歡迎收聽西虹市電臺早間晨報：
T公司系統在 3 月18 日遭到了網絡犯罪攻擊，數百萬客戶和潛在客戶的數據因此泄密。
C研究院在4月29日報告，一個含有約3500萬個人詳細信息的神秘營銷數據庫泄露在網上，居然未設密碼。
......
安全事件頻發 數據安全應該怎么做？
關掉廣播，H經理開始和員工就數據安全問題展開討論：
H經理：近期數據隱私泄露事件頻發，涉及面廣，影響力大，不少企業因此陷入數據保護合規與社會輿情壓力的雙重危機。我剛剛排查了一下我們R系統的數據庫,發現數據文件里面存的都是明文數據！
蔡小X：那有信息泄露的風險啦，敏感數據需要加密存儲。
H經理：我還能查到別人的敏感信息。而且隨便試了幾個賬戶密碼都猜對了，還是默認的簡單密碼。
蔡小X: 我們數據庫沒有進行權限管理，賬號密碼也沒有規則強度限制。
H經理：不對，我上周增加的一條數據是誰給我改了?
蔡小X: ......我們應用沒有記錄操作者的功能。
H經理：不行！數據庫完全沒有安全防護措施呀，你馬上去市立醫院找專家華生·K咨詢，讓他給一些針對性的處理方案。
蔡小X: 好的，我馬上去！
尋醫問藥 金倉KES帶來新生機！
蔡小X火速趕到市立醫院，在填寫了R系統數據庫現狀和安全需求表后，找到專家華生·K尋求良方。華生·K在聽取蔡小X的問題后，給出了使用KingbaseES數據庫來滿足R系統的安全性需求的建議。
KingbaseES提供的安全特性可以應對復雜多樣的安全業務場景。針對各種安全威脅KingbaseES都有解決方案。KingbaseES分別從仿冒、篡改、抵賴、信息泄露、拒絕服務、權限提升這六類安全威脅進行安全防護。
然而，針對KingbaseES數據庫的安全方案，蔡小x仍舊存在著一些疑惑：
七問七答
金倉KES筑牢企業數據安全之盾！
一問：防仿冒
蔡小X：很多網站系統都有用戶密碼泄露的現象，我們R系統的很多用戶密碼設置的很簡單，KingbaseES數據庫如何防止用戶的非法訪問？
華生·K：KingbaseES通過用戶標識和基于強化口令的身份鑒別去管理用戶，還支持強訪問控制功能，來抵抗仿冒攻擊的安全威脅。
用戶標識與鑒別
KingbaseES默認的口令加密算法為SCRAM-SHA-256。它是按照RFC 7677中的描述執行SCRAM-SHA-256認證，可以防止在不可信連接上對口令的嗅探并且支持在服務器上以一種加密哈希的方式存放口令。
KingbaseES數據庫的用戶信息及密碼存儲在一個名為sys_authid的數據表中。以下是KES數據庫中口令的加密形式，sys_authid表的rolpassword字段顯示了加密后的密鑰：
在KES中，密碼從 sys_user中隱藏起來，這進一步的增強了安全性，即便具有訪問視圖權限的用戶，也無法獲得口令的加密串。
對于密碼維護，KingbaseES 支持密碼復雜度檢查、密碼有效期和密碼歷史等機制。以下是KingbaseES數據庫中密碼復雜度檢查形式，可以根據需要自行設置密碼復雜度要求：
這上面設置，就是密碼長度最小10 字節，字母、數字最少3 個，特殊字符最少一個。
針對用戶登錄，KingbaseES也做了相應的身份認證機制包括支持異常登錄鎖定、登錄信息顯示、空閑自動斷開連接等身份認證機制。
此外，KingbaseES 支持多種登錄方式，還可以限制用戶登錄IP。同樣的異常登錄鎖定也可以根據需要自行配置，比如設置密碼連續最大失敗次數為10，密碼連續失敗鎖定次數為6，被封鎖用戶的自動解封時間為1 小時。
訪問控制
KingbaseES 采用多種控制手段確保用戶訪問數據的合法性和安全性，并有效防止非法用戶的未授權訪問。包括自主訪問控制和強制訪問控制。
KingbaseES 采用ACL(存取控制列表) 技術實現了用戶對于自有表和列(字段) 的自主訪問控制。用戶可自主授權其他用戶和角色對自有數據對象上的操作權限。當一個用戶訪問某個數據表/列時，自主訪問控制將依據ACL 檢查該用戶對訪問對象的訪問權限是否合法，用以決定接受還是拒絕本次用戶的訪問行為。
二問：防篡改
蔡小X：R系統的數據都是通過網絡傳輸進行修改，傳輸過程中數據庫有辦法保證安全性嗎？
華生·K：當攻擊者試圖通過網絡破壞用戶數據文件，或者截取傳輸過程中的數據，KingbaseES使用傳輸完整性保護和用戶數據完整性保護功能進行防篡改保護。
數據庫通過SSL 通信進行傳輸完整性保護，配置SSL 傳輸加密。
通過在每個數據塊頭增加“數據水印”，KingbaseES 實現了數據存儲過程中的完整性校驗和保護。每次讀磁盤時，自動進行數據水印校驗。每次寫磁盤時，自動更新數據水印。數據校驗支持CRC、SM3、SM3_HMAC 算法。
三問：防信息泄露
蔡小X：R系統現在的數據都是明文，很容易發生數據泄露。KingbaseES如何防止數據泄露？
華生·K：KingbaseES有加密機制專門防止信息泄露。包括透明存儲加密、非透明加密、數據脫敏、客體重用，其中透明加密包括加密對象，加密引擎，加密備份恢復以及配置文件加密。
透明存儲加密
KingbaseES 實現了數據寫到磁盤上時對其進行加密，當授權用戶重新讀取數據時再對其進行解密。無需對應用程序進行修改，授權用戶甚至不會注意到數據已經在存儲介質上加密，加密解密過程對用戶都是透明的。加密對象目前包含兩種，分別是表空間和表，對應的加密方式為表空間加密和表加密。需要注意的是不同的加密方式是互斥的，同一加密對象不允許同時支持多種加密方式。
表空間加密
四問：防抵賴
蔡小X：我們還發現有時候數據被非法修改，但又沒有記錄是誰進行的修改操作。KingbaseES如何處理這種情況呢？
華生·K：任何系統的安全保護措施都不是完美無缺的，蓄意盜竊，破壞數據的人總是想方設法打破控制，審計功能將用戶對數據庫的所有操作自動記錄下來放入審計日志中，審計員可以通過對審計日志的分析，對潛在的威脅提前采取有效的措施加以防范。KingbaseES 數據庫提供了一套完整的審計機制，用來保證對數據庫中的各種行為進行監控，進而為數據庫的安全、可靠和有效提供有力的保障。
審計
KingbaseES 實現了審計功能記錄用戶的行為，主要實現了服務器實例級別審計、語句級別審計、模式對象級別審計。
根據審計用戶的不同，需要使用不同用戶進行審計規則設置：數據庫審計員負責設置對超級用戶（包括數據庫管理員）及數據庫安全員 的審計規則；數據庫安全員負責設置對普通用戶和數據庫審計員的審計規則。
數據庫審計員和數據庫安全員登錄數據庫之后，可以直接設置審計規則：
數據庫審計員和數據庫安全員可以在security 數據庫下查詢系統視圖來查看相應的審計日志：
五問：防權限提升
蔡小X：R系統中很多普通用戶都有超級用戶的權限，這樣會很不安全，KingbaseES數據庫有權限管理機制嗎？
華生·K：KingbaseES 采用了三權分立的安全管理體制，數據庫三權分立是為了解決數據庫超級用戶權力過度集中的問題，參照行政、立法、司法三權分立的原則來設計的安全管理機制。
三權分立
KingbaseES把數據庫管理員分為數據庫管理員、安全管理員、審計管理員三類。
數據庫管理員
主要負責執行數據庫日常管理的各種操作和自主存取控制。
安全管理員
主要負責強制存取控制規則的制定和管理。
審計管理員
主要負責數據庫的審計，監督前兩類用戶的操作。三權分立堵住了濫用數據庫超級用戶特權的安全漏洞，進一步提高了數據庫的整體安全性。KingbaseES 允許修改安全員和審計員的用戶名。
此外，KingbaseES 還通過受限DBA、安全管理員sso 執行DCL 等機制，進一步限制數據庫管理員的權限。
六問：防拒絕服務
蔡小X：我們還發現系統存在某些用戶占用過多資源，導致其他用戶無法使用數據庫。KingbaseES是怎么樣避免這種情況呢？
華生·K：KingbaseES可以限制用戶使用的存儲空間和CPU 資源，KingbaseES 通過kdb_resource_group 插件來實現用戶限額功能, 通過sys_spacequota插件實現用戶表空間限額。
七問：安全資質
蔡小X:目前看來，KingbaseES數據庫確實能消滅R系統的不安全漏洞。但請問KingbaseES有相關的安全資質證書嗎？
華生·K：這個可以完全放心。人大金倉的KingbaseES是獲得安全資質最全，安全等級最高的數據庫產品。也是率先通過公安部計算機信息系統安全產品質量監督檢驗中心的強制性安全認證，并獲得銷售許可證的數據庫產品。已獲取的資質證書有：
蔡小X:太棒了，我馬上回去向領導匯報，將數據庫升級為KingbaseES，有全面的安全解決方案并且證書資質齊全。
華生·K：快去吧，使用KingbaseES再也不用害怕數據庫安全威脅了。
結語
KingbaseES 是自主研發的高安全性數據庫產品，通過全新的結構化系統設計和強化的多樣化強制訪問控制模型框架，開發了多個高等級的安全特性，并完整實現包括特權分立、身份鑒別、多樣化訪問控制、用戶數據保護、審計等在內的全部結構化保護級的技術和功能要求。KingbaseES縱深防御，為數據庫安全保駕護航！
華生·K——金倉技術支持的代稱。
他們精通運維十八般武藝，擅長為客戶解決疑難雜癥，排憂解難，于云霧籠罩中搜尋線索，在重重線索下抽絲剝繭，令各類數據庫故障聞風喪膽。
他們on call 24，以客戶為中心，隨時等待客戶的召喚，運籌方寸間，維護八方外，以血肉之軀為客戶鑄就最后一道防火墻。
線索千絲萬縷，故障一順到底！
金倉數據庫，給您最好的服務體驗！
