一、项目背景

在现阶段，云平台已经成为流行的IT系统解决方案，相比于传统计算环境，它的可扩展、可伸缩、开放性、虚拟化的特性，极大的减小了IT建设和管理的难度。其面向客户、以租代购的方式极大的减少了投入成本。但是在云平台中，应用系统和支撑其运转的数据库都部署在云端，传统的数据安全方案变得复杂甚至费力不讨好，给云端的数据安全的防护带来了更大的挑战。

随着政务云平台的迅速发展，系统规模和租户不断增加，网络规模迅速扩大，数据安全逐渐成为重中之重。平台中核心数据资产主要包括平台自身数据、租户数据两部分，这些数据基本都存储在平台数据库系统中，供各个应用系统、用户调用。在云平台中，数据库作为平台核心和基础，承载着越来越多的关键业务系统和租户的敏感数据，逐渐成为最具有战略性的资产，数据库的安全稳定运行也直接决定着平台自身、租户的系统能否正常、安全使用。

如果未形成有效地数据库安全管控措施，一旦发生数据泄露，既会对云平台和租户带来形象和信誉的影响，造成不良社会影响，也会对用户造成不必要的经济损失。具体风险来源于两部分：

1、从外部分析，云平台是面向互联网、租户开展的，虽然内部部署了一些平台层面的安全防护系统，从通信链路到应用层起到了一定的保护，但是这些设备很难抵御诸如SQL越权、SQL注入、webshell等黑客集团的攻击。一旦数据库被侵入，系统的核心机密将会对外敞开，对平台自身和租户数据安全造成致命的威胁。 

2、从内部分析，对平台应用管理及运维人员、租户维护人员的权限管理及控制。主要有以下威胁：

1）权限管理不合理，内部应用管理及运维人员的权限过大，可以直接越权查看、操作敏感数据；

2）审计措施不力，欠缺对数据库操作的有效记录、审计和监督手段，无法对数据库违规访问进行报警和记录，做到事后追溯，有据可依；

3）缺乏加密措施，对于敏感数据依然采用明文存储，并未进行加密，在数据的产生、使用、传输、保存、备份、销毁的整个生命周期内，任何接触到存储介质的攻击者，都有可能获取到数据；

4）缺乏数据脱敏措施，无法防止业务员过度使用权限导出敏感数据及运维人员导出、拍照传递真实数据造成的敏感数据泄露和开发、测试、培训区使用明文数据造成的泄露风险。

数据库风险分析

同时，在国家法律和行业标准层面，都对数据安全进行了相应的规定，如《国家网络安全法》、《等保》、《分保》等，都对云数据安全管理有明确的要求。

加强数据信息安全保护，既是云平台自身发展的客观要求，也是为了满足国家、行业监管的需要。

1.1 总体设计

按照可视、可控和合规这样一个基本思路，设计了一个针对数据安全管理的完整解决方案：数据活动的全面审计+数据库防火墙+敏感数据加密+数据脱敏。如下图所示：

1.2 数据活动的全面审计

数据库审计系统可实现数据活动的全面审计，对运维、管理及研发人员对数据的访问和活动情况进行全方位的监控和记录，便于事后审计和追查，同时及时发现数据的异常活动情况和风险，产生报警，最后通过输出可视化的报表，便于分析。

1.3 细粒度访问控制

数据库防火墙通过实时分析用户对数据库的访问行为，自动建立合法访问数据库的特征模型。同时，通过独立的授权管理机制和虚拟补丁等防护手段，及时发现和阻断SQL注入攻击和违反规范的数据库访问请求。

1.4 敏感数据加密

敏感数据加密产品基于加密算法和合理的密钥管理，有选择性地加密敏感字段内容，保护数据库内部敏感数据的安全。敏感数据以密文的形式存储，能保证即使在存储介质被窃取或数据文件被非法复制的情况下，敏感数据仍是安全的。并通过密码技术实现三权分立，避免DBA密码泄漏带来的批量数据泄漏风险。本加密系统具有卓越的安全性和处理能力，并能在不修改原有应用程序的情况下透明的接入系统中。

2.5 数据脱敏

中安威士数据脱敏系统通过截获并修改数据库通讯内容，对数据库中的敏感数据进行在线的屏蔽、变形、字符替换、随机替换等处理，达到对用户访问敏感数据真实内容的权限控制。对于存储于数据库中的敏感数据，通过脱敏系统，不同权限的用户将会得到不同结果展现。系统具有性能卓越、配置灵活、使用简单、运行稳定等优势。能减少生产库中敏感数据泄露的风险，减少开发、测试和数据交付过程中的数据泄露，轻松满足隐私数据管理的政策合规性。中安威士数据脱敏系统包括动态脱敏和静态脱敏两部分。

1） 数据动态脱敏

动态脱敏产品部署在后台数据库服务器同网段的一台专用服务器上，对需要共享的生产数据或时效性要求很高的数据测试和培训场景，基于网关代理模式的动态脱敏技术，可以达到实时模糊敏感数据的效果。动态脱敏可对业务系统数据库中敏感数据进行透明、实时脱敏。

动态脱敏可以依据数据库用户名、IP、客户端工具类型、访问时间，甚至业务用户身份等多重身份特征进行访问控制。

动态脱敏对生产数据库中返回的数据可以进行放行、屏蔽、隐藏、返回行控制等多种脱敏策略。

2 ）数据静态脱敏

对于开发、测试，或者数据外发等场景，提供批量的数据脱敏能力。通过采样、替换等方式生成脱敏后的准真实数据，脱敏后的数据同时保留原有的关联关系。

通过上述解决方案，对云平台和租户数据的泄密通道进行全方位防护，可有效满足政府所面临的数据安全管理的需求：

1)  使数据安全可视。实时显示数据的分布情况、访问情况、风险状况，及时发现数据的异常活动状况和风险，实现数据安全最基本的要求；

2)  使数据安全可控。即通过控制对数据及资源的活动和访问，实现资源权限最小化分配，防止数据部分或全部被偷窥、拖库或者镜像，防止数据被非法修改或者删除；

3)  使数据安全合规。直接输出合规的报表，满足国家和各行业多个法规和标准的要求。能够快速通过各种安全保密检查和评测。