大家都知道一說到Oracle就想到數(shù)據(jù)庫,因?yàn)閿?shù)據(jù)庫里存的是所有的企業(yè)最最關(guān)鍵的數(shù)據(jù)。那么如何保證這些數(shù)據(jù)安全、沒有問題？也是各企業(yè)的重中之重。

如下是Oracle大中華區(qū)技術(shù)產(chǎn)品部總監(jiān)馮葵先生，在F5 Networks高峰論壇給大家介紹的相關(guān)內(nèi)容。

我們?yōu)槭裁匆ゲ粩嗟貎?yōu)化、提升IT計(jì)算基礎(chǔ)架構(gòu)的效率？為什么不斷地去完善和想要提升更強(qiáng)有力的運(yùn)營支撐呢？其實(shí)這一切的目的都是為了什么？業(yè)務(wù)應(yīng)用，而業(yè)務(wù)應(yīng)用的又是為實(shí)現(xiàn)什么目標(biāo)，呢？大家有沒有想到今天其實(shí)沒有傳統(tǒng)意義上的銀行了，銀行完全是運(yùn)營在數(shù)據(jù)之上，其實(shí)今天的運(yùn)營最后落地是落地在數(shù)據(jù)上面。如果今天回首去看今天IT當(dāng)中什么是最重要的時(shí)候，今天系統(tǒng)停到可以重啟，都可以用各種各樣的方式去恢復(fù)，如果數(shù)據(jù)出問題就會(huì)面臨很大的問題。我們?cè)趺幢Ｗo(hù)我們最核心的IT系統(tǒng)的安全，當(dāng)然這個(gè)安全叫做信息安全或者叫數(shù)據(jù)的安全。

今天很多人講，我在過去的多少年當(dāng)中做了很多次有關(guān)安全的建設(shè)，但是大家有沒有想過，今天的安全其實(shí)有兩個(gè)很大的安全意義，一個(gè)是違法違規(guī)的安全建設(shè)，第二個(gè)是合法違規(guī)和法律操作，也就是說過去的時(shí)候我們所有的安全建設(shè)都是怎么樣去防范違法違規(guī)的用戶，或者是懷有各種企圖的那些人去侵害我們的系統(tǒng)。所以我們做了應(yīng)用安全、用戶身份管理安全、做了檢測(cè)安全，這個(gè)有點(diǎn)像我們生活當(dāng)中，大家有沒有想過，在路網(wǎng)上面做各種各樣的紅綠燈、管制、光探頭，這個(gè)有點(diǎn)像網(wǎng)絡(luò)安全。接下來是系統(tǒng)安全，樓宇安全，還有應(yīng)用安全，每個(gè)人有什么樣的職責(zé)，做什么事情，甚至管理到個(gè)人。

但是我們其實(shí)真真正正面臨的安全，如果你家里的錢和企業(yè)的財(cái)富被觸動(dòng)的時(shí)候，也就是說黑客從網(wǎng)絡(luò)到系統(tǒng)、到應(yīng)用，真正侵入進(jìn)來，如果沒有碰到你的數(shù)據(jù)我們沒有根本的損失，但是一旦觸動(dòng)我們的數(shù)據(jù)，損失就是根本。今天還有一點(diǎn)尤其從合規(guī)的角度，我們大家知道任何一個(gè)企業(yè)界的應(yīng)用，任何一個(gè)上市公司，都面臨了幾方面基本的要求，一個(gè)是軟件的安全的等級(jí)保護(hù)。大家知道，所有提供公共服務(wù)的門戶基本上是五級(jí)，一定要做wap層面的安全防護(hù)。比如說金融、電信、政府的時(shí)候做到三級(jí)，要做到數(shù)據(jù)安全保護(hù)。還有作為上市公司，我們知道，企業(yè)內(nèi)部管理基本規(guī)范。所以今天不管是從內(nèi)、從外，從企業(yè)的利益保護(hù)的角度，和從市場(chǎng)合規(guī)的角度都有一個(gè)需求說，我們要加強(qiáng)不是傳統(tǒng)的技術(shù)層面的安全，而是說我們要加強(qiáng)信息安全的建設(shè)。信息安全為什么越來越多的引起關(guān)注呢？這就是隨著IT的建設(shè)，我們的信息資產(chǎn)，也就是當(dāng)你的應(yīng)用運(yùn)行時(shí)間長(zhǎng)的時(shí)候，今天你對(duì)它的依賴程度高，所以這個(gè)時(shí)間就有不同的人抱有不同的目的。可能從商業(yè)、從社會(huì)、從政治、從個(gè)人的抱負(fù)心不同的角度都會(huì)對(duì)數(shù)據(jù)充滿好奇。

今天一旦發(fā)生信息安全問題的時(shí)候，可能是多方面，也可能包括這上面講的，可能是企業(yè)形象的問題，可能經(jīng)濟(jì)的損失。所以這個(gè)時(shí)候就面臨一個(gè)挑戰(zhàn)，我們用一個(gè)什么樣的方法去迎接今天的，我們所面臨的信息安全的問題。這就有點(diǎn)像我們從事的路網(wǎng)的建設(shè)、樓宇的建設(shè)，家里安裝防盜門窗的時(shí)候，一不留神，還得按一個(gè)保險(xiǎn)柜，家里有一個(gè)有效的防護(hù)機(jī)制。這時(shí)候大家可以看到這個(gè)圖，這個(gè)圖是最經(jīng)典的一個(gè)圖，大家可以看到，其實(shí)最左側(cè)的是WAP用戶，他們通過應(yīng)用訪問后臺(tái)，這時(shí)候引到數(shù)據(jù)庫的時(shí)候這個(gè)當(dāng)中就有幾個(gè)層面的挑戰(zhàn)。一個(gè)是那些人是真的用戶嗎？

他們的訪問是真正合法嗎？在這個(gè)過程中我們可以采用不同的解決方案，比如說今天下午F5的同事就是應(yīng)用的安全解決方案。所以大家可以看到，在那邊會(huì)從應(yīng)用層面進(jìn)行過濾，去避免一些違法違規(guī)的安全隱患。但是還有一點(diǎn)的話，一定會(huì)有一些人，或者有一些不良之圖，還是出于他的特別的目的特別手段訪問到數(shù)據(jù)庫，這個(gè)時(shí)候是什么方法？這個(gè)我們馬上談到了，怎么構(gòu)筑IT系統(tǒng)最核心的安全屏障，最后的屏障。這個(gè)時(shí)候就構(gòu)成一個(gè)完整的解決方案，也就是站在這里跟大家交流。當(dāng)我們從應(yīng)用層到數(shù)據(jù)層建立一個(gè)立體的安全防護(hù)體系的話，我們就可以做到安全合規(guī)最大化。

之所以這么講，就是因?yàn)楫?dāng)采用的WAP安全解決方案的時(shí)候，它的恢復(fù)把前端的日志、事件的情況會(huì)整合到Oracle的數(shù)據(jù)庫防火墻。這時(shí)候就從前端到后端管理的層面上有一個(gè)視圖，哪些應(yīng)用的用戶通過什么訪問到后臺(tái)的數(shù)據(jù)庫，這時(shí)候在問題的追查上就有突破的優(yōu)勢(shì)，使得判斷所有的安全隱患。任何事件的任何地點(diǎn)的情況都可以追溯，今天我聽說過數(shù)據(jù)庫、聽說過防火墻，防火墻是在網(wǎng)絡(luò)層面做到內(nèi)外隔絕的數(shù)據(jù)的機(jī)制，數(shù)據(jù)庫防火墻是到今天的一個(gè)軟件，依靠軟件的運(yùn)行在PC的服務(wù)器上面，在這個(gè)當(dāng)中實(shí)現(xiàn)了安全的隔絕，加強(qiáng)對(duì)數(shù)據(jù)庫訪問的審計(jì)或者是安全的管理。需要防火墻的時(shí)候它主要解決幾個(gè)關(guān)鍵的問題，第一個(gè)，是當(dāng)我發(fā)現(xiàn)一些剛才講的惡意的、違規(guī)的、攻擊性的行為，或者是一些誤操作的行為的時(shí)候它能夠有效地報(bào)警和時(shí)時(shí)阻斷，能夠追蹤到任何人、任何事件，和他訪問到數(shù)據(jù)庫的什么樣的信息。當(dāng)做到這一點(diǎn)的時(shí)候，給我們帶來最大的好處就是我不管原來你的安全體系建設(shè)多么完善，但是在最后一刻和最后，我們經(jīng)常講最后一公里，但是對(duì)系統(tǒng)的安全的侵害……所以大家看到，如果今天看架構(gòu)的時(shí)候，所有應(yīng)用的用戶或者系統(tǒng)的用戶，訪問到后臺(tái)的時(shí)候，我們可以做到，第一個(gè)什么樣的場(chǎng)景是允許的？第一個(gè)，大家知道有的時(shí)候我對(duì)安全沒有概念，我也不太懂什么是安全策略。

Oracle的數(shù)據(jù)庫防火墻提供一個(gè)白名單，你只告訴我什么樣的訪問是允許的，比如說我的政府的客戶，就覺得我今天是希望我的運(yùn)維人員在上班八小時(shí)做一些基本的操作。比如說空間、備份等等這些事件，這時(shí)候如果有人到晚上還要到大機(jī)房做大規(guī)模的維護(hù)，做數(shù)據(jù)的導(dǎo)出的時(shí)候就不太靠譜，你晚上為什么會(huì)機(jī)房做這樣的事情呢？這時(shí)候就定一個(gè)多因子的安全策略，從哪個(gè)IT，在什么時(shí)間允許做這些事件，之外的話我們就認(rèn)為是違規(guī)的。所以你可以很方便地很輕松地制定，也就是什么是允許的。第二個(gè)什么行為都是記錄，我們通過痕跡去做審計(jì)。還有一個(gè)就是即便是一個(gè)允許的動(dòng)作，背后也可能對(duì)你系統(tǒng)造成侵害，我就做到時(shí)時(shí)的報(bào)警。

還有一個(gè)很有意思的技術(shù)特點(diǎn)，Oracle防火墻當(dāng)中，大家知道，現(xiàn)在我們面臨的網(wǎng)站的攻擊也好，應(yīng)用攻擊也好，數(shù)據(jù)庫的攻擊都是存在一個(gè)情況，我封掉就行了。但是大家有沒有知道，包括一些搜索引擎，他馬上換另外一個(gè)IT，因?yàn)檫@是一到自動(dòng)化的機(jī)制，他本身的目的就是對(duì)你的數(shù)據(jù)庫應(yīng)用進(jìn)行掃描，去拿到他想拿到的東西。這個(gè)時(shí)候最聰明的做法不是阻斷他，最聰明的辦法是放在一個(gè)蜜罐里面去，所以我們事先可以制定一些策略，如果發(fā)現(xiàn)有人想拿我那些數(shù)據(jù)而通過違法違規(guī)的手段的時(shí)候，我給他什么樣的回應(yīng)，這時(shí)候他的小程序認(rèn)為他就得手了，所以他就不會(huì)換另外一種方法來攻擊你。另外一個(gè)我們可以做一個(gè)阻止。從實(shí)施來講，很重要的是今天在市場(chǎng)上的所有數(shù)據(jù)產(chǎn)品，要么是做審計(jì)的，要么做監(jiān)管，但是Oracle防火墻可以實(shí)現(xiàn)安全審計(jì)，又可以實(shí)安全監(jiān)管，就是說你可以把它部署為叫審計(jì)模式，就是不作為全部的管理，但是把所有的訪問行為記錄下來，到時(shí)候你可以根據(jù)審計(jì)去看違法違規(guī)的采取什么樣的行動(dòng)。

還有一種是管理，也就是說當(dāng)他發(fā)現(xiàn)危險(xiǎn)的時(shí)候第一個(gè)去報(bào)警，第二個(gè)阻止這種行為的發(fā)生。所以白名單的好處可以讓你快速地去部署說哪些訪問是OK的，還有一些黑名單哪次什么樣的訪問是有危害的，你只要定義出來，這個(gè)安全策略馬上部署出來。當(dāng)白名單和黑名單聯(lián)合在一起就可以實(shí)現(xiàn)安全策略的部署。所以大家可以看到，所有里面的所謂的管理的細(xì)節(jié)都會(huì)通過一個(gè)管理策略來。重要的是說，所有的管理的策略不依賴與你對(duì)安全的理解，而是在防火墻當(dāng)中有一些，我們叫全世界最佳實(shí)踐。其他客戶在產(chǎn)品的實(shí)踐當(dāng)中累計(jì)的經(jīng)驗(yàn)，這個(gè)就是屬于一種我們叫做最佳實(shí)踐，同時(shí)它是支持比如像我們現(xiàn)在講的CTI也好，在數(shù)據(jù)庫防火墻當(dāng)中都是支撐的。

這邊我舉個(gè)圖，跟大家分享一下，數(shù)據(jù)庫防火墻怎么工作，可以有哪些好處？大家會(huì)看到有很多紅色的，比如說現(xiàn)在有720次嚴(yán)重的報(bào)警。右側(cè)是一個(gè)小時(shí)就產(chǎn)生了5130次的訪問，接下來在這邊左上角你會(huì)看到有很多在，這個(gè)很嚴(yán)重，你再一個(gè)生產(chǎn)環(huán)境要?jiǎng)h掉的時(shí)候，這種操作無疑是高危的。其實(shí)我們看到一個(gè)小時(shí)，有5000多次訪問，這個(gè)系統(tǒng)產(chǎn)生了11.9萬的訪問，但是你如果要是對(duì)每個(gè)11萬條都去看的話有一個(gè)很龐大的工作量，這個(gè)時(shí)候就依賴于你的數(shù)據(jù)庫的安全管理體系是不是有效識(shí)別，什么樣的語句具有什么樣的特點(diǎn)？所以我們的防火墻自動(dòng)歸類，這473個(gè)類里面有什么安全的特征。接下來還有右下角當(dāng)中，有1261個(gè)出現(xiàn)語法錯(cuò)誤，這個(gè)我現(xiàn)在給大家分享的都是一些實(shí)際的我們的客戶場(chǎng)景，而且這些場(chǎng)景基本上在我們今天的市場(chǎng)當(dāng)中我們所有的客戶當(dāng)中都存在，如果說到我不能叫嚴(yán)重，現(xiàn)實(shí)一點(diǎn)說，我所見到的所有銀行的、保險(xiǎn)的、政府的，包括公安系統(tǒng)的，包括交通運(yùn)輸和電信、電力，BOSS大學(xué)，基本上這些場(chǎng)景都是存在的，生產(chǎn)系統(tǒng)。

比如說出現(xiàn)語法錯(cuò)誤的時(shí)候，生產(chǎn)環(huán)境不應(yīng)該出現(xiàn)錯(cuò)誤，這都是有人直接在訪問數(shù)據(jù)庫系統(tǒng)，在掃描，他就會(huì)產(chǎn)生這一類的錯(cuò)誤。接下來這個(gè)5曲線，你只要裝上，安裝也非常簡(jiǎn)單，只要插上光盤兩個(gè)小時(shí)，它自動(dòng)就開始去學(xué)習(xí)，你現(xiàn)在系統(tǒng)的基本特點(diǎn)，有哪些語句，都來自哪些IT，都做什么樣的訪問，什么人在做什么樣的訪問，他有什么樣的一些動(dòng)作是危險(xiǎn)的，哪些是合規(guī)合法的，接下來你可以去看有哪些用戶，那些用戶都來自哪些，去到那里，接下來對(duì)所有的用戶的行為進(jìn)行跟蹤，通過什么樣的方法，比如說通過GBC做一個(gè)什么樣的語句呀？

還有做安全策略的部署，大家會(huì)看到，我們叫做紅綠燈，你覺得哪一類人訪問的話，你個(gè)人覺得想加強(qiáng)，你想完善的時(shí)候，你可以做設(shè)置。大家知道，TOPSQL這個(gè)就變成在系統(tǒng)當(dāng)中最慢的語句，開銷多少，被訪問了多少次，你可以對(duì)你的數(shù)據(jù)庫做調(diào)整。像這樣的情況，你會(huì)看到有很多人、很多場(chǎng)景，那些人不管是因?yàn)榍缅e(cuò)了還是什么原因，當(dāng)超過三次的時(shí)候就會(huì)出現(xiàn)報(bào)警，還有如果很多人在批量地去抓你的敏感數(shù)據(jù)，比如你說有一些客戶的數(shù)據(jù)產(chǎn)生了消存，對(duì)很多人來講不管是從企業(yè)和個(gè)人的角度都有數(shù)據(jù)，所以當(dāng)他去抓這些數(shù)據(jù)的時(shí)候不帶條件的，這種訪問方式其實(shí)對(duì)你的系統(tǒng)，尤其是對(duì)那些敏感的在后臺(tái)可以捕捉到，把它作為一條審計(jì)系統(tǒng)記錄下來。還有像這種刪除都是很關(guān)鍵的，比如說像常數(shù)表不可能刪掉的時(shí)候，這種刪的操作其實(shí)也是被記錄，還有失敗的訪問，同時(shí)SQL數(shù)據(jù)庫的掃描，哪里有漏洞，這個(gè)時(shí)候就會(huì)產(chǎn)生一些錯(cuò)誤。我們傳統(tǒng)的方法是沒有辦法去識(shí)別的，我們只有像數(shù)據(jù)庫防火墻那種方式去抓到訪問。還有的時(shí)候有的后臺(tái)，當(dāng)出現(xiàn)違規(guī)違法，有權(quán)限的人做的小動(dòng)作，他應(yīng)用不能去改，所以調(diào)動(dòng)看似正常，結(jié)果對(duì)他所做的動(dòng)作是有利的。

另外一點(diǎn)，再一個(gè)生產(chǎn)環(huán)境當(dāng)中，如果不是基于互聯(lián)網(wǎng)的時(shí)候，你會(huì)發(fā)現(xiàn)你所有的IP運(yùn)行了一段時(shí)間都固定下來了。你搞，比如說你說的網(wǎng)點(diǎn)來自固定的訪問的時(shí)候，你都大概有哪些IP曾經(jīng)訪問，有哪些是合法的，這個(gè)在現(xiàn)實(shí)生活中是非常嚴(yán)重的情況。我們?cè)?jīng)在一個(gè)甚至一個(gè)公安的系統(tǒng)，有日本人在搞，你開放云應(yīng)用給他的時(shí)候，我不想通過應(yīng)用，我想拿到跟多的數(shù)據(jù)。

所以他就用各種各樣的手段，或者是黑客的攻擊行為。還有大家知道，我們永遠(yuǎn)生活再一個(gè)安全又不是完全安全的環(huán)境當(dāng)中，說安全，我們今天的IT系統(tǒng)是夠高性能、高可用性、可靠，但是隨著你的應(yīng)用，你的整個(gè)部署的架構(gòu)，你還是會(huì)帶來一些危險(xiǎn)，就跟樓很堅(jiān)固，但是它有門和窗，這時(shí)候就帶來一些隱患，你還要去看，這個(gè)當(dāng)中你的應(yīng)用顯得不好，應(yīng)該不用就給別人帶來門和窗，我們的防火墻就發(fā)現(xiàn)你的應(yīng)用開發(fā)或者你的開發(fā)團(tuán)隊(duì)?wèi)?yīng)用沒有寫好，他把這個(gè)都挑出來說，你在未來的維護(hù)當(dāng)中應(yīng)該去有所改善。SQL錯(cuò)誤語句是非常嚴(yán)重的問題，不但撞墻，在墻上不斷血液，如果說我來簡(jiǎn)單總結(jié)一下，今天如果我們過去是希望通過架構(gòu)網(wǎng)絡(luò)的安全、架構(gòu)系統(tǒng)安全體系，建立個(gè)人用戶訪問安全體系，做單點(diǎn)登錄，桌面安全等等等等的時(shí)候，大家千萬不要忽略。今天其實(shí)所有的安全建設(shè)都是服務(wù)于什么？

都是服務(wù)于最后的信息安全。也就是今天所有的信息安全建設(shè)都是服務(wù)于家庭安全，有錢人家里都有保險(xiǎn)柜，我的家里沒有，在座的很多人家里就有保險(xiǎn)柜，因?yàn)槭裁矗烤褪且驗(yàn)槟阕詈蟛粨?dān)心別人進(jìn)到你的樓里，也不擔(dān)心別人進(jìn)到你的家里，所以IT系統(tǒng)的根本損失就是來自你的數(shù)據(jù)的損失。

接下來我做一個(gè)總結(jié)，今天當(dāng)你去看待我的整個(gè)信息安全體系的時(shí)候，一定是從應(yīng)用到數(shù)據(jù)，應(yīng)用安全，下午F5的同事會(huì)跟大家介紹，其實(shí)很多可以啟動(dòng)、可以激活，你在F5的安全模塊，或者用其他的方式取得數(shù)據(jù)的安全。當(dāng)然數(shù)據(jù)庫的方式也可以用SQL的方式，其實(shí)我也在看好像界面上也有數(shù)據(jù)庫防火墻，開玩笑講，我們叫的那些商品化的工具通常不是非常有效的。為什么在安全的產(chǎn)品選擇方面也要有特別明顯的標(biāo)準(zhǔn)呢？這個(gè)就是說你做一般的建設(shè)的時(shí)候，但是安全的建設(shè)，這個(gè)就跟你的目的背離。

所以今天的安全，你要用企業(yè)級(jí)的方案，SQL今天做的話找數(shù)據(jù)庫，確切來講，對(duì)語句分析的能力是沒有超越的。如果大家可以想，如果說今天在一個(gè)關(guān)鍵業(yè)務(wù)系統(tǒng)當(dāng)中，百萬分之一的時(shí)間誤差，如果今天通常一個(gè)一天都是在幾千萬到上億次的SQL訪問的時(shí)候，一天當(dāng)中你其實(shí)接收到誤報(bào)和漏報(bào)的概率非常高。像在市場(chǎng)上買的東西要拿走，那是因?yàn)樗荒苡行ёR(shí)別對(duì)的和錯(cuò)的，這個(gè)工作量基本上是沒有辦法接受的，或者是不吭聲。所以如果今天我們看到安全解決方案的時(shí)候，大家可以從硬件到軟件，或者從應(yīng)用一直到數(shù)據(jù)。

總結(jié)，大家一定要關(guān)注信息安全或者數(shù)據(jù)安全，而且高風(fēng)險(xiǎn)、高技術(shù)行業(yè)。如果大家看今年的SQL，也就是說我的IT建設(shè)建設(shè)到今天的時(shí)候，安全其實(shí)已經(jīng)變成一個(gè)關(guān)鍵的因素。另外一點(diǎn)，我們的數(shù)據(jù)庫防火墻可以支撐今天在市場(chǎng)當(dāng)中所有的數(shù)據(jù)庫，包括開元的SQL，其他的廠家在不同的數(shù)據(jù)庫當(dāng)中都是支持，還有一個(gè)好處，傳統(tǒng)都是裝在什么？探底，要裝探針。今天只要一根網(wǎng)線，就可以有效地做到數(shù)據(jù)的跟帖、去解析當(dāng)中有沒有危險(xiǎn)。它的好處能使你一夜之間，在很短的時(shí)間最大強(qiáng)度加強(qiáng)你的系統(tǒng)安全建設(shè)。