云計算技術是IT產業界的一場技術變革。云計算給用戶帶來了一種更加便宜、更加高效、更加靈活的IT解決方案。云計算的解決方案已經被越來越多的用戶所認可和采納。我國政府也明確提出云計算技術是我國下一個5年信息化產業發展的重點領域。

在我國云計算技術發展處于成長期，誰抓住了云計算誰就可能抓住未來IT發展的趨勢。據統計 2009年中國云計算市場規模已經達到403.5億元，增長率為28%，但縱觀整個IT市場我國云計算的使用率仍低于其他發達國家，根據調研機構Springboard Research預計，我國云計算的市場在未來將保持每年25%以上的增長率。

隨著云技術的發展，為了滿足客戶業務需求。一部分關鍵軟件開始以各種形式向云計算進行遷移。其中數據庫作為企業IT系統最重要的核心組件也會遷移到云上，數據庫被遷移到云上后，客戶體驗不會有太多改變，同時又可以獲得理論上近乎無限的存儲和處理能力。在使用方式上，云數據庫不同于傳統數據庫，云數據庫通常采用多租戶模式，即多個租戶共用一個實例，租戶的數據既有隔離又有共享，從而解決數據存儲的問題，同時也降低了用戶使用數據庫的成本。

企業的數據從管理和存儲的角度可以分成兩類：結構化數據和非結構化數據。其中關鍵數據多屬于結構化數據例如：ERP數據、CRM數據、OA數據、HR數據等。因此要想讓企業把業務完全向云遷移，云數據庫中一定要包含關系型數據庫。本文討論的云數據庫，特指云上的關系型數據庫，并非是DynameoDB這種專門處理非關系型數據的Nosql數據庫。

把關系型數據庫從局域網或互聯網中遷移到云上除去數據庫自身的一些技術難題，數據庫在云環境下將會面臨更多挑戰，最讓人擔心的則是遷移后帶來的安全性隱患。

2009年2月google的Gmail電子郵箱爆發全球性故障，服務中斷4個多小時。而2011年3月又再次爆發大規模用戶數據庫泄露事件，其中大約有十五萬用戶在使用自己的GMAIL賬號后，發現竟然是一個空白頁，用戶所有郵件被全部刪除。

2009年3月微軟云平臺azure停止運行22小時。2010年9月在美國西部連續發生多次托管服務中斷事件，這次中斷造成用戶不能訪問自己的郵箱和個人數據，更嚴重的是這個錯誤持續了一整個星期，甚至最后部分數據庫無法恢復。

2011年4月亞馬遜公司的EC2、RDS服務器數據庫中心運行出現中斷，發生了嚴重的宕機事件。2012年6月亞馬遜的AWS又一度中斷服務，instagram/pinterest和netflix等均受到影響。

2012年8月蘋果的icloud云存儲系統被黑客入侵，并刪除所有資料。

2011年4月19日 索尼公司的playstation和qriocity遭到黑客攻擊，服務中斷超過一周，并導致7700萬個注冊賬戶的用戶信息遭到盜取。

面對上述爆出的事件足見云平臺的安全性還需要進一步完善，而數據庫作為系統重要數據的存儲和處理核心，是企業的核心信息價值。因此對于云環境下的數據和數據庫的安全保證尤為重要。下文將針對云環境下數據庫安全給出一些意見，力求能幫助云廠商守護好用戶數據的安全。

對于云上數據庫的安全技術安華金和數據庫安全專家認為主要可以從以下四個方向考慮：

1.數據庫訪問控制

訪問控制措施是云環境下對數據進行保護的最關鍵方式，它是維護系統安全、保護數據的重要手段。在數據庫領域對于數據的訪問控制主要需要考慮以下兩類用戶：

(1)普通用戶權限控制(也就是租用云上數據庫的用戶)：根據客戶不同的業務需求，把數據庫劃分為不同的區域，不同的區域租戶的訪問賦予不同權限。根據權限的設置控制用戶和用戶組可以訪問哪些數據，為了便于管理可以把用戶分組，在組中對用戶進行合理授權。例如分為開發組、測試組、運維組等等。

(2)管理員用戶權限控制(云服務的工作人員)：對數據庫管理員的數據訪問權限控制，數據庫管理員的主要職責是負責數據庫系統的正常運行，而并非需要有權限查看或者修改所有數據。因此需要限制數據庫管理員對企業核心敏感數據的訪問。對于某些無法規避掉的訪問也要進行關鍵字段的脫敏處理，防止客戶的信息被云服務廠商內部人員盜取。

具體來說數據庫系統安全訪問控制技術主要分為三類：自主訪問控制DAC (DiscretionaryAccess Control)、強制訪問控制MAC (Mandatory Access Control)和基于角色的訪問控制 RBAC (Role-Based Access Control)。結合以上兩種用戶的分類，建議采用基于角色的訪問控制技術。把角色定義為一組用戶和一組權限的集合，每個用戶可以被授予多個角色。根據用戶提交的需求云服務商隨時改變用戶所屬的角色，角色被激活后該用戶就具備了這個角色所包含的所有權限。采用角色訪問控制技術可以簡化對權限的管理難度，并且在激活用戶當前所屬角色的過程中可以避免用戶擁有過量的權限，防止用戶有意或無意的越權操作對其他用戶或這個數據庫造成安全威脅。

2.數據庫加密技術

數據庫在云環境下同樣存在安全風險，如果黑客通過一定的途徑將數據庫文件復制后，在其它環境對數據庫進行恢復，從而獲取整個數據庫的數據，這會對組織造成難以估算的損失。因此，非常有必要對數據庫中的核心數據進行加密，目前針對數據庫系統的加密技術，基于三個不同的層次來實現，這三個層次分別是磁盤層、DBMS外層和DBMS內核層。

磁盤層數據加密：這種數據加密方式是一種防止盜取磁盤，破解磁盤獲取敏感數據的有效解決方案，但對云并不合適。云數據安全問題多出現于應用層和網絡層。這種方案磁盤雖然加密了，但操作系統、數據庫、應用層等依舊是明文形式。操作系統、數據庫、應用層等被入侵可能數據會以明文形式被盜取。同時這種整盤加密的方式也會嚴重損耗性能，據某采用該種方式的云服務廠商說此加密會降低大約20%的效率。

DBMS外層數據加密：這種加密方式是將數據加/解密系統做成客戶端到數據庫之間的代理。客戶端把原語句發送到客戶端加密器，加密器進行加密后發送到服務器端的解密器，解密后傳送給數據庫。這種加密方式主要是針對網絡中通訊信息的加密，其實對數據庫內存儲的敏感信息沒有防護作用。如果黑客是針對網絡數據流進行攔截，則可以有效防護，但對于數據庫中的數據無法起到有效防護作用，一般多是和磁盤層數據庫加密方式一起使用。由于加解密并不在數據庫端進行，所以這種方式不會加重數據庫服務器的負載并可直接實現網上傳輸加密，缺點是加密功能會受一些限制。

DBMS內核層數據加密：這種加密方式由數據庫服務器引擎實現對數據的加密和解密工作，目前大多數主流的數據庫系統都具備了這種數據加密的功能。應用程序可以使用相同旳語法向應用程序表中插入數據，數據庫內核在向磁盤寫入信息之前會自動加密數據。隨后的查詢操作會以透明方式解密數據，因此應用程序仍可以正常工作。可見，這種加密方式具有加密功能強、無需修改程序的優點，但加重了數據庫服務器的負載，因此建議用戶僅加密敏感的數據列而不是所有數據，比如信用卡號、身份證號碼等。這種加密方式可以從根本上杜絕敏感數據外泄。

安華金和數據庫保險箱在這種數據庫加密方式有著兩項專利技術：

專利1. 《一種基于多級視圖和觸發器的數據庫透明加解密方法》(專利號 201010169778.7)

該專利技術使得DBCoffer打破傳統數據庫加密產品應用不透明的瓶頸，確保應用不需要改造。

專利2. 《一種無偏序關系的數據庫密文索引方法》(專利號 201010169784.2)

該專利技術使得DBCoffer突破電信等高端應用的性能瓶頸，確保億級數據規模下，性能幾乎不下降。

3.數據庫防火墻技術

云上的虛擬數據庫和實體機上的數據庫同樣都存在數據庫漏洞，所以及時的更新數據庫漏洞補丁也是對于數據庫更有利的安全保障。但在實際操作中云上千百萬個數據庫短期進行升級明顯是不太現實的方案。安華金和數據庫安全專家建議在云上的數據庫前部署具有vpatch功能的數據庫防火墻。

VPatch是一種虛擬補丁技術，安華金和數據庫防火墻內置了數據庫虛擬補丁技術，這種技術主要是針對數據庫漏洞進行防護。防止黑客利用已知的數據庫漏洞，對數據庫進行攻擊，有效的解決了云上數據庫升級不及時可能給用戶的數據庫帶來的潛在威脅。

4.數據庫審計技術

數據庫安全審計是對數據的訪問操作行為做一個完整的記錄，以備違反安全規則的事件發生后，能有效的追查責任和分析原因，必要時還可以為懲罰惡意攻擊行為提供必要的證據。另一方面，實施審計準則之后，審計線索會指出特定人員沒有違反規程，也沒有破壞性行為，對合法用戶是一種良好的保護。

目前安華金和的數據庫審計產品已經達到第二代數據庫審計產品標準。同時數據庫安全審計產品可以采用旁路的部署模式，在審計的同時不會對數據庫本身造成額外負擔，達到對數據性能0影響。

相信云服務廠商如果能把上面4種安全手段采用到用戶的云數據庫上，將能提高云數據庫的安全性。云服務雖然帶來了更低的價位、更好的效率、更佳的靈活性，但安全性很可能是制約云服務廠商更進一步發展的阻礙。解決云上的安全問題將更有益于云廠商自身的發展，同時也是一種對用戶負責的表現。