安華金和：讓數(shù)據(jù)使用更安全

從最近三個月安華金和分享的數(shù)據(jù)泄密高危漏洞來看，10月份154個數(shù)據(jù)泄密高危漏洞，9月份和8月份分別134個和102個。其中絕大多數(shù)泄露威脅來自于平臺系統(tǒng)漏洞和SQL注入漏洞。安華金和的報告得出一個結論：攻擊是以數(shù)據(jù)為目標。

“這是最好的時代，這是最壞的時代；這是智慧的時代，這是愚蠢的時代”狄更斯的這句名句用在當下，也并未為過。云計算飛速發(fā)展的今天，給人類生活帶來巨大便利的同時，安全問題，緊隨其后，一場針對核心數(shù)據(jù)防御的持久戰(zhàn)，此起彼伏。其中，無法逃避、備受關注的核心數(shù)據(jù)藏于數(shù)據(jù)庫中。因此，安華金和提出，運維2.0時代，數(shù)據(jù)庫亟需安全運維。

安華金和高級安全顧問 譚俊楠

重點：核心數(shù)據(jù)的安全運維

云計算的發(fā)展，用戶對云的接受度越來越高，特別是中小型企業(yè)，其業(yè)務越來越多向云端遷移，由此帶來數(shù)據(jù)存量的爆炸性增長，用戶對核心數(shù)據(jù)的安全性要求提高。面對云端大流量、高并發(fā)、高相應的業(yè)務需求，運維人員的運維重點和運維能力提出更高挑戰(zhàn)：對于DBA而言，隨著基礎運維和應用運維需要的人工量在減少，安全運維意識和響應能力需要提高，那么核心數(shù)據(jù)的安全運維成為關注重點。

對于用戶而言，用戶需要確認數(shù)據(jù)在云上是安全的，云環(huán)境的維護者無法看到這些數(shù)據(jù)，即使進入數(shù)據(jù)庫也無法看到敏感的真實數(shù)據(jù)，存儲核心數(shù)據(jù)的應用系統(tǒng)的秘鑰需要掌握在用戶手里。這樣才能讓用戶心里更踏實。

以P2P金融為例，截止2014年11月，已有近165家P2P平臺由于黑客攻擊造成系統(tǒng)癱瘓、數(shù)據(jù)被惡意篡改、資金被洗劫等情況。

平安董事局主席馬明哲曾對此表示“P2P網(wǎng)貸平臺的技術要求不亞于銀行，甚至比銀行還要高。但現(xiàn)實情況是，大多數(shù)P2P網(wǎng)貸平臺在架構、數(shù)據(jù)庫、安全防范方面，應對黑客的攻擊能力幾乎為零。”

據(jù)安華金和高級安全顧問譚峻楠介紹，安華金和在云端針對數(shù)據(jù)庫內核心數(shù)據(jù)的安全防護方案部署辦法是，將數(shù)據(jù)庫防火墻部署在數(shù)據(jù)庫服務器前，以防止來自外部人員的攻擊和內部人員的誤操作。數(shù)據(jù)庫防火墻可針對批量刪除或是批量下載等針對數(shù)據(jù)庫的操作行為進行細粒度控制，并實現(xiàn)100%應用用戶關聯(lián)；同時通過對SQL語法/詞法進行精確協(xié)議解析，防止外部對數(shù)據(jù)庫漏洞的攻擊和SQL注入、刷庫等行為。同時，云環(huán)境下，為了防止數(shù)據(jù)庫存儲文件丟失，導致整庫泄密，安華金和數(shù)據(jù)庫保險箱通過對數(shù)據(jù)庫敏感字段的加密，防止因數(shù)據(jù)明文存儲導致庫內敏感信息泄露，防止拖庫行為的發(fā)生。

趨勢：從穩(wěn)健到安全

云應用是大勢所趨，由此帶動企業(yè)系統(tǒng)架構和業(yè)務運營隨之變化。IT基礎設施的成本更低，不僅可以便利地實現(xiàn)擴縮，也可以支撐大規(guī)模應用；企業(yè)IT架構呈現(xiàn)終端化、平臺化和大數(shù)據(jù)特征，企業(yè)業(yè)務運營則可以做到快速試錯。

安華金和認為，這些變化在運維上更直接的表現(xiàn)則是，IaaS使得企業(yè)不再需要安排人到各地出差、讓服務器上架了，機房值班更加不需要了；PaaS使得企業(yè)對應用運維的需求下降，甚至技術含量高的DBA，需求量都將銳減；SaaS甚至可以讓企業(yè)相關的研發(fā)研發(fā)需求都下降了，使得公有云的使用更加傻瓜化。

針對這些變化，安華金和提出，運維關注點要從應用運維專向強調數(shù)據(jù)安全，如果說原來的運維強調穩(wěn)健，現(xiàn)在就要強調安全，特別是數(shù)據(jù)安全。以行業(yè)云為例，某企業(yè)將管理和部分業(yè)務數(shù)據(jù)從原來的“私有”環(huán)境轉移到“行業(yè)云”環(huán)境下，數(shù)據(jù)被移到行業(yè)云后，面臨的直接問題就是數(shù)據(jù)安全。企業(yè)用戶需要確認數(shù)據(jù)在云上是安全的，云環(huán)境的維護者無法看到這些數(shù)據(jù)，即使進入數(shù)據(jù)庫也無法看到敏感的真實數(shù)據(jù)，只有掌握密鑰的應用系統(tǒng)或企業(yè)用戶才能得到真實數(shù)據(jù)。

系統(tǒng)中的敏感數(shù)據(jù)的保護需要按照企業(yè)用戶來區(qū)分，鑰匙需要掌握在企業(yè)用戶的手中，不能是一個公共的鑰匙。

安全要“銜接線下”，將“秘鑰”做O2O包裝，一定要能夠以線下Key、證卡等實物形式來體現(xiàn)，這樣能夠大幅改善Online完全不受控的感受，讓用戶能夠心里踏實。

為此，公有云要做到防止黑客攻擊，防止SQL注入、防止拖庫；要實現(xiàn)數(shù)據(jù)變更可追蹤，數(shù)據(jù)庫運維的可審、可控，同時要防止云服務提供商泄露數(shù)據(jù)。

建議：安全責任全員化

大數(shù)據(jù)時代，數(shù)據(jù)的價值和重要性越來越被強調，但不可否認，數(shù)據(jù)庫的應用環(huán)境日趨復雜。B/S架構使數(shù)據(jù)庫間接暴露到互聯(lián)網(wǎng)，各種運維人員和IT外包人員可以直接訪問數(shù)據(jù)庫，應用方式的變更使數(shù)據(jù)庫訪問形式呈現(xiàn)多樣化的特征，這些因素使得數(shù)據(jù)庫面臨著各類非法操作、惡意操作或誤操作等各類風險。比如：黑客攻擊、盜用密碼越權操作、大量更新刪除業(yè)務數(shù)據(jù)、違規(guī)訪問數(shù)據(jù)、批量導出數(shù)據(jù)、竊取數(shù)據(jù)拷貝備份或數(shù)據(jù)文件、導出數(shù)據(jù)等。

安華金和認為，在數(shù)據(jù)價值不斷凸顯的同時，其安全風險也在不斷上升，傳統(tǒng)的安全藩籬已經(jīng)打破，數(shù)據(jù)庫已經(jīng)不再安全，安全責任全員化，已經(jīng)成為重要的IT運維特點。

為此，安華金和提出了四個安全運維的建議：

一是安全巡檢，要做到防撞庫，及時發(fā)現(xiàn)數(shù)據(jù)庫使用中的隱患，人工安全服務要實現(xiàn)數(shù)據(jù)庫安全加固。

二是主動防御，一方面要防拖庫，核心數(shù)據(jù)要加密存儲，防止內部人員數(shù)據(jù)泄漏，另一方面要防刷庫，虛擬補丁要實現(xiàn)復雜漏洞防控，把SQL注入特征庫防護。

三是底線防守，要攔截超過閥值限制的批量查詢操作，阻斷繞過合法應用的訪問，禁止本地登錄。

四是事后監(jiān)督，要做到批量泄漏和惡意數(shù)據(jù)庫訪問監(jiān)控和告警，準確業(yè)務用戶關聯(lián)， 業(yè)務語言識別。

對應于上述四個建議，安華金和作為專業(yè)的數(shù)據(jù)庫安全提供商，具備數(shù)據(jù)庫安全在事前、事中、事后的全過程防護能力并提供系列數(shù)據(jù)庫安全產(chǎn)品與行業(yè)解決方案，通過數(shù)據(jù)庫漏掃對數(shù)據(jù)庫進行檢查預警；利用數(shù)據(jù)庫防火墻和數(shù)據(jù)庫保險箱進行數(shù)據(jù)庫安全的主動防御；安全事件發(fā)生后通過數(shù)據(jù)庫監(jiān)控與審計系統(tǒng)進行跟蹤審計，預警防范。據(jù)了解，安全金和系列產(chǎn)品與云端應用已經(jīng)在政府機關、金融行業(yè)、社保行業(yè)和企業(yè)客戶中有大量的部署和成功案例。