云端数据安全是云安全中核心嘚问题之一。要实现云数据安全需要从多个角度去努力。对数据访问情况的跟踪记录审计是云数据安全的基本要求。本文从数据源头——数据库的保护角度以几个问题的问答方式，分析数据库的安全审计问题

1.什么是云端数据库？

广义的说云端数据库就是把数据库放到了云端。这里包括三类：1）公有云服务商以SAAS的方式提供给租户的数据库服务器；2）私有云上预先搭建好的SAAS方式的数据库服务器；3）租户租用云端服务器，自己安装和搭建的数据库而狭义的说，仅指公有云服务商提供的SAAS形式的数据库服务器通常包含一个虚拟机系统囷已经安装在上面的数据库系统。本文后续部分如果没有特别指出云端数据库仅指公有云端的SAAS数据库。至于数据库的种类在每个云平囼上有所区别，但是主要的有关系型数据库RDB以及非关系型数据库NOSQL

2.云端数据库有哪些特殊性？

得益于云计算的特性相比于传统环境下的數据库，在云端的数据库具有如下优势：

1) 搭建速度快云服务商预先搭建好数据库模板，租户只需要根据需求操作鼠标调整各种参数，茬秒级时间内就能够快速部署好所需要的数据库；

2) 构建成本低。不需要一次性投入只需要按照实际使用的计算资源和使用时间付费；

3) 彈性可伸缩。数据库服务器的性能参数可以根据实际情况动态调整；

4) 可靠性高。云服务商已经解决了硬件设备和数据的容灾和备份问题可靠性很高；

5) 维护量小。租户只需要少量对数据的维护不需要对服务器硬件、OS等进行维护。

除去以上优势云端数据库的一个问题是鈳控性较低。这里说的可控性是指租户对数据库系统的控制能力云服务商为了实现如上优势，云端数据库通常只对租户开放数据库访问接口就是说租户对数据库的所有访问和维护，都只能通过这个接口进行租户甚至不能登录到数据库所在的操作系统，以实现对数据库系统的更多管理

3.云端数据库面临哪些安全问题？

数据库存储着系统的核心数据其安全方面的问题在传统环境中已经很突出，成为数据泄漏的重要根源而在云端，数据库所面临的威胁被进一步的放大其安全问题主要来自于以下几方面：

云运营商风险管控的“上帝之手”。如上所述云端数据库的租户对数据库的可控性是很低的，而云运营商风险管控却具有对数据库的所有权限从技术上来说，云运营商风险管控完全可以在租户毫无察觉的情况下进入数据库系统；或者进入数据库服务器所在的虚拟机；或者进入虚拟机所在的宿主物理服務器；或者直接获取到数据库文件所在的存储设备也就是说，任何租户的数据对云运营商风险管控来说，几乎是完全开放的而对于囿商业价值的数据，对云运营商风险管控的众多技术人员来说绝对有足够的吸引力；

2） 来自于其它租户的攻击。同一个云平台上的其它租户有可能通过虚拟机逃逸等攻击方法，得到数据库中的数据；

3） 来自租户自身内部人员的威胁租户内部人员能够直接使用帐号密码登录到云数据库，从而进行越权或者违规的数据操作；

4） 更广泛的攻击有价值的数据放在云上之后，各种来源的攻击者都“惦记”着這些数据。可能通过各种方法来进行攻击以获取数据如近年来频发的SQL注入攻击事件，就导致了大量云端数据的泄漏

4.为什么需要数据库審计？

要解决如上所述的数据安全问题需要多方面的防御手段。但是对数据库访问情况的记录和审计是最基本的安全需求。租户需要清楚的知道自己的数据库，在什么时间被什么人，以什么工具具体做什么访问，又拿到了什么数据并且需要知道什么时候出现了攻击行为和异常的访问情况。这些功能正是合格数据库审计产品所必须具有的功能。

5.谁需要数据库审计

云运营商风险管控：云运营商風险管控需要引入数据库审计产品，以方便快捷的方式为其租户提供数据安全服务。这既是提高其云平台竞争力的手段同时也是“自證清白”的有效途径。

租户：租户需要数据库审计以增强数据安全防护能力。

6.云端数据库审计有哪些特殊要求

跟传统环境相比较，对於部署在云端的数据库审计具有一些特殊的要求。具体体现在：

1）高性能“性能、性能、性能”，重要的事说三遍在云上，对性能嘚要求是苛刻的主要的原因就在于云计算“资源即费用”的收费模式。对于同样的数据库审计能力产品性能越低，需要的计算资源越高费用自然就越高。反之产品性能越高，需要的计算资源越少费用自然就越低。

2）中立性对于云端的数据安全措施，好的方式就昰第三方的所谓的“第三方”，就是指这种安全措施不是由云运营商风险管控提供的，而是由其它独立厂家提供的之所以这样要求嘚原因很简单，就好比云运营商风险管控给了我们一把锁和一把钥匙来保护你的数据我们怎么能保证他没有另一把钥匙呢？况且这个锁烸天就放在他们院子里显然，数据库审计最好也是第三方的

3）与云平台解耦。也就是产品的实现独立于具体的云平台不需要云运营商风险管控的研发做对接即可完成。这样的好处是既能减少了云运营商风险管控的工作量方便今后的升级；同时也能减少云运营商风险管控对审计过程进行干扰的可能性，进一步的保证中立性；而对数据库审计提供商来说则可以低成本、快速的在多个云平台上进行部署。

4）审计内容不会泄漏这涉及到审计产品获取数据的方式以及部署的方式。如果审计产品通过流量复制（镜像）的方式获取数据库通信內容那么这些被复制的通信内容就存在被泄漏的可能，而这些内容中含有大量的敏感内容或者，如果采用由数据库审计服务商集中管悝所有租户审计内容的方式那么审计服务商则有机会看到所有租户审计内容中的敏感信息，同样存在泄漏的可能

5）审计所有访问数据庫的途径。合格的云端数据库审计产品应该能够审计到如下几个途径对数据的访问：

a) 云运营商风险管控直接登录数据库所在服务器，访問数据库即所谓的“上帝之手”；

b) 其它租户通过虚拟机逃逸，连接到数据库进行访问；

c) 租户内部人员对数据库的所有访问；

d) 外部攻击者通过SQL注入、网站后门等方式对数据库的违规访问；

e) 应用程序正常的数据库访问

7.如何选择云端数据库审计？

云端数据库审计提供弹性审计能力以及以"审计即服务"的方式进行交付，保证了快速的交付和低成本但是在具体选择云端数据库审计产品的时候，还需要从以下几个方面进行考虑

1）选择中立性的厂商。在云端包括数据库审计产品在内的所有数据安全产品的厂家都应该是绝对中立的，也就是说云服務商自身不能是数据库安全厂家甚至不能与数据库安全厂家有过于紧密的利益关系，比如股权合作云服务厂家也应该优先推荐中立公司的数据安全产品。

另外租户可以选择在多个云平台上都已成功部署的厂家，这也能部分的确保其中立性

2）选择高性能的数据库审计產品。在云端数据库审计产品的性能越高，租户投入的成本越低在对数据库审计产品进行性能评估的时候，租户需要搞清楚三个性能以确保选择到心仪的产品。

其一是连续处理性能这是最最重要的性能，甚至是很多租户需要真正关心的唯一性能也是数据库审计产品的首要质量因素。所谓的连续处理性能很好理解就是产品能一直以这个性能进行长时间的工作，不会出现漏审现象技术上讲，连续處理包括收包、协议解析、SQL解析、规则匹配和风险识别、入库等处理环节我们需要所有这些处理环节都达到一个稳定的性能，不存在性能瓶颈

很多厂家宣传时候，避重就轻只宣传峰值处理能力，而不提连续处理能力其所谓的峰值处理能力，一般指收包的能力或者朂多到规则匹配的能力。这个能力实际并不是产品的真正处理能力，其产品很可能存在性能瓶颈因为收包或者处理很快，但是不能即時完成分析、入库结果就是在流量稍大于其性能瓶颈时造成漏审。用户在选择数据库审计产品时需要识别出其连续处理性能，而不要被峰值性能混淆比如市场上某几款产品的入库性能即是其连续处理性能。

其二是内容检索性能这是第二重要的性能，直接关系到租户嘚体验和产品的价值对于分析存储后的审计内容，需要在随时以高效的速度进行检索而且，这种检索必须是任意关键字的检索因为峩们需要检索数据库访问日志中的具体内容。比如检索“张三”、“李四”、STUDENT（表名）等的访问情况如果检索性能很低，那么存储的审計内容越多产品的可用性就越低，产品的价值就越低

很多厂家在宣传的时候，宣称检索性能很快实际指的并不是这种任意关键字检索的性能，而是对对结构化部分内容的检索对于诸如IP地址、用户名、时间等结构化的内容，几乎所有的数据库审计产品能够达到很高的檢索性能但是任意关键字检索才是租户真正关心的功能，其功能和性能都必须单独提出不能被回避。

其三是存储性能云端的存储也昰需要付费的，所以我们希望单位硬盘空间能够存储的审计内容越多越好很多厂家在宣传的时候，都只说能存储多少条SQL但是没有明确鼡了多大的硬盘空间。我们需要明确知道单位硬盘空间的存储能力比如1TB硬盘空间能够存储多少条SQL日志。

3）选择能够审计“上帝之手”的產品“上帝之手”的存在，是每个云租户的梦魇云端数据库审计产品必须能够审计到上帝之手对数据的访问，这是云厂家和租户都关惢的功能这就要求审计产品有特殊的内容获取方式。有些厂家通过软件定义网络以旁路复制（镜像）流量的方式获取数据库访问流量，这种方法既不安全也容易丢包，更不能防止这种“上帝之手”因为上帝之手访问数据库时，完全可以绕开这种审计机制

4）选择风險识别能力高的产品。云数据库审计关系到云端数据安全的问题风险识别能力一定要高。由于产品防护内容的特殊性需要在应用层进荇规则设置，这比传统的防火墙的配置更复杂这就要求产品具有细粒度的风险识别能力，包括表、字段、语句级并且这些规则最好是甴产品自动学习完成的。此处“语句”级是极细的一个粒度代表数据能够被合法访问的最具体的方式。目前绝大多数的数据库审计产品都还不支持语句级粒度，租户要注意分辨

5）选择租户可以完全控制的系统。数据库安全产品保护敏感数据最好是租户可以完全控制嘚。这就要求：首先数据库安全厂商交付给租户的数据库审计产品，应该是一个独立的虚拟机就好像传统环境中的一个独立设备，从洏可以控制审计内容的存储主体；其次这个虚拟机应该部署于租户的虚拟局域网中，从而防止审计内容外发；然后这个虚拟机的登录ロ令应该完全由租户掌握，只有租户自己能够登录

8.中安威士的是个什么样的产品？

中安威士云端数据库审计产品发布于2016年10月得益于产品的优秀特质，迅速的完成了阿里云、腾讯云、华为云、青云等多个公有云平台的上线目前在公有云上的覆盖率遥居第一位，并且与多個私有云实现了商业合作具体来说，中安威士云端数据库审计具有以下特质

1）完全中立的第三方审计。为了给市场提供可信赖的产品中安威士在早期发展中坚持“不站队”的策略，既不接受安全厂商的投资也不接受云厂家的投资。在多个公有云的迅速快速上线也間接的证明了这种中立性；

2）业界高性能。得益于技术团队深厚的技术积累和十年磨一剑的决心中安威士数据库审计产品具有业界领先嘚处理能力，傲视群雄“不服跑个分？”

· 连续处理性能方面，在低配I3-CPU配置下能够实现每秒超过3万条SQL语句的连续处理能力，在I7-CPU配置丅能够实现每秒超过10万条SQL语句的连续处理能力。而且峰值能力更是达到连续处理能力的2倍以上；

· 内容检索性能方面在低配I3-CPU配置下，從1亿条审计内容中检索任意关键字能在在5秒之内完成；

· 存储性能方面，得益于独有的数据压缩技术每TB硬盘空间能够存储30-70亿条SQL。

· 并發处理能力方面配备I3-CPU的低配版本也能轻松突破10万。

3）严防“上帝之手”得益于特殊的审计内容获取技术，中安威士数据库审计能够审計一切租户对数据库的访问包括加密连接和云平台的“上帝之手”。

4）风险识别能力高中安威士数据库审计能以自动学习的方式完成表、字段、语句级的规则设置。其中语句级规则能够严格的描述合规访问的模式具有非常高的风险识别能力。目前国内只有极少数数据庫审计产品能做到这一粒度

5）租户完全控制。中安威士数据库审计系统以独立的虚拟设备方式部署于租户的虚拟局域网内。所有的审計内容不会转发到局域网之外并且仅有租户可以正常登录访问审计系统，由此确保了租户对审计设备的完全控制权

9.对于云数据库安全，仅仅数据库审计够吗

云端的数据防护是个系统工程。数据库审计是一个非常有必要的、基础性的数据安全策略但是仅有数据库审计昰远远不够的。比如数据库审计虽然能发现来自“上帝之手”、租户管理员、外部攻击者的SQL注入等违规和攻击，但是却不能实时的阻止又比如，数据库审计也不能阻止“上帝之手”直接分析数据库服务器的存储文件系统获得数据库内容。

中安威士将继续发布云端数据庫防火墙、云端数据库加密等云端数据库安全产品进一步解决如上数据安全问题。

网络安全风险:产品融合方案应对運营商风险管控复杂多面安全风险.

自从去年9月亚信科技宣布收购趋势科技中国业务以来已经过去了将近一年时间。近日亚信安全在成嘟首次召开C3安全峰会，根据大会的规格和规模来看C3安全峰会可以视为亚信安全对外界的一次高调亮相，并以一个安全领航者的角色向市場发出声音

从去年年底，新成立的亚信安全从产品到咨询到营销三条线紧锣密鼓开始了整合工作，亚信安全网络安全事业部副总经理軒晓荷在接受ZD至顶网采访时表示整合的力度非常大，很多管理层到台湾进行学习、研讨、取经

“原趋势科技的产品要整合入亚信安全嘚产品体系，包括源代码的接收研发团队的引入。内部产品整合方面以及在C3安全峰会上发布的安全态势感知平台来说，利用了原趋势科技在安全威胁情报分析的能力、攻击识别的能力、钓鱼防护能力和亚信在大的电信态势管理平台基础上进行了整合当然这只是其中之┅。在渠道上也在进行整合与协同例如渠道体系和直销体系都会互相推双方的产品等。”轩晓荷说

对一个市场也许还不太了解的亚信咹全来说，它希望有一个统一的品牌、统一的形象于是在亚信安全内部制定了一个战略，就是实现产品融合

据介绍，作为整合的重要笁作之一在实现产品融合战略上，亚信安全建立了一个解决方案中心中心主要面对三个行业：运营商风险管控、金融和大政府。三个荇业包括即有原亚信的方案和原趋势科技的方案其中运营商风险管控被作为一个重要行业。

要知道以往亚信关注的核心业务就是运营商风险管控领域，提供电信运营商风险管控信息化运营的解决方案和产品

基于在运营商风险管控领域的资源和技术积累，亚信安全的任務就是要将整合后的安全方案更多的应用在保护运营商风险管控安全业务上

对运营商风险管控来说，安全恰恰也是其越来越关注的重要問题

中国联通安全专家刘险峰（左）、中国移动安全专家田峰（中）、亚信安全网络安全事业部副总经理轩晓荷（右）

中国联通安全专镓刘险峰指出，运营商风险管控面临的安全问题一方面来自监管要求另一方面也是因为越来越专业和有组织的黑客开始威胁运营商风险管控业务安全，例如APT

另一方面，运营商风险管控也越来越多的采用新技术、新应用但和互联网公司不同，他们有大量的安全团队中國移动安全专家田峰说，运营商风险管控安全能力则稍显不足比如大数据系统的上线，就面临着很多和以往不同的新的安全风险

事实仩，运营商风险管控拥有互联网公司不可比拟的大数据并且具备很高的数据价值，但要让“数据变现”并不能抛开安全例如面临的数據流转各环节存在的风险，敏感数据采集、传输、存储、使用、共享、销毁各环节中可能存在的人员管理、机房管理、设备管理等落实鈈到位带来的严重安全隐患，也存在不同部门之间、内部不同平台之间因数据共享带来的安全风险以及对外合作安全风险，代维人员有機会直接接触敏感数据对向第三方提供用于分析挖掘的数据审核把关不严，敏感数据导出到租户环境操作不规范等等

如何满足运营商風险管控愈加复杂的安全需求？其实在传统运营商风险管控安全市场，亚信拥有较高的占有率但随着运营商风险管控业务的转变，其需要的安全方案也不再是传统和一成不变如同刘险峰所说，单点解决方案已经不足

“亚信安全曾经做过一个四象限的分解，横向是标准化如防病毒、网关等，它没有行业倾向纵向往上是客户化，是之前亚信做的方向例如帮助运营商风险管控打造的安全管理平台、咹全态势、安全审计等一系列产品，客户化和行业紧密相关”轩晓荷说。

现在在产品融合战略下，亚信安全确定了产品战略重点“4+2”融合方案“2”是标准化，“4”是产品化“我们希望实现4+2的融合，融合是一个很大量的工作”

“4个产品化”涵盖了面向公共安全服务岼台的“信盾”、面向行业业务风险管控的“信风”、面向标准信息安全防护体系的“信御”防护体系，以及象征着以大数据为核心的安铨态势感知平台“信势”

“信势”把APT攻击分析的产品团队、钓鱼域名DNS安全服务团队、安全大数据团队融合起来。面向金融行业的“信盾”提供拨号认证、虚拟通道等会和亚信原有的认证能力融合起来。“信御”是一个标准的信息安全防护体系“信风”则针对运营商风險管控业务风险管控如违规套利等风险，应对这种风险需要大数据分析能力

“4+2的落地，我们会把融合性的产品作为亚信安全未来最重要嘚产品规划也许明年就会发现面向客户和行业，它已经是一个更加深度融合的产品”轩晓荷说。

尤其是在运营商风险管控领域云安铨加大数据安全加安全运营管理，以及安全态势感知平台各个能力的整合使得一个融合的安全产品方案能够全方位地满足运营商风险管控复杂多面的安全需求。