在信息化高度发展的今天，数据库系统作为存储和处理关键业务数据的核心组件，其安全性直接关系到数据资产的完整、保密和可用性。随着《网络安全法》和《数据安全法》等法律法规的颁布，关基、企事业单位更加注重和加强了对其数据库的防护。很多网络安全厂商也都推出了数据库安全网关系统，协助用户保护数据库系统。
1.数据库安全网关定义
数据库安全网关通过对数据库客户端访问数据库服务的网络报文的解析，还原出访问数据库的用户、SQL访问操作等，形成审计日志，并对非法的异常的SQL访问操作做管控，实现“事中管控、事后审计”的要求。数据库安全网关一般由基本核心组件和应用系统组成。基本核心组件包括硬件元器件、操作系统和数据库，应用系统实现数据库的审计与防护功能。
数据库安全网关主要用于关基单位、企事业单位，部署在单位的核心数据库资产之前，系统还原出针对数据库的SQL访问操作并记录。系统部署的环境以及系统所能接触的数据都是核心和机密的，因此系统本身的安全性和保密性尤为重要。针对系统的安全和保密性考虑，涉及五大安全服务，包括鉴别服务、访问控制服务、数据机密性服务、数据完整性服务和抗抵赖性服务。鉴别服务保证了系统的认证安全，访问控制服务确保系统的访问权限可控，数据机密性和完整性保证了系统存储数据的机密、不被篡改等。除此之外，系统的重要基本核心组件，还应当考虑国产化和自主可控，确保这些组件不会有“后门”。
数据库安全网关一般是“软硬一体”的，根据这一特点及其功能点，应该从基本核心组件安全、应用系统安全、持久化数据安全三个方面设计系统的安全和保密性，打造其安全可控。
2.基本核心组件安全可控
基本核心组件安全，涉及硬件元器件、操作系统和数据库三个部分。
硬件元器件方面，首先考虑CPU的国产化，综合考虑国产化程度、自主可控技术以及供货持久度，可以采用鲲鹏、飞腾、海光等国产化CPU，其性能也能达到实用程度。网卡芯片方面，因涉及网络通讯和数据采集，也需要选择诸如网讯之类的国产化芯片。此外，内存、电源和存储介质等元器件也都都应该选择国产化供应商。
其次在操作系统方面，麒麟、统信、欧拉等厂商推出了符合中国信息安全测评中心要求的国产化操作系统，可以选择合适的操作系统或者内核。为提升可靠性，应该对系统的文件系统进行处理，一般地，文件系统应以自研格式加密形式存储，系统每次启动时解密、解压并以只读方式挂载文件系统，确保文件系统不会被篡改。系统应无root用户，受控用户可以通过命令行方式登录系统进行维护，保证了系统不会被越权操作。文件系统中应仅保留必需的服务，裁剪不需要和可能带来安全隐患的服务和命令，做到文件系统的最小化。
最后，在数据存储方面，审计日志需要持久化存储，而且审计日志是关于用户的数据库访问行为，应该选择符合中国信息安全测评中心要求的数据库，确保用户数据的安全。
3.应用系统安全可控
应用系统安全主要从系统的鉴别服务和访问控制来保证。
在鉴别服务方面，因为系统一般采用B/S架构风格实现，可通过浏览器管理系统，系统应强制使用国密通讯，保证网络通讯的安全性。系统应采用改进型的JWT方式进行认证，在JWT中增加了盐和时间戳，保证系统不会被重放攻击。系统还应支持多种认证方式，包括密码、Ukey、证书等，并强制使用验证码，防止机器人攻击。此外，系统应对密码强度做要求，并要求用户首次登录修改密码、定期修改密码。
在访问控制方面，首先，系统应以RBAC方式进行权限控制。系统应内置系统管理员、审计员和业务操作员三种角色。系统管理员具备系统配置相关权限，业务操作员具备业务功能管理权限，审计员具备对系统管理员和业务操作员的操作日志查看权限。其次，系统应内置防火墙实现访问行为的控制。系统限制对外提供除HTTPS和SSH外的其他服务，限制可访问系统的IP、接口，并对允许访问系统的IP、Mac进行绑定，防止非法未授权用户访问系统。通过鉴别服务和访问控制，可极大的提升系统的安全性和保密性。
4.持久化数据安全可控
持久化数据安全方面，根据持久化数据的类型不同选择不同的安全保密方式。持久化数据包括系统配置数据和审计日志数据两部分。
对于系统配置数据，因为数据量不会很大，则采用全量加密方式存储，系统启动后解密到内存中使用。如果配置中涉及到密码信息，则计算MD5后进行加密存储，系统不直接存储明文的密码。
对于审计日志数据，在存储到数据库前，先对敏感信息（如用户访问数据库的密码）脱敏处理，保证用户信息不泄露。为保证审计日志数据的安全性，系统应支持将审计日志数据备份到外置存储（如SAN、NAS）上。备份方式支持增量备份和全量备份；备份时机支持定期备份和即时备份。此外，系统应内置多块数据存储介质，每块存储介质可独立提供存储服务，审计日志数据以非冗余的方式分布式存储在多个存储介质上，以降低单块存储介质损坏带来的数据丢失风险。对系统中需要持久化的数据加密、备份、分布式存储，实现了数据的保密性和安全性。
5.结语
随着数据安全法律法规、条例的实施与推进，随着用户对“数据“的安全意识越来越突出，数据库安全网关也将会进一步发挥作用。中美贸易战、科技战、网络战等无处不在，安全无小事，用户在选择数据库防护设备的时候，除考虑功能外，也应该将安全可控放在首位。目前，有很多的安全厂商已发布相关产品，如天融信发布的数据库审计与防护系统（TopDAP）即是一款专业的数据库安全防护产品，具备功能丰富、国产化程度高、安全可控等特点。
原创文章，作者：lishengli，如若转载，请注明出处：https://www.lishengli.com/lee/4389.html
