李濤

（中國聯(lián)合網(wǎng)絡(luò)通信集團有限公司青島分公司 山東省青島市 266001）

大數(shù)據(jù)時代已經(jīng)來臨，隨著越來越多地業(yè)務(wù)數(shù)據(jù)和物聯(lián)網(wǎng)數(shù)據(jù)地加入，現(xiàn)有的數(shù)據(jù)量已經(jīng)遠(yuǎn)遠(yuǎn)超越了傳統(tǒng)關(guān)系型數(shù)據(jù)庫的承載范圍?；谠萍夹g(shù)、云計算平臺和互聯(lián)網(wǎng)進行數(shù)據(jù)共享的云數(shù)據(jù)庫地涌現(xiàn)已經(jīng)成為趨勢。在大量敏感數(shù)據(jù)存放在云數(shù)據(jù)庫的背景下，如果數(shù)據(jù)庫遭到黑客攻擊，將會對數(shù)據(jù)的所有者造成比傳統(tǒng)數(shù)據(jù)庫更大地危害。云數(shù)據(jù)庫網(wǎng)絡(luò)安全問題成為網(wǎng)絡(luò)安全建設(shè)的關(guān)鍵所在。

1 大數(shù)據(jù)簡述

本文從大數(shù)據(jù)、數(shù)據(jù)庫技術(shù)分析入手，全面概述大數(shù)據(jù)、數(shù)據(jù)庫技術(shù)相關(guān)知識，以便可以更加具體地分析后續(xù)相關(guān)問題。

1.1 大數(shù)據(jù)背景簡介

大數(shù)據(jù)是指使用傳統(tǒng)、常規(guī)的軟件技術(shù)工具無法在一定時間內(nèi)完成捕捉、管理和處理的數(shù)據(jù)集，需要找到新式模式才能處理的具備更強大的決策執(zhí)行力、洞察發(fā)現(xiàn)力、海量化、高增長率、多樣化和流程優(yōu)化能力的信息資產(chǎn)。大數(shù)據(jù)不是傳統(tǒng)意義上的大規(guī)模數(shù)據(jù)，而是現(xiàn)代信息技術(shù)取得了突破性地進展后，信息時代出現(xiàn)新高潮、達到發(fā)展新階段的表現(xiàn)。在此背景下，信息數(shù)據(jù)出現(xiàn)爆炸性地增長，需要更先進、更高級的科學(xué)技術(shù)和信息手段。這對傳統(tǒng)科學(xué)和信息技術(shù)帶來重大挑戰(zhàn)，同時也為社會、人類生活帶來了新的發(fā)展機遇。

1.2 數(shù)據(jù)庫技術(shù)特點闡述

數(shù)據(jù)庫技術(shù)有以下幾個特點：

1.2.1 結(jié)構(gòu)化

數(shù)據(jù)庫技術(shù)的結(jié)構(gòu)化是指數(shù)據(jù)庫技術(shù)會依據(jù)信息和數(shù)據(jù)的某些共同特征進行歸類、處理，從而組織成一個數(shù)據(jù)集，這個數(shù)據(jù)集合不是對應(yīng)某個應(yīng)用，而是面對組織整體，進而利用這些互聯(lián)的整體結(jié)構(gòu)化的數(shù)據(jù)來完成工作。

1.2.2 共享性

數(shù)據(jù)庫技術(shù)的最大特點是共享。為了減少冗余且保證數(shù)據(jù)之間相容共通，數(shù)據(jù)庫把數(shù)據(jù)共享視為最終目標(biāo)。人員之間、組織之間甚至是國家之間的數(shù)據(jù)共享是數(shù)據(jù)庫一直努力實現(xiàn)的奮斗目標(biāo)。

1.2.3 獨立性

盡管數(shù)據(jù)庫中的數(shù)據(jù)在很多方面聯(lián)系共通和相容一致，但歸根到底這些數(shù)據(jù)還是彼此相互獨立，其獨立性體現(xiàn)在物理層面和邏輯層面。

1.2.4 可控性

數(shù)據(jù)庫存有海量數(shù)據(jù)。多用戶可能同時存取數(shù)據(jù)庫中的同一數(shù)據(jù)，數(shù)據(jù)庫既要解決并發(fā)共享問題，也要解決信息冗余重復(fù)的問題。并發(fā)共享問題嚴(yán)重影響數(shù)據(jù)庫正常運行，而重復(fù)信息嚴(yán)重浪費物理存儲空間，這些問題都給用戶使用帶來了許多麻煩。數(shù)據(jù)庫需要通過并發(fā)訪問控制、低冗余處理、完整性檢查、安全性保護以及故障恢復(fù)等方案統(tǒng)一管理和控制，保證數(shù)據(jù)庫地正常運營。

1.2.5 靈活性

數(shù)據(jù)庫按照用戶需求靈活地分組歸類和增刪修改各種數(shù)據(jù)信息，具有良好的可擴展性。

2 大數(shù)據(jù)下數(shù)據(jù)庫安全防護需求

2.1 國家安全管理需求

為了配合2017年《中華人民共和國網(wǎng)絡(luò)安全法》地實施，國家在2019年出臺新的網(wǎng)絡(luò)安全等級保護系列標(biāo)準(zhǔn)（GB/T22239-2019 和GB/T28448-2019 標(biāo)準(zhǔn)），統(tǒng)稱網(wǎng)絡(luò)安全等級保護2.0。新標(biāo)準(zhǔn)對云計算平臺、大數(shù)據(jù)平臺及應(yīng)用做了安全擴展要求。云數(shù)據(jù)庫安全是包含其中的一項內(nèi)容。其技術(shù)要求如下：

2.1.1 安全物理環(huán)境

此要求是針對機房物理環(huán)境、物理設(shè)備和物理設(shè)施提出的安全要求。云數(shù)據(jù)庫是運行在存放于物理機房的物理設(shè)備中，物理機房的安全是所有安全的基礎(chǔ)。符合定級要求的物理環(huán)境和電力、電磁防護、防靜電、消防、防雷擊、防盜監(jiān)控、溫控等物理設(shè)施的安全是云數(shù)據(jù)庫安全的物理保證。

2.1.2 安全通信網(wǎng)絡(luò)

此要求是針對網(wǎng)絡(luò)構(gòu)架、通信傳輸和可信驗證提出的安全要求。重點關(guān)注內(nèi)外網(wǎng)的網(wǎng)絡(luò)邊界的網(wǎng)絡(luò)通信安全和網(wǎng)絡(luò)內(nèi)部的網(wǎng)絡(luò)架構(gòu)、通信傳輸?shù)陌踩?。網(wǎng)絡(luò)通信安全是云數(shù)據(jù)庫安全的基礎(chǔ)。

2.1.3 安全區(qū)域邊界

此要求是針對網(wǎng)絡(luò)邊界提出的安全要求。網(wǎng)絡(luò)邊界防護是網(wǎng)絡(luò)安全防御的重要手段。在內(nèi)外網(wǎng)實現(xiàn)聯(lián)通的同時，網(wǎng)絡(luò)邊界必須采取授權(quán)接入、控制訪問、防范攻擊等措施加強對內(nèi)網(wǎng)的保護。云數(shù)據(jù)庫必須強化邊界防護功能，通過邊界隔離和阻斷非法連接，嚴(yán)禁非授權(quán)接入溝通內(nèi)外連接，包括從內(nèi)部數(shù)據(jù)庫的外聯(lián)。

2.1.4 安全計算環(huán)境

此要求是針對網(wǎng)絡(luò)內(nèi)部提出的安全要求，是云數(shù)據(jù)庫防護的最后一道防線。涉及的安全控制點包括必須標(biāo)識和驗證登錄用戶身份的合法性；啟用訪問控制功能，根據(jù)安全策略存取數(shù)據(jù)庫資源；數(shù)據(jù)庫的重要資源須標(biāo)注敏感標(biāo)志；增強入侵防范和惡意代碼防范；安全審計用戶操縱數(shù)據(jù)庫資源的行為和執(zhí)行高危命令的操作；檢測數(shù)據(jù)庫中系統(tǒng)管理、鑒權(quán)業(yè)務(wù)及重要審計的數(shù)據(jù)存儲和傳輸?shù)耐暾?。存儲和傳輸過程中完整性受損應(yīng)及時發(fā)現(xiàn)并恢復(fù)；采用包括加密在內(nèi)的安全方案實現(xiàn)系統(tǒng)管理、鑒權(quán)、重點業(yè)務(wù)及重要審計數(shù)據(jù)的傳輸存儲的機密性。

2.1.5 安全管理中心

此要求是運用技術(shù)手段實現(xiàn)安全管理方面集中管理的技術(shù)控制要求，通過技術(shù)來實現(xiàn)對云數(shù)據(jù)庫安全的管理，包括系統(tǒng)管理、審計管理、安全管理和集中管控。

2.2 安全防護需求

大數(shù)據(jù)環(huán)境下的數(shù)據(jù)庫主要基于云技術(shù)、云計算平臺、使用互聯(lián)網(wǎng)進行數(shù)據(jù)共享。傳統(tǒng)的數(shù)據(jù)庫安全防護策略已經(jīng)不再滿足新的云架構(gòu)體系結(jié)構(gòu)。需要全新的安全策略來適應(yīng)云數(shù)據(jù)庫中的多租戶、彈性化、新型物理邏輯體系結(jié)構(gòu)和抽象控制等特點。云數(shù)據(jù)庫的漏洞與傳統(tǒng)數(shù)據(jù)庫的漏洞有許多不同之處，具體防護需求如下：

2.2.1 防護數(shù)據(jù)庫管理系統(tǒng)安全漏洞的需求

已發(fā)布在CVE 和CNNVD 上的數(shù)據(jù)庫漏洞尤需重視。這些漏洞對數(shù)據(jù)庫有比以往更高地破壞力。漏洞會導(dǎo)致數(shù)據(jù)庫宕機、身份驗證失效、重要信息泄露等問題。部分漏洞還有實施簡單的特點，攻擊者無需高深的技術(shù)背景，甚至使用現(xiàn)成工具就能造成巨大地破壞。

2.2.2 防護SQL 注入的要求

云數(shù)據(jù)庫在公網(wǎng)提供了大量的信息存取服務(wù)，面臨更多來自互聯(lián)網(wǎng)SQL 注入風(fēng)險。外部人員可以方便地利用應(yīng)用服務(wù)器作為跳板發(fā)動攻擊，抓住漏洞或應(yīng)用程序的錯誤設(shè)置實現(xiàn)SQL 注入，達到提升普通用戶權(quán)限、竊取敏感數(shù)據(jù)或非法登錄的目的。同樣，這些攻擊往往也可以僅通過現(xiàn)成的黑客工具實現(xiàn)，簡單易行。

2.2.3 全面安全審計云數(shù)據(jù)庫訪問操作的需求

開啟云數(shù)據(jù)庫監(jiān)控功能和審計功能后，平臺服務(wù)器資源占用會非常巨大。而云數(shù)據(jù)庫自帶的審核功能，雖然占有資源稍小，但管理員在使用過程中可以實時關(guān)閉，會導(dǎo)致缺失審核依據(jù)，影響后續(xù)審計跟蹤的問題。獨立的安全審計系統(tǒng)是滿足云數(shù)據(jù)庫的安全審計要求的必備系統(tǒng)。

2.2.4 管控敏感數(shù)據(jù)信息的要求

云數(shù)據(jù)庫系統(tǒng)中的系統(tǒng)管理員（包括平臺管理員、數(shù)據(jù)庫管理員）、開發(fā)維護人員、使用人員都可能有權(quán)限直接存取數(shù)據(jù)庫資源。其無意或有意地執(zhí)行高危命令，比如大范圍批量增刪改數(shù)據(jù)庫數(shù)據(jù)以及違規(guī)批量導(dǎo)出敏感數(shù)據(jù)，都有可能造成云數(shù)據(jù)庫的數(shù)據(jù)損壞或數(shù)據(jù)泄漏?！氨就钕葟膬?nèi)部攻破”，內(nèi)部人員有意無意中造成地破壞往往更嚴(yán)重。

2.2.5 云數(shù)據(jù)庫生產(chǎn)數(shù)據(jù)脫敏的需要

通常大量的實際生產(chǎn)數(shù)據(jù)存儲在云數(shù)據(jù)庫中用于測試、分析和科學(xué)研究。如果使用真實的生產(chǎn)數(shù)據(jù)，管理人員、系統(tǒng)管理員和開發(fā)測試人員將存在不同程度的敏感數(shù)據(jù)泄漏風(fēng)險。使用自行編纂的模擬數(shù)據(jù)，又存在無法再現(xiàn)真實生產(chǎn)環(huán)境、無法保證開發(fā)測試結(jié)果正確性的麻煩。生產(chǎn)數(shù)據(jù)的脫敏管理是必須要解決的重大問題。

2.2.6 敏感數(shù)據(jù)存儲、備份和導(dǎo)出的加密要求

云數(shù)據(jù)庫所有租戶都有獨立的權(quán)限。然而特權(quán)用戶可以直接訪問數(shù)據(jù)庫資源存取所有敏感數(shù)據(jù)，如敏感數(shù)據(jù)以明文存儲，泄密將不可避免。在權(quán)限層面也很難區(qū)分特權(quán)用戶的日常操作和違規(guī)操作。防止存儲、導(dǎo)出和備份過程中敏感數(shù)據(jù)泄密是數(shù)據(jù)安全性的重要環(huán)節(jié)。

3 大數(shù)據(jù)背景下數(shù)據(jù)庫安全實現(xiàn)的基石

3.1 通信網(wǎng)絡(luò)安全

通信網(wǎng)絡(luò)安全是云數(shù)據(jù)庫安全的根基。網(wǎng)絡(luò)構(gòu)架的安全是云計算的安全的重要環(huán)節(jié)。安全合理的網(wǎng)絡(luò)構(gòu)架也是云數(shù)據(jù)庫安全的保證。在大數(shù)據(jù)環(huán)境下，黑客攻擊、病毒入侵等惡意攻擊行為層出不窮。為了保證安全、可靠的網(wǎng)絡(luò)通信環(huán)境，就需要采取一系列的安全技術(shù)手段來解決。這些手段包括訪問控制、網(wǎng)絡(luò)隔離、數(shù)據(jù)加密和入侵檢測。

3.2 云計算安全

云計算安全影響平臺數(shù)據(jù)安全的各個方面。云計算安全是實現(xiàn)云數(shù)據(jù)庫安全的關(guān)鍵。根據(jù)新的網(wǎng)絡(luò)安全等級保護標(biāo)準(zhǔn)，云平臺要對敏感數(shù)據(jù)、安全隱患進行安全審計。云平臺安全就先要保證機房環(huán)境和物理設(shè)施安全符合等級保護的標(biāo)準(zhǔn)，做好域名和服務(wù)集群免遭包括Ddos 攻擊在內(nèi)的各種網(wǎng)絡(luò)攻擊的防護、做好各項加密防護措施、及時修補系統(tǒng)平臺和虛擬機漏洞、做好病毒入侵防護工作。重要防護手段有身份鑒別、訪問控制、入侵防范、鏡像與快照保護、數(shù)據(jù)恢復(fù)和剩余信息保護。

3.3 云存儲安全

數(shù)據(jù)是IT 最核心和最寶貴的資產(chǎn)。云存儲把數(shù)據(jù)存放在由第三方托管的虛擬集群中，云平臺根據(jù)需要管理數(shù)據(jù)，通過調(diào)用服務(wù)API 或用戶界面訪問存儲虛擬化的資源。利用云安全保證云存儲整體安全，通過監(jiān)測云存儲中大量客戶端在網(wǎng)絡(luò)中異常的行為，獲取存儲中病毒和惡意程序的情況，集中匯集到服務(wù)端自動進行分析，然后把處理方案分發(fā)到使用存儲的用戶，這樣就保證云存儲整體安全，避免出現(xiàn)“火燒連營”的情況。

4 云數(shù)據(jù)庫安全防護關(guān)鍵技術(shù)

4.1 防火墻技術(shù)

研究表明通過防火墻技術(shù)可以解決70%的數(shù)據(jù)庫安全問題。數(shù)據(jù)庫防火墻技術(shù)是基于數(shù)據(jù)庫協(xié)議分析和控制技術(shù)的數(shù)據(jù)庫安全防護技術(shù)，通過屏蔽直接訪問通道和主動防御機制隔離、阻斷、審查數(shù)據(jù)庫的可疑存取行為和危險操作。通過以下方式應(yīng)對數(shù)據(jù)庫安全威脅：

4.1.1 防范漏洞攻擊和阻止數(shù)據(jù)庫被惡意掃描

使用數(shù)據(jù)庫防火墻虛擬補丁技術(shù)確保數(shù)據(jù)庫在未打安全補丁的情況也能有效地抵御惡意入侵，也避免數(shù)據(jù)庫被惡意者獲取更多地信息。

4.1.2 避免數(shù)據(jù)庫遭受刷庫、脫庫和撞庫等惡意攻擊

數(shù)據(jù)庫防火墻可以識別和屏蔽黑客的惡意攻擊，避免數(shù)據(jù)庫庫文件和數(shù)據(jù)被竊取造成泄露。

4.1.3 抵御SQL 注入攻擊

防火墻經(jīng)過自適應(yīng)學(xué)習(xí)建立SQL 注入特征庫，阻止數(shù)據(jù)庫SQL 注入，實現(xiàn)對數(shù)據(jù)庫地有效保護。

4.1.4 數(shù)據(jù)庫的運行和維護控制

白名單和黑名單機制可防止對數(shù)據(jù)庫進行惡意操作和誤操作。需要根據(jù)實際情況具體選擇白名單或黑名單機制。

數(shù)據(jù)庫防火墻技術(shù)通常部署在數(shù)據(jù)庫的前端，會引起訪問延遲，造成數(shù)據(jù)庫性能下降。因此，對于實時性要求很高的云數(shù)據(jù)庫，建議采用對數(shù)據(jù)庫性能影響很小的旁路鏡像方式部署防火墻。但是，由于此模式?jīng)]有規(guī)則阻止和攔截惡意訪問操作，需要其他技術(shù)配合以確保云數(shù)據(jù)庫的安全性。

4.2 系統(tǒng)漏洞管理和病毒防范

網(wǎng)絡(luò)安全管理人員需密切關(guān)注、及時掌握最新的安全資訊、漏洞補丁和病毒信息，及時進行漏洞修補、病毒查殺，盡可能地防范黑客入侵、病毒侵襲等網(wǎng)絡(luò)攻擊。要保持安全意識，將安全問題納入日常工作范疇；認(rèn)真分析并進行黑客攻擊模式、攻擊手段、攻擊技術(shù)的研究，制定相應(yīng)的應(yīng)急預(yù)案；增強從業(yè)者的專業(yè)化程度，提高其技能水平和實操能力，掌握網(wǎng)絡(luò)安全原則、網(wǎng)絡(luò)安全預(yù)防措施、數(shù)據(jù)庫防護手段、軟硬件維護、滲透防護、漏洞修復(fù)、補丁更新、基線掃描等；通過定期組織培訓(xùn)大大提高安全技術(shù)人員的技能水平，確保云數(shù)據(jù)庫安全運行。

4.3 敏感數(shù)據(jù)加密技術(shù)

云數(shù)據(jù)庫安全防護的核心應(yīng)集中于敏感核心數(shù)據(jù)的徹底地、有效地加密和保護。密鑰管理就是敏感數(shù)據(jù)加密的關(guān)鍵。密鑰的安全性直接決定了加密數(shù)據(jù)的安全性。云平臺及云數(shù)據(jù)庫建議采用密鑰獨立存儲、重點保護根密鑰、根密鑰使用加密硬件進行保護的方案增加破解的難度。特定的應(yīng)用系統(tǒng)建議使用獨特的加密方案來實現(xiàn)敏感數(shù)據(jù)地保護。

4.4 數(shù)據(jù)脫敏技術(shù)

云計算環(huán)境系統(tǒng)開發(fā)測試有兩種部署模式：

（1）在本地測試環(huán)境中完成系統(tǒng)開發(fā)測試工作后再部署到云上；

（2）充分靈活運用云計算資源和強大的云部署功能直接在云上進行系統(tǒng)開發(fā)測試。

這兩種模式所有或部分真實生產(chǎn)數(shù)據(jù)都要轉(zhuǎn)導(dǎo)到開發(fā)測試環(huán)境中。為了確保流程的規(guī)范性和數(shù)據(jù)的安全性，在保證順利進行開發(fā)測試工作的同時，保證敏感數(shù)據(jù)和用戶的隱私信息不泄漏，轉(zhuǎn)導(dǎo)的數(shù)據(jù)必須要進行脫敏處理。

4.5 數(shù)據(jù)庫安全審計技術(shù)

數(shù)據(jù)庫安全審計技術(shù)是在生產(chǎn)環(huán)境中對數(shù)據(jù)庫行為進行細(xì)粒度、合規(guī)性審核的管理技術(shù)，是智能化、主動化實現(xiàn)數(shù)據(jù)庫安全保護的重要措施。它解析、分析、記錄、匯報人員訪問系統(tǒng)的行為記錄以實現(xiàn)事前備好預(yù)案準(zhǔn)確預(yù)測避免事故發(fā)生、事件期間實時監(jiān)控及時響應(yīng)入侵違規(guī)事件、事后能及時跟蹤追溯并生成事故報告，達到實現(xiàn)內(nèi)外部全面監(jiān)控的目標(biāo)，監(jiān)督和促進核心資產(chǎn)的正常運轉(zhuǎn)。運營核心業(yè)務(wù)的核心數(shù)據(jù)庫必須嚴(yán)格執(zhí)行安全審計。數(shù)據(jù)庫審計必須同開發(fā)結(jié)合起來確保數(shù)據(jù)庫、業(yè)務(wù)應(yīng)用系統(tǒng)符合相關(guān)法規(guī)、策略的審查管制要求。特權(quán)用戶的活動必須嚴(yán)格監(jiān)控，避免出現(xiàn)超脫審計監(jiān)控的特權(quán)用戶的出現(xiàn)。

4.6 數(shù)據(jù)庫泄露防護技術(shù)

數(shù)據(jù)庫泄露防護技術(shù)也稱信息泄漏防護，是運用特定的技術(shù)手段，避免敏感數(shù)據(jù)或重要的信息資產(chǎn)以違反安全法規(guī)和安全策略泄露的技術(shù)，是信息安全和數(shù)據(jù)防護一種重要手段。數(shù)據(jù)庫常見的有使用泄漏、存儲泄漏、傳輸泄漏這三種情況。安全技術(shù)人員、DBA和開發(fā)測試人員可以通過使用VPN 訪問、堡壘機訪問等方式確保數(shù)據(jù)庫管理環(huán)節(jié)避免直接面對公網(wǎng)訪問，降低安全風(fēng)險；通過加密的專用數(shù)據(jù)查詢客戶端、數(shù)據(jù)安全網(wǎng)關(guān)轉(zhuǎn)導(dǎo)數(shù)據(jù)、數(shù)據(jù)文件指紋等手段可以保證數(shù)據(jù)庫數(shù)據(jù)在傳輸環(huán)節(jié)不泄密；強大詳盡的日志記錄系統(tǒng)等更是發(fā)現(xiàn)問題解決問題的依據(jù)。這些方式都加強大大云數(shù)據(jù)庫的安全防護，盡可能避免泄露事件的發(fā)生。

5 結(jié)論

大數(shù)據(jù)時代既有機遇也有挑戰(zhàn)。它給社會發(fā)展帶來了新機遇、新模式、新手段的同時，也增加了安全管理的風(fēng)險。面對日益嚴(yán)峻、復(fù)雜多變的安全環(huán)境，安全管理技術(shù)人員需要從制度管理、人員配備、科學(xué)技術(shù)等全方位、多層面、合理化的改革，才能跟上時代發(fā)展的步伐，做好安全工作。本文簡述了云數(shù)據(jù)庫安全的基本要求，提出了切實可行的云數(shù)據(jù)庫安全方案，對云數(shù)據(jù)庫的安全建設(shè)起著促進作用，有助于云數(shù)據(jù)庫安全技術(shù)的推廣。