摘要：本文通過運營商、電力、金融三個已經(jīng)公開的專利技術(shù)，分析在這三個行業(yè)的數(shù)據(jù)庫安全防護需求點和防護機制，然后通過數(shù)據(jù)庫加密的應(yīng)用透明和密文索引兩項專利技術(shù)，講解數(shù)據(jù)庫加密中應(yīng)該重點關(guān)注的透明性和性能這兩個核心問題。

數(shù)據(jù)庫安全機制-運營商

首先我們來看一下中國移動通信集團四川有限公司的“一種構(gòu)建數(shù)據(jù)庫防火墻的方法和裝置”這個專利技術(shù)。原理是接收發(fā)起賬號的SQL查詢，對發(fā)起賬號 進行判定：如果發(fā)起賬號在賬號白名單中，則將SQL轉(zhuǎn)入后端數(shù)據(jù)庫處理；如果發(fā)起賬號在賬號黑名單中，則將SQL攔截。這一技術(shù)體現(xiàn)了運營商的應(yīng)用系統(tǒng)特 點，針對需頻繁人工執(zhí)行SQL的大型IT系統(tǒng)數(shù)據(jù)庫，提出了一種構(gòu)建數(shù)據(jù)庫防火墻的方法，對所有發(fā)至生產(chǎn)數(shù)據(jù)庫的SQL進行規(guī)則匹配和過濾，保障生產(chǎn)數(shù)據(jù) 庫的安全性。具體操作流程如下：

運營商行業(yè)的快速發(fā)展離不開大型IT系統(tǒng)的支持。一方面，市場業(yè)務(wù)的發(fā)展對生產(chǎn)型IT系統(tǒng)的運行穩(wěn)定性提出日漸嚴(yán)苛的要求，另一方面由于企業(yè)內(nèi)部管 理、分析統(tǒng)計、軟件調(diào)整的需要，不可避免地要在生產(chǎn)系統(tǒng)的數(shù)據(jù)庫上運行各種結(jié)構(gòu)化查詢語言，這類SQL我們稱為后臺事務(wù)SQL。因此生產(chǎn)系統(tǒng)數(shù)據(jù)庫常常同 時承載著前臺業(yè)務(wù)SQL和后臺事務(wù)SQL。

通常情況下，前臺業(yè)務(wù)服務(wù)對象為企業(yè)的客戶，每日執(zhí)行量大，操作數(shù)據(jù)量較小。

后臺事務(wù)SQL，通常是企業(yè)內(nèi)部需求，一般是由運維或者DBA等人員直接對數(shù)據(jù)庫發(fā)起請求，每日執(zhí)行量小，但對數(shù)據(jù)操作量大，正是因為操作量大這一原因，往往一個小失誤就會產(chǎn)生難以估量的后果。

近年來，大型企業(yè)多已注意到后臺事務(wù)SQL難以把控的問題，從而制定各種操作審核規(guī)范和SQL編寫規(guī)范，試圖對其進行有效管理，伴隨制度流程也產(chǎn)生了一些副作用，就是因流程復(fù)雜化導(dǎo)致的效率下降以及人力成本增加。

目前情況下維護終端發(fā)起的SQL命令可以直接在生產(chǎn)系統(tǒng)數(shù)據(jù)庫中執(zhí)行，由于數(shù)據(jù)庫自身無法對操作可能的后果做判定，存在以下問題：

開發(fā)或運維人員的技術(shù)水平良莠不齊，常存在因SQL編寫失誤，導(dǎo)致修改、刪除了業(yè)務(wù)表記錄的問題；

在生產(chǎn)高峰期對數(shù)據(jù)庫發(fā)起數(shù)據(jù)批量操作，可能引起業(yè)務(wù)表被鎖，導(dǎo)致業(yè)務(wù)無法辦理的故障。

目前有效解決這些問題的一種防護手段就是在數(shù)據(jù)庫系統(tǒng)前端加裝數(shù)據(jù)庫防火墻。

每條手工操作命令均發(fā)送至數(shù)據(jù)庫防火墻，由數(shù)據(jù)庫防火墻判定其操作數(shù)據(jù)量大小和操作權(quán)限，符合規(guī)則即轉(zhuǎn)發(fā)至后端數(shù)據(jù)庫，而超過閥值或超過權(quán)限則不允 許執(zhí)行并返回提示；訪問關(guān)鍵系統(tǒng)表、修改敏感對象等操作也將被隔斷，從而對誤操作導(dǎo)致的數(shù)據(jù)修改問題予以阻斷，起到保護數(shù)據(jù)庫的目的。

數(shù)據(jù)庫安全機制-電力

深圳供電局有限公司的一項專利，此專利提供了一種電網(wǎng)核心業(yè)務(wù)數(shù)據(jù)庫智能化監(jiān)控告警的 方法，包括：獲得所屬電網(wǎng)的核心業(yè)務(wù)系統(tǒng)的至少一類監(jiān)控數(shù)據(jù)，并與預(yù)先設(shè)置的所屬業(yè)務(wù)系統(tǒng)的監(jiān)控數(shù)據(jù)所對應(yīng)的閾值告警區(qū)間進行比較，在比較結(jié)果為至少一類 監(jiān)控數(shù)據(jù)達到閾值告警區(qū)間時，通過郵件將告警信息發(fā)送給所屬業(yè)務(wù)系統(tǒng)對應(yīng)的郵件接收方。實施本專利系統(tǒng)可以實現(xiàn)對電網(wǎng)核心業(yè)務(wù)系統(tǒng)的實時智能化監(jiān)控和告 警，提高了現(xiàn)有IT 系統(tǒng)的投資回報，降低了企業(yè)的運營和系統(tǒng)維護成本。

電網(wǎng)信息管理的核心業(yè)務(wù)隨著IT系統(tǒng)分期建設(shè)和不同集成商和軟件供應(yīng)商參與，其系統(tǒng)管理越來越復(fù)雜和困難�，F(xiàn)有的電網(wǎng)業(yè)務(wù)系統(tǒng)的管理架構(gòu)，核心業(yè)務(wù) 系統(tǒng)數(shù)據(jù)庫包括用于生產(chǎn)調(diào)度、營銷、資源管理等業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)數(shù)據(jù)庫。根據(jù)測算，大型電網(wǎng)企業(yè)的核心系統(tǒng)每年都會由于機房掉電、交換機或者負載均衡堵塞、 數(shù)據(jù)庫宕機等原因造成核心系統(tǒng)故障，給企業(yè)造成的經(jīng)濟損失以百萬計。

現(xiàn)有的電網(wǎng)業(yè)務(wù)系統(tǒng)的管理架構(gòu)存在兩個不足之處：現(xiàn)有技術(shù)中不能及時發(fā)現(xiàn)系統(tǒng)的重大技術(shù)、web服務(wù)器和性能故障，且不能實現(xiàn)智能化告警，讓相關(guān)管 理人員可以迅速投入精力去排查問題，防止故障蔓延和更大的經(jīng)濟損失。由于電網(wǎng)系統(tǒng)技術(shù)架構(gòu)日益復(fù)雜，數(shù)據(jù)處理已經(jīng)向T級進軍，因此開發(fā)一種智能告警監(jiān)控系 統(tǒng)越來越具有戰(zhàn)略意義。

所述核心業(yè)務(wù)系統(tǒng)在網(wǎng)絡(luò)上的數(shù)據(jù)庫訪問腳本數(shù)據(jù)的具體步驟為：通過數(shù)據(jù)庫防火墻監(jiān)控獲得所述核心業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)報文中對于數(shù)據(jù)庫訪問的SQL腳本數(shù) 據(jù)，所述核心業(yè)務(wù)系統(tǒng)的監(jiān)控數(shù)據(jù)包括生成所述SQL腳本的數(shù)據(jù)庫交易時間，數(shù)據(jù)庫交易的SQL腳本等重要信息，包括預(yù)先設(shè)置業(yè)務(wù)系統(tǒng)對應(yīng)的閥值告警區(qū)間。 腳本數(shù)據(jù)可以是SQL腳本和pl/sql腳本數(shù)據(jù)，或者SQL net協(xié)議下的腳本數(shù)據(jù)。

設(shè)置閥值的告警區(qū)間，所采用的是通過其正常的監(jiān)控數(shù)據(jù)樣板的過去表現(xiàn)來預(yù)測其未來的流量趨勢來進行預(yù)警。根據(jù)電網(wǎng)核心業(yè)務(wù)的分析特點，內(nèi)部用戶在調(diào) 度業(yè)務(wù)流程，其訪問的并發(fā)數(shù)，產(chǎn)生的系統(tǒng)流量在某個觀察區(qū)間內(nèi)都相對比較穩(wěn)定，因此任何突然的流量上升或者下降都預(yù)示著某種可以預(yù)見的危險，需要立即引起 關(guān)注和持續(xù)跟蹤分析。例如由于網(wǎng)絡(luò)交換機或者負載均衡器的阻塞所造成的流量突然下降或者大規(guī)模的內(nèi)部網(wǎng)絡(luò)攻擊來偷竊客戶數(shù)據(jù)等嚴(yán)重安全泄密事件的發(fā)生。

從專利說明上來看，這是一種旁路部署的數(shù)據(jù)庫防火墻系統(tǒng)，電力行業(yè)與運營商行業(yè)略有不同，對業(yè)務(wù)系統(tǒng)的持續(xù)運行有更高的要求，同時業(yè)務(wù)系統(tǒng)出現(xiàn)的數(shù) 據(jù)庫安全風(fēng)險也希望有更強的關(guān)注。一旦出現(xiàn)業(yè)務(wù)系統(tǒng)的異常情況，通過郵件告知系統(tǒng)管理員加快處理響應(yīng)速度，避免出現(xiàn)更大的損失。

數(shù)據(jù)庫安全機制-金融

工行的一項專利提供一種數(shù)據(jù)庫的安全訪問控制系統(tǒng)，提升了數(shù)據(jù)庫系統(tǒng)的安全控制，降低了由于數(shù)據(jù)系統(tǒng)內(nèi)部的權(quán)限監(jiān)控不完善造成的非授權(quán)數(shù)據(jù)訪問造成的數(shù)據(jù)泄露。

數(shù)據(jù)來源服務(wù)器，與數(shù)據(jù)安全訪問控制服務(wù)器相連接，用于輸出數(shù)據(jù)庫訪問方式以及數(shù)據(jù)庫訪問日志；輸入終端，與數(shù)據(jù)安全訪問控制服務(wù)器相連接，用于采 集用戶輸入的數(shù)據(jù)庫訪問方式以及數(shù)據(jù)庫安全訪問請求信息，數(shù)據(jù)庫安全訪問請求信息包括數(shù)據(jù)庫對象數(shù)據(jù)、變更單號、事件單號；SQL請求發(fā)生器，與數(shù)據(jù)安全 訪問控制服務(wù)器相連接，用于采集SQL阻斷請求信息。

數(shù)據(jù)庫安全訪問控制服務(wù)器具體包括：采集部件，與所述的輸入終端、所述的數(shù)據(jù)來源服務(wù)器相連接，用于采集數(shù)據(jù)庫訪問方式以及數(shù)據(jù)庫訪問日志；解析部 件，與所述的采集部件相連接，用于按照數(shù)據(jù)庫訪問安全要素對所述的數(shù)據(jù)庫訪問方式以及數(shù)據(jù)庫訪問日志進行解析；格式化部件，與所述的解析部件相連，用于將 數(shù)據(jù)解析后的所述數(shù)據(jù)庫訪問方式及數(shù)據(jù)庫訪問日志中的結(jié)構(gòu)化查詢語言SQL語句進行格式化操作；識別結(jié)果輸出部件，與所述的解析部件相連接，用于根據(jù)格式 化操作后的數(shù)據(jù)庫訪問方式以及數(shù)據(jù)庫訪問日志分別識別所述的數(shù)據(jù)庫安全訪問請求信息以及SQL阻斷請求信息，生成并輸出對應(yīng)的識別結(jié)果。

銀行的數(shù)據(jù)庫中保存大量的客戶信息，例如：客戶的賬號、密碼等敏感信息；客戶信息等敏感數(shù)據(jù)的泄露，且該問題日益成為損害公眾利益、威脅企業(yè)健康發(fā)展以及對企業(yè)聲譽造成重大影響的信息安全問題。造成這種風(fēng)險的主要原因有兩個：

外部網(wǎng)絡(luò)的入侵造成的數(shù)據(jù)泄露；

數(shù)據(jù)系統(tǒng)內(nèi)部權(quán)限監(jiān)控不完善造成非授權(quán)數(shù)據(jù)訪問造成的數(shù)據(jù)泄漏。

現(xiàn)有技術(shù)中數(shù)據(jù)庫安全訪問控制包括兩個方面：

授權(quán)用戶的回收和發(fā)放；

數(shù)據(jù)保密性的審查，根據(jù)大量的數(shù)據(jù)查詢?nèi)罩具M行人工抽查，挑選涉及敏感數(shù)據(jù)且返回結(jié)果數(shù)量較大的情況詢問相關(guān)人員是否有正式的審批手續(xù)，以滿足保密性要求。

上述工作均耗費大量人力和時間，不但審查的覆蓋面和準(zhǔn)確度無法保證，而且部分高危行為審查難以滿足時效性要求，更沒有實現(xiàn)實時訪問控制。

因此，傳統(tǒng)的數(shù)據(jù)庫安全訪問控制的方法存在的滯后性和粗粒度性都無法滿足數(shù)據(jù)系統(tǒng)的數(shù)據(jù)安全，存在嚴(yán)重的安全隱患。這個發(fā)明專利采用的是數(shù)據(jù)庫防火墻系統(tǒng)，正好解決了金融行業(yè)的數(shù)據(jù)庫安全防護問題。

數(shù)據(jù)庫安全技術(shù)-應(yīng)用透明

數(shù)據(jù)庫加密包含了密碼、信息安全、數(shù)據(jù)庫等核心技術(shù)，技術(shù)難度號稱是數(shù)據(jù)庫安全領(lǐng)域的王冠。以加密技術(shù)為基礎(chǔ)的數(shù)據(jù)庫安全加固產(chǎn)品，往往具備兩大技 術(shù)瓶頸，即密文數(shù)據(jù)訪問的性能低下和應(yīng)用系統(tǒng)的透明性不高。直接導(dǎo)致加密保護后數(shù)據(jù)訪問的速度緩慢，以及應(yīng)用系統(tǒng)需要大量的改造，之前國內(nèi)的兩款數(shù)據(jù)庫加 密類產(chǎn)品，一直沒有有效地推廣和應(yīng)用，也是因為這兩大原因。 
 918搏天堂的《一種基于多級視圖和觸發(fā)器的數(shù)據(jù)庫透明加解密方法》，這個專利用于對關(guān)系型數(shù)據(jù)庫中的數(shù)據(jù)進行加密保護，防止信息被非法的竊取，在關(guān)系型數(shù)據(jù) 庫通用的視圖和觸發(fā)器的基礎(chǔ)上，通過實現(xiàn)多級視圖并結(jié)合基于行標(biāo)識的觸發(fā)器實現(xiàn)對敏感數(shù)據(jù)的自動加密和解密，達到對應(yīng)用透明的目標(biāo)，應(yīng)用系統(tǒng)無需改造；通 過多級視圖，實現(xiàn)對數(shù)據(jù)庫查詢行為的精確判定，從而可以針對不同種類的查詢行為，構(gòu)建專門的基于LRU緩存管理機制的密文和明文數(shù)據(jù)緩存策略，構(gòu)建對密文 數(shù)據(jù)進行批量預(yù)解密處理的策略，實現(xiàn)高效的密文查詢。

數(shù)據(jù)庫安全技術(shù)-密文索引

筆者在數(shù)據(jù)庫加密技術(shù)交流過程中，遇到最多的問題就是數(shù)據(jù)庫加密后，性能的損失有多大，比如：1千行記錄加密后會慢多少？實際上，由于數(shù)據(jù)庫服務(wù)器 的硬件性能提高，加解密技術(shù)與數(shù)據(jù)庫功能如緩存等有效結(jié)合，數(shù)據(jù)解密的時間并不是影響查詢性能的主要因素。下面我就用實驗數(shù)據(jù)來證明這個觀點：

如上三個圖所示，建立一個1000行的表，查詢時間是1.782秒，然后把姓名和賬號兩個字段加密，查詢時間是1.876秒，1千行記錄加密后查詢相差的時間約是0.1秒，對于有數(shù)據(jù)庫加密安全需求的用戶是完全可以接受的。

加密后不帶密文索引

不加密查詢時間

加密后帶密文索引的查詢時間

數(shù)據(jù)庫加密技術(shù)關(guān)鍵難點在于，如果從100萬行中以加密后的字段作為條件來查詢相應(yīng)的記錄，在原先明文索引已經(jīng)失效的情況下，快速地定位到這一行是 非常耗費時間的，需要整列解密然后再按條件查詢，如上圖所示，加密后不帶密文索引花了462.125秒（>7分鐘），而不加密的情況下同樣的查詢需 要時間僅0.094秒。

918搏天堂在《一種無偏序關(guān)系的數(shù)據(jù)庫密文索引方法》中有效的解決了這個問題。我們繼續(xù)上面的實驗，這次在NAME字段采用密文索引提高查詢速度，如 上圖所示是使用了0.36秒。專利技術(shù)使得918搏天堂數(shù)據(jù)庫加密系統(tǒng)突破了電信等高端應(yīng)用的性能瓶頸，確保億級數(shù)據(jù)規(guī)模下，性能幾乎不下降。

這個專利提供了一種基于無偏序關(guān)系的輕量級的密文索引結(jié)構(gòu)的索引建立、檢索和維護方法，這種結(jié)構(gòu)能夠表示索引中的節(jié)點關(guān)系，便于維護，維護代價低。 索引中存儲的數(shù)據(jù)是密文的，由于不存在數(shù)據(jù)之間的偏序關(guān)系，也就無法進行分析了，保證了數(shù)據(jù)的安全�；�于這種無偏序關(guān)系的密文索引的檢索方法，能夠?qū)γ芪?數(shù)據(jù)進行快速的檢索和定位；維護時能夠有效維護索引數(shù)據(jù)和節(jié)點關(guān)系，并保證索引數(shù)據(jù)在并發(fā)操作環(huán)境下的正確性。

結(jié)論

通過三個專利技術(shù)讓我們能看到運營商、電力、金融這三個行業(yè)的數(shù)據(jù)庫安全需求非常迫切，而且專利技術(shù)也有利于同行業(yè)的用戶借鑒，從而提高數(shù)據(jù)庫的安 全防護水平，具有廣泛推廣的價值。918搏天堂在數(shù)據(jù)庫安全領(lǐng)域里的應(yīng)用透明和密文索引的專利技術(shù)，的確提升了數(shù)據(jù)庫加密的應(yīng)用效果和成熟度。

隨著云計算技術(shù)的普及，按需調(diào)整硬件資源會極大節(jié)省成本，越來越多的政府、企業(yè)將自己重要的業(yè)務(wù)系統(tǒng)放到公有云上，那這些業(yè)務(wù)系統(tǒng)后臺核心數(shù)據(jù)庫如何確保敏感數(shù)據(jù)的安全問題就成為了重中之重，在云平臺上918搏天堂都提供了那些數(shù)據(jù)庫安全技術(shù)將在下一章中為網(wǎng)友呈現(xiàn)。