安华金和：让数据使用更安全

从最近三个月安华金和分享的数据泄密高危漏洞来看，10月份154个数据泄密高危漏洞，9月份和8月份分别134个和102个。其中绝大多数泄露威胁来自于平台系统漏洞和SQL注入漏洞。安华金和的报告得出一个结论：攻击是以数据为目标。

“这是最好的时代，这是最坏的时代；这是智慧的时代，这是愚蠢的时代”狄更斯的这句名句用在当下，也并未为过。云计算飞速发展的今天，给人类生活带来巨大便利的同时，安全问题，紧随其后，一场针对核心数据防御的持久战，此起彼伏。其中，无法逃避、备受关注的核心数据藏于数据库中。因此，安华金和提出，运维2.0时代，数据库亟需安全运维。

安华金和高级安全顾问 谭俊楠

重点：核心数据的安全运维

云计算的发展，用户对云的接受度越来越高，特别是中小型企业，其业务越来越多向云端迁移，由此带来数据存量的爆炸性增长，用户对核心数据的安全性要求提高。面对云端大流量、高并发、高相应的业务需求，运维人员的运维重点和运维能力提出更高挑战：对于DBA而言，随着基础运维和应用运维需要的人工量在减少，安全运维意识和响应能力需要提高，那么核心数据的安全运维成为关注重点。

对于用户而言，用户需要确认数据在云上是安全的，云环境的维护者无法看到这些数据，即使进入数据库也无法看到敏感的真实数据，存储核心数据的应用系统的秘钥需要掌握在用户手里。这样才能让用户心里更踏实。

以P2P金融为例，截止2014年11月，已有近165家P2P平台由于黑客攻击造成系统瘫痪、数据被恶意篡改、资金被洗劫等情况。

平安董事局主席马明哲曾对此表示“P2P网贷平台的技术要求不亚于银行，甚至比银行还要高。但现实情况是，大多数P2P网贷平台在架构、数据库、安全防范方面，应对黑客的攻击能力几乎为零。”

据安华金和高级安全顾问谭峻楠介绍，安华金和在云端针对数据库内核心数据的安全防护方案部署办法是，将数据库防火墙部署在数据库服务器前，以防止来自外部人员的攻击和内部人员的误操作。数据库防火墙可针对批量删除或是批量下载等针对数据库的操作行为进行细粒度控制，并实现100%应用用户关联；同时通过对SQL语法/词法进行精确协议解析，防止外部对数据库漏洞的攻击和SQL注入、刷库等行为。同时，云环境下，为了防止数据库存储文件丢失，导致整库泄密，安华金和数据库保险箱通过对数据库敏感字段的加密，防止因数据明文存储导致库内敏感信息泄露，防止拖库行为的发生。

趋势：从稳健到安全

云应用是大势所趋，由此带动企业系统架构和业务运营随之变化。IT基础设施的成本更低，不仅可以便利地实现扩缩，也可以支撑大规模应用；企业IT架构呈现终端化、平台化和大数据特征，企业业务运营则可以做到快速试错。

安华金和认为，这些变化在运维上更直接的表现则是，IaaS使得企业不再需要安排人到各地出差、让服务器上架了，机房值班更加不需要了；PaaS使得企业对应用运维的需求下降，甚至技术含量高的DBA，需求量都将锐减；SaaS甚至可以让企业相关的研发研发需求都下降了，使得公有云的使用更加傻瓜化。

针对这些变化，安华金和提出，运维关注点要从应用运维专向强调数据安全，如果说原来的运维强调稳健，现在就要强调安全，特别是数据安全。以行业云为例，某企业将管理和部分业务数据从原来的“私有”环境转移到“行业云”环境下，数据被移到行业云后，面临的直接问题就是数据安全。企业用户需要确认数据在云上是安全的，云环境的维护者无法看到这些数据，即使进入数据库也无法看到敏感的真实数据，只有掌握密钥的应用系统或企业用户才能得到真实数据。

系统中的敏感数据的保护需要按照企业用户来区分，钥匙需要掌握在企业用户的手中，不能是一个公共的钥匙。

安全要“衔接线下”，将“秘钥”做O2O包装，一定要能够以线下Key、证卡等实物形式来体现，这样能够大幅改善Online完全不受控的感受，让用户能够心里踏实。

为此，公有云要做到防止黑客攻击，防止SQL注入、防止拖库；要实现数据变更可追踪，数据库运维的可审、可控，同时要防止云服务提供商泄露数据。

建议：安全责任全员化

大数据时代，数据的价值和重要性越来越被强调，但不可否认，数据库的应用环境日趋复杂。B/S架构使数据库间接暴露到互联网，各种运维人员和IT外包人员可以直接访问数据库，应用方式的变更使数据库访问形式呈现多样化的特征，这些因素使得数据库面临着各类非法操作、恶意操作或误操作等各类风险。比如：黑客攻击、盗用密码越权操作、大量更新删除业务数据、违规访问数据、批量导出数据、窃取数据拷贝备份或数据文件、导出数据等。

安华金和认为，在数据价值不断凸显的同时，其安全风险也在不断上升，传统的安全藩篱已经打破，数据库已经不再安全，安全责任全员化，已经成为重要的IT运维特点。

为此，安华金和提出了四个安全运维的建议：

一是安全巡检，要做到防撞库，及时发现数据库使用中的隐患，人工安全服务要实现数据库安全加固。

二是主动防御，一方面要防拖库，核心数据要加密存储，防止内部人员数据泄漏，另一方面要防刷库，虚拟补丁要实现复杂漏洞防控，把SQL注入特征库防护。

三是底线防守，要拦截超过阀值限制的批量查询操作，阻断绕过合法应用的访问，禁止本地登录。

四是事后监督，要做到批量泄漏和恶意数据库访问监控和告警，准确业务用户关联， 业务语言识别。

对应于上述四个建议，安华金和作为专业的数据库安全提供商，具备数据库安全在事前、事中、事后的全过程防护能力并提供系列数据库安全产品与行业解决方案，通过数据库漏扫对数据库进行检查预警；利用数据库防火墙和数据库保险箱进行数据库安全的主动防御；安全事件发生后通过数据库监控与审计系统进行跟踪审计，预警防范。据了解，安全金和系列产品与云端应用已经在政府机关、金融行业、社保行业和企业客户中有大量的部署和成功案例。