【大咖來了第9期】數(shù)據(jù)安全之?dāng)?shù)據(jù)庫安全黃金法則

作者：侯圣文 2019-12-27 17:25:13

本期出席《大咖來了》直播欄目的嘉賓是貝殼找房技術(shù)總監(jiān)侯圣文，分享主題為《數(shù)據(jù)安全之?dāng)?shù)據(jù)庫安全黃金法則》，過程中以O(shè)racle數(shù)據(jù)庫安全加固為例，詳盡闡述了如何把管理混亂數(shù)據(jù)庫規(guī)范化的三十六大黃金法則。

【51CTO.com原創(chuàng)稿件】本期出席《大咖來了》直播欄目的嘉賓是貝殼找房技術(shù)總監(jiān)侯圣文，分享主題為《數(shù)據(jù)安全之?dāng)?shù)據(jù)庫安全黃金法則》，過程中以O(shè)racle數(shù)據(jù)庫安全加固為例，詳盡闡述了如何把管理混亂數(shù)據(jù)庫規(guī)范化的三十六大黃金法則。

數(shù)據(jù)庫安全運(yùn)籌帷幄三十六計(jì)

根據(jù)多年在數(shù)據(jù)行業(yè)摸爬滾打，積淀下來的經(jīng)驗(yàn)心得，分享一個(gè)“向左向右”的理論。

在數(shù)據(jù)庫安全領(lǐng)域，左，是走為上計(jì)，相當(dāng)于逃跑機(jī)制，當(dāng)沒有有效安全機(jī)制來保證數(shù)據(jù)庫安全時(shí)，一旦發(fā)生重大故障，最后只能被動(dòng)離開。右，是運(yùn)籌帷幄之決勝千里之外，相當(dāng)于把很多安全的動(dòng)作前置，避免數(shù)據(jù)庫出現(xiàn)問題后束手無策。向左還是向右，答案顯而易見。

接下來我們?cè)俜治鱿庐?dāng)前數(shù)據(jù)現(xiàn)狀，如下圖。

管理規(guī)范的數(shù)據(jù)庫除了數(shù)據(jù)庫名不同，其他都相同，所謂相同是指安全加固的方式與保障規(guī)范，只有規(guī)范化才能工具化，只有工具化才能產(chǎn)品化，只有產(chǎn)品化才能過渡到真正無人職守的狀態(tài)下依然智能加固。反之，管理混亂的數(shù)據(jù)庫除了數(shù)據(jù)庫名字相同，其他都不同，所謂不同是指配置零亂、存在各種部署問題，也就存在著各種安全風(fēng)險(xiǎn)和漏洞。

那么如何把管理混亂數(shù)據(jù)庫規(guī)范化，達(dá)到運(yùn)籌帷幄的狀態(tài)呢？這里總結(jié)了三十六大黃金法則分享給大家，如下圖所示。

以實(shí)際生產(chǎn)對(duì)環(huán)境的安全加固深厚經(jīng)驗(yàn)為依據(jù)，在不同階段、針對(duì)不同維度進(jìn)行拆分，把三十六計(jì)分為勝戰(zhàn)計(jì)、敵戰(zhàn)計(jì)、攻戰(zhàn)計(jì)、混戰(zhàn)計(jì)和敗戰(zhàn)計(jì)五個(gè)方向。

勝戰(zhàn)計(jì)

何為勝戰(zhàn)計(jì)？以不戰(zhàn)而驅(qū)人之兵者，是為勝戰(zhàn)。在實(shí)際生產(chǎn)環(huán)境下，運(yùn)維過程中，故障在所難免，需要做好成分的準(zhǔn)備和規(guī)范，就可以有效減少故障、規(guī)避和繞過故障。這個(gè)方向總共有八計(jì)，下面我們逐一進(jìn)行詳盡闡述。

第一計(jì)：有效的備份重于一切

對(duì)于一個(gè)DBA或數(shù)據(jù)安全的捍衛(wèi)者，如果沒有進(jìn)行有效備份，當(dāng)遇到重大故障的時(shí)候，能做的也只有走為上計(jì)，這種是多方都不希望發(fā)生的狀態(tài)。所以，要有效備份，有備無患，這樣當(dāng)災(zāi)難來臨的時(shí)候，才能夠做到心中有底，手中不慌。

所謂的災(zāi)難就是數(shù)據(jù)被誤刪除、修改、篡改，只要有備份，才會(huì)有恢復(fù)的可能性。雖存在時(shí)效性的問題，數(shù)據(jù)量越恢復(fù)成本就會(huì)越高，也可能不會(huì)瞬間恢復(fù)，但如建有完備的災(zāi)備方案，恢復(fù)時(shí)間會(huì)很好把控。

沒有備份是唯一讓DBA或者數(shù)據(jù)安全員在夢(mèng)中驚醒的事，因?yàn)閿?shù)據(jù)本身就是業(yè)務(wù)，數(shù)據(jù)本身就是生產(chǎn)環(huán)境最核心的資產(chǎn)，要用敬畏之心面對(duì)生產(chǎn)數(shù)據(jù)庫。

第二計(jì)：制定應(yīng)急預(yù)案和進(jìn)行演習(xí)

雖有備份，但恢復(fù)過程中，發(fā)現(xiàn)備份介質(zhì)不可用怎么辦？所以一定要制定應(yīng)急預(yù)案，確保方案有效可執(zhí)行的同時(shí)，一定要堅(jiān)持進(jìn)行演習(xí)，沒有演練預(yù)案全是紙上談兵。還有就是就算沒有真實(shí)的故障，每季度或半年一年做介質(zhì)的有效性驗(yàn)證，避免在恢復(fù)過程中消耗時(shí)間。

第三計(jì)：建立容災(zāi)或異地備份

在實(shí)際生產(chǎn)環(huán)境中，生產(chǎn)機(jī)房往往是在同一個(gè)地點(diǎn)，雖把備份放到本地服務(wù)器，出現(xiàn)極端的情況怎么辦，如因?yàn)樽匀辉颍麄€(gè)機(jī)房毀掉，依然起不到有效保障。很多特殊情況都是一定要保證數(shù)據(jù)留存性的，如銀行級(jí)、電信級(jí)，絕對(duì)不允許數(shù)據(jù)丟失，那么就需要建立容災(zāi)站點(diǎn)或異地備份。

第四計(jì)：數(shù)據(jù)歸檔和讀寫分離

任何一個(gè)生產(chǎn)環(huán)境，隨時(shí)間推移，業(yè)務(wù)增加，數(shù)據(jù)會(huì)越來越多，導(dǎo)致數(shù)據(jù)庫的讀寫和性能會(huì)越來越差，積累到一定程度便會(huì)影響生產(chǎn)環(huán)境的正常使用，故一定要做數(shù)據(jù)歸檔。數(shù)據(jù)歸檔既可以把數(shù)據(jù)做離線保存、防止數(shù)據(jù)丟失的同時(shí)，又使得主生產(chǎn)數(shù)據(jù)庫性能得到一個(gè)最大保障。讀寫分離是一定要做的，把主站點(diǎn)做一定的拆解放到另一個(gè)站點(diǎn)，這樣另外讀庫的動(dòng)作就可以在另外站點(diǎn)進(jìn)行，寫庫動(dòng)作可以在主庫進(jìn)行操作。

切記要建立數(shù)據(jù)歸檔機(jī)制，比如對(duì)數(shù)據(jù)進(jìn)行分級(jí)，哪些是生產(chǎn)環(huán)境主操作數(shù)據(jù)，哪些是可以做歸檔。需要在架構(gòu)上做優(yōu)先的設(shè)計(jì)之后，再去實(shí)現(xiàn)讀寫分離。

第五計(jì)：測(cè)試和生產(chǎn)環(huán)境隔離

DBA經(jīng)常會(huì)犯的問題就是主操設(shè)備既用來生成又進(jìn)行測(cè)試，這樣會(huì)存在很大風(fēng)險(xiǎn)，一旦不小心連錯(cuò)庫，就直接威脅到生產(chǎn)環(huán)境的數(shù)據(jù)安全。這里強(qiáng)烈建議一定要做網(wǎng)絡(luò)級(jí)的隔離，切記絕對(duì)一定不能在生產(chǎn)環(huán)境中進(jìn)行測(cè)試。

這些還需要注意兩點(diǎn)，一個(gè)是數(shù)據(jù)庫應(yīng)處于應(yīng)用系統(tǒng)的最后端，并進(jìn)行保護(hù)，另一個(gè)是避免將其置于對(duì)外的訪問鏈接之下，需要內(nèi)網(wǎng)環(huán)境下對(duì)其進(jìn)行操作。

第六計(jì)：部署標(biāo)準(zhǔn)和完善的監(jiān)控體系

故障在所難免，要第一時(shí)間發(fā)現(xiàn)并解決問題，這就需要有一套部署標(biāo)準(zhǔn)和完善的監(jiān)控體系。監(jiān)控的目的是為了預(yù)警，為了更早的發(fā)現(xiàn)故障，不需要等業(yè)務(wù)反饋不能用或數(shù)據(jù)丟失，被動(dòng)進(jìn)行處理，那就為時(shí)已晚。

第七計(jì)：制訂規(guī)范并貫徹執(zhí)行

經(jīng)過逐年累月的實(shí)踐會(huì)有很多經(jīng)驗(yàn)，把這些歸納總結(jié)，制定成規(guī)范且貫徹執(zhí)行，是減少故障的基礎(chǔ)。基于全面的規(guī)范可推動(dòng)開發(fā)和運(yùn)維人員更加標(biāo)準(zhǔn)化。

一旦標(biāo)準(zhǔn)化成型，就有了參照，有了基線，進(jìn)而未來才能進(jìn)行工具化、產(chǎn)品化建設(shè)，待數(shù)據(jù)盤點(diǎn)后，智能化運(yùn)維或安全加固的策劃也將成為可能。

第八計(jì)：運(yùn)維自動(dòng)化和智能化

如何做到運(yùn)維自動(dòng)化呢？就是把運(yùn)維的各種策略和變更盡可能用腳本或工具管理進(jìn)行實(shí)現(xiàn)，這也是未來必然要走的路徑，每個(gè)企業(yè)都應(yīng)該投放精力、人力、財(cái)力進(jìn)行建設(shè)，之后真的會(huì)極大的節(jié)省大量人工成本。

從工具化，轉(zhuǎn)到自動(dòng)化，之后在進(jìn)行智能化的探索推進(jìn)運(yùn)維體系的持續(xù)提升，直到所有故障都可以在業(yè)務(wù)無感知的情況下提前處理，不需要人工干預(yù)。到了那時(shí)候，運(yùn)維人員就可以做更多預(yù)測(cè)性、盤點(diǎn)性工作，向業(yè)務(wù)側(cè)傾斜，充分體現(xiàn)出自身對(duì)業(yè)務(wù)和產(chǎn)品的價(jià)值。

根據(jù)多年數(shù)據(jù)安全行業(yè)經(jīng)驗(yàn)把這些計(jì)策總結(jié)出來，以方便大家進(jìn)行參考，當(dāng)然這些計(jì)策必須可以在實(shí)際生產(chǎn)環(huán)境當(dāng)中落地實(shí)踐，欲知余下二十八計(jì)，請(qǐng)戳視頻連接：

http://aix.51cto.com/activity/10019.html

《個(gè)人簡(jiǎn)介》

侯圣文，北京大學(xué)理學(xué)碩士，現(xiàn)任貝殼找房技術(shù)總監(jiān)，Oracle ACE總監(jiān)，阿里云MVP，OCM聯(lián)盟創(chuàng)始人，中國(guó)Oracle用戶組（ACOUG）核心成員，中國(guó)Cloudera用戶組（ACCUG）創(chuàng)始人，TiDB用戶組TUG聯(lián)合創(chuàng)始人，恩墨學(xué)院創(chuàng)始人，ITPUB資深版主，DataGURU專家團(tuán)成員，《SQL和PL/SQL深度編程》譯者。

【51CTO原創(chuàng)稿件，合作站點(diǎn)轉(zhuǎn)載請(qǐng)注明原文作者和出處為51CTO.com】