伟创软件：办公软件专家

云数据库的安全建议

     随着云技术的发展，为了满足客户业务需求。一部分关键软件开始以各种形式向云计算进行迁移。其中数据库作为企业IT系统最重要的核心组件也会迁移到云上，数据库被迁移到云上后，客户体验不会有太多改变，同时又可以获得理论上近乎无限的存储和处理能力。在使用方式上，云数据库不同于传统数据库，云数据库通常采用多租户模式，即多个租户共用一个实例，租户的数据既有隔离又有共享，从而解决数据存储的问题，同时也降低了用户使用数据库的成本。

     企业的数据从管理和存储的角度可以分成两类：结构化数据和非结构化数据。其中关键数据多属于结构化数据例如：ERP数据、CRM数据、OA数据、HR数据等。因此要想让企业把业务完全向云迁移，云数据库中一定要包含关系型数据库。

     把关系型数据库从局域网或互联网中迁移到云上除去数据库自身的一些技术难题，数据库在云环境下将会面临更多挑战，最让人担心的则是迁移后带来的安全性隐患。

     对于云上数据库的安全技术安华金和数据库安全专家认为主要可以从以下四个方向考虑：

     1.数据库访问控制

     访问控制措施是云环境下对数据进行保护的最关键方式，它是维护系统安全、保护数据的重要手段。在数据库领域对于数据的访问控制主要需要考虑以下两类用户：

     (1)普通用户权限控制(也就是租用云上数据库的用户)：根据客户不同的业务需求，把数据库划分为不同的区域，不同的区域租户的访问赋予不同权限。根据权限的设置控制用户和用户组可以访问哪些数据，为了便于管理可以把用户分组，在组中对用户进行合理授权。例如分为开发组、测试组、运维组等等。

     (2)管理员用户权限控制(云服务的工作人员)：对数据库管理员的数据访问权限控制，数据库管理员的主要职责是负责数据库系统的正常运行，而并非需要有权限查看或者修改所有数据。因此需要限制数据库管理员对企业核心敏感数据的访问。对于某些无法规避掉的访问也要进行关键字段的脱敏处理，防止客户的信息被云服务厂商内部人员盗取。

     具体来说数据库系统安全访问控制技术主要分为三类：自主访问控制DAC (DiscretionaryAccess Control)、强制访问控制MAC (Mandatory Access Control)和基于角色的访问控制 RBAC (Role-Based Access Control)。结合以上两种用户的分类，建议采用基于角色的访问控制技术。把角色定义为一组用户和一组权限的集合，每个用户可以被授予多个角色。根据用户提交的需求云服务商随时改变用户所属的角色，角色被激活后该用户就具备了这个角色所包含的所有权限。采用角色访问控制技术可以简化对权限的管理难度，并且在激活用户当前所属角色的过程中可以避免用户拥有过量的权限，防止用户有意或无意的越权操作对其他用户或这个数据库造成安全威胁。

     2.数据库加密技术

     数据库在云环境下同样存在安全风险，如果黑客通过一定的途径将数据库文件复制后，在其它环境对数据库进行恢复，从而获取整个数据库的数据，这会对组织造成难以估算的损失。因此，非常有必要对数据库中的核心数据进行加密，目前针对数据库系统的加密技术，基于三个不同的层次来实现，这三个层次分别是磁盘层、DBMS外层和DBMS内核层。

     磁盘层数据加密：这种数据加密方式是一种防止盗取磁盘，破解磁盘获取敏感数据的有效解决方案，但对云并不合适。云数据安全问题多出现于应用层和网络层。这种方案磁盘虽然加密了，但操作系统、数据库、应用层等依旧是明文形式。操作系统、数据库、应用层等被入侵可能数据会以明文形式被盗取。同时这种整盘加密的方式也会严重损耗性能，据某采用该种方式的云服务厂商说此加密会降低大约20%的效率。

     DBMS外层数据加密：这种加密方式是将数据加/解密系统做成客户端到数据库之间的代理。客户端把原语句发送到客户端加密器，加密器进行加密后发送到服务器端的解密器，解密后传送给数据库。这种加密方式主要是针对网络中通讯信息的加密，其实对数据库内存储的敏感信息没有防护作用。如果黑客是针对网络数据流进行拦截，则可以有效防护，但对于数据库中的数据无法起到有效防护作用，一般多是和磁盘层数据库加密方式一起使用。由于加解密并不在数据库端进行，所以这种方式不会加重数据库服务器的负载并可直接实现网上传输加密，缺点是加密功能会受一些限制。

     DBMS内核层数据加密：这种加密方式由数据库服务器引擎实现对数据的加密和解密工作，目前大多数主流的数据库系统都具备了这种数据加密的功能。应用程序可以使用相同旳语法向应用程序表中插入数据，数据库内核在向磁盘写入信息之前会自动加密数据。随后的查询操作会以透明方式解密数据，因此应用程序仍可以正常工作。可见，这种加密方式具有加密功能强、无需修改程序的优点，但加重了数据库服务器的负载，因此建议用户仅加密敏感的数据列而不是所有数据，比如信用卡号、身份证号码等。这种加密方式可以从根本上杜绝敏感数据外泄。