了解華為云最新動態(tài)
隨著大數(shù)據(jù)、云服務(wù)等領(lǐng)域的不斷發(fā)展，數(shù)據(jù)量不斷的擴大，數(shù)據(jù)泄漏涉及的行業(yè)也愈加廣泛，據(jù)統(tǒng)計，全球受數(shù)據(jù)泄露影響最為嚴重的行業(yè)有金融、政府、制造、電商、教育、醫(yī)療等，一旦發(fā)生損失慘重。一個生動的例子就剛剛發(fā)生。據(jù)國外媒體報道，在過去幾周時間，F(xiàn)acebook就卷入了一起“用戶信息泄露”丑聞。受此影響，F(xiàn)acebook市值在上周縮水600多億美元。
別再讓你的數(shù)據(jù)庫裸奔
數(shù)據(jù)存儲的關(guān)鍵位置仍然在數(shù)據(jù)庫中，而現(xiàn)狀則是，大量互聯(lián)互通的企業(yè)環(huán)境中，數(shù)據(jù)庫普遍缺乏有效安全防護。傳統(tǒng)的防護手段通常有規(guī)則庫機制和旁路審計機制兩種，然而不論哪一種都無法完全解決問題。采用規(guī)則庫機制，部署在網(wǎng)絡(luò)邊界，目的在于防止入侵行為，該類組件阻止了外部入侵后可有效的降低數(shù)據(jù)泄漏的風(fēng)險，但不能有效的甚至不能阻止內(nèi)部用戶惡意操作或無意的操作場景，對數(shù)據(jù)的訪問權(quán)限無法做到精準的控制。旁路審計機制，則是通過流量鏡像的方式，實時的對數(shù)據(jù)流進行監(jiān)控審計，從而實現(xiàn)在不影響業(yè)務(wù)的情況下實時檢測和告警，該類方法對于數(shù)據(jù)保護而言只適合做事件溯源分析，不能夠做到數(shù)據(jù)泄漏的實時保護?？傊?，兩種機制都偏重于在單點或者在入侵發(fā)生后進行回溯，而沒有前攝的主動防御機制，能夠提前對敏感數(shù)據(jù)進行保護，從而讓數(shù)據(jù)庫中的重要資產(chǎn)實質(zhì)上處于裸奔的狀態(tài)。
數(shù)據(jù)庫安全服務(wù)（Database Security Service）是一個智能的數(shù)據(jù)庫安全防護服務(wù)，能夠更加全面的解決前文提到的敏感數(shù)據(jù)泄露的問題。該產(chǎn)品基于反向代理機制，提供敏感數(shù)據(jù)發(fā)現(xiàn)、數(shù)據(jù)脫敏、數(shù)據(jù)庫審計和防注入攻擊等功能，真正實現(xiàn)從事前、事中到事后的全生命周期防護，保障云上數(shù)據(jù)庫的安全。
華為云數(shù)據(jù)庫安全服務(wù)（Database Security Service，簡稱DBSS），經(jīng)過華為內(nèi)部大規(guī)模實踐和廣泛邀請各行業(yè)企業(yè)試用后，已經(jīng)于3月25日正式商用。下面將詳細展開講解，如何通過三步設(shè)計，構(gòu)筑云上的數(shù)據(jù)庫安全。
第一步：事前，敏感數(shù)據(jù)早發(fā)現(xiàn)
當涉及到數(shù)據(jù)庫安全時，首先需要定位敏感數(shù)據(jù)在數(shù)據(jù)庫中所處的位置，定位成功后，才能夠通過構(gòu)建安全策略來提早防護。通過內(nèi)置合規(guī)庫，華為云數(shù)據(jù)庫安全服務(wù)可以按SOX，HIPAA，PCI DSS等法規(guī)進行合規(guī)分析，通過正則表達式來添加特定的自定義敏感信息，按日期（每天一次、每周一次或每月一次）或模式更改進行計劃掃描。對于密級較高的數(shù)據(jù)，也可以采用密鑰管理服務(wù)（Key Management Service）來進行加密。
由于數(shù)據(jù)庫業(yè)務(wù)錯綜復(fù)雜，通過敏感數(shù)據(jù)的自學(xué)習(xí)，數(shù)據(jù)庫防火墻會自動生成安全策略規(guī)則，用戶可以接受或拒絕該規(guī)則。學(xué)習(xí)模式大大降低了執(zhí)行數(shù)據(jù)庫安全策略的復(fù)雜度和運維人員的工作量。
第二步：事中，實時防御惡意攻擊，動態(tài)脫敏正常訪問
未授權(quán)的訪問和SQL注入，是竊取數(shù)據(jù)庫敏感信息的主要手段，如何能夠及時阻斷非法的訪問行為是首要考慮的問題。除了已有的數(shù)據(jù)庫訪問控制手段，包括限制用戶和角色的查看權(quán)限、限制修改等操作，數(shù)據(jù)庫防火墻還通過定義基于多維度的策略（如源IP地址，數(shù)據(jù)庫用戶名，應(yīng)用名稱，計劃，表，動作，日志記錄，優(yōu)先級等），阻止應(yīng)用直接訪問數(shù)據(jù)、利用操作系統(tǒng)和第三方應(yīng)用程序漏洞的攻擊。通過反向代理，系統(tǒng)會過濾進出數(shù)據(jù)庫的所有流量，搜索查詢中出現(xiàn)的異常字符及可疑字符串，如果風(fēng)險高于預(yù)設(shè)閥值，則會自動阻止并斷開該查詢。
還有一種場景，為供應(yīng)商/開發(fā)商需要訪問數(shù)據(jù)庫中敏感數(shù)據(jù)，比如醫(yī)院相關(guān)系統(tǒng)的IT外包單位需要調(diào)測系統(tǒng)。動態(tài)脫敏技術(shù)，允許開發(fā)人員、測試人員和管理員訪問生產(chǎn)和非生產(chǎn)性數(shù)據(jù)庫，但確保數(shù)據(jù)庫用戶敏感信息不被泄露。相比傳統(tǒng)方式，采用第二個數(shù)據(jù)源帶來的資源浪費，動態(tài)數(shù)據(jù)脫敏可以在已有數(shù)據(jù)庫在運行過程中動態(tài)、實時執(zhí)行。不僅如此，華為云動態(tài)數(shù)據(jù)脫敏，可以做到基于請求的脫敏，即從應(yīng)用接收到查詢，將查詢重寫為脫敏操作，然后將查詢實時發(fā)送到數(shù)據(jù)庫。也就說，數(shù)據(jù)不但對查詢方成立，數(shù)據(jù)庫安全服務(wù)本身也可以在不觸碰用戶數(shù)據(jù)的情況下完成脫敏操作。
第三步，事后，多維審計滿足合規(guī)
一旦入侵行為發(fā)生，除了采取必要措施進行封堵，就是回溯和確認攻擊源頭，還原惡意行為的蛛絲馬跡。數(shù)據(jù)庫安全審計功能，可以針對普通用戶、管理員賬戶的所有活動情況進行審計，并可以生成合規(guī)性報告，展示諸如超過N天未更改密碼的數(shù)據(jù)庫用戶、超過N天未訪問數(shù)據(jù)庫的用戶、最近的管理員操作及用戶權(quán)限被修改等諸多內(nèi)容。通過記錄流量、入侵、異常監(jiān)控、數(shù)據(jù)脫敏、遠程工作等日志，鎖定異常操作到人，對特定事件實時告警，對TOP活動進行可視化呈現(xiàn)，滿足ISO27001、信息安全等級保護測評等合規(guī)場景下對數(shù)據(jù)庫主機審計的要求。
通過三步走的數(shù)據(jù)庫安全防護設(shè)計，相信您的數(shù)據(jù)庫系統(tǒng)從此固若金湯，從此告別被動響應(yīng)的救火隊員角色，為您的云上數(shù)據(jù)資產(chǎn)加把鎖。
如需了解關(guān)于華為云數(shù)據(jù)庫安全服務(wù)的更多信息，歡迎閱讀原文。