安全运维访谈录

连续举办七届、持续三天的中国系统架构师大会，上周在京成功闭幕。安华金和CEO刘晓韬受邀进行关于Security运维的议题演讲，会后，刘总接受了来自IT168主编的采访。双方就运维2.0时代的到来，无论是传统行业还是新兴的互联网行业，会面临哪些运维挑战，如何实现安全运维展开对话。   

IT168： 2015中国系统架构师大会的现场，企业安全的问题从来就没有停止过讨论，对于数据库安全而言，是非常重要的，我们有请到了数据库安全专业提供商安华金和的CEO刘晓韬先生。最近爆发的网易邮箱安全事件被闹的沸沸扬扬，安全圈里面的DT都已经发表言论，有的说是撞库，有的说是拖库，对于数据库运维这个层面，刘总您怎么看待呢？

刘晓韬：网易这个事件的发生有些扑朔迷离。有的说是下载量很大，有的说在乌云上只是暴露出了一百多条，有二三十条好像是能够真实得验证出来。整体看，针对这样一起信息泄露事件，我们的社会给予了高度关注。实际在这种情况下，从数据库运维来讲，随着安全事件的发生，我们的关注也越来越高。特别是像网易这样一些大的互联网公司里面，我相信在数据库的安全运维这一块儿，已经上升到一定的高度。反倒是一些传统的政府行业，或者说是央企，他们可能还在基于网络隔离措施情况下，觉得数据库是处于被保护的，隔离的非常好，还没意识到这块会存在大量的安全问题，但是实际上这一块儿我觉得更是会成为安全的重灾区。

IT168：传统企业它应该如何来防控自己的数据呢？本次大会演讲中，您也分享了今年422社保安全事件，在传统行业中，影响是比较大的。

刘晓韬：在传统行业，首先对于数据库的安全运维要重视起来，我们讲传统的时候，更容易的是保障稳定性，可持续代谢性，还有一些性能如可扩缩性，往往在传统运维当中比较重视的。但对于数据库的泄露和数据库非法的篡改不太容易立刻呈现出来，传统行业往往是出了事才开始重视，但出事之前实际已经埋下了安全隐患，并可能已经很深了。首先，要从意识上得去加强，这次在面对运维人员分享数据库的安全，也是希望能够唤醒大家在数据库安全的意识，这样一个意识唤醒之后，更多是说要从管理手段和技术手段双管齐下的方式去保证这种数据库的运维方式。不过还是有非常可喜的事，我们最近在一些运营商、能源、金融行业的用户，他们实际上对这个方面都表现出极大的兴趣。这说明大家在安全方面的意识正在觉醒。有了这种意识之后，相关的配套的管理制度、技术手段跟上之后，我觉得会极大的会改善现况。

IT168：传统行业外，现在云计算特别火，企业逐渐在接受云，上云，刚才您也提到像AWS或者是阿里云，以及各种各样的云。但是企业是否想过，上了云之后就是百分之百安全了吗？上了云之后大家应该注意哪些问题，这一块儿您跟大家分享一下。

刘晓韬：我的一个认为上了云之后，某一些方面会变得安全，比如说Safe层面的安全，我们讲由于云的基础设施，整体的可扩缩性，以及备份机制，还有他的技术安全体系的保证，会使比如说受攻击瘫痪这种情况发生的概率比较小。但是我们在讲从数据泄露这个层面上的Security安全，上云并不是完全能有所保证的。

以Amazon为例，Amazon整个生态体系当中在国外很热的一块儿业务就是租用第三方的数据的安全服务，包括加密层面、防攻击层面，是Amazon很重要的一个热点。这说明云基础设施提供商，本身在他的安全体系结构上，并不能完全保证不受攻击。特别是以金融为例，今年号称说667家的P2P金融公司在中国快被干掉。从今年来看，应该有140多家P2P的金融公司被黑客黑到了，特别是近日暴露出来的两个黑客联手入侵了大量的P2P金融公司进行数据篡改，我觉得这个东西都证明有一点，上云不代表你的运维系统没问题，你的应用系统没有问题，你的Database没有问题。但是这个上面还是更需要加强安全意识，去有效加强安全措施，才能保证系统上云之后不出问题。

IT168：对于传统产业和互联网企业，他们如何来防控住数据库的安全呢？因为他们可能在其他的安全方面已经做了很多的措施，但最终还是被拖了库。您认为这些企业在数据库安全方面能够做哪些部署，能防止数据库能被别人盗取或者是注入。

刘晓韬：没有任何一种手段是完全可靠的，我们说传统的安全大厂，类似于像启明、天融信、绿盟，他们更多的是做网络层防护，或者说是做边界防护的。但是现在新的IT架构下有几个特点：

一、互联网化，很多的业务系统都是需要面向互联网服务，这些应用系统访问数据库是一个必然的一件事情。那么通过应用系统当中的漏洞跳转，对于数据库的攻击，往往是目前黑客入侵的一个最主要的形式。这种形式用户用传统的防火墙，IPS这样的东西去防御是顶不住的。

二、现代黑产的形成，不仅仅是黑客入侵，内部的运维人员或者是第三方的运维人员，甚至一些程序员，他们有能力接触数据库或者是篡改数据库信息了，因此也变成一种非常的危险源。这些处于边界之内的人员，对边界之内数据库的这种威胁，往往更大。这就造成了传统安全体系跟现实状况的两大不匹配，这种情况下我们必须要引入一些专业的数据库的防控技术。

比如说类似像应用侧这种防护，我们要引入像数据库防火墙这样的一些技术，这样一种技术可以防止SQL注入，防止批量下载；而对于运维管控这一块儿，我们最传统的方式是采用堡垒机，因为堡垒机是集中运维的一种方式。但实际上它对于数据库运维管控的能力是有限的。对于数据库的控制，比如说所有的表都能访问，这往往是不可取的。还有一些利用图形化工具对数据库的访问，往往是没有办法去进行防止的。还有一些就是批量性的访问，也没有办法去防止。所以在这些情况下，用户需要引入一些专业的数据库的安全防护工具，比如说数据库防火墙，或者是数据库专业审计的手段。还有就是防止企业内部网管从文件层面上数据库拖库，我们可以要采用一些数据库的加密手段，所以说，采用专业数据库的安全技术和产品是有效提升当前数据库运维安全的一个重要的措施。

IT168：感谢刘总跟我们的分享。