数据存储加密场景：四沉风险需审慎 数据库加密更安心

颁布功夫 2023-04-18

本篇是《数据安整个系【数据绿洲】建设指南》系列文章第五期， ，，，，， ，，将介绍数据存储加密场景的四沉安全风险， ，，，，， ，，并给出卓有成效的落地解决规划。。。 。。。


随着当部门门、金融机构、企事业单元、贸易组织等对沉要数据库业务系统和数据库利用系统依赖水平的日益加强， ，，，，， ，，数据库安全及数据安全问题受到普遍关注。。。 。。。


由于信息化建设、业务增长、系统上云等成分， ，，，，， ，，各系统中的数据库服务器不休增长， ，，，，， ，，对数据库的治理方式和通路也日趋复杂多样。。。 。。。在如此繁芜的情况下， ，，，，， ，，引发了滥用特权账号、滥用合法权限、身份验证不规范、备份数据露出、审计纪录不及等安全问题， ，，，，， ，，并加大了IT内控审计的难度。。。 。。。


数据库系统负担着存储和治理信息的工作， ，，，，， ，，集中存放着大量的敏感数据， ，，，，， ，，并且又为多多用户直接共享。。。 。。。泄漏或者粉碎这些信息极度容易， ，，，，， ，，而一旦这些信息被泄漏或者粉碎将会造成信息系统瘫痪， ，，，，， ，，给企业带来巨大的损失， ，，，，， ，，甚至危及国度安全， ，，，，， ，，所以必须采取适当的措施进行数据库内数据的防护。。。 。。。


数据存储加密场景安全风险


当前数据库数据存储面对的安全风险重要阐发为以下几个方面：


1、内部接见风险


70%的数据库威胁来自内部， ，，，，， ，，如DBA、数据库开发、运维等人员出现权限滥用、误操作、弱口令等问题。。。 。。。相对于表部入侵， ，，，，， ，，内部威胁更难进行有效的治理、纪录和预警。。。 。。。


2、表部接见风险


30%的数据库威胁来自表部， ，，，，， ，，如互联网接见者、表包人员通过互联网蹊径接见时出现越权操作、恶意接见、账号密码泄露等问题。。。 。。。其中， ，，，，， ，，数据库入侵是防备难度最大、风险系数最高的表部威胁之一， ，，，，， ，，诸如SQL注入、零日攻击等入侵方式给数据库数据存储安全治理带来了很大的挑战。。。 。。。


3、传统安全防护伎俩局限


面对层出不穷的未知安全缝隙和高级入侵伎俩， ，，，，， ，，传统技术伎俩组成的网络安全防御系统逐步成为陈设。。。 。。。面对内部接见威胁， ，，，，， ，，传统技术伎俩也无法有效节造或治理、告警。。。 。。。


4、数据存储合规要求


目前国内及国际的尺度、司法律规都要求有关组织单元建设安全的数据库加密系统， ，，，，， ，，这其中蕴含《网络安全法》《网络安全等级保�；；；；ぁ贰锻绨踩旨侗；；；；；ぁ贰豆ひ岛托畔⒒抗赜诮诓棵呕チ拘畔⑿孤┦挛竦墓妗返�。。。 。。。


数据存储加密场景解决规划


对敏感数据进行加密是数据安全防护的主题伎俩， ，，，，， ，，数据库加密产品也是数据库安全领域利用最为宽泛、接受度最高的产品之一。。。 。。。


8827太阳集团数据库加密系统选取基于视图和触发器的后置代理技术， ，，，，， ，，其主题思想是充分利用数据库自身提供的扩大机造来实现数据加密和对利用的齐全通明。。。 。。。通过视图实现加密数据通明查问， ，，，，， ，，通过触发器实现数据的加密插入、删除和更新处置。。。 。。。系统框架及职能如下：


8827太阳集团(Macau)股份有限公司-Official website


1、数据源治理


数据源治理重要用于对数据源的配置和表的导入， ，，，，， ，，蕴含增长数据源、删除数据源、批改数据源、测试衔接、装置安全代理、卸载安全代理、导入表、删除表和同步用户职能。。。 。。。


2、加解密

加密职能可勾选表中必要加密的列， ，，，，， ，，选择加密算法、秘钥长度和加密方式对数据进行加密， ，，，，， ，，没有权限的用户无法对加密的数据进行增删改查。。。 。。。解密职能能够对不必要加密的数据进行解密。。。 。。。


3、授权治理

可针对加密的数据进行权限节造， ，，，，， ，，限度部门用户的增删改查操作， ，，，，， ，，对接见的客户端的法式、IP、功夫、星期进行限度。。。 。。。


4、备份和复原

备份职能能够选择手动导出和配置自动本地导出、自动FTP导出等方式将关键数据和配相信息进行打包导出， ，，，，， ，，作为备份， ，，，，， ，，导出信息栏中会增长备份文件的描述、导出功夫、导出类型和文件。。。 。。。


5、审计治理

审计职能纪录各用户进行登入、登出、加密、解密、客户端授权、用户授权操作的具体信息， ，，，，， ，，能够使用用户名称、操作类型、起止功夫对审计日志进行筛选。。。 。。。


6、高可用配置

将两台服务器配置为主从关系， ，，，，， ，，并配置虚构IP。。。 。。。数据共同存储， ，，，，， ，，使主从机和虚构IP中的信息同步， ，，，，， ，，当一台加密设备宕机时， ，，，，， ，，另一台设备仍能正常使用和持续操作。。。 。。。


7、密钥轮换配置

配置一个秘钥轮换周期， ，，，，， ，，当秘钥未被操作功夫达到周期长度时， ，，，，， ，，秘钥会自动更换， ，，，，， ，，秘钥更换会对加密表沉新进行加解密。。。 。。。


数据存储安满是数据安全中最基础及沉要的组成部门， ，，，，， ，，数据库加密通过对数据库中的敏感数据进行密文存储， ，，，，， ，，可实现对主题数据的机密性和齐全性保�；；；；ぃ� ，，，，， ，，有效预防治理员权限泄漏、数据存储介质失窃/失落、数据库被拖库等安全威胁而造成的数据泄密， ，，，，， ，，从而推动数据安全及数据加密战术的有效落地。。。 。。。