浅谈大数据背景下数据库安全保障体系

Posted 2022-08-08 阿里云云栖号

现阶段大数据产业的快速发展创造了极大的经济效益，大数据的出现推动了社会经济发展，但是随之而来的数据库安全问题也引起了学者对大数据信息安全问题的反思。大数据时代下的信息与隐私安全问题已经成为全球性重点关注的问题，为了能够更有效地避免数据安全问题发生，需要相关人员积极构建数据库安全保障体系。

1 数据库的安全威胁问题研究

数据库的信息安全问题得到了社会的普遍关注，从现有的数据库网络安全事件来看，其信息安全问题的风险具有范围广、影响大、突发性强等特征，并且可能产生严重的损失。与传统的攻击行为相比，数据库的网络安全问题呈现出以下特征：

（1）高技术性与高智能性特征。例如部分不法分子为了能够盗取数据库中的资料，会采用各种手段穿越防火墙，通过不断地攻击数据库的安全防护体系或注入SQL等方法篡改数据，导致数据大量流失。

（2）作案手段日益多样化。在大数据技术的支持下，不法分子威胁数据库的手段也呈现出了多样化的趋势，例如部分人员会运用程序的漏洞进行作案，甚至通过非法用户向管理人员非法授予操作权限的方法进行授权。

（3）网络安全问题不受地域与时间因素的显示，不法分子可以随时远程攻击数据库。（4）数据库攻击的隐蔽性较强，收集证据的难度较大。

文献认为，数据库作为一种特殊的信息存储结构，在大数据环境下所面临的信息安全隐患问题更加突出，表现为：

（1）在网络方面，大部分数据库采用了TCP/IP 的协议通信方式，而该协议本身存在弊端，难以有效鉴别通信双方的身份，导致数据库无法正确识别攻击者的身份而遭到严重破坏。

（2）在数据库管理系统上，大部分数据采用了DB2、SQL Server等商用数据库系统，这些数据库系统的技术条件成熟，但是在应用过程中，一些数据库的安全问题发生，例如关于SQL Server数据库的SQL 注入等。虽然现阶段各个厂商都在不断完善数据库等更新补丁包，但是大部分出于对数据库稳定性的考虑，通常会延后补丁的更新速度，最终导致数据库的漏洞难以第一时间被处理，最终成为安全隐患。

2 大数据背景下数据库安全技术分析

2.1 身份认证技术分析

为实现数据库安全对用户的身份进行认证是其中的重点。现阶段常用的数据库普遍采用“ID＋密码”的方式进行身份核实，即将用户的账号信息存储在数据字典等当用户产生连接需求之后，系统能够查询数据字典，并对用户的合法性进行判断。但是在大数据背景下，各种解密技术得到了快速的发展，导致 ID 认证方式面临挑战，因此鉴定人体信息的生物认证安全技术出现，通过语言识别、指纹识别的方法，对用户的身份进行判断。但从现有技术发展情况来看，身份认证技术尚未在数据库安全管理中得到运用，但是鉴于大数据的强大数据处理能力，可预见该技术在未来会具有广阔的发展前景。

2.2 访问控制技术

访问控制是数据库安全管理的核心内容，能够对规定主体的访问行为进行限制，避免出现任何不满足数据库安全的访问行为发生。

2.2.1 自主访问控制

目前自主访问控制是数据库信息安全中一种常见的访问控制技术，用户可结合自己的需求对系统的数据进行调整并判断哪些用户能够访问数据库。在此基础上，通过构建自主访问

控制模型，能够对访问客体的权限做进一步界定，这样当用户的身份被系统识别后，则可以对客体访问数据库的行为进行监控，用户只能在系统允许的范围内完成操作。作为一种灵活的控制策略，自主访问控制能够保障用户自主地将自己所拥有的权限赋予其他用户，操作过程灵活简单，因此大部分的商业数据库都会采用这种访问控制技术。

2.2.2 基于角色的访问控制

在数据库安全管理中，基于角色的访问控制作为一种新的控制方法，其主要特征为：在该技术中权限并不是直接赋予指定用户的。所以当用户与特定角色绑定之后，则可以通过将基于角色的访问控制过程进行划分，实现对权限的分配。

2.3 数据加密技术

数据加密技术主要包括库内加密与库外加密的方法，其中库内加密是在数据库内部设置加密模块，例如对数据内的相关列表进行加密，而库外加密则是通过特定的加密服务器完成加密与解密操作。在大数据环境下，大部分的数据库都能够提供数据加密功能，例如SQL Server数据库构建的多维度密钥保护与备份信息加密等。但是考虑到数据的特殊性，数据库所存储的信息量较大，在这种情况下可能对数据库的加密与加密的稳定性产生影响，因此用户可根据安全管理要求对数据库中的高度机密的数据做加密处理。

3 大数据背景下的数据库安全保障策略分析

在大数据背景下，应该围绕信息安全问题落实数据库安全管理方案，以大数据强大的数据处理能力结合数据库的功能诉求对数据库的安全保障方案进行改进。

3.1 角色访问控制策略分析

受大数据的影响，数据库的访问人数会快速增加，导致数据库所面临的安全风险更高。因此为了能够进一步保障数据库安全，则需要基于角色访问模型的数据库访问控制，为用户

分配数据库角色，最终使用户在数据库上获得相应的权限，进一步提高数据库安全质量。

本文基于大数据的技术要求，在数据库安全保障体系的设置上提出了一种新的集中管理模式——基于应用的角色访问模型，该模型能够对数据库的信息安全问题进行有效识别，通

过对应用数据库、安全中心的功能进行界定，进而明确数据库安全管理的角色与权限。在实施阶段，其中的重点内容包括：

（1）应用方案。在大数据系统中的应用系统中往往会存在大量的账户与用户群，所以在数据库安全保障体系建设中能够将任意一个用户的信息注册到安全中心中，这样数据库可以收录用户权限的有用信息，包括名称、属性、创建时间、应用用途等。

（2）子应用。数据安全管理应用方案需要根据环境进行分类，将数据库中的自应用作为特定类用户的集合，可用于实现数据库的安全管理。例如在数据库安全的子应用中，将DBA作为数据库管理员集合。

（3）数据库。这里所提到的数据库为特定数据库，为达到安全管理要求，将数据库注册到系统中并与相关安全软件相绑定，或者在特定的数据库环境下将对应的子应用创设到数据库中。

（4）用户。用户的数据安全需要与数据库的账户相连接，在数据库安全管理制定用户所属的子应用，并划分相应的权限即可。

3.2 攻击检测

大数据背景下的数据库安全形势严峻，数据库所承受的攻击数量巨大，通过开展攻击检测的方法能够发现滥用与异常的攻击行为。现阶段的大部分数据库都不具有攻击检测功能，所以在安全保障体系的构建中，本文根据技术数据挖掘与数据采集的要求，构建基于攻击检测的数据保全保障体系，通过该方法能够记录数据库被攻击情况，为实现数据库安全奠定基础。实时检测主要是针对各种已知的攻击方式，并将这种攻击以代码的形式存储在数据库中，按照数据库中所记录的数据判断系统是否遭受到攻击。该技术的具有较高的检测精度，但由于该技术无法对内部人员与未知攻击行为进行检测，所以本文在实时检测的基础上进一步完善了其中的功能，包括：

（1）登录失败检测。当系统检测到在特定时间段内频繁地出现登录失败的情况，则需要对该IP的用户登录情况进行检测。

（2）登录检测。若登录数据库的IP地址与以前登录过的地址不同，则需要警惕数据库安全问题。

（3）操作失败检测。针对特定时间内检测到的操作失败次数，检测无访问权限对象的登录行为。

（4）用户权限变更检测。其主要功能是检测用户的权限是否在满足规定的情况下进行变更。在该系统中，通过将关于系统安全的规则上传到数据库的审计中心中，再同步到各个数据中，由此实现对滥用规则的统一控制。在实时检测过程中，可在数据库添加两个触发器来完成对攻击的检测，包括：

（1）通过DDL触发器来抓取数据库的事物，并检测用户权限变更等情况，作为SQLServer数据库中的一种特有触发器，当数据库发生安全事件的同时能够做出响应，在各种数据库安全事件发生之后快速地捕捉信息并分析安全攻击行为的发生间隔，判断攻击事件是否有效。

（2）DML触发器具有跟踪审计信息的功能，针对数据库操作过程中的各种常见问题进行安全评估，包括操作失败事件、登录失败情况以及敏感用户对系统的访问等。当DML 检测到数据库遭受到攻击，则会退出攻击账户，保证数据库的安全。

3.3 数据库的安全防护机制

在数据库的安全防护中，可利用虚拟化平台来实现数据库的安全管理，为能够达到有效的安全防护目的，可采用以下措施进行数据库安全管理。

3.3.1 数据库的安全备份

数据备份的目的就是要为数据安全增添“第二把锁”，当前数据库的数据备份主要采用物理备份与逻辑备份相结合的方法，按照既定的时间要求对数据库中的数据进行存储。此时假设数据遭到攻击或者出现损害时，可以在原数据库的基础上调度备份数据，达到数据快速复原的目的。为实现该目的，可通过mysql恢复工具、导出数据等方法并引入数据信息的变化，最终有助于实现二进制文件保存，避免备份数据的滥用。

3.3.2 数据库的防火墙设置

防火墙是维护数据安全的关键，所以在设置防火墙期间，利用SQL数据库检测到的攻击痕迹将数据与数据库SQL语句运用到应用程序中，利用数据库防火墙的名单检测对任意一个针对数据库的操作行为进行检测，避免系统遭受注入攻击而造成数据损失。

4 结束语

在大数据背景下，数据库的安全保障管理更加复杂，为了能够更好地适应数据库管理要求，相关人员要充分发挥大数据技术优势，结合各种常见的数据库安全问题进行处置，这样才能有效降低数据库安全事件发生率，最终适应数据安全管理要求。

原文链接

本文为阿里云原创内容，未经允许不得转载。