网络安全法下的云数据安全思考与实践

8月24日阿里云数据库技术峰会上，安华金和云安全事业部专家肖志昱带来云数据安全的思考。本文主要从安全事件实例开始谈起，进而分析了我们需要什么样的安全，最后分享了如何才能做到安全。

 

数据安全，缘何雷声大雨点小

云数据安全的声音很多，各种消息层出不穷，但从市场的反响来看，远远没有想象的那么热闹。在我们安全圈厂商流行一句话：说时---重要；做时---次要；忙时---不要。出事时---“哎呦，我要！我还要！！！”

安全事件

无论是个人信息泄露还是企业等其他数据泄露，都不仅仅是损失钱，甚至危及生命财产安全。那么，为什么安全这么重要，但市场反响不特别热烈呢？主要有以下两种原因：

1.         侥幸心理。我的数据没多少，应该没人偷；网上那么多应用，那么多数据，哪会轮到我；公司数据丢了就丢了，与我有啥关系。

2.         茫然心理。我有多少个数据库?有多少敏感数据？我的数据值多少钱？数据如果泄露了会有多大危害？

2017年6月1日，网络安全法发布了，作为网络安全的基本法，它让网络安全工作 有

法可依 ，同时也要求人们 有法必依 。对企业来讲，可能面临罚款、停业整顿和吊销执照，对个人来讲，也可能面临罚款、拘役和从业资格限制。

 

我们需要什么样的安全

数据安全面临的问题概括为两点，一是防外贼，一是防内鬼。外贼包括SQL注入、拖库，内鬼包括内部运维人员、第三方开发人员。从实际了解情况来看，内鬼的危害更大。

有了WAF 、 抗DDos ，为什么还需要防外贼？

传统安全方案缺陷有以下几点：

1. 网络防火墙产品不对数据库通讯协议进行控制

2. IPS/IDS/网络审计并不能防范那些看起来合法的数据访问

3. WAF系统仅针对HTTP协议进行检测控制，绕过WAF有150多种方法

4. 核心数据库防护措施被忽略。

大多数系统前端层面的安全保护措施并无法覆盖所有的安全攻击和窃取——必须引入数据层面的保护作为最后一道安全防线。

我们为什么要防内鬼呢？

如果DBA删库跑路，会导致公司损失惨重。

对我们来说，数据库运维面临很多安全隐患。比如：

• 数据库口令暴露：运维、开发知晓数据库口令；任意客户端登录；无统一访问出入口

• 存在高危操作：随意操作数据库对象；恶意操作行为；误操作、高危操作

• 用户身份不清：公用设备、公用账户

怎样去解决呢？安全运维需要规范运维行为，具体包括三点：

1.         身份识别：解决口令外泄，区分人员身份

2.         访问审批：预防高危操作，避免越权操作

3.         流程管理：规范流程管理，有效追责定责

 

怎么做才安全

虽然云计算的概念出现了十多年，云计算的发展也经过了几年，但是云应用的时间并不长，大家对云的理解不太一样，云的高学习曲线让一般用户对安全建设无从着手。

这是一个真实的数据梳理案例（某大型行业云典型数据梳理成果），实际梳理结果比客户认知结果多很多，这存在着极大的安全威胁。

基于以上情况，我们提出了数据安全治理框架的理念。首先帮助用户进行数据安全状况的摸底，帮助用户梳理敏感数据，了解数据安全现状；根据梳理结果和敏感数据等级，有针对性的实施合理的数据保护；同时做好防护过程的监控，稽核与审计，确保数据保护效果，进一步优化数据保护措施，及时发现问题、解决问题。

目前，在云上的数据安全治理产品线如图所示。

梳理产品和数据库扫描产品是前期状况摸底，可以帮助用户了解到底有多少个数据库，多少敏感数据，核心资产有多少；漏洞扫描能看到现在数据库到底有多少风险，什么样的风险， 中间的产品分别针对性的进行数据防护，比如防黑客攻击、数据泄露追踪溯源等；数据库安全审计是对所有数据库访问行为的监控。

图中可以看出云数据安全合规性实践与网络安全法的契合点。

我们所有产品都已经适配多云环境，目前产品已经在 阿里云、腾讯云、华为云、青云、Azure、百度、AWS陆续上架。云上典型用户包括人人聚财、万盈金融、利民网等多个企业。

我们的理念是：不能帮用户解决实际问题的方案，就是耍流氓！我们的口号是拼产品、拼服务，做中国最好的云数据安全提供商。