云上数据安全防护

Posted 2021-10-11 dream_heheda

1.数据安全概述

数据漏洞，数据篡改，数据丢失，数据被非法访问，正常用户无法访问等

数据安全可以分为两大类：数据本身的安全和数据防护的安全

数据本身的安全：保密性，完整性，可用性

• 保密性：控制各个可以泄密的环节，不能把数据泄露给没有授权的个人合适。加密，证书
• 完整性：数据存储，传输过程中不被修改，破坏，插入，不延迟，不乱序等特征。　完整性验证
• 可用性：通过冗余的手段实现可用性。主备实例，异地实例

数据防护的安全：物理安全，安全防护

数据防护安全是指因存储介质受损，人为措施窃取破坏或者病毒导致的数据泄露。包括物理安全和安全防护

• 物理安全：及时备份和恢复
• 安全防护：数据访问授权和审批

阿里云的数据安全防护

阿里云从以下几个方面来实现数据安全防护：数据备份和容灾；数据加密；数据传输安全

2.数据备份，恢复和容灾

常见的不同级别的备份方法

• 按地理位置
  • 本地备份：不同机房，不同交换机
  • 同城备份：不同数据中心，数据中心之间的电力网络互相隔离
  • 异地备份
• 按备份模式
  • 物理备份：数据块级别；以磁盘按块为单位，将数据复制到备机，忽略了文件和结构，处理过程简洁，开销比较小，性能比较高。不受文件系统限制
  • 逻辑备份：文件级别；以文件为单位，将数据复制到备机。比如数据库按照库表的级别备份就是逻辑备份。磁盘开销比较大，性能比较低，比较难做到实时备份。会受到文件系统制约
• 按时效性：
  • 热备
  • 冷备

1.云服务ECS备份与恢复--快照

云服务器ECS使用快照来现实数据的备份，恢复。

快照：就是某一时间点上某一磁盘的数据备份

阿里云提供了快照机制，通过为云盘创建快照，您可以保留一个或多个时间点的磁盘数据拷贝。

快照机制：第一个快照是全量快照，以后是增量快照

2.云数据库RDS备份与恢复

备份与恢复：为了保证数据的安全性，必须定期进行数据库的备份，当数据库损坏或系统崩溃时可以将过去制作的备份恢复到数据库服务器中。阿里云云数据库RDS提供了备份与恢复机制：

备份：可以通过设置备份策略调整RDS数据库备份和日志备份的周期来实现自动备份，也可以通过手动备份RDS数据。备份是保存在OSS集群中

恢复：支持按备份集和制定时间点的恢复

3.云数据库RDS数据导入、导出

云数据库RDS可以进行数据导入导出，以用于数据库的备份和还原：

• 导出即将云数据库(表)导出到本地数据库(表)文件
• 导入即将该数据库(表)文件导入（还原）到云数据库中

云数据库RDS分为两种：

• 数据本身的导入导出：通过DMS实现
• 备份文件的导出： 通过控制台实现，包括数据备份，日志备份

4.云数据库RDS高可用版、灾备实例

RDS产品系列有基础版，高可用版，集群版和三节点企业版

高可用版：

RDS高可用版采用一主一备的经典高可用架构，热备架构，物理服务器出现故障后服务秒级完成切换。整个切换过程对应用透明

灾备实例：

RDS提供异地灾备实例，帮助用户提升数据可靠性。实例和灾备实例均搭建主备高可用架构。主节点(Master)和备节点(Slave)均无法连接时，可将异地灾备实例切换为主实例

5.云存储OSS多副本&异地备份

OSS多副本：云存储OSS提供多数据备份功能，可靠性达99.999999999%

异地备份：云存储OSS提供跨区域复制功能，将本地的数据自动复制到异地的数据中心去。整个复制过程无需用户人工参与，0运维成本，无需运维人员及托管费用

3.数据加密

介绍一下数据加密技术和阿里云上各种服务如何用数据加密技术来保障用户数据安全。

加密的必要性

数据加密技术

1.常见的加密算法

• 对称加密算法：加密解密用相同的密钥
• 非对称加密算法：加密解密用不同的密钥，public key 和 private key
• 哈希（HASH,摘要）算法：单向，不可逆的算法，哈希值不能转换回原来的值

2.如何选择加密算法和密钥

加密算法的效能通常可以按照算法本身的复杂程度，密钥长度（密钥越长越安全），加密解密速度等来衡量。

下面介绍一下阿里云上各种服务如何用数据加密技术来保障用户数据安全

1.密钥管理服务KMS

密钥管理服务概念和优势

密钥管理服务KMS（Key Management Service）是阿里提供的密钥的安全托管及密码运算等服务。借助密钥管理服务，用户可安全，便捷的使用密钥，专注于开发加解密功能场景。

功能包括：加密密钥的托管，自带密钥（BYOK），自动轮转加密密钥，简单的密码运算API等。与多个阿里云产品无缝集成：云服务器ECS，云数据库RDS，对象存储OSS，访问控制RAM，操作审计ActionTrail

密钥管理服务--解决的问题

信封加密：将加密数据的加密密钥放入信封中

密钥管理服务--适用场景

 

 

2.阿里云加密服务

阿里云加密服务（Ali Cloud Data Encryption Service）是云上的数据安全加密解决方案，服务底层使用经国家密码管理局检测认证的硬件密码机，帮助客户满足数据安全方面的监管合规要求，确保云上业务数据的隐私性和机密性。

客户可以借助云加密服务实现对加密密钥的完全控制和进行加解密操作。

金融支付领域的加解密支持。权限认证：设备与敏感信息管理分离。高可用性保障

加密服务使用方法：

1. 购买并创建加密服务实例，并分配私有IP地址（VPC网络）
2. 填写地址，接收身份认证卡USB key
3. 安装实例管理端，使用身份卡USB key对实例进行管理
4. 安装安全代理程序，并通过实例管理端对其授权
5. 通过代理程序调用加密服务实例，对业务数据进行指定的加解密运算

加密服务支持的加密算法：全面支持国产算法以及部分国际通用密码算法

1. 对称加密算法：SM1 SM4 DES 3DES AES等
2. 非对称加密算法：SM2 RSA 等
3. 摘要算法：SM3 SHA1 SHA256 SHA384等

加密服务的特点

 3.云数据库加密存储---TDE透明数据加密

对实例数据文件执行实时I/O加密解密：数据在写入磁盘前加密，从磁盘读入内存时解密

不会增加数据文件的大小，开发人员无需更改任何应用程序

会增加CPU使用率

4.云存储OSS加密存储---客户端加密保护数据

客户端加密：用户数据在发送给远端服务器之前就完成加密，加密所用的密钥的明文只保留在本地。

保证用户数据安全，即使数据泄露别人也无法解密得到原始数据

5.云存储OSS数据完整性验证

数据在客户端和服务器之间传输时可能会出错，OSS现在支持对各种方式上传的object返回其CRC64值，客户端可以和本地计算的CRC64值做对比。用到了Hash算法

4.数据传输安全

流量劫持

数据传输安全要求保护网络上被传输的信息，以防止被动地和主动地侵犯。流量就是网络上传输的数据量，流量劫持就是目前最典型的数据传输安全风险。流量劫持包括：数据劫持和域名劫持

HTTP协议和HTTPS协议

有效的HTTPS安全传输

CA证书

CA是指Certificate Authority也叫证书授权中心。CA证书就是CA颁发的证书。

CA证书的作用：

1. 验证网站是否可信，针对HTTPS
2. 验证某文件是否可信：是否被篡改

CA证书的趋势

1. 谷歌、火狐等主流浏览器对HTTP页面提出警告
2. 苹果ios强制开启ATS标准
3. HTTP/2协议只支持HTTPS
4. HTTPS提升搜索排名
5. 英美强制要求所有政府网站启用HTTPS
6. 超级权限应用禁止适用HTTP连接

SSL证书：避免数据劫持

SSL证书也称为云盾证书服务Ali Cloud Certificate Service。数字证书审核成功后，可以推送到其它阿里云产品，包括CDN，DDoS高防IP，WAF，及SLB服务

适用场景

1. 场景1：用户网站服务由HTTP协议转换成HTTPS协议
2. 场景2：阿里云CDN，SLB服务上适用HTTPS协议

 HTTPDNS：避免域名劫持

SSL证书可以避免数据劫持，然后可以使用HTTPDNS避免域名劫持。

HTTPDNS是阿里云向移动开发者推出的一款域名解析产品，具有域名防劫持，精准调度的特性

HTTPDNS原理

HTTPDNS使用场景

由于通过HTTPSDNS进行域名解析获取IP信息后，需要基于该IP信息进行网络请求，即需要具备定制网络请求的能力。因此HTTPDNS比较适用于C/S架构的应用场景

浏览器环境下B/S架构由于客户端的网络实现对于开发者而言是黑盒过程，无法定制DNS与网络请求的实现，因此不适合在该场景下使用HTTPDNS 

如何使用HTTPDNS

5.数据库审计

常见的数据库攻击手段

1. 破解弱口令或者默认的用户名及口令
2. 特权提升
3. 利用未用的和不需要的数据库服务和功能中的漏洞
4. 针对未打补丁的数据库漏洞
5. SQL注入
6. 窃取备份（未加密）的磁带
7. 数据库审计主要功能

数据库审计服务

数据库审计服务是一款专业，主动，实时监控数据库安全的审计产品，满足对数据审计及日志数据留存的要求。可针对SQL注入，风险操作等数据风险操作行为进行记录与告警。可用于审计阿里云平台中的RDS云数据库，ECS自建数据库和NoSQL数据库。

数据库审计通过旁路检测方式，不影响数据库运行效率，实现灵活的审计与监控。

数据库审计功能特性

数据库审计提供用户行为发现审计，多维度线索分析，实时报警和报表功能

1. 用户审计：用户行为发现审计
2. 多维度线索分析
3. 实时告警：异常操作，SQL注入，黑白名单实时告警
4. 针对各种异常行为的精细化报表

 数据库审计应用场景

可用于审计阿里云平台中的RDS云数据库，ECS自建数据库和NoSQL数据库。

数据库审计适用流程

完成购买数据库审计实例后，需要将数据库添加至数据库审计系统中并部署相应的Agent程序，将数据库接入数据库审计系统后，系统才能对数据库进行审计

1. 购买并启用数据库审计实例
2. 登录数据库审计系统
3. 添加被审计的数据库实例
4. 部署Agent程序