大數據背景下數據庫網絡安全的防范方法

李濤

（中國聯合網絡通信集團有限公司青島分公司 山東省青島市 266001）

大數據時代已經來臨，隨著越來越多地業務數據和物聯網數據地加入，現有的數據量已經遠遠超越了傳統關系型數據庫的承載范圍。基于云技術、云計算平臺和互聯網進行數據共享的云數據庫地涌現已經成為趨勢。在大量敏感數據存放在云數據庫的背景下，如果數據庫遭到黑客攻擊，將會對數據的所有者造成比傳統數據庫更大地危害。云數據庫網絡安全問題成為網絡安全建設的關鍵所在。

1 大數據簡述

本文從大數據、數據庫技術分析入手，全面概述大數據、數據庫技術相關知識，以便可以更加具體地分析后續相關問題。

1.1 大數據背景簡介

大數據是指使用傳統、常規的軟件技術工具無法在一定時間內完成捕捉、管理和處理的數據集，需要找到新式模式才能處理的具備更強大的決策執行力、洞察發現力、海量化、高增長率、多樣化和流程優化能力的信息資產。大數據不是傳統意義上的大規模數據，而是現代信息技術取得了突破性地進展后，信息時代出現新高潮、達到發展新階段的表現。在此背景下，信息數據出現爆炸性地增長，需要更先進、更高級的科學技術和信息手段。這對傳統科學和信息技術帶來重大挑戰，同時也為社會、人類生活帶來了新的發展機遇。

1.2 數據庫技術特點闡述

數據庫技術有以下幾個特點：

1.2.1 結構化

數據庫技術的結構化是指數據庫技術會依據信息和數據的某些共同特征進行歸類、處理，從而組織成一個數據集，這個數據集合不是對應某個應用，而是面對組織整體，進而利用這些互聯的整體結構化的數據來完成工作。

1.2.2 共享性

數據庫技術的最大特點是共享。為了減少冗余且保證數據之間相容共通，數據庫把數據共享視為最終目標。人員之間、組織之間甚至是國家之間的數據共享是數據庫一直努力實現的奮斗目標。

1.2.3 獨立性

盡管數據庫中的數據在很多方面聯系共通和相容一致，但歸根到底這些數據還是彼此相互獨立，其獨立性體現在物理層面和邏輯層面。

1.2.4 可控性

數據庫存有海量數據。多用戶可能同時存取數據庫中的同一數據，數據庫既要解決并發共享問題，也要解決信息冗余重復的問題。并發共享問題嚴重影響數據庫正常運行，而重復信息嚴重浪費物理存儲空間，這些問題都給用戶使用帶來了許多麻煩。數據庫需要通過并發訪問控制、低冗余處理、完整性檢查、安全性保護以及故障恢復等方案統一管理和控制，保證數據庫地正常運營。

1.2.5 靈活性

數據庫按照用戶需求靈活地分組歸類和增刪修改各種數據信息，具有良好的可擴展性。

2 大數據下數據庫安全防護需求

2.1 國家安全管理需求

為了配合2017年《中華人民共和國網絡安全法》地實施，國家在2019年出臺新的網絡安全等級保護系列標準（GB/T22239-2019 和GB/T28448-2019 標準），統稱網絡安全等級保護2.0。新標準對云計算平臺、大數據平臺及應用做了安全擴展要求。云數據庫安全是包含其中的一項內容。其技術要求如下：

2.1.1 安全物理環境

此要求是針對機房物理環境、物理設備和物理設施提出的安全要求。云數據庫是運行在存放于物理機房的物理設備中，物理機房的安全是所有安全的基礎。符合定級要求的物理環境和電力、電磁防護、防靜電、消防、防雷擊、防盜監控、溫控等物理設施的安全是云數據庫安全的物理保證。

2.1.2 安全通信網絡

此要求是針對網絡構架、通信傳輸和可信驗證提出的安全要求。重點關注內外網的網絡邊界的網絡通信安全和網絡內部的網絡架構、通信傳輸的安全。網絡通信安全是云數據庫安全的基礎。

2.1.3 安全區域邊界

此要求是針對網絡邊界提出的安全要求。網絡邊界防護是網絡安全防御的重要手段。在內外網實現聯通的同時，網絡邊界必須采取授權接入、控制訪問、防范攻擊等措施加強對內網的保護。云數據庫必須強化邊界防護功能，通過邊界隔離和阻斷非法連接，嚴禁非授權接入溝通內外連接，包括從內部數據庫的外聯。

2.1.4 安全計算環境

此要求是針對網絡內部提出的安全要求，是云數據庫防護的最后一道防線。涉及的安全控制點包括必須標識和驗證登錄用戶身份的合法性；啟用訪問控制功能，根據安全策略存取數據庫資源；數據庫的重要資源須標注敏感標志；增強入侵防范和惡意代碼防范；安全審計用戶操縱數據庫資源的行為和執行高危命令的操作；檢測數據庫中系統管理、鑒權業務及重要審計的數據存儲和傳輸的完整性。存儲和傳輸過程中完整性受損應及時發現并恢復；采用包括加密在內的安全方案實現系統管理、鑒權、重點業務及重要審計數據的傳輸存儲的機密性。

2.1.5 安全管理中心

此要求是運用技術手段實現安全管理方面集中管理的技術控制要求，通過技術來實現對云數據庫安全的管理，包括系統管理、審計管理、安全管理和集中管控。

2.2 安全防護需求

大數據環境下的數據庫主要基于云技術、云計算平臺、使用互聯網進行數據共享。傳統的數據庫安全防護策略已經不再滿足新的云架構體系結構。需要全新的安全策略來適應云數據庫中的多租戶、彈性化、新型物理邏輯體系結構和抽象控制等特點。云數據庫的漏洞與傳統數據庫的漏洞有許多不同之處，具體防護需求如下：

2.2.1 防護數據庫管理系統安全漏洞的需求

已發布在CVE 和CNNVD 上的數據庫漏洞尤需重視。這些漏洞對數據庫有比以往更高地破壞力。漏洞會導致數據庫宕機、身份驗證失效、重要信息泄露等問題。部分漏洞還有實施簡單的特點，攻擊者無需高深的技術背景，甚至使用現成工具就能造成巨大地破壞。

2.2.2 防護SQL 注入的要求

云數據庫在公網提供了大量的信息存取服務，面臨更多來自互聯網SQL 注入風險。外部人員可以方便地利用應用服務器作為跳板發動攻擊，抓住漏洞或應用程序的錯誤設置實現SQL 注入，達到提升普通用戶權限、竊取敏感數據或非法登錄的目的。同樣，這些攻擊往往也可以僅通過現成的黑客工具實現，簡單易行。

2.2.3 全面安全審計云數據庫訪問操作的需求

開啟云數據庫監控功能和審計功能后，平臺服務器資源占用會非常巨大。而云數據庫自帶的審核功能，雖然占有資源稍小，但管理員在使用過程中可以實時關閉，會導致缺失審核依據，影響后續審計跟蹤的問題。獨立的安全審計系統是滿足云數據庫的安全審計要求的必備系統。

2.2.4 管控敏感數據信息的要求

云數據庫系統中的系統管理員（包括平臺管理員、數據庫管理員）、開發維護人員、使用人員都可能有權限直接存取數據庫資源。其無意或有意地執行高危命令，比如大范圍批量增刪改數據庫數據以及違規批量導出敏感數據，都有可能造成云數據庫的數據損壞或數據泄漏。“堡壘往往最先從內部攻破”，內部人員有意無意中造成地破壞往往更嚴重。

2.2.5 云數據庫生產數據脫敏的需要

通常大量的實際生產數據存儲在云數據庫中用于測試、分析和科學研究。如果使用真實的生產數據，管理人員、系統管理員和開發測試人員將存在不同程度的敏感數據泄漏風險。使用自行編纂的模擬數據，又存在無法再現真實生產環境、無法保證開發測試結果正確性的麻煩。生產數據的脫敏管理是必須要解決的重大問題。

2.2.6 敏感數據存儲、備份和導出的加密要求

云數據庫所有租戶都有獨立的權限。然而特權用戶可以直接訪問數據庫資源存取所有敏感數據，如敏感數據以明文存儲，泄密將不可避免。在權限層面也很難區分特權用戶的日常操作和違規操作。防止存儲、導出和備份過程中敏感數據泄密是數據安全性的重要環節。

3 大數據背景下數據庫安全實現的基石

3.1 通信網絡安全

通信網絡安全是云數據庫安全的根基。網絡構架的安全是云計算的安全的重要環節。安全合理的網絡構架也是云數據庫安全的保證。在大數據環境下，黑客攻擊、病毒入侵等惡意攻擊行為層出不窮。為了保證安全、可靠的網絡通信環境，就需要采取一系列的安全技術手段來解決。這些手段包括訪問控制、網絡隔離、數據加密和入侵檢測。

3.2 云計算安全

云計算安全影響平臺數據安全的各個方面。云計算安全是實現云數據庫安全的關鍵。根據新的網絡安全等級保護標準，云平臺要對敏感數據、安全隱患進行安全審計。云平臺安全就先要保證機房環境和物理設施安全符合等級保護的標準，做好域名和服務集群免遭包括Ddos 攻擊在內的各種網絡攻擊的防護、做好各項加密防護措施、及時修補系統平臺和虛擬機漏洞、做好病毒入侵防護工作。重要防護手段有身份鑒別、訪問控制、入侵防范、鏡像與快照保護、數據恢復和剩余信息保護。

3.3 云存儲安全

數據是IT 最核心和最寶貴的資產。云存儲把數據存放在由第三方托管的虛擬集群中，云平臺根據需要管理數據，通過調用服務API 或用戶界面訪問存儲虛擬化的資源。利用云安全保證云存儲整體安全，通過監測云存儲中大量客戶端在網絡中異常的行為，獲取存儲中病毒和惡意程序的情況，集中匯集到服務端自動進行分析，然后把處理方案分發到使用存儲的用戶，這樣就保證云存儲整體安全，避免出現“火燒連營”的情況。

4 云數據庫安全防護關鍵技術

4.1 防火墻技術

研究表明通過防火墻技術可以解決70%的數據庫安全問題。數據庫防火墻技術是基于數據庫協議分析和控制技術的數據庫安全防護技術，通過屏蔽直接訪問通道和主動防御機制隔離、阻斷、審查數據庫的可疑存取行為和危險操作。通過以下方式應對數據庫安全威脅：

4.1.1 防范漏洞攻擊和阻止數據庫被惡意掃描

使用數據庫防火墻虛擬補丁技術確保數據庫在未打安全補丁的情況也能有效地抵御惡意入侵，也避免數據庫被惡意者獲取更多地信息。

4.1.2 避免數據庫遭受刷庫、脫庫和撞庫等惡意攻擊

數據庫防火墻可以識別和屏蔽黑客的惡意攻擊，避免數據庫庫文件和數據被竊取造成泄露。

4.1.3 抵御SQL 注入攻擊

防火墻經過自適應學習建立SQL 注入特征庫，阻止數據庫SQL 注入，實現對數據庫地有效保護。

4.1.4 數據庫的運行和維護控制

白名單和黑名單機制可防止對數據庫進行惡意操作和誤操作。需要根據實際情況具體選擇白名單或黑名單機制。

數據庫防火墻技術通常部署在數據庫的前端，會引起訪問延遲，造成數據庫性能下降。因此，對于實時性要求很高的云數據庫，建議采用對數據庫性能影響很小的旁路鏡像方式部署防火墻。但是，由于此模式沒有規則阻止和攔截惡意訪問操作，需要其他技術配合以確保云數據庫的安全性。

4.2 系統漏洞管理和病毒防范

網絡安全管理人員需密切關注、及時掌握最新的安全資訊、漏洞補丁和病毒信息，及時進行漏洞修補、病毒查殺，盡可能地防范黑客入侵、病毒侵襲等網絡攻擊。要保持安全意識，將安全問題納入日常工作范疇；認真分析并進行黑客攻擊模式、攻擊手段、攻擊技術的研究，制定相應的應急預案；增強從業者的專業化程度，提高其技能水平和實操能力，掌握網絡安全原則、網絡安全預防措施、數據庫防護手段、軟硬件維護、滲透防護、漏洞修復、補丁更新、基線掃描等；通過定期組織培訓大大提高安全技術人員的技能水平，確保云數據庫安全運行。

4.3 敏感數據加密技術

云數據庫安全防護的核心應集中于敏感核心數據的徹底地、有效地加密和保護。密鑰管理就是敏感數據加密的關鍵。密鑰的安全性直接決定了加密數據的安全性。云平臺及云數據庫建議采用密鑰獨立存儲、重點保護根密鑰、根密鑰使用加密硬件進行保護的方案增加破解的難度。特定的應用系統建議使用獨特的加密方案來實現敏感數據地保護。

4.4 數據脫敏技術

云計算環境系統開發測試有兩種部署模式：

（1）在本地測試環境中完成系統開發測試工作后再部署到云上；

（2）充分靈活運用云計算資源和強大的云部署功能直接在云上進行系統開發測試。

這兩種模式所有或部分真實生產數據都要轉導到開發測試環境中。為了確保流程的規范性和數據的安全性，在保證順利進行開發測試工作的同時，保證敏感數據和用戶的隱私信息不泄漏，轉導的數據必須要進行脫敏處理。

4.5 數據庫安全審計技術

數據庫安全審計技術是在生產環境中對數據庫行為進行細粒度、合規性審核的管理技術，是智能化、主動化實現數據庫安全保護的重要措施。它解析、分析、記錄、匯報人員訪問系統的行為記錄以實現事前備好預案準確預測避免事故發生、事件期間實時監控及時響應入侵違規事件、事后能及時跟蹤追溯并生成事故報告，達到實現內外部全面監控的目標，監督和促進核心資產的正常運轉。運營核心業務的核心數據庫必須嚴格執行安全審計。數據庫審計必須同開發結合起來確保數據庫、業務應用系統符合相關法規、策略的審查管制要求。特權用戶的活動必須嚴格監控，避免出現超脫審計監控的特權用戶的出現。

4.6 數據庫泄露防護技術

數據庫泄露防護技術也稱信息泄漏防護，是運用特定的技術手段，避免敏感數據或重要的信息資產以違反安全法規和安全策略泄露的技術，是信息安全和數據防護一種重要手段。數據庫常見的有使用泄漏、存儲泄漏、傳輸泄漏這三種情況。安全技術人員、DBA和開發測試人員可以通過使用VPN 訪問、堡壘機訪問等方式確保數據庫管理環節避免直接面對公網訪問，降低安全風險；通過加密的專用數據查詢客戶端、數據安全網關轉導數據、數據文件指紋等手段可以保證數據庫數據在傳輸環節不泄密；強大詳盡的日志記錄系統等更是發現問題解決問題的依據。這些方式都加強大大云數據庫的安全防護，盡可能避免泄露事件的發生。

5 結論

大數據時代既有機遇也有挑戰。它給社會發展帶來了新機遇、新模式、新手段的同時，也增加了安全管理的風險。面對日益嚴峻、復雜多變的安全環境，安全管理技術人員需要從制度管理、人員配備、科學技術等全方位、多層面、合理化的改革，才能跟上時代發展的步伐，做好安全工作。本文簡述了云數據庫安全的基本要求，提出了切實可行的云數據庫安全方案，對云數據庫的安全建設起著促進作用，有助于云數據庫安全技術的推廣。