安华金和构建数据库安全运维体系

运维部门大概是企业中最忙碌的部门之一，在人们眼中“他们几乎忙的没空坐下”。近年来，随着IT架构升级、应用繁杂多变，IT运维环境变得越来越复杂，用智能化管理手段实现高效运维”成了IT运维管理发展的必然要求，同时，另一个不可或缺的关键点：安全，永远是运维工作中不可或缺的责任。如何能够两者兼得，安华金和产品总监孙铮在11月1日“2016年（第七届）中国IT运维大会”发表演讲：如何构建安全稳健的数据库运维体系”，针对当前愈加复杂的运维环境，向现场嘉宾深度剖析潜藏在运维侧的各类数据库安全隐患，并提出智能高效的数据库安全运维思路。

数据泄露原因更多指向数据库威胁和攻击

据Verizon《2015年数据泄露调查报告》显示，数据泄露的绝大多数原因是因为数据库遭受到了威胁和攻击，该比例占到了90%，其他泄露渠道如WEB应用、FTP、邮件等所占比例则没有想象的那么大。由此可见，在数据库层面进行防护最为有效。。

数据库安全防护的三大误区

目前很多机构和单位之所以遭遇数据库安全威胁，主要是因为陷入一些误区：

1、认为自身的数据库安全保障已经足够

大多数用户认为现有的数据库系统本身安全性已足够，数据库自有的安全控制手段可以达到预期的防护效果。

2、认为内部人员是可信的

传统安全方案中往往缺失对内部人员的安全管控环节。过去，一提到数据泄露的罪魁祸首，多数人往往第一反应是认为外部黑客所为。事实上，内部人员及第三方运维人员的安全风险指数正在上升，具有高权限的内部用户有意无意的非法操作、违规访问、恶意操作、误操作等都会对数据库安全造成威胁。

3、网络层防护手段足够保证数据库不被非法访问

随着IT环境越来越复杂，传统安全方案的缺陷日益凸显，比如网络防火墙不对数据库通讯协议进行控制；IPS/IDS无法准确防御针对数据库的攻击；外部攻击会直接绕过WAF攻击数据库；业务系统本身存在安全威胁等等。

基于对数据库运维侧的安全问题进行总结，显然，传统的网络层防护产品已经远远不够，加强数据库层面的安全保护势在必行。孙铮将关键防护思路归纳为四点：

•传统安全手段存在局限性；

•需要风险感知和实时告警、追责；

•构建高效数据脱敏手段和流程；

•有效监管运维行为

安华金和提出运维安全管控解决方案

安华金和以安全、稳健为目标建立了全面的数据库运维防护体系，交付智能、高效的运维管控解决方案。

——引入数据库审计系统

应用安华金和的数据库审计系统DBAudit，进行数据库风险监控与实时审计告警。DBAudit可以实时监控核心系统，包括对SQL注入漏洞的攻击可以做到及时感知；构建访问模型；监控核心对象。同时，DBAudit也可以做到智能化的协议识别，并及时进行风险告警，覆盖邮件、短信、SYSLOG、SNMP、安管平台联动等多种告警方式。

——引入数据库脱敏系统DBMasker

应用安华金和数据库脱敏系统DBMasker，管好敏感数据。生产数据往往会应用于分析场景、测试场景、开发场景、展示场景等多种场景下，确保不同场景下对数据的安全防护，最高效的方式就是对数据进行脱敏处理。DBMasker不仅性能优异、简单易用，而且可以实现智慧发现、做到语义保持，实现数据的智能化管理。

安华金和安全规范的脱敏流程

——引入数据库安全管控平台DBController

安华金和针对数据库运维人员的行为权限和操作规范问题，向市场推出数据库安全管控平台DBController，应用于运维行为的风险控制。规范运维行为主要从三个地方着手：

1，做好身份识别

做到这一点既能够防止口令外泄，又能区分人员身份，可以杜绝非法访问等行为；

2，制定访问审批制度

其中，确定审批制度的基本原则是审批要落到具体的事情上面，这么做可以预防高危操作、避免越权操作；

3，做好流程管理

有效的流程管理可以实现有效追责定责，更好地规范运维人员行为。

安华金和数据库安全管控平台

某银行运维审批案例

助力数据库安全运维，让数据使用更安全

凭借着在数据库安全领域的绝对技术实力和产品专业度，安华金和在本次运维大会“2016中国IT运维大会大型评选”活动中一举拿下两个产品奖项——数据运维管控平台DBC荣获2016中国IT运维最佳技术突破奖；数据库脱敏系统DBMasker荣获2016中国IT运维管理最佳产品奖，两款产品的诞生与应用实践全部来自于用户需求，来自于市场认可，获此两大殊荣是对安华金和高价值数据库安全产品的最佳认可。随着技术的升级，IT运维一定会朝着更加智能、高效的趋势发展，而安全是一切发展的根基和立足点，安华金和坚持以“让数据使用更安全”为使命，助力数据库安全运维朝着更加安全、稳健的方向繁荣发展。

生成海报

免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。