歡迎收聽西虹市電臺(tái)早間晨報(bào)：
T公司系統(tǒng)在 3 月18 日遭到了網(wǎng)絡(luò)犯罪攻擊，數(shù)百萬客戶和潛在客戶的數(shù)據(jù)因此泄密。
C研究院在4月29日?qǐng)?bào)告，一個(gè)含有約3500萬個(gè)人詳細(xì)信息的神秘營銷數(shù)據(jù)庫泄露在網(wǎng)上，居然未設(shè)密碼。
......
安全事件頻發(fā) 數(shù)據(jù)安全應(yīng)該怎么做？
關(guān)掉廣播，H經(jīng)理開始和員工就數(shù)據(jù)安全問題展開討論：
H經(jīng)理：近期數(shù)據(jù)隱私泄露事件頻發(fā)，涉及面廣，影響力大，不少企業(yè)因此陷入數(shù)據(jù)保護(hù)合規(guī)與社會(huì)輿情壓力的雙重危機(jī)。我剛剛排查了一下我們R系統(tǒng)的數(shù)據(jù)庫,發(fā)現(xiàn)數(shù)據(jù)文件里面存的都是明文數(shù)據(jù)！
蔡小X：那有信息泄露的風(fēng)險(xiǎn)啦，敏感數(shù)據(jù)需要加密存儲(chǔ)。
H經(jīng)理：我還能查到別人的敏感信息。而且隨便試了幾個(gè)賬戶密碼都猜對(duì)了，還是默認(rèn)的簡單密碼。
蔡小X: 我們數(shù)據(jù)庫沒有進(jìn)行權(quán)限管理，賬號(hào)密碼也沒有規(guī)則強(qiáng)度限制。
H經(jīng)理：不對(duì)，我上周增加的一條數(shù)據(jù)是誰給我改了?
蔡小X: ......我們應(yīng)用沒有記錄操作者的功能。
H經(jīng)理：不行！數(shù)據(jù)庫完全沒有安全防護(hù)措施呀，你馬上去市立醫(yī)院找專家華生·K咨詢，讓他給一些針對(duì)性的處理方案。
蔡小X: 好的，我馬上去！
尋醫(yī)問藥 金倉KES帶來新生機(jī)！
蔡小X火速趕到市立醫(yī)院，在填寫了R系統(tǒng)數(shù)據(jù)庫現(xiàn)狀和安全需求表后，找到專家華生·K尋求良方。華生·K在聽取蔡小X的問題后，給出了使用KingbaseES數(shù)據(jù)庫來滿足R系統(tǒng)的安全性需求的建議。
KingbaseES提供的安全特性可以應(yīng)對(duì)復(fù)雜多樣的安全業(yè)務(wù)場景。針對(duì)各種安全威脅KingbaseES都有解決方案。KingbaseES分別從仿冒、篡改、抵賴、信息泄露、拒絕服務(wù)、權(quán)限提升這六類安全威脅進(jìn)行安全防護(hù)。
然而，針對(duì)KingbaseES數(shù)據(jù)庫的安全方案，蔡小x仍舊存在著一些疑惑：
七問七答
金倉KES筑牢企業(yè)數(shù)據(jù)安全之盾！
一問：防仿冒
蔡小X：很多網(wǎng)站系統(tǒng)都有用戶密碼泄露的現(xiàn)象，我們R系統(tǒng)的很多用戶密碼設(shè)置的很簡單，KingbaseES數(shù)據(jù)庫如何防止用戶的非法訪問？
華生·K：KingbaseES通過用戶標(biāo)識(shí)和基于強(qiáng)化口令的身份鑒別去管理用戶，還支持強(qiáng)訪問控制功能，來抵抗仿冒攻擊的安全威脅。
用戶標(biāo)識(shí)與鑒別
KingbaseES默認(rèn)的口令加密算法為SCRAM-SHA-256。它是按照RFC 7677中的描述執(zhí)行SCRAM-SHA-256認(rèn)證，可以防止在不可信連接上對(duì)口令的嗅探并且支持在服務(wù)器上以一種加密哈希的方式存放口令。
KingbaseES數(shù)據(jù)庫的用戶信息及密碼存儲(chǔ)在一個(gè)名為sys_authid的數(shù)據(jù)表中。以下是KES數(shù)據(jù)庫中口令的加密形式，sys_authid表的rolpassword字段顯示了加密后的密鑰：
在KES中，密碼從 sys_user中隱藏起來，這進(jìn)一步的增強(qiáng)了安全性，即便具有訪問視圖權(quán)限的用戶，也無法獲得口令的加密串。
對(duì)于密碼維護(hù)，KingbaseES 支持密碼復(fù)雜度檢查、密碼有效期和密碼歷史等機(jī)制。以下是KingbaseES數(shù)據(jù)庫中密碼復(fù)雜度檢查形式，可以根據(jù)需要自行設(shè)置密碼復(fù)雜度要求：
這上面設(shè)置，就是密碼長度最小10 字節(jié)，字母、數(shù)字最少3 個(gè)，特殊字符最少一個(gè)。
針對(duì)用戶登錄，KingbaseES也做了相應(yīng)的身份認(rèn)證機(jī)制包括支持異常登錄鎖定、登錄信息顯示、空閑自動(dòng)斷開連接等身份認(rèn)證機(jī)制。
此外，KingbaseES 支持多種登錄方式，還可以限制用戶登錄IP。同樣的異常登錄鎖定也可以根據(jù)需要自行配置，比如設(shè)置密碼連續(xù)最大失敗次數(shù)為10，密碼連續(xù)失敗鎖定次數(shù)為6，被封鎖用戶的自動(dòng)解封時(shí)間為1 小時(shí)。
訪問控制
KingbaseES 采用多種控制手段確保用戶訪問數(shù)據(jù)的合法性和安全性，并有效防止非法用戶的未授權(quán)訪問。包括自主訪問控制和強(qiáng)制訪問控制。
KingbaseES 采用ACL(存取控制列表) 技術(shù)實(shí)現(xiàn)了用戶對(duì)于自有表和列(字段) 的自主訪問控制。用戶可自主授權(quán)其他用戶和角色對(duì)自有數(shù)據(jù)對(duì)象上的操作權(quán)限。當(dāng)一個(gè)用戶訪問某個(gè)數(shù)據(jù)表/列時(shí)，自主訪問控制將依據(jù)ACL 檢查該用戶對(duì)訪問對(duì)象的訪問權(quán)限是否合法，用以決定接受還是拒絕本次用戶的訪問行為。
二問：防篡改
蔡小X：R系統(tǒng)的數(shù)據(jù)都是通過網(wǎng)絡(luò)傳輸進(jìn)行修改，傳輸過程中數(shù)據(jù)庫有辦法保證安全性嗎？
華生·K：當(dāng)攻擊者試圖通過網(wǎng)絡(luò)破壞用戶數(shù)據(jù)文件，或者截取傳輸過程中的數(shù)據(jù)，KingbaseES使用傳輸完整性保護(hù)和用戶數(shù)據(jù)完整性保護(hù)功能進(jìn)行防篡改保護(hù)。
數(shù)據(jù)庫通過SSL 通信進(jìn)行傳輸完整性保護(hù)，配置SSL 傳輸加密。
通過在每個(gè)數(shù)據(jù)塊頭增加“數(shù)據(jù)水印”，KingbaseES 實(shí)現(xiàn)了數(shù)據(jù)存儲(chǔ)過程中的完整性校驗(yàn)和保護(hù)。每次讀磁盤時(shí)，自動(dòng)進(jìn)行數(shù)據(jù)水印校驗(yàn)。每次寫磁盤時(shí)，自動(dòng)更新數(shù)據(jù)水印。數(shù)據(jù)校驗(yàn)支持CRC、SM3、SM3_HMAC 算法。
三問：防信息泄露
蔡小X：R系統(tǒng)現(xiàn)在的數(shù)據(jù)都是明文，很容易發(fā)生數(shù)據(jù)泄露。KingbaseES如何防止數(shù)據(jù)泄露？
華生·K：KingbaseES有加密機(jī)制專門防止信息泄露。包括透明存儲(chǔ)加密、非透明加密、數(shù)據(jù)脫敏、客體重用，其中透明加密包括加密對(duì)象，加密引擎，加密備份恢復(fù)以及配置文件加密。
透明存儲(chǔ)加密
KingbaseES 實(shí)現(xiàn)了數(shù)據(jù)寫到磁盤上時(shí)對(duì)其進(jìn)行加密，當(dāng)授權(quán)用戶重新讀取數(shù)據(jù)時(shí)再對(duì)其進(jìn)行解密。無需對(duì)應(yīng)用程序進(jìn)行修改，授權(quán)用戶甚至不會(huì)注意到數(shù)據(jù)已經(jīng)在存儲(chǔ)介質(zhì)上加密，加密解密過程對(duì)用戶都是透明的。加密對(duì)象目前包含兩種，分別是表空間和表，對(duì)應(yīng)的加密方式為表空間加密和表加密。需要注意的是不同的加密方式是互斥的，同一加密對(duì)象不允許同時(shí)支持多種加密方式。
表空間加密
四問：防抵賴
蔡小X：我們還發(fā)現(xiàn)有時(shí)候數(shù)據(jù)被非法修改，但又沒有記錄是誰進(jìn)行的修改操作。KingbaseES如何處理這種情況呢？
華生·K：任何系統(tǒng)的安全保護(hù)措施都不是完美無缺的，蓄意盜竊，破壞數(shù)據(jù)的人總是想方設(shè)法打破控制，審計(jì)功能將用戶對(duì)數(shù)據(jù)庫的所有操作自動(dòng)記錄下來放入審計(jì)日志中，審計(jì)員可以通過對(duì)審計(jì)日志的分析，對(duì)潛在的威脅提前采取有效的措施加以防范。KingbaseES 數(shù)據(jù)庫提供了一套完整的審計(jì)機(jī)制，用來保證對(duì)數(shù)據(jù)庫中的各種行為進(jìn)行監(jiān)控，進(jìn)而為數(shù)據(jù)庫的安全、可靠和有效提供有力的保障。
審計(jì)
KingbaseES 實(shí)現(xiàn)了審計(jì)功能記錄用戶的行為，主要實(shí)現(xiàn)了服務(wù)器實(shí)例級(jí)別審計(jì)、語句級(jí)別審計(jì)、模式對(duì)象級(jí)別審計(jì)。
根據(jù)審計(jì)用戶的不同，需要使用不同用戶進(jìn)行審計(jì)規(guī)則設(shè)置：數(shù)據(jù)庫審計(jì)員負(fù)責(zé)設(shè)置對(duì)超級(jí)用戶（包括數(shù)據(jù)庫管理員）及數(shù)據(jù)庫安全員 的審計(jì)規(guī)則；數(shù)據(jù)庫安全員負(fù)責(zé)設(shè)置對(duì)普通用戶和數(shù)據(jù)庫審計(jì)員的審計(jì)規(guī)則。
數(shù)據(jù)庫審計(jì)員和數(shù)據(jù)庫安全員登錄數(shù)據(jù)庫之后，可以直接設(shè)置審計(jì)規(guī)則：
數(shù)據(jù)庫審計(jì)員和數(shù)據(jù)庫安全員可以在security 數(shù)據(jù)庫下查詢系統(tǒng)視圖來查看相應(yīng)的審計(jì)日志：
五問：防權(quán)限提升
蔡小X：R系統(tǒng)中很多普通用戶都有超級(jí)用戶的權(quán)限，這樣會(huì)很不安全，KingbaseES數(shù)據(jù)庫有權(quán)限管理機(jī)制嗎？
華生·K：KingbaseES 采用了三權(quán)分立的安全管理體制，數(shù)據(jù)庫三權(quán)分立是為了解決數(shù)據(jù)庫超級(jí)用戶權(quán)力過度集中的問題，參照行政、立法、司法三權(quán)分立的原則來設(shè)計(jì)的安全管理機(jī)制。
三權(quán)分立
KingbaseES把數(shù)據(jù)庫管理員分為數(shù)據(jù)庫管理員、安全管理員、審計(jì)管理員三類。
數(shù)據(jù)庫管理員
主要負(fù)責(zé)執(zhí)行數(shù)據(jù)庫日常管理的各種操作和自主存取控制。
安全管理員
主要負(fù)責(zé)強(qiáng)制存取控制規(guī)則的制定和管理。
審計(jì)管理員
主要負(fù)責(zé)數(shù)據(jù)庫的審計(jì)，監(jiān)督前兩類用戶的操作。三權(quán)分立堵住了濫用數(shù)據(jù)庫超級(jí)用戶特權(quán)的安全漏洞，進(jìn)一步提高了數(shù)據(jù)庫的整體安全性。KingbaseES 允許修改安全員和審計(jì)員的用戶名。
此外，KingbaseES 還通過受限D(zhuǎn)BA、安全管理員sso 執(zhí)行DCL 等機(jī)制，進(jìn)一步限制數(shù)據(jù)庫管理員的權(quán)限。
六問：防拒絕服務(wù)
蔡小X：我們還發(fā)現(xiàn)系統(tǒng)存在某些用戶占用過多資源，導(dǎo)致其他用戶無法使用數(shù)據(jù)庫。KingbaseES是怎么樣避免這種情況呢？
華生·K：KingbaseES可以限制用戶使用的存儲(chǔ)空間和CPU 資源，KingbaseES 通過kdb_resource_group 插件來實(shí)現(xiàn)用戶限額功能, 通過sys_spacequota插件實(shí)現(xiàn)用戶表空間限額。
七問：安全資質(zhì)
蔡小X:目前看來，KingbaseES數(shù)據(jù)庫確實(shí)能消滅R系統(tǒng)的不安全漏洞。但請(qǐng)問KingbaseES有相關(guān)的安全資質(zhì)證書嗎？
華生·K：這個(gè)可以完全放心。人大金倉的KingbaseES是獲得安全資質(zhì)最全，安全等級(jí)最高的數(shù)據(jù)庫產(chǎn)品。也是率先通過公安部計(jì)算機(jī)信息系統(tǒng)安全產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)中心的強(qiáng)制性安全認(rèn)證，并獲得銷售許可證的數(shù)據(jù)庫產(chǎn)品。已獲取的資質(zhì)證書有：
蔡小X:太棒了，我馬上回去向領(lǐng)導(dǎo)匯報(bào)，將數(shù)據(jù)庫升級(jí)為KingbaseES，有全面的安全解決方案并且證書資質(zhì)齊全。
華生·K：快去吧，使用KingbaseES再也不用害怕數(shù)據(jù)庫安全威脅了。
結(jié)語
KingbaseES 是自主研發(fā)的高安全性數(shù)據(jù)庫產(chǎn)品，通過全新的結(jié)構(gòu)化系統(tǒng)設(shè)計(jì)和強(qiáng)化的多樣化強(qiáng)制訪問控制模型框架，開發(fā)了多個(gè)高等級(jí)的安全特性，并完整實(shí)現(xiàn)包括特權(quán)分立、身份鑒別、多樣化訪問控制、用戶數(shù)據(jù)保護(hù)、審計(jì)等在內(nèi)的全部結(jié)構(gòu)化保護(hù)級(jí)的技術(shù)和功能要求。KingbaseES縱深防御，為數(shù)據(jù)庫安全保駕護(hù)航！
華生·K——金倉技術(shù)支持的代稱。
他們精通運(yùn)維十八般武藝，擅長為客戶解決疑難雜癥，排憂解難，于云霧籠罩中搜尋線索，在重重線索下抽絲剝繭，令各類數(shù)據(jù)庫故障聞風(fēng)喪膽。
他們on call 24，以客戶為中心，隨時(shí)等待客戶的召喚，運(yùn)籌方寸間，維護(hù)八方外，以血肉之軀為客戶鑄就最后一道防火墻。
線索千絲萬縷，故障一順到底！
金倉數(shù)據(jù)庫，給您最好的服務(wù)體驗(yàn)！
