云技術是IT產業(yè)界的一場技術變革。云給市場帶來一種更加便宜、更加高效、更加靈活的IT解決方案。云的解決方案已經被越來越多的用戶所認可和采納。我國政府明確提出云技術是我國未來信息化產業(yè)發(fā)展的重點領域。
在我國云技術依舊處于成長期階段。據統(tǒng)計 2017年中國云計算機市場規(guī)模已經達到2602億美元，增長率為18.5%，預計到2020年公有云規(guī)模將達到4114億美元。隨著云業(yè)務相關技術的成熟。安全成為云下一階段主要面臨的挑戰(zhàn)。
現(xiàn)今成熟的云平臺已經基本解決用戶身份、憑證、系統(tǒng)漏洞、拒絕服務等多類安全問題。但在數據泄露上還有很多不足。除去內鬼造成數據泄露外，最常見的是由于數據讀取權限設置細粒度不足導致。RDS做為云上數據主要存儲場景，如何做細粒度控制，將成為各個云廠商面臨的重要挑戰(zhàn)。對于行存數據庫，行控是最關鍵的細粒度控制。加強RDS的行控能力，是杜絕數據泄露的有效手段。
行控-RDS安全缺失
RDS是云上數據庫的簡稱。大部分中小企業(yè)用戶的核心數據會存儲在RDS中。RDS大部分是MySQL數據庫。我們走訪了大量云廠商，簡化掉復雜的云機制，大部分云廠商租給中小企業(yè)的RDS其實是以數據庫實例為單位出租的。在一臺實體物理機上有多個虛擬機，每臺虛擬機上有多個進程。每個進程對應一個mysqld。每個mysqld都對應不同的端口和數據庫配置文件。每一個啟動的Mysqld都對應一個實例。用戶租用的RDS就是一個數據庫實例。每個用戶通過云平臺訪問到自己被分配的數據庫實例中。
這種以實例為單位切割RDS和用戶的方式，依賴數據庫自身的特點。有效規(guī)避了，因為用戶誤操作導致數據庫崩潰，而影響到另一用戶使用數據庫的問題。同時由于從實例層就分割，可以有效的保障不同用戶的數據存儲的邏輯位置是相互分離，避免了惡意讀取或修改他人數據的問題。
早先云上業(yè)務模型較為簡單，隨著業(yè)務的復雜度上升。只依賴數據庫自身的權限切割，難以滿足用戶對數據庫中數據的細粒度控制需求。很多現(xiàn)場需求中，客戶要求同一張表中區(qū)分出保密數據、敏感數據和公開數據。不同的用戶訪問表，只能訪問到當前用戶有權限訪問的數據。例如下圖表中紅色框對應的是保密數據、藍色對應的是敏感數據、黑色對應的是公開數據。數據庫賬號分為三種:第一種是可以訪問保密數據、敏感數據和公開數據的tom賬號、第二種是只能訪問敏感數據和公開數據的 cat賬號。第三種是只能訪問公開數據的dog賬號。
RDS上數據庫賬號的權限控制只能到表級，而現(xiàn)實中省級數據中心從各個地方采集到的數據不會因為安全級別不同，而匯總到不同的表中。所以RDS現(xiàn)在的權控體系和客戶的安全需求產生了一定的差距。如果能讓RDS從表變成行控，則會解決此類安全需求。
一. RDS行控-視圖法
RDS數據庫最簡單實現(xiàn)行控的方法是采用視圖+觸發(fā)器的方法來，限制用戶訪問全部表。整體思路是假設有表A是用來記錄數據的。我們給表A重名成表B。在創(chuàng)建視圖A。利用數據庫語法不區(qū)分視圖和表的特性。使原來對表A（改名成表B）的操作遷移到視圖A上進行。而視圖A，在讀取表B的時候，完成了對表B內容的過濾。防止保密數據被用戶讀取。
上述雖然解決了讀的問題，但同是也引起了寫的問題。于是引入觸發(fā)器C當寫視圖A的時候，再通過觸發(fā)器C。把寫視圖A的操作變成寫表B。具體流程如下圖所示：
紅色部分是準備階段。準備階段首先會把表A重名成表B。接著會根據表B建立視圖A。最后會部署觸發(fā)器C解決針對視圖A的寫，轉移到表B上。
綠色部分是讀過程，當用戶讀取數據時，首先會訪問視圖A。視圖A中有過濾的對象，保證從B中讀取的數據已經剔除保密數據。最后返回給用戶使用。
紫色部分是寫過程，當用戶寫入數據時，首先會向視圖A寫。視圖A會利用觸發(fā)器C把寫操作轉移給表B。最終表B被寫入數據。
利用視圖+觸發(fā)器可以解決一部分RDS行控的需求。實際上這種方案，雖然可以做到應用透明，但只適合保密數據特征明顯、分類清晰。數據安全層級不復雜的場景。數據安全層級復雜會導致整個設計思路過度復雜，性能等問題也會暴露，在某些場景下這種方案完全不能使用。
二. RDS行控-改SQL法
除了上述這種完全依賴數據庫自身機制實現(xiàn)RDS行控的方案外。還有些使用了改SQL的方式。在向數據庫發(fā)包的過程中，通過一個過濾組件，對SQL語句進行改寫。也可以達到過濾保密數據的目的。
如上圖所示當用戶訪問表A時，經過一個客戶配過策略的過濾器。過濾器會把SQL語句select * from A 改寫成 Select * from A where部門 ！=財務部 。保證財務部（保密數據）不會被非授權用戶查詢到。從而達到RDS行控的目的。
這種方法本質是在數據之外，添加額外的控制產品達到增強數據庫權控的目的。這種方法比視圖法更加靈活、復雜度低、不會造成數據異常。部署起來也更加簡單。但根據策略修改SQL的性能和準確性，在某些復雜場景下可能會存在一些問題。
三. RDS行控-過濾法
這種針對結果集的過濾方案是現(xiàn)在云上最常用的方法。用戶在訪問數據庫目標表后，通過一個結果集過濾器，按照用戶的需求對保密數據進行刪除，最終顯示公開數據。
這種方案好處是，在應用側部署對數據庫影響小?？梢宰龀芍С侄喾N數據庫的通用方案。但問題是這種方案是把數據庫的行控制轉移到應用去做，這個過程中就可能已經出現(xiàn)數據泄露。而且由于過濾的方法基本是關鍵字算hash的方法。這種方法天生存在被hash碰撞的安全風險。把數據庫的行控能力遷移到應用中做是一種工程的手段，并不會加強RDS的安全性，甚至還給數據泄露留下伏筆。并且效率也是需要著重考慮的問題。
四. RDS行控-安全標簽法
安全標簽法主要是在RDS上做的一種安全增強功能。這種方案是通過在目標表中添加偽列實現(xiàn)的。給表中的每一行添加偽列，偽列標明這一行的安全等級。給數據庫賬號添加可以訪問的安全等級的標簽。只有賬號擁有足夠安全等級的標簽才可以訪問到相關的數據。
表會在用戶設完策略后新加偽列這一列，如上圖的第三列，偽列專門標記出每一行的安全等級。安全標簽法可以讓用戶靈活的自定義安全等級。做出更適合實際應用場景的安全級別。安全標簽策略應該處在數據庫語法解析中。首先判斷數據庫賬號和表以及操作之間的權限關系。如果通過權限檢查，就應該通過安全標簽部分，識別真正能讀取的數據范圍。然后生成執(zhí)行計劃。最后執(zhí)行sql，拿到結果，完成整個查詢過程。查詢的內容符合查詢用戶所支持的安全等級。
上述四種方法：視圖法、改SQL法、過濾法和安全標簽法都在一定程度上可以實現(xiàn)RDS的行控需求。這四種方法使用的場景各不相同。但總體來說視圖法設置較為復雜、靈活性低是四種方法中適用面最窄的實現(xiàn)RDS行控的方案。其次改SQL法雖然靈活性比視圖法強，但容易被存儲過程等其他SQL執(zhí)行方式繞過，也難以成為適應性高的RDS行控解決方案。過濾法是現(xiàn)在使用最廣泛的RDS行控解決方案。這種方式雖然在一定程度上解決了視圖法和改SQL法存在的問題。但由于權控被前移到應用側，數據庫還是會返回敏感數據。依舊存在較大的安全風險。但這種方案只能認為是RDS行控的工程解決方案。并不是一種徹底的解決方案。相比前三種方案安全標簽法是最佳的RDS行控增強方案。這個方案有廣闊的適用空間，同時真正把權控做在數據庫中。避免了數據庫到應用傳遞過程中出現(xiàn)的數據泄露問題。
產品咨詢：4000 258 365 
