每經記者｜朱成祥    每經編輯｜梁梟    

“生活不如意”，程序員“刪庫跑路”；幾行代碼，上市公司損失超2200萬元。這不是小說，而是遠程辦公環(huán)境下，IT運維人員給公司帶來真真切切的損失。

疫情之后，“遠程辦公”在全球爆發(fā)式增長，許多傳統(tǒng)企業(yè)也開始了數(shù)字化轉型。同時，“遠程辦公”也給企業(yè)管理帶來了新的挑戰(zhàn)，即如何把數(shù)字安全握在自己手中。在企業(yè)數(shù)字化轉型大背景下，數(shù)據庫、數(shù)據資產的重要性愈發(fā)明顯。因此，就重要性來說，如今IT運維人員已堪比掌握公司資金流的財務人員。

對于握住“數(shù)據命脈”的IT運維人員，公司又應該怎樣有效約束呢？堡壘機便是方法之一。針對疫情下“遠程辦公”運維安全，安恒信息（688023，SH）提出了相應的解決方案。其中，安恒堡壘機是針對運維安全事故的核心設備，可幫助企業(yè)快速實現(xiàn)運維安全合規(guī)性建設。

“數(shù)據命脈”的重要性

對于任何一個企業(yè)而言，數(shù)據安全的重要性不言而喻。然而當真正遭遇程序員“刪庫跑路”這種惡性事件時，有些企業(yè)的應對仍然是手忙腳亂。

2020年2月23日，港股上市公司微盟集團（2013，HK）一位IT運維員工賀某因“生活不如意、無力償還網貸”等原因，在其個人住所通過電腦連接公司虛擬專用網絡、登陸公司服務器后執(zhí)行刪除任務，4分鐘便將微盟服務器內數(shù)據全部刪除。

“刪庫”的后果是，300余萬用戶無法正常使用微盟SaaS產品，故障時間長達8天14個小時。截至2020年4月30日，造成微盟支付恢復數(shù)據服務費、商戶賠付費及員工加班報酬等經濟損失共計2260余萬元。

賀某是惡意“刪庫”，給公司帶來巨額損失。但IT運維人員為了方便工作的無心之舉，也可能嚴重干擾公司正常經營。2018年12月，Z醫(yī)院發(fā)現(xiàn)門診繳費和叫號都出了問題，進入數(shù)據庫后發(fā)現(xiàn)“一條命令”不屬于正常語句，該命令導致醫(yī)院HIS系統(tǒng)內掛號信息表被鎖定。

該醫(yī)院HIS系統(tǒng)由北京某公司運營維護，該命令來自這家公司員工夏某某。事后查清，夏某某并非有意為之，而是為了方便工作，私自記錄了HIS系統(tǒng)賬號密碼。其后，又在未經授權或許可的情況下，私自編寫了“數(shù)據庫性能觀測程序”和鎖表語句，并利用賬號密碼將該程序私自連接到Z醫(yī)院HIS數(shù)據庫，從而導致上述情況。

該事件暴露了兩個問題，一是授權問題，北京某公司在網絡層面、權限層面都沒有限制，導致夏某某可以隨意地連接客戶的數(shù)據庫。其次，數(shù)據庫密碼沒有進行針對性保管、并且沒有定期改密機制，夏某某可以輕松得到密碼，從而拿到打開數(shù)據庫的“鑰匙”。

保護數(shù)據資產可配備堡壘機

不管是微盟事件，還是Z醫(yī)院事件，運維人員均可以輕松訪問重要資源所在的資產。而如果配備安全性能較完善的堡壘機，則可以從源頭上解決這一問題。

上述惡性事件，密碼都被違法人員通過各種手段取得，從而取得進入資產的鑰匙。堡壘機托管密碼后，密碼既不需要人來記，也不用人來管，想要使用密碼就必須經過堡壘機的認證授權。經過認證授權后，才給運維人員提供一個小按鈕，通過堡壘機連接對應資產。此外，堡壘機本身還會定期改密，即使運維人員得到之前的密碼，可能下一周密碼就換掉了。

對于“刪庫”、資產被無限制的訪問以及數(shù)字資產被盜取，企業(yè)如何預防呢？這就必須提到身份驗證。身份驗證是雙因子認證的，既需要密碼，也需要出具動態(tài)認證方式，比如短信驗證碼。這么做的目的就是為了嚴格核實運維人員的身份，防止賬號被盜用。

身份驗證之后，便可以有效進行權限管理，確定運維人員的種類，從而分配不同的權限。比如普通的運維人員有哪些權限，高級管理人員擁有哪些權限。對于“刪庫”這類平時運維過程中完全不會使用的命令，堡壘機根本就不會給運維人員這種權限。

假如運維人員需要更高的權限以維護數(shù)據庫，那需要走工單提交領導審批，工單中說明該權限使用時長。比如時長為一個小時，那么，一個小時后權限就會收回。如果運維人員需要獲取資產密碼進行相關操作，也可通過工單進行獲取，工單到期后，密碼被收回并自動觸發(fā)改密操作。并且，在運維人員維護操作期間，堡壘機也會全程錄像，以便進行事后的追蹤溯源。

事實上，現(xiàn)實中也存在相關盜取、修改數(shù)據庫數(shù)據給公司造成損失，但是找不到責任人的情況。通過身份驗證、權限控制、工單審批以及全程錄像，可以完整地做到權責明晰。

封面圖片來源：攝圖網-500345682