【大咖來了 第9期】數據安全之數據庫安全黃金法則
原創【51CTO.com原創稿件】本期出席《大咖來了》直播欄目的嘉賓是貝殼找房技術總監侯圣文，分享主題為《數據安全之數據庫安全黃金法則》，過程中以Oracle數據庫安全加固為例，詳盡闡述了如何把管理混亂數據庫規范化的三十六大黃金法則。
數據庫安全運籌帷幄三十六計
根據多年在數據行業摸爬滾打，積淀下來的經驗心得，分享一個“向左向右”的理論。
在數據庫安全領域，左，是走為上計，相當于逃跑機制，當沒有有效安全機制來保證數據庫安全時，一旦發生重大故障，最后只能被動離開。右，是運籌帷幄之決勝千里之外，相當于把很多安全的動作前置，避免數據庫出現問題后束手無策。向左還是向右，答案顯而易見。
接下來我們再分析下當前數據現狀，如下圖。
管理規范的數據庫除了數據庫名不同，其他都相同，所謂相同是指安全加固的方式與保障規范，只有規范化才能工具化，只有工具化才能產品化，只有產品化才能過渡到真正無人職守的狀態下依然智能加固。反之，管理混亂的數據庫除了數據庫名字相同，其他都不同，所謂不同是指配置零亂、存在各種部署問題，也就存在著各種安全風險和漏洞。
那么如何把管理混亂數據庫規范化，達到運籌帷幄的狀態呢？這里總結了三十六大黃金法則分享給大家，如下圖所示。
以實際生產對環境的安全加固深厚經驗為依據，在不同階段、針對不同維度進行拆分，把三十六計分為勝戰計、敵戰計、攻戰計、混戰計和敗戰計五個方向。
勝戰計
何為勝戰計？以不戰而驅人之兵者，是為勝戰。在實際生產環境下，運維過程中，故障在所難免，需要做好成分的準備和規范，就可以有效減少故障、規避和繞過故障。這個方向總共有八計，下面我們逐一進行詳盡闡述。
第一計：有效的備份重于一切
對于一個DBA或數據安全的捍衛者，如果沒有進行有效備份，當遇到重大故障的時候，能做的也只有走為上計，這種是多方都不希望發生的狀態。所以，要有效備份，有備無患，這樣當災難來臨的時候，才能夠做到心中有底，手中不慌。
所謂的災難就是數據被誤刪除、修改、篡改，只要有備份，才會有恢復的可能性。雖存在時效性的問題，數據量越恢復成本就會越高，也可能不會瞬間恢復，但如建有完備的災備方案，恢復時間會很好把控。
沒有備份是唯一讓DBA或者數據安全員在夢中驚醒的事，因為數據本身就是業務，數據本身就是生產環境最核心的資產，要用敬畏之心面對生產數據庫。
第二計：制定應急預案和進行演習
雖有備份，但恢復過程中，發現備份介質不可用怎么辦？所以一定要制定應急預案，確保方案有效可執行的同時，一定要堅持進行演習，沒有演練預案全是紙上談兵。還有就是就算沒有真實的故障，每季度或半年一年做介質的有效性驗證，避免在恢復過程中消耗時間。
第三計：建立容災或異地備份
在實際生產環境中，生產機房往往是在同一個地點，雖把備份放到本地服務器，出現極端的情況怎么辦，如因為自然原因，整個機房毀掉，依然起不到有效保障。很多特殊情況都是一定要保證數據留存性的，如銀行級、電信級，絕對不允許數據丟失，那么就需要建立容災站點或異地備份。
第四計：數據歸檔和讀寫分離
任何一個生產環境，隨時間推移，業務增加，數據會越來越多，導致數據庫的讀寫和性能會越來越差，積累到一定程度便會影響生產環境的正常使用，故一定要做數據歸檔。數據歸檔既可以把數據做離線保存、防止數據丟失的同時，又使得主生產數據庫性能得到一個最大保障。讀寫分離是一定要做的，把主站點做一定的拆解放到另一個站點，這樣另外讀庫的動作就可以在另外站點進行，寫庫動作可以在主庫進行操作。
切記要建立數據歸檔機制，比如對數據進行分級，哪些是生產環境主操作數據，哪些是可以做歸檔。需要在架構上做優先的設計之后，再去實現讀寫分離。
第五計：測試和生產環境隔離
DBA經常會犯的問題就是主操設備既用來生成又進行測試，這樣會存在很大風險，一旦不小心連錯庫，就直接威脅到生產環境的數據安全。這里強烈建議一定要做網絡級的隔離，切記絕對一定不能在生產環境中進行測試。
這些還需要注意兩點，一個是數據庫應處于應用系統的最后端，并進行保護，另一個是避免將其置于對外的訪問鏈接之下，需要內網環境下對其進行操作。
第六計：部署標準和完善的監控體系
故障在所難免，要第一時間發現并解決問題，這就需要有一套部署標準和完善的監控體系。監控的目的是為了預警，為了更早的發現故障，不需要等業務反饋不能用或數據丟失，被動進行處理，那就為時已晚。
第七計：制訂規范并貫徹執行
經過逐年累月的實踐會有很多經驗，把這些歸納總結，制定成規范且貫徹執行，是減少故障的基礎?；谌娴囊幏犊赏苿娱_發和運維人員更加標準化。
一旦標準化成型，就有了參照，有了基線，進而未來才能進行工具化、產品化建設，待數據盤點后，智能化運維或安全加固的策劃也將成為可能。
第八計：運維自動化和智能化
如何做到運維自動化呢？就是把運維的各種策略和變更盡可能用腳本或工具管理進行實現，這也是未來必然要走的路徑，每個企業都應該投放精力、人力、財力進行建設，之后真的會極大的節省大量人工成本。
從工具化，轉到自動化，之后在進行智能化的探索推進運維體系的持續提升，直到所有故障都可以在業務無感知的情況下提前處理，不需要人工干預。到了那時候，運維人員就可以做更多預測性、盤點性工作，向業務側傾斜，充分體現出自身對業務和產品的價值。
根據多年數據安全行業經驗把這些計策總結出來，以方便大家進行參考，當然這些計策必須可以在實際生產環境當中落地實踐，欲知余下二十八計，請戳視頻連接：
http://aix.51cto.com/activity/10019.html
《個人簡介》
侯圣文，北京大學理學碩士，現任貝殼找房技術總監，Oracle ACE總監，阿里云MVP，OCM聯盟創始人，中國Oracle用戶組（ACOUG）核心成員，中國Cloudera用戶組（ACCUG）創始人，TiDB用戶組TUG聯合創始人，恩墨學院創始人，ITPUB資深版主，DataGURU專家團成員，《SQL和PL/SQL深度編程》譯者。
【51CTO原創稿件，合作站點轉載請注明原文作者和出處為51CTO.com】
- 【大咖來了 第1期】新零售時代的智慧中臺
- 【大咖來了 第2期】快狗打車智能化演進之路
- 【大咖來了 第3期】海量日志分析與智能運維
- 【大咖來了 第4期】數據驅動的產品決策和智能化
- 【大咖來了 第5期】如何建設大數據中臺
- 【大咖來了 第6期】面向交互的人工智能
- 【大咖來了 第7期】智能導購對話機器人實踐
- 【大咖來了 第8期】電商風控利器—移動設備可信ID
