此篇文章已同步帕拉迪官方公众号，点击下方链接可直接阅读~

术业专攻之小帕NGDAP登场，解决高校数据库接入混乱难题！ (qq.com)

话说小帕DIM在医馆数据中心成为顶梁柱，业内已然名声大噪，都说小帕出了位数据库安全治理的高手，这天小帕DIM正在数据中心运维呢，数据中心老大老维找过来......

老维：小D，先别忙活，我有事找你呢!是这样的，我一业内好友在隔壁985书院做数据库管理，最近隔壁书院出现的信息泄露导致各大书院鹤唳风声，他特来问我可有治理妙招，小D你看呢?

小D：这可巧了，我有一位同门兄弟NGDAP，专长数据库不同层面的安全防御，尤其对高校行业的数据库安全防护颇有心得。明日我就让这位兄弟去书院瞧瞧，将书院数据库安全防护的各个症结一一解开!这是小N的简介，可传与书院负责人看看!

- 下一代数据库应用防御系统NGDAP -

下一代数据库应用防御系统(简称：NGDAP)基于业务安全模型对业务数据操作风险及安全攻击风险等进行有效防范。通过网络防火墙、准入防火墙、行为防火墙、业务防火墙的紧密结合，并基于数据库安全基线策略和数据库访问轨迹等构造数据库防御立体空间，大幅度提升业务数据安全防御能力。

隔天，小N来到书院，书院数据中心的小库喜出望外。

小库：英雄，久仰!是这样的，隔壁书院发生信息泄露后，我书院也积极展开安全能力自查，这一查不得了，我们发现目前校内的数据库接入环境十分混乱，不仅给日常的管理工作带来了极大困扰，更容易成为黑客攻击的薄弱点，隐患巨大。

听闻英雄数据库安全防护有道，可否指点一二啊!

小N：小库，关于数据库接入环境的混乱是从何说起?

小库：是这样的，我们在分析数据库访问源的时候发现，目前业务数据库的运维人员都是用个人电脑直接访问数据库，并没有从统一运维平台发起访问，一时间我们不知从何下手管理!

小N：此前我已走访多家书院，发现书院里不同学院、不同职能部门都有自己所负责的核心系统，这些系统都是由具体的业务管理部门负责建设和维护，数据中心只是提供服务器和网络基础硬件的技术支持。

小库呀，你目前遇到的这些难题，也是和上面的因素类似吗?

小库：原来英雄对我们书院的业务模式这么熟悉!

的确如英雄所说，现在书院各个业务系统的运维难以有机地串联，虽然所有的业务都部署在数据中心机房，但是运维控制手段不足，导致在运维层面还是相对的孤岛化。

英雄，还请你给我们支一招呀!

小N：对于业务厂商运维人员的接入管理，由于日常对业务的维护需要，不能简单粗暴地在网络防火墙上配置类似于禁止访问策略。

我们需要从运维人员的接入特征入手，来识别接入过程中的违规接入行为，并实现精准告警和阻断。

小库：没错，发现这个情况之后，我们决定在防火墙上做策略，直接限制个人运维电脑的IP访问数据库运维端口，但由于开发人员身份的问题，他们需要有数据库访问权限，还不能直接在网络上做一刀切的限制。

如果按照接入特征的方式来控制接入过程，具体应该如何落地呢?

小N：识别接入特征是关键：我可以通过技术手段，识别数据库运维时的接入信息，例如：数据库账号名称、客户端主机名、数据库实例名、客户端程序名，将接入特征结合运维人员的TCP五元组信息，建立数据库安全接入模型，从而实现对数据库接入过程中的违规行为进行精准的阻断与告警。

接着小N同小库来到数据中心，做相关功能的配置。通过文档，小N了解到目前涉及接入异常情况的主要系统为一卡通业务；小N先对与一卡通对接的各系统信息进行梳理;然后针对各中间件接入账号进行访问源限制，不允许中间库账号通过数据库运维工具直连;只允许规定时间内通过个人电脑的运维工具直连;最后配置仅允许堡垒机地址可以全天候使用数据库运维账号登录数据库。

小库：厉害!通过分析梳理各个数据库接入信息，创建针对访问者接入特征的各类限制策略，解决了接入混乱、难以管控的难题，这下数据中心的信息安全可有保障了!

英雄可否就此留下，助力我书院信息化建设一臂之力!

小N：好，我定当不负期待，尽我所能，守护书院数据库安全!

接下来，关于书院数据库安全防护小帕NGDAP将带来什么惊喜呢?我们拭目以待!

更多精彩请关注帕拉迪官方公众号~