干貨必讀！深度剖析企業(yè)如何做好數據安全防護

值得一提的是，企業(yè)上云大潮的趨勢下，討論數據安全絕大部分要從云環(huán)境出發(fā)。

引言

數據安全對企業(yè)生存發(fā)展有著(zhù)舉足輕重的影響，數據資產(chǎn)的外泄、破壞都會(huì )導致企業(yè)無(wú)可挽回的經(jīng)濟損失和核心競爭力缺失，而往往絕大多數中小企業(yè)側重的是業(yè)務(wù)的快速發(fā)展，忽略了數據安全重要性。近年來(lái)，企業(yè)由于自身的安全防護機制不嚴謹，引發(fā)的數據安全事件頻發(fā)。拋開(kāi)事件本身的人為因素不談，如何從技術(shù)角度避免類(lèi)似的事件發(fā)生，才是我們需要認真總結的。

一、當前企業(yè)面臨的數據安全現狀

數據安全是企業(yè)CIO、CTO、IT 管理員以及老板在選擇使用任何IT產(chǎn)品時(shí)最需要考慮的問(wèn)題之一，在當下云時(shí)代，公有云，私有云或者IDC哪個(gè)選擇更加安全，一直是企業(yè)管理者必要考量的因素之一。

對于這個(gè)問(wèn)題，其實(shí)很多人的認知存在一個(gè)誤區，即認為只有硬件是自己的，里面的數據才是自己可控的，這樣才是安全的。但其實(shí)不然，數據本身和實(shí)物有很大的區別，數據是由二進(jìn)制的0和1構成，是不是在身邊并不能決定數據安全與否，因為數據的泄露或者改動(dòng)根本不需要成本，只需要一次網(wǎng)絡(luò )的傳輸就完成了。

其次，分析一個(gè)安全事件背后的原因，往往都和技術(shù)、流程以及人的因素有關(guān)。比如，如果技術(shù)方面選型不當，數據沒(méi)有物理備份或者異地備份，往往會(huì )造成不可恢復的影響；制度與流程方面給予單人權限過(guò)高，先不說(shuō)故意破壞，誤操作也是致命的；人為因素包括誤操作，小到崩潰一個(gè)服務(wù)器，大到刪除核心數據庫，這些都是經(jīng)常發(fā)生的事情。當然，也存在外部的威脅，比如黑客入侵，友商的惡意網(wǎng)絡(luò )攻擊等。

所以，無(wú)論是把業(yè)務(wù)部署在自有的IDC，還是托管IDC里，只要暴露在公網(wǎng)下，也都是存在威脅。一臺設備無(wú)論托管在IDC中，還是部署在公有云，只要是有公網(wǎng)入口的服務(wù)器，業(yè)務(wù)的安全都是需要投入大量資源與精力去保障維護的。

二、解決之道，如何避免數據安全事故的發(fā)生

數據安全保障的原則有很多，道理都懂，可為什么還是有很多企業(yè)選擇自建設數據庫系統，但是依舊忽略了數據安全？實(shí)際上，由于企業(yè)自身技術(shù)實(shí)力，管理水平，以及IT資源方面投入等因素，其實(shí)是很難實(shí)現上述提到的數據安全策略的 。

以分布式存儲系統建設為例，開(kāi)源和自建的成本都不小，采用開(kāi)源方案，比如Ceph ，GlusterFS等，維護一套幾十臺服務(wù)器的集群，至少需要1 -2名資深存儲工程師，且要能完全完全掌握全棧技術(shù)細節，國內也找不出幾個(gè)人，數據丟失風(fēng)險挑戰不小。同樣，要能維護好一套數據庫的生產(chǎn)和備份集群，對普通DBA的要求也不低。選擇商業(yè)私有化部署的產(chǎn)品，動(dòng)輒幾十萬(wàn)的投入也是一般企業(yè)難以承受的。

1、數據庫的安全策略

目前企業(yè)的數據庫有自建數據庫和使用云數據庫兩種。作為企業(yè)的重要資產(chǎn)，數據庫一旦出現丟失、損毀，后果將不堪設想，那么如果做才能讓數據更安全呢？這里的建議是無(wú)論是自建還是使用云產(chǎn)品都要做好備份。

對于已經(jīng)在使用自建數據庫的用戶(hù)，應急方案需要將通過(guò)binlog或者其他備份文件進(jìn)行恢復的詳細步驟記錄在案，并且能夠定期做到演練，保證這樣的方案在問(wèn)題真正發(fā)生時(shí)能夠真正跑通。另外，需要有聯(lián)系好的第三方較專(zhuān)業(yè)的數據恢復公司，以免發(fā)生備份文件也被刪除的情況下從磁盤(pán)恢復數據的能力。針對云服務(wù)器自建服務(wù)器的場(chǎng)景，需要結合云廠(chǎng)商提供的定期云盤(pán)快照功能來(lái)做數據恢復。而針對云數據庫場(chǎng)景，不用太過(guò)擔心數據丟失的問(wèn)題，但是要能夠熟練掌握云上數據庫回檔的方法。

拋開(kāi)成本不說(shuō)，相比自建數據庫，云數據庫在安全以及性?xún)r(jià)比方面優(yōu)勢要更加明顯。云數據庫在簡(jiǎn)化運維操作的同時(shí)也可以極大程度的保護業(yè)務(wù)數據。結合冷備和binlog，云數據庫可以提供7-732天內任意時(shí)間點(diǎn)數據回檔能力。在數據遭遇被極端破壞的情況下，可以直接使用云數據庫的回檔功能，將數據恢復到被破壞時(shí)間點(diǎn)之前。

2、快照、快照，云主機要定期快照

快照指的是數據集合在某個(gè)時(shí)間點(diǎn)（拷貝開(kāi)始的時(shí)間點(diǎn)）的完整拷貝或者鏡像，當生產(chǎn)系統數據丟失時(shí)，可通過(guò)快照完整的恢復到快照時(shí)間點(diǎn)，是一種重要的數據容災手段。

快照的主要用途在于容災，對生產(chǎn)系統的milestone進(jìn)行備份。通過(guò)對指定云硬盤(pán)進(jìn)行完全可用的拷貝，使該備份獨立于云硬盤(pán)的生命周期?？煺瞻ㄓ脖P(pán)在拷貝開(kāi)始的時(shí)間點(diǎn)的數據，并且不占據用戶(hù)的存儲空間。以騰訊云來(lái)說(shuō)，將以冗余的方式把用戶(hù)創(chuàng )建的快照存儲在對象存儲中，從而進(jìn)一步確保了備份的可靠性?？煺盏脑隽總浞?，意味著(zhù)僅保存更改的數據，這將盡可能縮短創(chuàng )建快照所需的時(shí)間，且可以節省存儲成本。

3、做好云賬號權限管控

云賬號管理權限管控，可以幫助客戶(hù)安全管理騰訊云賬戶(hù)下的資源的訪(fǎng)問(wèn)權限。用戶(hù)通過(guò) CAM 創(chuàng )建、管理和銷(xiāo)毀用戶(hù)(組)，并使用身份管理和策略管理控制其他用戶(hù)使用云資源的權限，使云賬戶(hù)下的資源訪(fǎng)問(wèn)權限粒度可控，降低誤操作或非必要操作引起的數據損壞、丟失的風(fēng)險。

CAM 通過(guò)以下功能支持權限清晰、安全可控方案，比如，可以在主賬號里創(chuàng )建子賬號，給子賬號分配主賬號下資源的管理權限，而不需要分享主賬號的相關(guān)的身份憑證。

另外，可以針對不同的資源，授權給不同的人員不同的訪(fǎng)問(wèn)權限。例如，可以允許某些子賬號擁有某個(gè) COS 存儲桶的讀權限，而另外一些子賬號或者主賬號可以擁有某個(gè) COS 存儲對象的寫(xiě)權限等。這里的資源、訪(fǎng)問(wèn)權限、用戶(hù)都可以批量打包，從而做到精細化的權限管理。

4、對重要數據實(shí)施分級管理并做好加密

在數據安全保護層面，從網(wǎng)絡(luò )為中心轉向以數據為中心的全生命周期保護策略。即實(shí)施數據分類(lèi)分級，對數據生命周期狀態(tài)進(jìn)行梳理，根據不同的數據敏感等級以及數據使用狀態(tài)，統籌規劃相應的數據加密、脫敏、審計等數據保護策略，確保數據安全全程可控。針對影響業(yè)務(wù)運營(yíng)的核心重要數據，應在數據的產(chǎn)生、流動(dòng)、存儲、使用及銷(xiāo)毀過(guò)程中應用密碼技術(shù)進(jìn)行保護，并實(shí)施資源級細粒度的身份認證和訪(fǎng)問(wèn)控制，防止外部黑客攻擊以及內部的非授權人員訪(fǎng)問(wèn)帶來(lái)的業(yè)務(wù)數據安全風(fēng)險問(wèn)題。

5、建立全生命周期的數據安全防護

數據生命周期涵蓋數據的創(chuàng )建、存儲、使用、共享、歸檔到銷(xiāo)毀等多個(gè)階段，面對來(lái)自外部攻擊，內部泄露與大數據共享等多方面的威脅。不同威脅的防護手段千差萬(wàn)別。

針對外部攻擊，采用身份認證，數據庫審計，加密網(wǎng)關(guān)保護核心數據不受外部攻擊的威脅；

針對內部數據泄露，采用4A與DLP等安全能力，全面保護企業(yè)運維，辦公，數據分析等場(chǎng)景的數據防泄漏風(fēng)險；

針對大數據共享中的數據泄露問(wèn)題，建設脫敏，水印，加密，審計與權限管控等安全能力。

因此，企業(yè)需要從整體上梳理風(fēng)險點(diǎn)，進(jìn)而進(jìn)行統籌和聯(lián)動(dòng)防御。并對外部、內部、大數據等不同場(chǎng)景建設不同解決方案。

堡壘機作為云上數據運維的統一入口，具備賬號權限管理、密碼管理、命令管理能力。能夠為企業(yè)杜絕絕大多數越權操作、刪庫等惡意命令執行方面的風(fēng)險。由于采用了集中式管理模式，運維人員必須通過(guò)堡壘機統一認證后才能操作服務(wù)器與數據庫。因此只要在堡壘機設置好安全策略，即可輕松實(shí)現阻斷，將數據丟失風(fēng)險大幅度降低。

三、公有云對數據安全保障措施有哪些

在全面上云的趨勢下，云計算廠(chǎng)商在多年的實(shí)踐中積累了豐富的數據安全防護經(jīng)驗，并正在通過(guò)產(chǎn)品化輸出到公有云上，企業(yè)用戶(hù)可以拿來(lái)即用。

1. 云硬盤(pán)CBS，提供實(shí)時(shí)快照、秒級恢復能力

騰訊云硬盤(pán)采用分布式塊存儲架構，每個(gè)數據塊在可用區都有3副本，可以規避物理磁盤(pán)，宕機故障導致的數據損壞。另外，通過(guò)云硬盤(pán)的快照技術(shù)，可以實(shí)現數據“秒級”恢復到一小時(shí)內的狀態(tài)。

2. 云對象存儲 COS，版本回退，異地災備

對象存儲COS可以開(kāi)啟版本控制功能，實(shí)現對象存儲的版本控制，開(kāi)啟版本控制配置后，刪除操作等同于新增一項刪除標記；可以通過(guò)指定版本號訪(fǎng)問(wèn)過(guò)去任意版本的數據，可實(shí)現數據的回滾操作，解決數據誤刪和覆蓋的風(fēng)險。

此外，對象存儲還提供了跨地域復制的功能，幫助用戶(hù)將所有增量文件通過(guò)專(zhuān)線(xiàn)復制到其他城市的數據中心，實(shí)現異地容災的作用。當主存儲桶中的數據被刪除時(shí)，可從備份存儲桶中通過(guò)批量拷貝的方式恢復數據。

3. 云數據庫MySQL，為結構化數據提供靈活，可靠的災備方案

云數據庫MySQL在實(shí)現服務(wù)高可用的架構情況下，也實(shí)現了豐富的數據備份和恢復功能，確保數據能回滾到任意時(shí)間線(xiàn)。同時(shí)，所有的高可用實(shí)例，默認開(kāi)啟7天內數據備份和實(shí)例回收站保留策略，確保人為誤操作，能得到保底的數據恢復。此外，通過(guò)對實(shí)例配置異地災備實(shí)例，云數據庫MySQL實(shí)時(shí)進(jìn)行數據復制，可以輕松實(shí)現數據異地災備，規避區域性故障帶來(lái)的數據丟失風(fēng)險。

4. 騰訊云數據產(chǎn)品系列，低門(mén)檻實(shí)現安全監控與審計

騰訊云數據安全產(chǎn)品系列可以實(shí)現對安全事件的全面監控、告警、事后審計等功能。騰訊云堡壘機結合人工智能技術(shù)，為企業(yè)提供運維人員操作審計，對異常行為進(jìn)行告警，防止內部數據泄密。

5. CAM云權限管理，為云上資產(chǎn)合理建立權限控制制度

對上云企業(yè)來(lái)說(shuō)，賬號安全和資源合理授權是構筑立體防護體系的第一道門(mén)鎖。云上資源管理的授權應該規避如下風(fēng)險：

使用騰訊云云主賬號進(jìn)行日常操作

為員工建了子賬號，但是授權過(guò)大

對高權限子賬號用戶(hù)和高危操作沒(méi)有訪(fǎng)問(wèn)條件控制

沒(méi)有定期審計用戶(hù)的權限和登錄信息

缺乏權限的管理制度和流程

這里以COS的數據訪(fǎng)問(wèn)權限控制為例：為公司中的不同團隊授予子賬戶(hù)，通過(guò)訪(fǎng)問(wèn)方式、賬戶(hù)權限隔離來(lái)分級控制不同賬戶(hù)的資源操作范圍。高危操作（如刪除數據）權限可剖離出來(lái)，僅允許控制臺操作，同時(shí)通過(guò)MFA校驗來(lái)進(jìn)行二次認證。

結語(yǔ)

通過(guò)梳理近年來(lái)層出不窮的數據安全事件不難發(fā)現：既有黑客的攻擊，更有內部工作人員的信息販賣(mài)、離職員工的刪庫、開(kāi)發(fā)測試人員誤操作等，多種原因導致的數據安全事件背后折射出的是，僅僅依靠單點(diǎn)防護難以達到真正的安全防護效果，而構建基于全生命周期的安全防護成為必然選擇。值得一提的是，企業(yè)上云大潮的趨勢下，討論數據安全絕大部分要從云環(huán)境出發(fā)，云原生的數據保護技術(shù)和策略也將成為當下及未來(lái)的主要手段。

最后，記得關(guān)注微信公眾號：鎂客網(wǎng)（im2maker），更多干貨在等你！