三. 安全防护建议

　　综合调查结果，我们针对数据库运维安全现状，提供具有实际可落地的安全防护建议：

　　3.1 在开发、测试、培训等工作环节中，使用敏感数据前进行脱敏处理是必要的，选择专业工具能够提高工作效率，保证数据处理效果及质量。

　　大多数用户在数据外发之前，会采取脱敏或加密手段对敏感数据进行处理，这将在很大程度上降低数据泄露风险。但目前专业数据库脱敏和加密工具并没有被广泛使用，用户多选择自行编写程序。当数据量的规模较大，各数据表、数据子集之间的关联关系较为复杂的情况下，手工脱敏或加密工作量大，且处理质量无法保证。这将导致外发数据无法满足开发、测试、分析等业务需求，影响结果准确性，同时，耗费的人力及时间成本往往得不偿失。

　　专业的数据库脱敏工具可以保持原有数据类型和业务格式，保证长度不变、数据内涵不丢失，保持表间、表内数据关联关系，确保以上业务场景中的脱敏数据真实有效。同时提供动态脱敏功能，对敏感数据进行透明、实时脱敏，对数据库用户名、IP\客户端类型、访问时间甚至业务用户等多重身份进行访问控制，提供多种安全策略。

　　3.2 使用专业有效的数据库管控手段可以提供细粒度的数据库运维管控，满足数据库管理制度要求，防止危险访问行为。

　　与堡垒机相比，使用专业的数据库管控产品，通过对数据库访问协议的精确解析，而不是单纯对访问操作进行录屏，事后追责。

　　数据库防火墙优势：基于对SQL语句的精准解析，提供高危访问控制、SQL注入禁止、返回行数超标禁止、SQL黑名单等技术功能，对于匹配策略的威胁操作实时拦截、阻断，而堡垒机由于不具备SQL语句的精准解析能力，无法提供如此细粒度的访问控制。

　　数据库安全管控平台优势：目前大多数企业使用堡垒机对运维人员的数据库操作行为进行审批，但对于实际操作的事中控制，无法监控。运维人员的实际操作是否与申请一致?实际操作人是谁?如果出现误操作，如何追溯?这一系列问题堡垒机无法解决。专业的数据库安全管控平台在审批通过后返回唯一的操作码，使用任意客户端建立连接时，无操作码或与原申请操作不符时，拒绝访问。提高操作准确度，防止高危操作及误操作，弥补传统解决方案对于事中控制的缺失。

　　3.3 运维部门对整体数据库访问行为有必要进行实时有效的监控与审计，审计产品的风险感知能力、审计效率及审计结果的准确度是重要依据。

　　传统的网络审计产品无法解析数据库通信协议，只能通过审计访问来源的IP地址、端口号等基本用户信息判断访问是否合法，而数据库审计产品对SQL语句的精确解析能够识别每条操作的实际含义，结合应用行为与用户行为建模分析，智能判断数据库是否遭到威胁，实时发出告警。调查显示大多数用户已经局部部署或全面部署数据库审计系统，在此基础上，我们更应关注审计产品是否专业，如数据库流量是否全捕获，对于长语句、参数化语句等是否能够精准解析，是否具有风险感知能力，审计数据是否高效入库，对审计结果是否能够高效分析及检索。这些关键点决定一款数据库监控与审计产品是否真正具有使用价值，而不是简单地解决有无问题。