跨不同平臺和云計算提供商托管的數據庫和其他數據存儲設施為網絡攻擊者提供了誘人的目標。通過在暗網市場上出售或加以利用竊取的大量信息，網絡攻擊者賺取巨額資金，其中包括利用個人和財務信息盜取資金或欺詐和勒索。企業的數據庫泄露行為違反GDPR法規和其他法規(例如即將出臺的《加利福尼亞消費者保護法》)，除了數據泄露遭受的損失之外，這些企業還有可能面臨巨額罰款。

因此，各種規模企業的數據庫經常受到持續的網絡攻擊。很多網絡入侵通常在更長時間內未被檢測到，這意味著數據庫需要受到被動和主動安全系統的保護。

這說起來容易做起來難。隨著數據庫基礎設施變得越來越復雜，保護其中信息的措施也變得越來越復雜。企業現在擁有可以托管在任何地方的數據庫(即內部部署數據中心、混合云、公共云和私有云)，這意味著對于最終的保護需要統一的安全、風險和符合性問題的策略。由于云計算環境中缺乏安全性的標準，使其安全保護變得更加復雜。亞馬遜、微軟和其他云計算提供商經常使用非常不同的工具和流程，這使得企業在操作多云設置時更加難以管理。

在尋求保護云中數據庫的安全性時，企業必須采取通常用于內部部署數據中心的所有安全措施。例如，企業仍然有必要知道那里有哪些資產，如何管理訪問以及有哪些數據驗證和保護。但是，許多企業組織錯誤地認為自己的云計算提供商將會滿足其所有隱私和安全需求，而實際上他們仍然必須自己承擔最終的安全責任。

了解自己的資產

隨著組織的成長、合并或收購其他組織，他們的數據庫資產和體系結構可能會擴展并變得越來越復雜。它們可以基于任何平臺上的任何位置，但是要確保無縫的業務流程，必須將它們鏈接在一起。在具有不同本地數據保護和隱私法律的國家中，這可能會構成嚴重的安全威脅，尤其是對于基于或已創建的數據庫而言。如果安全團隊不知道如何配置和保護數據庫，則威脅級別會增加。在更糟糕的情況下，安全團隊甚至根本不會意識到數據庫的存在。

這些數據庫為威脅行為者提供了竊取數據或破壞系統的巨大機會，而且更糟的是，與通過其他受保護程度更高的資產相比，它提供了更深入企業網絡的途徑。

企業準確了解資產是什么以及資產的位置對于有效的數據庫安全至關重要。資產監控需要實時地進行細化，安全團隊這樣就可以直接獲得數據或架構的任何變化的警報，這表明其安全系統已經被滲透。

管理訪問

當用戶可以從任何地方訪問文檔時，控制可以登錄到特定數據庫的人員及其相關特權是必不可少的安全措施。特權用戶訪問需要基于角色的規則和特權的強大訪問管理機制來構建。

操作最低權限的用戶權限管理策略可確保用戶只能訪問資源，并執行其工作角色所需的操作。這限制了企業對員工或外部威脅參與者未經授權訪問的暴露。

加強職責隔離是政府和監管機構經常需要的最佳實踐指南。這種方法要求企業證明對敏感數據的有效控制，這不僅是限制風險的一個好方法，而且還是證明合規性的一個有效方法。

為了有效地實施此類策略，企業安全團隊需要對異構數據庫環境中的所有權限進行監督和控制，以便能夠以一致的方式管理和消除過多的權限。

這也需要定期進行監視，最好是實時監視。每隔30天左右查看一次訪問日志可能會發現可疑活動的跡象，但將為網絡攻擊者留下未被發現的很大的時間窗口。精明的攻擊者也有可能竊取安全日志并對其進行操作以掩蓋其入侵活動。

除了檢測潛在威脅之外，實時監視還可以顯示長期未使用的數據庫帳戶，這表明它們可能不再需要訪問，并且可以取消其特權。這是一個很好的實踐，因為相關人員可能已經更改了工作角色，并且需要訪問不同的數據集，或者根本不需要訪問。如果權限不隨工作角色而改變，某些工作人員可能有權訪問整個數據庫區域，而他們不再有資格通過過度暴露的數據創建安全問題。當然如果需要，可以很容易地恢復特權。要實現對用戶權限評估的這種監督和控制，每個數據庫實例可能需要80個工時。因此，企業應該尋求自動化。

數據庫活動監視(DAM)可以自動檢測數據泄露事件或看起來可疑的用戶活動。數據庫活動監視(DAM)解決方案可以自動應用操作，如終止用戶會話或鎖定帳戶，以及觸發其他腳本操作，例如啟動惡意軟件掃描。此外，該解決方案可用于立即通知安全小組，然后安全小組可以進行調查，并在必要時采取行動，防止任何可能的威脅。

加密和數據驗證

許多云計算提供商將為客戶提供運行冗余數據實例作為備份措施的選擇，這意味著即使服務器由于任何原因崩潰而不會丟失信息。盡管這可能很有用，但這些冗余實例可能與世界其他地方的服務器位于完全不同的服務器上。在這種情況下，企業有責任確保每個包含其數據副本的數據庫均已正確配置并保證安全。

這使得了解數據的安全性變得更加不確定。為了消除這種情況，組織應該考慮增加更多的加密和細粒度的數據控制。由于數據不是簡單地在企業網絡中存儲、訪問和傳輸，而是通過不同的服務提供商在多個網絡中，所有信息都需要在空閑時、在使用中和在可能的情況下被加密。這意味著，即使有人確實訪問數據庫，它們也不能夠在沒有解密密鑰的情況下讀取數據。

結論

即使在最簡單的同質環境中，保護數據庫安全也是一項復雜但必要的任務，需要一系列安全策略和過程。跨平臺托管、本地部署、在云中或以混合模型部署的數據庫是一個挑戰，即使大型企業的IT團隊也難以實施有效的保護。用戶越來越多地使用多個云計算服務提供商的服務這一事實使情況變得更加復雜。諸如GDPR法規和即將發布的CCPA等數據安全和隱私法規，也意味著保護基于云計算的數據庫比以往任何時候都更加重要。

企業需要對基于云計算的資產采取基于風險的方法，評估安全事件的潛在威脅和影響，并將其與對安全的投資進行平衡。

自動化數據庫管理的關鍵要素是保護云安全的最有效選擇之一。漏洞管理、用戶權限管理和活動監視的關鍵元素都可以從自動化中受益，從而有助于確保數據的安全性，而不會給資源有限的安全團隊帶來更大的負擔。