自2011年以来，多家互联网站频发被黑客公开用户数据库的事务，超过5000万个用户帐号和密码在网上大规模被泄露，数据库拖库事务频发
。2018年某中文论坛上，公开出现了售卖国内驰名酒店集团数据库的“告白”，具体信息计算近 5 亿条，涵盖了入住者及酒店会员幼我信息、入住登记、开房纪录等内容
。

最近，网络安全组织GDI基金会又爆出，罕见以亿计的中国用户个人谈天纪录被泄露在互联网上
。据美国电信公司Verizon 2018年颁布的年度安全汇报显示，在数据泄露原因方面，62%的数据泄露与黑客攻击有关
；81%的的数据泄露涉及到撞库或弱口令
。

数据库泄露的原因好多，数据库治理员安全意识弱、法式设计没有思考安全冗余性、利用层缝隙等均可导致数据库拖库、数据泄露
。单一的安全伎俩已经无法防备数据泄露的多重风险，只有多伎俩并用能力够最大水平地提高数据安全
。

由世纪互联运营的Azure服务平台通过多种先进的安全技术构建齐全的安全平台，从多角度、多层面
；び没У氖莅踩，预防数据泄露事务的发生
。Azure中国版SQL数据库服务目前已提供了以下四种数据库安全加强配置，别离是高级数据安全（ADS）、通明数据加密（TDE）、动态数据掩码（DDM）、审核（Audit），真正做到了多维度数据
；
。

高级数据安全 (ADS)

高级数据安全 (ADS) 是一种从战术上
；な菘獍踩缘幕，它提供一组高级 SQL 安全职能，蕴含数据发现与分类、缝隙评估和威胁检测
。缝隙评估能够发现、跟踪并援手建改潜在的数据库缝隙，分析查抄身份验证与授权配置、数据
；ど柚谩⒈砦Ю蒙柚谩⑸蠛伺渲玫，并提供相应的建复步骤与建议
。它可直观查看安全状态，蕴含解决安全问题的可操作步骤，并可加强数据库的防御工事
。

如上图所示，检测了局发现dbo账户被当作通常用户去使用，这被象征为中等风险，由于dbo拥有最高的权限，ADS职能会针对分歧风险给出相应建议与解决步骤
。

除了对数据库缝隙及配置进行评估，ADS还集成了威胁检测？，对常见的风险如SQL注入等进行检测，用户可凭据必要勾选
。 来自异常地位的接见、陌生账户的登录、暴力破解SQL痛处的行为都能够被检测到并触发警报
。

ADS职能支持设置定期扫描、设置安全基线，并天生安全汇报发送至治理员邮箱
。这些职能有效削减了黑客撞库或治理员配置弱口令的可能性
。

通明数据加密 (TDE)

通明数据加密 (TDE) 是一种从元数据层级
；な菘獾姆绞，它有助于
； Azure SQL 数据库、Azure SQL 托管事俘和 Azure 数据仓库免受恶意活动的威胁
。 它可执行静态数据库、关联备份和事务日志文件的实时加密和解密，无需更改利用法式
。 默认情况下，为所有新部署的 Azure SQL 数据库启用了 TDE
。

 

 

 

 

TDE职能能够预防数据库文件（mdf/ndf/ldf）被附加到非授权服务器或者使用TDE职能的备份文件被等闲还原到此外服务器上，从而进一步加强了数据的安全性
。对黑客拖库行为有肯定的限度作用
。启用TDE后，将组织内部的密钥与数据治理责任相分离，即便非授权人员在获得数据库后，如无密钥，无法在异地还原盗取的数据库
。

 

 

 

如上图所示，我们在本地试图还原一个启用过TDE的数据库，在没有密钥的情况下显示还原失败
。这样，即便数据库文件层级泄露，黑客也无法接见数据
。

动态数据掩码（DDM）

动态数据掩码技术用一种化名化（pseudonymization）伎俩
；ぴ，通过对非特权用户吞吐化敏感数据来限度此类数据的泄露
。动态数据屏蔽允许客户指定在对利用层产生最幼影响的前提下能够泄漏的敏感数据量，从而援手预防未经授权的用户接见敏感数据
。它是一种基于战术的安全职能，会在针对指定的数据库字段运行查问后返回的了局集中暗藏敏感数据，同时维持数据库中的数据不变
。

例如，我们用治理怨厮户在数据库中创建表dbo.JOBS并插入数据:

开启动态数据掩码职能，并设置掩码字段, 粉饰工资字段:

切换为非治理怨厮户后执行查问:

如图所示，敏感字段已经自动依照配置规定进行粉饰
。这项职能在肯定水平上缓解了非拖库行为造成的数据泄露，例如SQL注入
。该职能目前支持自界说屏蔽规定及屏蔽函数
。

审核（Audit）

除了上述安全职能，Azure版SQL还拥有审核职能
。审核 Azure SQL 数据库和 SQL 数据仓库会跟踪数据库事务，并将这些事务写入 Azure 存储帐户、OMS 工作区或事务中心中的审核日志
。审核职能援手治理员追忆数据库发生的事务，它能通知你“谁什么时辰做了什么事件”
。具体是指审核SQL Server 数据库引擎事俘或单独的数据库涉及到跟踪和纪录数据库引擎中发生的事务
。

如图所示，审核日志提供了接见者IP地址、账户名称、事务类型、执行语句等具体信息，援手数据库治理员定位问题，实时排查风险，解决隐患
。

Azure版SQL数据库依附壮大的Azure平台，不仅支持以上安全个性，还集成了一些平台的安全特点，如集成Azure AD身份验证、服务器级别IP防火墙、传输过程加密等特点
。通过度层深度防御的步骤，别离在网络安全、接见治理、威胁防护、信息
；に姆缪琶嫖匏澜潜
；び没楣棺什踩，尽可能降低数据泄露风险
。

当然，数据千万条，安全第一条
；配置不规范，用户两行泪
。Azure为宽大用户提供了壮大的安全防护，数据库治理员还必要设置安全意识，削减不规范的配置问题，杜绝弱口令，严格限度账户权限，适当开启IP接见白名单，减幼黑客攻击面
。

（本文作者陈初，世纪互联威廉希尔官网ISC security团队工程师）