摘要：本文通過運(yùn)營商、電力、金融三個(gè)已經(jīng)公開的專利技術(shù)，分析在這三個(gè)行業(yè)的數(shù)據(jù)庫安全防護(hù)需求點(diǎn)和防護(hù)機(jī)制，然后通過數(shù)據(jù)庫加密的應(yīng)用透明和密文索引兩項(xiàng)專利技術(shù)，講解數(shù)據(jù)庫加密中應(yīng)該重點(diǎn)關(guān)注的透明性和性能這兩個(gè)核心問題。

數(shù)據(jù)庫安全機(jī)制-運(yùn)營商

首先我們來看一下中國移動(dòng)通信集團(tuán)四川有限公司的“一種構(gòu)建數(shù)據(jù)庫防火墻的方法和裝置”這個(gè)專利技術(shù)。原理是接收發(fā)起賬號(hào)的SQL查詢，對(duì)發(fā)起賬號(hào) 進(jìn)行判定：如果發(fā)起賬號(hào)在賬號(hào)白名單中，則將SQL轉(zhuǎn)入后端數(shù)據(jù)庫處理；如果發(fā)起賬號(hào)在賬號(hào)黑名單中，則將SQL攔截。這一技術(shù)體現(xiàn)了運(yùn)營商的應(yīng)用系統(tǒng)特 點(diǎn)，針對(duì)需頻繁人工執(zhí)行SQL的大型IT系統(tǒng)數(shù)據(jù)庫，提出了一種構(gòu)建數(shù)據(jù)庫防火墻的方法，對(duì)所有發(fā)至生產(chǎn)數(shù)據(jù)庫的SQL進(jìn)行規(guī)則匹配和過濾，保障生產(chǎn)數(shù)據(jù) 庫的安全性。具體操作流程如下：

運(yùn)營商行業(yè)的快速發(fā)展離不開大型IT系統(tǒng)的支持。一方面，市場業(yè)務(wù)的發(fā)展對(duì)生產(chǎn)型IT系統(tǒng)的運(yùn)行穩(wěn)定性提出日漸嚴(yán)苛的要求，另一方面由于企業(yè)內(nèi)部管 理、分析統(tǒng)計(jì)、軟件調(diào)整的需要，不可避免地要在生產(chǎn)系統(tǒng)的數(shù)據(jù)庫上運(yùn)行各種結(jié)構(gòu)化查詢語言，這類SQL我們稱為后臺(tái)事務(wù)SQL。因此生產(chǎn)系統(tǒng)數(shù)據(jù)庫常常同 時(shí)承載著前臺(tái)業(yè)務(wù)SQL和后臺(tái)事務(wù)SQL。

通常情況下，前臺(tái)業(yè)務(wù)服務(wù)對(duì)象為企業(yè)的客戶，每日?qǐng)?zhí)行量大，操作數(shù)據(jù)量較小。

后臺(tái)事務(wù)SQL，通常是企業(yè)內(nèi)部需求，一般是由運(yùn)維或者DBA等人員直接對(duì)數(shù)據(jù)庫發(fā)起請(qǐng)求，每日?qǐng)?zhí)行量小，但對(duì)數(shù)據(jù)操作量大，正是因?yàn)椴僮髁看筮@一原因，往往一個(gè)小失誤就會(huì)產(chǎn)生難以估量的后果。

近年來，大型企業(yè)多已注意到后臺(tái)事務(wù)SQL難以把控的問題，從而制定各種操作審核規(guī)范和SQL編寫規(guī)范，試圖對(duì)其進(jìn)行有效管理，伴隨制度流程也產(chǎn)生了一些副作用，就是因流程復(fù)雜化導(dǎo)致的效率下降以及人力成本增加。

目前情況下維護(hù)終端發(fā)起的SQL命令可以直接在生產(chǎn)系統(tǒng)數(shù)據(jù)庫中執(zhí)行，由于數(shù)據(jù)庫自身無法對(duì)操作可能的后果做判定，存在以下問題：

開發(fā)或運(yùn)維人員的技術(shù)水平良莠不齊，常存在因SQL編寫失誤，導(dǎo)致修改、刪除了業(yè)務(wù)表記錄的問題；

在生產(chǎn)高峰期對(duì)數(shù)據(jù)庫發(fā)起數(shù)據(jù)批量操作，可能引起業(yè)務(wù)表被鎖，導(dǎo)致業(yè)務(wù)無法辦理的故障。

目前有效解決這些問題的一種防護(hù)手段就是在數(shù)據(jù)庫系統(tǒng)前端加裝數(shù)據(jù)庫防火墻。

每條手工操作命令均發(fā)送至數(shù)據(jù)庫防火墻，由數(shù)據(jù)庫防火墻判定其操作數(shù)據(jù)量大小和操作權(quán)限，符合規(guī)則即轉(zhuǎn)發(fā)至后端數(shù)據(jù)庫，而超過閥值或超過權(quán)限則不允 許執(zhí)行并返回提示；訪問關(guān)鍵系統(tǒng)表、修改敏感對(duì)象等操作也將被隔斷，從而對(duì)誤操作導(dǎo)致的數(shù)據(jù)修改問題予以阻斷，起到保護(hù)數(shù)據(jù)庫的目的。

數(shù)據(jù)庫安全機(jī)制-電力

深圳供電局有限公司的一項(xiàng)專利，此專利提供了一種電網(wǎng)核心業(yè)務(wù)數(shù)據(jù)庫智能化監(jiān)控告警的 方法，包括：獲得所屬電網(wǎng)的核心業(yè)務(wù)系統(tǒng)的至少一類監(jiān)控?cái)?shù)據(jù)，并與預(yù)先設(shè)置的所屬業(yè)務(wù)系統(tǒng)的監(jiān)控?cái)?shù)據(jù)所對(duì)應(yīng)的閾值告警區(qū)間進(jìn)行比較，在比較結(jié)果為至少一類 監(jiān)控?cái)?shù)據(jù)達(dá)到閾值告警區(qū)間時(shí)，通過郵件將告警信息發(fā)送給所屬業(yè)務(wù)系統(tǒng)對(duì)應(yīng)的郵件接收方。實(shí)施本專利系統(tǒng)可以實(shí)現(xiàn)對(duì)電網(wǎng)核心業(yè)務(wù)系統(tǒng)的實(shí)時(shí)智能化監(jiān)控和告 警，提高了現(xiàn)有IT 系統(tǒng)的投資回報(bào)，降低了企業(yè)的運(yùn)營和系統(tǒng)維護(hù)成本。

電網(wǎng)信息管理的核心業(yè)務(wù)隨著IT系統(tǒng)分期建設(shè)和不同集成商和軟件供應(yīng)商參與，其系統(tǒng)管理越來越復(fù)雜和困難�，F(xiàn)有的電網(wǎng)業(yè)務(wù)系統(tǒng)的管理架構(gòu)，核心業(yè)務(wù) 系統(tǒng)數(shù)據(jù)庫包括用于生產(chǎn)調(diào)度、營銷、資源管理等業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)數(shù)據(jù)庫。根據(jù)測(cè)算，大型電網(wǎng)企業(yè)的核心系統(tǒng)每年都會(huì)由于機(jī)房掉電、交換機(jī)或者負(fù)載均衡堵塞、 數(shù)據(jù)庫宕機(jī)等原因造成核心系統(tǒng)故障，給企業(yè)造成的經(jīng)濟(jì)損失以百萬計(jì)。

現(xiàn)有的電網(wǎng)業(yè)務(wù)系統(tǒng)的管理架構(gòu)存在兩個(gè)不足之處：現(xiàn)有技術(shù)中不能及時(shí)發(fā)現(xiàn)系統(tǒng)的重大技術(shù)、web服務(wù)器和性能故障，且不能實(shí)現(xiàn)智能化告警，讓相關(guān)管 理人員可以迅速投入精力去排查問題，防止故障蔓延和更大的經(jīng)濟(jì)損失。由于電網(wǎng)系統(tǒng)技術(shù)架構(gòu)日益復(fù)雜，數(shù)據(jù)處理已經(jīng)向T級(jí)進(jìn)軍，因此開發(fā)一種智能告警監(jiān)控系 統(tǒng)越來越具有戰(zhàn)略意義。

所述核心業(yè)務(wù)系統(tǒng)在網(wǎng)絡(luò)上的數(shù)據(jù)庫訪問腳本數(shù)據(jù)的具體步驟為：通過數(shù)據(jù)庫防火墻監(jiān)控獲得所述核心業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)報(bào)文中對(duì)于數(shù)據(jù)庫訪問的SQL腳本數(shù) 據(jù)，所述核心業(yè)務(wù)系統(tǒng)的監(jiān)控?cái)?shù)據(jù)包括生成所述SQL腳本的數(shù)據(jù)庫交易時(shí)間，數(shù)據(jù)庫交易的SQL腳本等重要信息，包括預(yù)先設(shè)置業(yè)務(wù)系統(tǒng)對(duì)應(yīng)的閥值告警區(qū)間。 腳本數(shù)據(jù)可以是SQL腳本和pl/sql腳本數(shù)據(jù)，或者SQL net協(xié)議下的腳本數(shù)據(jù)。

設(shè)置閥值的告警區(qū)間，所采用的是通過其正常的監(jiān)控?cái)?shù)據(jù)樣板的過去表現(xiàn)來預(yù)測(cè)其未來的流量趨勢(shì)來進(jìn)行預(yù)警。根據(jù)電網(wǎng)核心業(yè)務(wù)的分析特點(diǎn)，內(nèi)部用戶在調(diào) 度業(yè)務(wù)流程，其訪問的并發(fā)數(shù)，產(chǎn)生的系統(tǒng)流量在某個(gè)觀察區(qū)間內(nèi)都相對(duì)比較穩(wěn)定，因此任何突然的流量上升或者下降都預(yù)示著某種可以預(yù)見的危險(xiǎn)，需要立即引起 關(guān)注和持續(xù)跟蹤分析。例如由于網(wǎng)絡(luò)交換機(jī)或者負(fù)載均衡器的阻塞所造成的流量突然下降或者大規(guī)模的內(nèi)部網(wǎng)絡(luò)攻擊來偷竊客戶數(shù)據(jù)等嚴(yán)重安全泄密事件的發(fā)生。

從專利說明上來看，這是一種旁路部署的數(shù)據(jù)庫防火墻系統(tǒng)，電力行業(yè)與運(yùn)營商行業(yè)略有不同，對(duì)業(yè)務(wù)系統(tǒng)的持續(xù)運(yùn)行有更高的要求，同時(shí)業(yè)務(wù)系統(tǒng)出現(xiàn)的數(shù) 據(jù)庫安全風(fēng)險(xiǎn)也希望有更強(qiáng)的關(guān)注。一旦出現(xiàn)業(yè)務(wù)系統(tǒng)的異常情況，通過郵件告知系統(tǒng)管理員加快處理響應(yīng)速度，避免出現(xiàn)更大的損失。

數(shù)據(jù)庫安全機(jī)制-金融

工行的一項(xiàng)專利提供一種數(shù)據(jù)庫的安全訪問控制系統(tǒng)，提升了數(shù)據(jù)庫系統(tǒng)的安全控制，降低了由于數(shù)據(jù)系統(tǒng)內(nèi)部的權(quán)限監(jiān)控不完善造成的非授權(quán)數(shù)據(jù)訪問造成的數(shù)據(jù)泄露。

數(shù)據(jù)來源服務(wù)器，與數(shù)據(jù)安全訪問控制服務(wù)器相連接，用于輸出數(shù)據(jù)庫訪問方式以及數(shù)據(jù)庫訪問日志；輸入終端，與數(shù)據(jù)安全訪問控制服務(wù)器相連接，用于采 集用戶輸入的數(shù)據(jù)庫訪問方式以及數(shù)據(jù)庫安全訪問請(qǐng)求信息，數(shù)據(jù)庫安全訪問請(qǐng)求信息包括數(shù)據(jù)庫對(duì)象數(shù)據(jù)、變更單號(hào)、事件單號(hào)；SQL請(qǐng)求發(fā)生器，與數(shù)據(jù)安全 訪問控制服務(wù)器相連接，用于采集SQL阻斷請(qǐng)求信息。

數(shù)據(jù)庫安全訪問控制服務(wù)器具體包括：采集部件，與所述的輸入終端、所述的數(shù)據(jù)來源服務(wù)器相連接，用于采集數(shù)據(jù)庫訪問方式以及數(shù)據(jù)庫訪問日志；解析部 件，與所述的采集部件相連接，用于按照數(shù)據(jù)庫訪問安全要素對(duì)所述的數(shù)據(jù)庫訪問方式以及數(shù)據(jù)庫訪問日志進(jìn)行解析；格式化部件，與所述的解析部件相連，用于將 數(shù)據(jù)解析后的所述數(shù)據(jù)庫訪問方式及數(shù)據(jù)庫訪問日志中的結(jié)構(gòu)化查詢語言SQL語句進(jìn)行格式化操作；識(shí)別結(jié)果輸出部件，與所述的解析部件相連接，用于根據(jù)格式 化操作后的數(shù)據(jù)庫訪問方式以及數(shù)據(jù)庫訪問日志分別識(shí)別所述的數(shù)據(jù)庫安全訪問請(qǐng)求信息以及SQL阻斷請(qǐng)求信息，生成并輸出對(duì)應(yīng)的識(shí)別結(jié)果。

銀行的數(shù)據(jù)庫中保存大量的客戶信息，例如：客戶的賬號(hào)、密碼等敏感信息；客戶信息等敏感數(shù)據(jù)的泄露，且該問題日益成為損害公眾利益、威脅企業(yè)健康發(fā)展以及對(duì)企業(yè)聲譽(yù)造成重大影響的信息安全問題。造成這種風(fēng)險(xiǎn)的主要原因有兩個(gè)：

外部網(wǎng)絡(luò)的入侵造成的數(shù)據(jù)泄露；

數(shù)據(jù)系統(tǒng)內(nèi)部權(quán)限監(jiān)控不完善造成非授權(quán)數(shù)據(jù)訪問造成的數(shù)據(jù)泄漏。

現(xiàn)有技術(shù)中數(shù)據(jù)庫安全訪問控制包括兩個(gè)方面：

授權(quán)用戶的回收和發(fā)放；

數(shù)據(jù)保密性的審查，根據(jù)大量的數(shù)據(jù)查詢?nèi)罩具M(jìn)行人工抽查，挑選涉及敏感數(shù)據(jù)且返回結(jié)果數(shù)量較大的情況詢問相關(guān)人員是否有正式的審批手續(xù)，以滿足保密性要求。

上述工作均耗費(fèi)大量人力和時(shí)間，不但審查的覆蓋面和準(zhǔn)確度無法保證，而且部分高危行為審查難以滿足時(shí)效性要求，更沒有實(shí)現(xiàn)實(shí)時(shí)訪問控制。

因此，傳統(tǒng)的數(shù)據(jù)庫安全訪問控制的方法存在的滯后性和粗粒度性都無法滿足數(shù)據(jù)系統(tǒng)的數(shù)據(jù)安全，存在嚴(yán)重的安全隱患。這個(gè)發(fā)明專利采用的是數(shù)據(jù)庫防火墻系統(tǒng)，正好解決了金融行業(yè)的數(shù)據(jù)庫安全防護(hù)問題。

數(shù)據(jù)庫安全技術(shù)-應(yīng)用透明

數(shù)據(jù)庫加密包含了密碼、信息安全、數(shù)據(jù)庫等核心技術(shù)，技術(shù)難度號(hào)稱是數(shù)據(jù)庫安全領(lǐng)域的王冠。以加密技術(shù)為基礎(chǔ)的數(shù)據(jù)庫安全加固產(chǎn)品，往往具備兩大技 術(shù)瓶頸，即密文數(shù)據(jù)訪問的性能低下和應(yīng)用系統(tǒng)的透明性不高。直接導(dǎo)致加密保護(hù)后數(shù)據(jù)訪問的速度緩慢，以及應(yīng)用系統(tǒng)需要大量的改造，之前國內(nèi)的兩款數(shù)據(jù)庫加 密類產(chǎn)品，一直沒有有效地推廣和應(yīng)用，也是因?yàn)檫@兩大原因。 
 918搏天堂的《一種基于多級(jí)視圖和觸發(fā)器的數(shù)據(jù)庫透明加解密方法》，這個(gè)專利用于對(duì)關(guān)系型數(shù)據(jù)庫中的數(shù)據(jù)進(jìn)行加密保護(hù)，防止信息被非法的竊取，在關(guān)系型數(shù)據(jù) 庫通用的視圖和觸發(fā)器的基礎(chǔ)上，通過實(shí)現(xiàn)多級(jí)視圖并結(jié)合基于行標(biāo)識(shí)的觸發(fā)器實(shí)現(xiàn)對(duì)敏感數(shù)據(jù)的自動(dòng)加密和解密，達(dá)到對(duì)應(yīng)用透明的目標(biāo)，應(yīng)用系統(tǒng)無需改造；通 過多級(jí)視圖，實(shí)現(xiàn)對(duì)數(shù)據(jù)庫查詢行為的精確判定，從而可以針對(duì)不同種類的查詢行為，構(gòu)建專門的基于LRU緩存管理機(jī)制的密文和明文數(shù)據(jù)緩存策略，構(gòu)建對(duì)密文 數(shù)據(jù)進(jìn)行批量預(yù)解密處理的策略，實(shí)現(xiàn)高效的密文查詢。

數(shù)據(jù)庫安全技術(shù)-密文索引

筆者在數(shù)據(jù)庫加密技術(shù)交流過程中，遇到最多的問題就是數(shù)據(jù)庫加密后，性能的損失有多大，比如：1千行記錄加密后會(huì)慢多少？實(shí)際上，由于數(shù)據(jù)庫服務(wù)器 的硬件性能提高，加解密技術(shù)與數(shù)據(jù)庫功能如緩存等有效結(jié)合，數(shù)據(jù)解密的時(shí)間并不是影響查詢性能的主要因素。下面我就用實(shí)驗(yàn)數(shù)據(jù)來證明這個(gè)觀點(diǎn)：

如上三個(gè)圖所示，建立一個(gè)1000行的表，查詢時(shí)間是1.782秒，然后把姓名和賬號(hào)兩個(gè)字段加密，查詢時(shí)間是1.876秒，1千行記錄加密后查詢相差的時(shí)間約是0.1秒，對(duì)于有數(shù)據(jù)庫加密安全需求的用戶是完全可以接受的。

加密后不帶密文索引

不加密查詢時(shí)間

加密后帶密文索引的查詢時(shí)間

數(shù)據(jù)庫加密技術(shù)關(guān)鍵難點(diǎn)在于，如果從100萬行中以加密后的字段作為條件來查詢相應(yīng)的記錄，在原先明文索引已經(jīng)失效的情況下，快速地定位到這一行是 非常耗費(fèi)時(shí)間的，需要整列解密然后再按條件查詢，如上圖所示，加密后不帶密文索引花了462.125秒（>7分鐘），而不加密的情況下同樣的查詢需 要時(shí)間僅0.094秒。

918搏天堂在《一種無偏序關(guān)系的數(shù)據(jù)庫密文索引方法》中有效的解決了這個(gè)問題。我們繼續(xù)上面的實(shí)驗(yàn)，這次在NAME字段采用密文索引提高查詢速度，如 上圖所示是使用了0.36秒。專利技術(shù)使得918搏天堂數(shù)據(jù)庫加密系統(tǒng)突破了電信等高端應(yīng)用的性能瓶頸，確保億級(jí)數(shù)據(jù)規(guī)模下，性能幾乎不下降。

這個(gè)專利提供了一種基于無偏序關(guān)系的輕量級(jí)的密文索引結(jié)構(gòu)的索引建立、檢索和維護(hù)方法，這種結(jié)構(gòu)能夠表示索引中的節(jié)點(diǎn)關(guān)系，便于維護(hù)，維護(hù)代價(jià)低。 索引中存儲(chǔ)的數(shù)據(jù)是密文的，由于不存在數(shù)據(jù)之間的偏序關(guān)系，也就無法進(jìn)行分析了，保證了數(shù)據(jù)的安全。基于這種無偏序關(guān)系的密文索引的檢索方法，能夠?qū)γ芪?數(shù)據(jù)進(jìn)行快速的檢索和定位；維護(hù)時(shí)能夠有效維護(hù)索引數(shù)據(jù)和節(jié)點(diǎn)關(guān)系，并保證索引數(shù)據(jù)在并發(fā)操作環(huán)境下的正確性。

結(jié)論

通過三個(gè)專利技術(shù)讓我們能看到運(yùn)營商、電力、金融這三個(gè)行業(yè)的數(shù)據(jù)庫安全需求非常迫切，而且專利技術(shù)也有利于同行業(yè)的用戶借鑒，從而提高數(shù)據(jù)庫的安 全防護(hù)水平，具有廣泛推廣的價(jià)值。918搏天堂在數(shù)據(jù)庫安全領(lǐng)域里的應(yīng)用透明和密文索引的專利技術(shù)，的確提升了數(shù)據(jù)庫加密的應(yīng)用效果和成熟度。

隨著云計(jì)算技術(shù)的普及，按需調(diào)整硬件資源會(huì)極大節(jié)省成本，越來越多的政府、企業(yè)將自己重要的業(yè)務(wù)系統(tǒng)放到公有云上，那這些業(yè)務(wù)系統(tǒng)后臺(tái)核心數(shù)據(jù)庫如何確保敏感數(shù)據(jù)的安全問題就成為了重中之重，在云平臺(tái)上918搏天堂都提供了那些數(shù)據(jù)庫安全技術(shù)將在下一章中為網(wǎng)友呈現(xiàn)。