何維

（國網(wǎng)湖南省電力有限公司信息通信分公司，湖南長沙 410000）

1 事件基本情況

2 事件發(fā)生、處理過程

上級單位檢查組對公司進(jìn)行帳號權(quán)限治理專項工作檢查，檢查系統(tǒng)涉及統(tǒng)一權(quán)限、統(tǒng)一視頻、營銷檔案、電網(wǎng)GIS平臺。檢查組發(fā)現(xiàn)營銷檔案數(shù)據(jù)庫帳號system口令、統(tǒng)一視頻數(shù)據(jù)庫帳號sysman為弱口令后，公司立即組織相關(guān)部門開展了排查，并向檢查組提交了申訴材料。檢查組要求公司徹查問題原因，提交分析報告，制定整改措施，并盡快完成所有弱口令問題的排查與整改。

經(jīng)排查確認(rèn)，事件具體情況如下：

2.1 營銷檔案管理系統(tǒng)

本次檢查過程中營銷檔案系統(tǒng)運維人員使用了營銷檔案的測試環(huán)境迎檢，其原因是：為了實現(xiàn)同業(yè)對標(biāo)考核中“統(tǒng)一權(quán)限集成數(shù)量”的加分，營銷檔案系統(tǒng)在2016年6月23日完成了其測試環(huán)境與統(tǒng)一權(quán)限系統(tǒng)的集成，而帳號權(quán)限專項檢查涉及到營銷檔案系統(tǒng)與統(tǒng)一權(quán)限端數(shù)據(jù)的比對，因此必須采用已與統(tǒng)一權(quán)限集成的測試環(huán)境數(shù)據(jù)庫迎檢。

由于前期公司對該系統(tǒng)進(jìn)行過多次檢查，均未發(fā)現(xiàn)弱口令，而系統(tǒng)運維人員也一直未對賬號密碼進(jìn)行修改，因此在此次檢查前未對系統(tǒng)賬號是否存在弱口令做再次確認(rèn)。

在接到檢查組通知后，公司立即組織數(shù)據(jù)庫運維團隊進(jìn)行核查，發(fā)現(xiàn)該系統(tǒng)測試環(huán)境數(shù)據(jù)庫system帳號確實為弱口令，數(shù)據(jù)庫管理員反饋，測試環(huán)境的數(shù)據(jù)庫帳號、口令主要由營銷檔案系統(tǒng)運維團隊自己掌握，數(shù)據(jù)庫運維團隊不清楚具體情況。

隨后公司組織營銷檔案系統(tǒng)運維團隊進(jìn)行排查，結(jié)果如下：

（1）通過數(shù)據(jù)庫日志分析，發(fā)現(xiàn)數(shù)據(jù)庫system用戶于3月21日曾被修改口令。（2）通過對數(shù)據(jù)庫登錄審計日志進(jìn)行分析，發(fā)現(xiàn)在密碼修改前幾分鐘有操作系統(tǒng)登錄數(shù)據(jù)庫的行為日志。（3）通過操作系統(tǒng)登錄日志檢查，發(fā)現(xiàn)3月21日確實有人登錄過測試環(huán)境數(shù)據(jù)庫服務(wù)器，登錄IP為10.223.42.63。并且密碼是在第一次登陸后的8分鐘后被修改。（4）經(jīng)排查，該IP為備份系統(tǒng)的IP，目前由數(shù)據(jù)庫運維團隊使用。（5）營銷檔案系統(tǒng)管理員向數(shù)據(jù)庫管理員核實情況，確認(rèn)修改system口令的人員為數(shù)據(jù)庫運維團隊人員。

經(jīng)了解，由于近期公司正搭建測試環(huán)境數(shù)據(jù)庫資源池，新測試數(shù)據(jù)庫需要從老測數(shù)據(jù)庫導(dǎo)數(shù)，在使用expdp數(shù)據(jù)泵導(dǎo)數(shù)時需要使用到system用戶。測試環(huán)境數(shù)據(jù)庫由系統(tǒng)運維團隊和數(shù)據(jù)庫運維團隊共同使用，但數(shù)據(jù)庫帳號口令主要由系統(tǒng)運維團隊掌握。由于測試環(huán)境導(dǎo)數(shù)匆忙，數(shù)據(jù)庫運維人員在不知道口令的情況下自行對口令進(jìn)行了修改，將其改成了弱口令，隨后也未及時改成強口令。

跨境電商是新專業(yè)，高校和企業(yè)還沒來得及深度合作，這就導(dǎo)致高校跨境電商專業(yè)教學(xué)過程中，學(xué)生學(xué)習(xí)與企業(yè)實踐需求嚴(yán)重脫節(jié)。沒有引入企業(yè)，專業(yè)教師能夠赴企業(yè)頂崗的機會就非常少。相比起其他專業(yè)，跨境電商專業(yè)嚴(yán)重缺乏“雙師型”教師。只靠講解書上的這個概念、那個理論，無法教授學(xué)生跨境電商操作技能。

2.2 統(tǒng)一視頻系統(tǒng)

數(shù)據(jù)庫管理員及運維團隊前期按照公司工作安排認(rèn)真開展了業(yè)務(wù)系統(tǒng)授權(quán)與賬號權(quán)限弱口令排查工作，對在運系統(tǒng)賬號及口令進(jìn)行了排查整改。

在檢查統(tǒng)一視頻數(shù)據(jù)庫系統(tǒng)帳號時發(fā)現(xiàn)數(shù)據(jù)庫日志中存在關(guān)于sysman賬號登陸日志，運維團隊沒有進(jìn)一步分析，根據(jù)表面現(xiàn)象判斷該系統(tǒng)需要使用sysman賬號，因此未禁用此賬號。

在使用數(shù)據(jù)庫常用密碼（如oracle,ora-.123,P@ssw0rd等口令）進(jìn)行測試后，發(fā)現(xiàn)沒有使用這些數(shù)據(jù)庫常用弱口令，就主觀判斷該口令未使用弱口令，未進(jìn)一步分析確認(rèn)。

3 事件原因分析

3.1 系統(tǒng)運維人員弱口令排查工作存在疏漏

自2016年10月以來的數(shù)次賬號權(quán)限遠(yuǎn)程檢查，營銷檔案管理系統(tǒng)一直是被檢查系統(tǒng)。由于營銷檔案項目組在首次檢查時即對系統(tǒng)賬號弱口令情況進(jìn)行了排查與整改，且歷次檢查中未發(fā)現(xiàn)弱口令，而運維人員也一直未對賬號密碼進(jìn)行修改，因此未常態(tài)化開展弱口令排查工作，在此次檢查前也未對系統(tǒng)賬號是否存在弱口令做再次確認(rèn)，導(dǎo)致弱口令未被及時發(fā)現(xiàn)。

統(tǒng)一視頻系統(tǒng)是本次檢查中新增的系統(tǒng)，其數(shù)據(jù)庫sysman賬號是Oracle自帶管理工具（Grid Control）的登錄賬號，在大部分?jǐn)?shù)據(jù)庫中，該賬號是直接禁用的。盡管數(shù)據(jù)庫運維團隊提前進(jìn)行了檢查，但并沒有進(jìn)行充分測試，僅對常用弱口令進(jìn)行了枚舉檢測，而統(tǒng)一視頻系統(tǒng)中設(shè)置的口令為非常用弱口令，則未被及時發(fā)現(xiàn)，導(dǎo)致被國網(wǎng)公司通報事件。

3.2 數(shù)據(jù)庫運維人員未經(jīng)匯報擅自修改了口令

數(shù)據(jù)庫運維人員未貫徹執(zhí)行公司對于測試環(huán)境安全管理的要求，對測試環(huán)境安全防護(hù)意識不到位，為了工作方便擅自將營銷檔案系統(tǒng)數(shù)據(jù)庫賬號口令修改為弱口令并未及時改回，未向數(shù)據(jù)庫管理員進(jìn)行匯報。

3.3 數(shù)據(jù)庫運維人員與系統(tǒng)運維人員之間缺乏溝通聯(lián)動

營銷檔案系統(tǒng)弱口令事件中，數(shù)據(jù)庫運維人員與系統(tǒng)運維人員共同管理測試環(huán)境的數(shù)據(jù)庫帳號、口令，但雙方在運維過程中缺乏溝通，在事件定位時兩個運維團隊互相推諉，導(dǎo)致事件定位困難，追查時間過長（直到5月12日才確認(rèn)具體操作人員）。

統(tǒng)一視頻系統(tǒng)弱口令事件中，數(shù)據(jù)庫運維人員發(fā)現(xiàn)sysman帳號未禁用時也未與系統(tǒng)運維人員溝通，確認(rèn)該帳號是否能夠禁用。

4 事件暴露的主要問題

4.1 運維團隊安全意識不足

無論是數(shù)據(jù)庫運維人員還是系統(tǒng)運維人員均存在安全意識不足的問題。數(shù)據(jù)庫運維人員對于測試環(huán)境的賬號口令管理未引起足夠重視，未經(jīng)審批擅自修改了數(shù)據(jù)庫帳號口令，并未及時改回，導(dǎo)致了數(shù)據(jù)庫運維帳號出現(xiàn)弱口令。系統(tǒng)運維人員未嚴(yán)格落實公司關(guān)于常態(tài)化開展弱口令排查工作的要求，認(rèn)為以前檢查過的帳號不會存在問題，未及時發(fā)現(xiàn)數(shù)據(jù)庫帳號的弱口令問題。

4.2 賬號管理責(zé)任不清及溝通協(xié)作機制不順暢

測試環(huán)境的數(shù)據(jù)庫帳號是由系統(tǒng)運維人員和數(shù)據(jù)庫運維人員共同管理，責(zé)任劃分不清，雙方都可能在對方不知情的情況下進(jìn)行帳號口令的修改，因此無論哪一方需要進(jìn)行口令的修改都需要提前告知另一方，待對方確認(rèn)不會造成影響后才能進(jìn)行下一步操作，而本次事件中數(shù)據(jù)庫運維人員修改system帳號口令時并未提前與系統(tǒng)運維人員溝通。

4.3 數(shù)據(jù)庫弱口令排查方法存在問題

公司一直按照公司要求常態(tài)化組織開展弱口令排查工作，數(shù)據(jù)庫運維團隊也一直在努力進(jìn)行排查整改，但由于數(shù)據(jù)庫中的業(yè)務(wù)賬號密碼變更可能會造成業(yè)務(wù)中斷等重大影響，所以整改操作比較謹(jǐn)慎，對于不清楚是否會對業(yè)務(wù)系統(tǒng)產(chǎn)生影響的帳號，沒有采取有效的弱口令排查方法，在上級下發(fā)的弱口令檢查工具不能使用的情況下，僅采用枚舉常用弱口令的方式來判斷，非常用弱口令則無法檢查，本次統(tǒng)一視頻的賬號弱口令問題就屬于此類情況。

4.4 弱口令管理工作有待進(jìn)一步加強

本次事件暴露出公司在弱口令的日常管理上存在落實不到位、工作沒有閉環(huán)的問題；常態(tài)化開展弱口令排查工作深度不夠，未能有效發(fā)現(xiàn)弱口令；在賬號權(quán)限迎檢工作安排上有所疏漏，需要進(jìn)一步加強弱口令的管理工作。

5 防止事件重復(fù)發(fā)生的對策

舉一反三、深刻反思，在今后的工作中認(rèn)真落實公司安全生產(chǎn)制度要求，從以下方面開展工作進(jìn)一步完善賬號權(quán)限管理：

（1）加強人員安全教育培訓(xùn)，進(jìn)一步宣貫公司通用制度關(guān)于信息安全、賬號權(quán)限管理以及測試環(huán)境安全管理等工作規(guī)定及要求，提高全員安全意識。

（2）立即全面清理在運系統(tǒng)業(yè)務(wù)賬號、數(shù)據(jù)庫賬號、操作系統(tǒng)賬號臺賬，核查是否存在賬號弱口令并及時完成整改。

（3）建立賬號臺賬，落實賬號使用人，嚴(yán)格要求一賬號一人，不允許賬號共用。建立賬號臺賬常態(tài)更新機制，賬號增、刪、禁用、使用人變更等情況及時更新臺賬信息。

6 結(jié)語

本文提供了電力營銷檔案系統(tǒng)和統(tǒng)一視頻系統(tǒng)數(shù)據(jù)庫安全運維檢查可以參照的處理方式、發(fā)現(xiàn)的典型問題、整改措施和后續(xù)的預(yù)防，在實際的系統(tǒng)運行維護(hù)中，面臨不同的系統(tǒng)環(huán)境所需采用的安全管控手段和方法將不盡相同，但應(yīng)遵循重點提高安全意識，加強人員管理培訓(xùn)和甲乙方人員溝通的原則，再通過定期檢查和不定期抽查的形式，落實安全預(yù)控措施，切實有效的保障系統(tǒng)的安全穩(wěn)定運行。