發(fā)現(xiàn)，導(dǎo)致被國(guó)網(wǎng)公司通報(bào)事件。

3.2 數(shù)據(jù)庫(kù)運(yùn)維人員未經(jīng)匯報(bào)擅自修改了口令

數(shù)據(jù)庫(kù)運(yùn)維人員未貫徹執(zhí)行公司對(duì)于測(cè)試環(huán)境安全管理的要求，對(duì)測(cè)試環(huán)境安全防護(hù)意識(shí)不到位，為了工作方便擅自將營(yíng)銷檔案系統(tǒng)數(shù)據(jù)庫(kù)賬號(hào)口令修改為弱口令并未及時(shí)改回，未向數(shù)據(jù)庫(kù)管理員進(jìn)行匯報(bào)。

3.3 數(shù)據(jù)庫(kù)運(yùn)維人員與系統(tǒng)運(yùn)維人員之間缺乏溝通聯(lián)動(dòng)

營(yíng)銷檔案系統(tǒng)弱口令事件中，數(shù)據(jù)庫(kù)運(yùn)維人員與系統(tǒng)運(yùn)維人員共同管理測(cè)試環(huán)境的數(shù)據(jù)庫(kù)帳號(hào)、口令，但雙方在運(yùn)維過(guò)程中缺乏溝通，在事件定位時(shí)兩個(gè)運(yùn)維團(tuán)隊(duì)互相推諉，導(dǎo)致事件定位困難，追查時(shí)間過(guò)長(zhǎng)（直到5月12日才確認(rèn)具體操作人員）。

統(tǒng)一視頻系統(tǒng)弱口令事件中，數(shù)據(jù)庫(kù)運(yùn)維人員發(fā)現(xiàn)sysman帳號(hào)未禁用時(shí)也未與系統(tǒng)運(yùn)維人員溝通，確認(rèn)該帳號(hào)是否能夠禁用。

4 事件暴露的主要問(wèn)題

4.1 運(yùn)維團(tuán)隊(duì)安全意識(shí)不足

無(wú)論是數(shù)據(jù)庫(kù)運(yùn)維人員還是系統(tǒng)運(yùn)維人員均存在安全意識(shí)不足的問(wèn)題。數(shù)據(jù)庫(kù)運(yùn)維人員對(duì)于測(cè)試環(huán)境的賬號(hào)口令管理未引起足夠重視，未經(jīng)審批擅自修改了數(shù)據(jù)庫(kù)帳號(hào)口令，并未及時(shí)改回，導(dǎo)致了數(shù)據(jù)庫(kù)運(yùn)維帳號(hào)出現(xiàn)弱口令。系統(tǒng)運(yùn)維人員未嚴(yán)格落實(shí)公司關(guān)于常態(tài)化開(kāi)展弱口令排查工作的要求，認(rèn)為以前檢查過(guò)的帳號(hào)不會(huì)存在問(wèn)題，未及時(shí)發(fā)現(xiàn)數(shù)據(jù)庫(kù)帳號(hào)的弱口令問(wèn)題。

4.2 賬號(hào)管理責(zé)任不清及溝通協(xié)作機(jī)制不順暢

測(cè)試環(huán)境的數(shù)據(jù)庫(kù)帳號(hào)是由系統(tǒng)運(yùn)維人員和數(shù)據(jù)庫(kù)運(yùn)維人員共同管理，責(zé)任劃分不清，雙方都可能在對(duì)方不知情的情況下進(jìn)行帳號(hào)口令的修改，因此無(wú)論哪一方需要進(jìn)行口令的修改都需要提前告知另一方，待對(duì)方確認(rèn)不會(huì)造成影響后才能進(jìn)行下一步操作，而本次事件中數(shù)據(jù)庫(kù)運(yùn)維人員修改system帳號(hào)口令時(shí)并未提前與系統(tǒng)運(yùn)維人員溝通。

4.3 數(shù)據(jù)庫(kù)弱口令排查方法存在問(wèn)題

公司一直按照公司要求常態(tài)化組織開(kāi)展弱口令排查工作，數(shù)據(jù)庫(kù)運(yùn)維團(tuán)隊(duì)也一直在努力進(jìn)行排查整改，但由于數(shù)據(jù)庫(kù)中的業(yè)務(wù)賬號(hào)密碼變更可能會(huì)造成業(yè)務(wù)中斷等重大影響，所以整改操作比較謹(jǐn)慎，對(duì)于不清楚是否會(huì)對(duì)業(yè)務(wù)系統(tǒng)產(chǎn)生影響的帳號(hào)，沒(méi)有采取有效的弱口令排查方法，在上級(jí)下發(fā)的弱口令檢查工具不能使用的情況下，僅采用枚舉常用弱口令的方式來(lái)判斷，非常用弱口令則無(wú)法檢查，本次統(tǒng)一視頻的賬號(hào)弱口令問(wèn)題就屬于此類情況。

4.4 弱口令管理工作有待進(jìn)一步加強(qiáng)

本次事件暴露出公司在弱口令的日常管理上存在落實(shí)不到位、工作沒(méi)有閉環(huán)的問(wèn)題；常態(tài)化開(kāi)展弱口令排查工作深度不夠，未能有效發(fā)現(xiàn)弱口令；在賬號(hào)權(quán)限迎檢工作安排上有所疏漏，需要進(jìn)一步加強(qiáng)弱口令的管理工作。

5 防止事件重復(fù)發(fā)生的對(duì)策

舉一反三、深刻反思，在今后的工作中認(rèn)真落實(shí)公司安全生產(chǎn)制度要求，從以下方面開(kāi)展工作進(jìn)一步完善賬號(hào)權(quán)限管理：

（1）加強(qiáng)人員安全教育培訓(xùn)，進(jìn)一步宣貫公司通用制度關(guān)于信息安全、賬號(hào)權(quán)限管理以及測(cè)試環(huán)境安全管理等工作規(guī)定及要求，提高全員安全意識(shí)。

（2）立即全面清理在運(yùn)系統(tǒng)業(yè)務(wù)賬號(hào)、數(shù)據(jù)庫(kù)賬號(hào)、操作系統(tǒng)賬號(hào)臺(tái)賬，核查是否存在賬號(hào)弱口令并及時(shí)完成整改。

（3）建立賬號(hào)臺(tái)賬，落實(shí)賬號(hào)使用人，嚴(yán)格要求一賬號(hào)一人，不允許賬號(hào)共用。建立賬號(hào)臺(tái)賬常態(tài)更新機(jī)制，賬號(hào)增、刪、禁用、使用人變更等情況及時(shí)更新臺(tái)賬信息。

6 結(jié)語(yǔ)

本文提供了電力營(yíng)銷檔案系統(tǒng)和統(tǒng)一視頻系統(tǒng)數(shù)據(jù)庫(kù)安全運(yùn)維檢查可以參照的處理方式、發(fā)現(xiàn)的典型問(wèn)題、整改措施和后續(xù)的預(yù)防，在實(shí)際的系統(tǒng)運(yùn)行維護(hù)中，面臨不同的系統(tǒng)環(huán)境所需采用的安全管控手段和方法將不盡相同，但應(yīng)遵循重點(diǎn)提高安全意識(shí)，加強(qiáng)人員管理培訓(xùn)和甲乙方人員溝通的原則，再通過(guò)定期檢查和不定期抽查的形式，落實(shí)安全預(yù)控措施，切實(shí)有效的保障系統(tǒng)的安全穩(wěn)定運(yùn)行。