常常看到網絡上曝光某某平臺有敏感數據泄漏，是否擔憂過本身的系統也存在一樣的風險？是否由於數據安全隱患而不敢上雲？我如今告訴您雲上其實有更加全面的數據防禦方案，並且更加容易操做，2小時的在線學習幫您解決這些困擾。算法
關於雲上數據安全的詳細教程：數據庫
雲上數據安全
經過本認證課程，你將：安全
· 瞭解數據應該從哪些方面進行安全防禦，例如：存儲技術、備份和恢復方案、如何安全地傳輸、該選擇哪一種加密算法等。
· 掌握阿里雲平臺上數據安全防禦的核心技能，包括：如何實現數據的自動異地備份、如何在雲環境下實現加密存儲、如何生成SSL證書、如何在零代碼修改的前提下實現站點加密訪問，涉及產品：RDS、OSS、ECS、SLB、WAF、加密服務、HTTPDNS。服務器
也許你可能並不知曉，但數據安全之戰天天確實在咱們周圍發生着。例如美國和以色列經過Stuxnet（蠕蟲）病毒黑進伊朗的核武器研究數據庫，並對離心機的轉速作了更改，直接致使伊朗核武器的研究滯後兩年之久；還有Linkin早在2012年數據就已經被竊，直到如今才發現並公佈於衆。網絡
相比較於從外部攻入、具備必定技術難度的數據篡改、偷竊行爲，那些在企業內部發生的數據庫的異常更爲致命，手段一般更加暴力，結果更具備破壞性，例如因爲勞資糾紛，員工關停服務器甚至完全刪除了數據，對業務帶來了致命的傷害；或者員工被競爭對手買通，導出全部客戶資料，直到公司客戶大量流失才被發現。負載均衡
所以，小到公司，大到平臺，再大到國家，都應該對安全給予充分的重視。目前阿里雲的客戶中，約有百分之六十的公司數據是沒有備份的，剩下的百分之四十具備備份的公司中，能實現數據恢復的又寥寥無幾。這是由於數據恢復的成本是很是高的，它將花掉DBA大量的時間。此外因爲大部分企業不會將數據恢復記入KPI中，所以即使是有着明確規定的企業中，也不多有人去按期進行數據恢復。若是數據不可恢復，那數據備份也就失去本來的意義。最近在公有云上發生了這樣一個案例，某家企業採用2013的數據進行數據備份和回滾，近幾年一直沒有檢查其備份策略是否有效，所以其備份一直是失敗，沒法恢復，這直接致使三年內的數據所有丟失，企業面臨倒閉的風險。所以對於自建數據庫的企業，如下幾點就須要重點防範：學習
- 收緊數據庫網絡入口， 檢查是否有非正常IP訪問
- 檢查全部密碼，並按期更改：
- 特別是爲了方便而設置的空密碼；
- 檢查備份策略的有效性：
- 每週至少2次全備，考慮增量備份；
- 儘可能用物理備份；
- 檢查備份集的完整性：
- 按期恢復。
雲數據庫的安全策略測試
衆所周知，構建一個安全體系十分複雜。在數據庫方面，阿里雲利用五年的時間，在安全方面進行了大量的開發和測試，目前能夠經過雲服務的方式將阿里的安全能力輸送給其餘企業。下面來具體看一下MySQL安全能力的構建思路與方法。網站
安全的問題須要從事前、事中、過後三個時間軸以及存儲層、網絡層、訪問層、應用層四個層面，立體化地構建解決方案。阿里雲
過去，咱們認爲數據庫在私有網絡（局域網）內纔是最安全的。但目前來看，數據庫在局域網內也只是作到了百分之五十是安全的。在公有云上，要確保安全性，一樣須要爲用戶構建一個相對隔離的網絡環境。數據庫和應用服務器都須要構建在一個獨立的VPC網絡內；同時該VPC網絡能夠經過專線與局域網相連，實現線上線下的同步，這也就是混合雲最底層的基本網絡構建。這種構建方式能夠將網絡的虛擬層與局域網聯合組成同一個網絡地址段，例如局域網的IP爲192.168.0.1，能夠在雲上設置192.168.0.125，兩者相互聯合構成完整的雲端局域網絡。
網絡構建後，應用服務器和數據庫有可能須要經過公網進行訪問，例如一些直連數據庫的App應用。在應用訪問層上能夠從如下幾點出發保護數據的安全：第一，因爲公網具備不少風險，若是須要在公網上暴露數據庫時，須要支持SSL非對稱加密，這樣一來即便網絡包被劫持後，也沒法進行破解；第二，因爲應用服務器是直接暴露在公網之上，因此也成爲黑客們最喜歡攻擊的對象，因此對數據庫而言，須要肯定訪問源是否合法，同時也可經過事前設置IP白名單，經過受權訪問進行安全控制；第三，可經過對庫、表、視圖設置嚴格且明確的數據庫訪問權限，實現數據庫內部分安全防禦，例如在數據內部有一百張表，只容許特定用戶訪問其中的十張表；第四是密碼問題，特別是管理密碼，對於大多數MySQL用戶而言，爲了便於批量管理使用，管理密碼基本上都是設置爲空值，這是一個很是很差的習慣，也是一個高危的漏洞；另外一點值得注意的是SQL注入，因爲應用的SQL注入漏洞，使得黑客很容易經過正常渠道完成數據的竊取；最後一點，對於刪除全表等很是規操做須要進行相應的攔截，防止大規模的數據篡改、刪除操做。例如電商雲上，阿里雲構建了SQL防火牆規則，超過一萬條的查詢、刪除語句都不能正常執行。
當從正面滲入沒法實現時，黑客們有可能將數據文件竊取到其餘地方再打開。針對這種狀況，能夠採用數據庫、數據表的TDE透明加密，在數據庫或者表打開時進行密碼驗證，該密碼是用戶自行在KMS中進行設置更改的。
容災
除了上述的防攻擊、防竊取的應對措施外，安全領域內還存在着獨特的行業規則，首先備份必須存儲兩到三年甚至更久，同時支持任意時間點的數據恢復查看。若是採用線下構建知足要求的平臺，成本很是高，須要大量的人力投入；此外，跨機房的容災和兩地三中心的解決方案也成爲了某些行業的硬性要求，例如金融行業，兩地三中心是標配。
要實現這樣的要求，投資成本是很是之大，甚至尋求託管運營商，也不必定具有這樣的能力。可是經過阿里雲提供的服務，在分鐘級別就能夠得到這樣的能力，知足行業的要求。例如針對金融雲上的兩地三中心解決方案，能夠實現1000KM距離的設計，同時傳輸時延控制在30ms之內；跨Avzone網絡延遲在1-3ms左右，同時備份最長可保留兩年，隨時可一鍵恢復、驗證數據。
內部信任
當發生緊急狀況，須要管理員介入處理時，首先須要向用戶進行受權，得到頒發的臨時Key（24小時失效）；管理員得到臨時Key後，才能對數據庫進行相應的訪問操做，這裏用戶也可自定義臨時Key的有效時間。
爲了更近一步的合乎規範，阿里經過引進了包括DJCP、AICPA/MTCS T3在內的第三方的權威機構進行監管認證，保證運營、管理以及數據保護體系達到國際標準。
100%？
爲了達到數據的100%安全，阿里雲又提供了更高一級的防禦措施。首先應用數據直接加密存儲到數據庫中，因爲整個數據是加密的，即便被盜以後也不會致使數據的泄露；其次，經過數據投保，爲企業提供了一層心理保障。目前，阿里聯合衆安保險爲企業提供了最高投保額度高達一百萬的數據保險。
使用建議
對於企業而言，不一樣的數據須要不一樣安全策略。對於一些安全程度要求較低的數據，對應的安全策略是：配置了HA高可用；每個月一次驗證備份的可靠性，備份保留30天；同時關閉公網訪問或者採用VPC、IP白名單；涉及到用戶隱私的高級數據，雲數據庫的安全策略進一步升級：首先雲數據數據庫密碼是1-3月更換一次；同時打開TDE加密；數據備份所有存儲在OSS中，可保留90天之久；此外數據庫還應該支持同城容災；對於核心數據而言，雲數據庫首先在應用層加密，支持SSL加密傳輸，備份可保留720天，同時支持跨地域容災和兩地三中心的部署方式。
更多精品課程：
阿里雲大學官網（阿里雲大學 - 官方網站，雲生態下的創新人才工場）