數(shù)據(jù)庫(kù)是所有信息系統(tǒng)的核心，數(shù)據(jù)庫(kù)的安全通常是指其中所存數(shù)據(jù)的安全，是網(wǎng)絡(luò)安全、信息安全的重要組成部分。目前有很多相關(guān)性產(chǎn)品，如數(shù)據(jù)庫(kù)加密、數(shù)據(jù)庫(kù)防火墻、數(shù)據(jù)庫(kù)脫敏、數(shù)據(jù)庫(kù)審計(jì)等。

一、數(shù)據(jù)庫(kù)防火墻

數(shù)據(jù)庫(kù)防火墻系統(tǒng)：一種基于網(wǎng)絡(luò)和數(shù)據(jù)庫(kù)協(xié)議分析與控制技術(shù)的數(shù)據(jù)庫(kù)安全防護(hù)系統(tǒng)，基于主動(dòng)防御機(jī)制，實(shí)現(xiàn)對(duì)數(shù)據(jù)庫(kù)的訪問(wèn)行為權(quán)限控制、惡意及危險(xiǎn)操作阻斷、可疑行為審計(jì)。通過(guò)對(duì)SQL協(xié)議分析，根據(jù)預(yù)定義的黑、白名單策略決定讓合法的SQL操作通過(guò)執(zhí)行，讓可疑的非法違規(guī)操作禁止，從而形成一個(gè)數(shù)據(jù)庫(kù)的外圍防御圈，對(duì)SQL危險(xiǎn)操作的主動(dòng)預(yù)防和實(shí)時(shí)審計(jì)。

其部署方式分為串聯(lián)部署與并聯(lián)部署。

1. 串聯(lián)部署

串聯(lián)部署在應(yīng)用系統(tǒng)與數(shù)據(jù)庫(kù)之間是數(shù)據(jù)庫(kù)防火墻發(fā)揮最大作用的常見部署方式。所有SQL語(yǔ)句必須經(jīng)過(guò)數(shù)據(jù)庫(kù)防火墻的審核后才能到達(dá)數(shù)據(jù)庫(kù)，可實(shí)現(xiàn)對(duì)外部人員的攻擊和防止內(nèi)部人員的違規(guī)誤操作，但這樣就在應(yīng)用系統(tǒng)與數(shù)據(jù)庫(kù)之間增加了一個(gè)“結(jié)點(diǎn)”，且改變了原有的網(wǎng)絡(luò)結(jié)構(gòu)。

2. 旁路部署

數(shù)據(jù)庫(kù)防火墻的另一種部署方式為旁路接入，雖然此種部署方式看似通過(guò)旁路部署，沒有在應(yīng)用鏈路上增加新的設(shè)備結(jié)點(diǎn)，但在實(shí)際應(yīng)用中，面對(duì)連續(xù)、高可用環(huán)境，旁路分析勢(shì)必出現(xiàn)延遲，當(dāng)數(shù)據(jù)庫(kù)防火墻檢測(cè)到風(fēng)險(xiǎn)操作時(shí)，數(shù)據(jù)庫(kù)的操作早已執(zhí)行完成，而此時(shí)被阻斷的很可能是其他不該被阻斷的正常操作。

因此，要想真正發(fā)揮其防護(hù)效果，數(shù)據(jù)庫(kù)防火墻必須串聯(lián)在數(shù)據(jù)庫(kù)的前端。但這樣就出現(xiàn)了潛在的風(fēng)險(xiǎn)發(fā)生。

點(diǎn)評(píng)：

1. 串聯(lián)部署是數(shù)據(jù)庫(kù)防火墻發(fā)揮防護(hù)作用的必要前提，但這樣就在應(yīng)用系統(tǒng)與數(shù)據(jù)庫(kù)之間增加了一個(gè)“結(jié)點(diǎn)”，如果把數(shù)據(jù)庫(kù)看作整個(gè)IT架構(gòu)中的“心臟”，那么我們往往會(huì)更擔(dān)心的是這個(gè)“結(jié)點(diǎn)”會(huì)不會(huì)出現(xiàn)故障，如果一旦出現(xiàn)血液流通不暢，突發(fā)阻塞，那么會(huì)影響整個(gè)系統(tǒng)循環(huán)。

2. 由于數(shù)據(jù)庫(kù)在企業(yè)中承載著關(guān)鍵核心業(yè)務(wù)，其重要性不言而喻，企業(yè)會(huì)采用大量的技術(shù)來(lái)保證數(shù)據(jù)庫(kù)的高可用性、連續(xù)性，典型的有RAC、F5負(fù)載均衡、高可用網(wǎng)絡(luò)等;當(dāng)在這樣的一個(gè)環(huán)境中串聯(lián)一個(gè)新的節(jié)點(diǎn)時(shí)，對(duì)該節(jié)點(diǎn)的可靠性、穩(wěn)定性及性能要求甚至比數(shù)據(jù)庫(kù)本身的要求還要高。

3. 連續(xù)性、高可用的環(huán)境下，實(shí)施防護(hù)墻串聯(lián)部署，勢(shì)必是在為風(fēng)險(xiǎn)挖坑，面臨的挑戰(zhàn)不小。數(shù)據(jù)庫(kù)防火墻現(xiàn)階段技術(shù)還不成熟，復(fù)雜的環(huán)境下更應(yīng)該慎重選用，串聯(lián)部署的劣勢(shì)，一旦出現(xiàn)故障，整個(gè)業(yè)務(wù)系統(tǒng)隨之癱瘓，正常業(yè)務(wù)被阻斷，數(shù)據(jù)面臨丟失、損壞等風(fēng)險(xiǎn)，對(duì)數(shù)據(jù)庫(kù)產(chǎn)生巨大的影響，往往很多廠商卻避而不談，不愿提及，但內(nèi)行人一想便知。

二、數(shù)據(jù)庫(kù)加密

數(shù)據(jù)庫(kù)加密系統(tǒng)(又稱安全存儲(chǔ)網(wǎng)關(guān))：指將存儲(chǔ)于數(shù)據(jù)庫(kù)中的數(shù)據(jù)，尤其是敏感數(shù)據(jù)，以加密的方式進(jìn)行存儲(chǔ)。是一款基于透明加密技術(shù)的數(shù)據(jù)庫(kù)防泄漏系統(tǒng)，能夠?qū)崿F(xiàn)對(duì)數(shù)據(jù)庫(kù)中的敏感數(shù)據(jù)加密存儲(chǔ)、訪問(wèn)控制增強(qiáng)、應(yīng)用訪問(wèn)安全、安全審計(jì)等功能。

常見部署方式為直接串聯(lián)在數(shù)據(jù)庫(kù)服務(wù)器系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)中，通過(guò)基礎(chǔ)核心部件，完成數(shù)據(jù)加解密、權(quán)限校驗(yàn)、密鑰管理和安全策略存儲(chǔ)。還需要通過(guò)代理，即在數(shù)據(jù)庫(kù)服務(wù)器中安裝插件，以實(shí)現(xiàn)對(duì)DBMS中加密數(shù)據(jù)的透明展現(xiàn)和高性能訪問(wèn)，從而實(shí)現(xiàn)對(duì)敏感字段加密、密文索引、增強(qiáng)訪問(wèn)控制、審計(jì)等認(rèn)證。

點(diǎn)評(píng)：

數(shù)據(jù)庫(kù)加密系統(tǒng)應(yīng)該以保護(hù)數(shù)據(jù)安全為基礎(chǔ)，盡可能的提高工作效率，在工作效率和安全可行性之間取得一個(gè)衡量標(biāo)準(zhǔn)。所以數(shù)據(jù)庫(kù)加密系統(tǒng)應(yīng)該考慮如下問(wèn)題：

1. 部署方式

數(shù)據(jù)庫(kù)加密系統(tǒng)采用串聯(lián)方式連接在數(shù)據(jù)庫(kù)服務(wù)器系統(tǒng)中，在原有網(wǎng)絡(luò)結(jié)構(gòu)中增加了一個(gè)新的“節(jié)點(diǎn)”，一旦這個(gè)“節(jié)點(diǎn)”出現(xiàn)問(wèn)題，會(huì)導(dǎo)致正常訪問(wèn)數(shù)據(jù)庫(kù)的業(yè)務(wù)中斷，特別是在高速網(wǎng)絡(luò)下數(shù)據(jù)遷移和容災(zāi)的過(guò)程中，如果出現(xiàn)業(yè)務(wù)中斷，會(huì)對(duì)數(shù)據(jù)庫(kù)產(chǎn)生不可預(yù)估的風(fēng)險(xiǎn);除此之外，還需要在數(shù)據(jù)庫(kù)服務(wù)器中安裝插件的方式來(lái)形成代理，以實(shí)現(xiàn)對(duì)數(shù)據(jù)的加解密存儲(chǔ)等過(guò)程。第三方插件不但影響數(shù)據(jù)庫(kù)的性能，還會(huì)產(chǎn)生一定的風(fēng)險(xiǎn)，一旦出現(xiàn)問(wèn)題，也會(huì)對(duì)數(shù)據(jù)庫(kù)產(chǎn)生不可估量的影響。

2. 數(shù)據(jù)庫(kù)性能

數(shù)據(jù)庫(kù)加密系統(tǒng)在實(shí)現(xiàn)對(duì)數(shù)據(jù)的加密、解密過(guò)程中都要犧牲一部分?jǐn)?shù)據(jù)庫(kù)性能，本地?cái)?shù)據(jù)庫(kù)對(duì)象加密對(duì)數(shù)據(jù)庫(kù)性能的影響可達(dá)15%~20%，取得數(shù)據(jù)安全的背后卻是以犧牲數(shù)據(jù)庫(kù)性能為代價(jià)的。所以，用戶在選擇采用該產(chǎn)品前，應(yīng)該結(jié)合自身環(huán)境狀況和對(duì)性能的要求做好權(quán)衡。

3. 復(fù)雜程度

加密系統(tǒng)都很復(fù)雜，必須考慮加密引擎在哪，它如何加密數(shù)據(jù)以及加密哪些數(shù)據(jù)，哪些數(shù)據(jù)不需要加密，怎樣提供密鑰等。對(duì)數(shù)據(jù)庫(kù)管理員來(lái)說(shuō)，都是一種技術(shù)上的考驗(yàn)，需要認(rèn)識(shí)到這種復(fù)雜程度并保證自己完全理解加密系統(tǒng)如何工作，特別是在要證實(shí)加密能夠正確地滿足合規(guī)要求時(shí)，這尤為重要。

4. 密鑰管理

數(shù)據(jù)庫(kù)客體之間隱含著復(fù)雜的邏輯關(guān)系，一個(gè)邏輯結(jié)構(gòu)可能對(duì)應(yīng)著多個(gè)數(shù)據(jù)庫(kù)物理客體，所以數(shù)據(jù)庫(kù)加密不僅密鑰量大，而且組織和存儲(chǔ)工作比較復(fù)雜。這就需要一個(gè)密鑰管理系統(tǒng)來(lái)保護(hù)密鑰，管理員不能將密鑰存儲(chǔ)到數(shù)據(jù)庫(kù)中，也不能將密鑰存放到磁盤上。因此，對(duì)于密匙的管理也是一個(gè)值得思考的難題。

除此之外，還需要考慮數(shù)據(jù)庫(kù)加密技術(shù)是否成熟，以及加密是否能代替訪問(wèn)控制，和數(shù)據(jù)庫(kù)中動(dòng)態(tài)加密和靜態(tài)加密的區(qū)分等等諸多因素的限制問(wèn)題。

三、數(shù)據(jù)庫(kù)脫敏

數(shù)據(jù)庫(kù)脫敏：指對(duì)數(shù)據(jù)庫(kù)中的敏感數(shù)據(jù)進(jìn)行在線屏蔽、變形、字符替換、隨機(jī)替換等處理方式，達(dá)到對(duì)用戶訪問(wèn)敏感數(shù)據(jù)真實(shí)內(nèi)容的權(quán)限控制，對(duì)于存儲(chǔ)在數(shù)據(jù)庫(kù)中的敏感數(shù)據(jù)，通過(guò)脫敏方式，不同權(quán)限的用戶將會(huì)看到不同的展現(xiàn)結(jié)果，從而實(shí)現(xiàn)對(duì)敏感隱私數(shù)據(jù)的保護(hù)。

其采用的部署方式有旁路部署、串聯(lián)部署、以及直接以插件的形式安裝在數(shù)據(jù)庫(kù)服務(wù)器系統(tǒng)當(dāng)中。

點(diǎn)評(píng)：

數(shù)據(jù)庫(kù)脫敏又稱數(shù)據(jù)漂白或數(shù)據(jù)變形，其關(guān)鍵點(diǎn)為：敏感數(shù)據(jù)、脫敏規(guī)則、應(yīng)用場(chǎng)景。

而根據(jù)應(yīng)用場(chǎng)景，又將數(shù)據(jù)脫敏分為靜態(tài)脫敏和動(dòng)態(tài)脫敏，其主要區(qū)別在于是否在使用敏感數(shù)據(jù)時(shí)實(shí)時(shí)進(jìn)行脫敏。

數(shù)據(jù)庫(kù)脫敏系統(tǒng)在實(shí)際應(yīng)用環(huán)境當(dāng)中應(yīng)當(dāng)考慮其存在的一些問(wèn)題，否則將給生產(chǎn)環(huán)境及數(shù)據(jù)庫(kù)帶來(lái)嚴(yán)重的影響。其主要表現(xiàn)在一下幾個(gè)方面：

1. 從部署方式來(lái)看，串聯(lián)接入到數(shù)據(jù)庫(kù)服務(wù)器的前端和以插件的方式安裝于數(shù)據(jù)庫(kù)服務(wù)器當(dāng)中，是數(shù)據(jù)庫(kù)脫敏系統(tǒng)發(fā)揮自身作用的最大前提。串聯(lián)接入方式和以插件的方式安裝在服務(wù)器系統(tǒng)當(dāng)中，都改變了數(shù)據(jù)庫(kù)服務(wù)器所處的網(wǎng)絡(luò)環(huán)境，參與了數(shù)據(jù)交互的過(guò)程，一旦串聯(lián)“節(jié)點(diǎn)”或者插件出現(xiàn)故障，都會(huì)對(duì)數(shù)據(jù)庫(kù)產(chǎn)生未知的影響，輕者業(yè)務(wù)中斷，重者數(shù)據(jù)丟失、損壞。其問(wèn)題嚴(yán)重性顯而易見，這是內(nèi)行人都明白的問(wèn)題。

2. 從脫敏規(guī)則來(lái)看，數(shù)據(jù)脫敏分為：可恢復(fù)和不可恢復(fù)兩類?？苫謴?fù)類，指脫敏后的數(shù)據(jù)可以通過(guò)一定的方式，可以恢復(fù)成原來(lái)的敏感數(shù)據(jù)，此類脫敏規(guī)則主要指各類加解密算法規(guī)則;不可恢復(fù)類，指脫敏后的數(shù)據(jù)被脫敏的部分使用任何方式都不能恢復(fù)出。

這就與數(shù)據(jù)庫(kù)加密方式有相似之處，其數(shù)據(jù)的脫敏也很復(fù)雜，這就需要據(jù)庫(kù)管理員很熟練的掌握脫敏規(guī)則，哪些數(shù)據(jù)通過(guò)脫敏規(guī)則后可恢復(fù)，哪些數(shù)據(jù)脫敏后不可恢復(fù)，這都是十分重要的過(guò)程，數(shù)據(jù)一旦通過(guò)脫敏變形后，再還原，其技術(shù)難度還是很考驗(yàn)人的。特別是在大型數(shù)據(jù)生產(chǎn)環(huán)境當(dāng)中更需要注意脫敏規(guī)則，一旦忽視后果可想而知。

3. 從性能方面來(lái)看，數(shù)據(jù)庫(kù)脫敏系統(tǒng)與數(shù)據(jù)庫(kù)加密系統(tǒng)類似，從數(shù)據(jù)脫敏到數(shù)據(jù)的恢復(fù)，都是以犧牲系統(tǒng)性能為代價(jià)的。一旦脫敏規(guī)則制定不好，系統(tǒng)性能會(huì)受到很大影響，系統(tǒng)性能降低，那么整個(gè)數(shù)據(jù)庫(kù)業(yè)務(wù)系統(tǒng)也會(huì)隨之受到影響，在數(shù)據(jù)連續(xù)性、高可用的環(huán)境下，可能會(huì)導(dǎo)致數(shù)據(jù)的丟失或者業(yè)務(wù)中斷，影響整個(gè)生產(chǎn)過(guò)程。

相信大家對(duì)數(shù)據(jù)庫(kù)防火墻、數(shù)據(jù)庫(kù)加密、數(shù)據(jù)庫(kù)脫敏已經(jīng)有了一定了解，也有了自己的判斷。最后補(bǔ)充一下：數(shù)據(jù)庫(kù)防火墻、數(shù)據(jù)庫(kù)加密、數(shù)據(jù)庫(kù)脫敏這些產(chǎn)品的解決方案大多尚在試驗(yàn)階段，技術(shù)上還不成熟，在要求業(yè)務(wù)連續(xù)、高可用環(huán)境中需慎重選擇。