教育行業學院信息中心的招生咨詢、學員管理、網絡課件等數據都屬于學院內部極其重要的數據，作為核心數據載體——數據庫，一旦發生來自于應用用戶越權操作、程序開發人員和數據庫運維人員的數據泄露和篡改，都將造成巨大的損失。

    近年，學院信息中心在信息化安全建設上投入明顯，已經采購了網絡防火墻、入侵防護系統和主機安全檢測系統等網絡安全產品，可以完善地防護突破邊界造成的外部入侵。

    然而這些只能防止外部黑客入侵，但對于存儲核心“數據資產”的數據庫卻缺乏有效安全防護措施。

（1） 網絡管理員等：解析數據庫文件獲取明文
數據庫是系統的核心，提高信息中心數據庫安全是百利留學數據安全管理工作的重要部分。由于數據庫在操作系統下都是以文件形式進行管理 的，當竊取數據庫文件解析后即可得到明文的敏感數據。對數據庫中的敏感數據進行加密處理，是堵塞這一通向DBMS 的“隱秘通道”的有效手段。
（2） 維護人員：權限過高批量導出敏感數據
負責數據庫的維護管理，直接掌握數據庫高權限賬戶的維護人員既負責各項管理工作，例如資源分配、用戶授權、系統審計等，又可以查詢數據庫中的一切信息；這些人員的帳戶被他人利用，完全可以隨時登陸數據庫，從而導致敏感信息泄密。
（3） 業務人員：“越權操作”敏感信息
目前百利留學信息系統的教職工帳戶，業務功能應因崗位而異，數據應因部門級別而異，操作權限應因層次而異，既要保證合法使用者的正常使用，又要防止越權獲得信息、篡改信息的行為。
（4）程序開發人員等：利用數據庫賬戶竊取數據
程序開發和測試人員知道數據庫賬戶信息，利用這些賬戶一方面可以在生產系統中加入后門程序，通過這些后門程序從數據庫中竊取數據，另一方面測通過測試系統接觸真實數據導致敏感信息泄密。

    本方案從存儲層、數據庫訪問層、應用訪問層三個層面對數據庫面臨的安全威脅進行分析，以學院信息中心敏感數據的主動預防為目標，提出整 體的數據庫安全加固解決方案?；跀祿旒用墚a品安華金和數據庫保險箱系統（簡稱DBCoffer），設計實現了應用訪問層、數據庫訪問層和存儲層的全方 位敏感信息安全加固解決方案。

    DBCoffer通過數據存儲加密、獨立的權限控制、三權分立、應用安全訪問等核心能力，能夠主動預防來自于內部維護人員、第三方合作人員、內部工作人員的各種數據竊取行為，將對數據庫系統進行有效地安全加固，彌補當前學院信息中心的數據庫安全“短板”。

加密存儲：對關鍵敏感信息等敏感信息進行加密，防止備份文件、數據文件丟失或被竊取引起的泄密。
敏感數據訪問權限控制：通過密問權控體系，僅對合法業務系統的后臺數據庫賬戶，開放加密信息的訪問權限。
限定訪問的ip和地址：限定能訪問加密信息的應用服務程序，所在的IP地址和時間范圍。
提高數據加密安全性：使用國際通用的加密算法AES128、AES256、3DES等，通過256位密鑰，每列使用不同的唯一密鑰，定期更換加密密鑰，進一步屏蔽破解的可能性。

通過DBCoffer的密文權限控制體系，限制DBA、服務外包人員、第三方開發人員對敏感數據的訪問權限，使其只能維護數據而無法訪問敏感數據，遠離了泄密和被篡改的危險；
僅將敏感數據的訪問能力開放給合法的應用系統和必要的數據庫維護人員，同時對這些敏感數據的訪問，開啟審計進行詳細記錄。
敏感信息加密存儲，核心的敏感信息包括：包括教員信息、學生個人身份信息；對這些敏感信息進行存儲加密，保證備份、存儲設備丟失或被盜也不會引起關鍵信息泄漏。

從數據庫級別進行防控，從根源上徹底控制百利留學敏感信息數據的泄露。
DBCoffer通過加密技術和權限控制增強技術，將敏感信息的數據從存儲層進行保護，從數據庫訪問層進行有效的權限控制，使信息的保護真正提升到主動防御的水平。
現有的一些管理解決方案，更多地是相互制約的角度出發，增加對DBA或維護管理用戶的人員監督；造成工作的成本增加，工作的效率降低，工作職責的混亂。
DBCoffer的實施，對于現有應用系統的SQL語句、開發接口，都無需改造，原有數據庫核心特性均可繼續使用。同時DBCoffer集中控制的模式，能夠更快地、無縫地融合到現有信息管理系統中。