随着技术的飞速发展，公有云逐渐成为企业运行 IT 设施的新趋势，而作为企业最核心的系统数据库，在上云时代也成为必然选择。
对企业来说，数据库可视为其命脉。因此，数据的安全性显得至关重要。数据库迁移上云，也就意味着将“命脉”搬到公有云平台，很有可能因此引发安全隐患。
当前环境下，云数据库服务所面临哪些安全挑战？相应解决方法是什么？作为云平台提供商承载了成千上万家企业系的华为云数据库统，在现有市场基础上做了哪些优化？一文看懂华为云数据库服务安全白皮书。
云数据库服务面临的安全挑战及应对
数据库从私有机房搬到公有云，从独占基础设施，到全国乃至全球范围内共享，这给数据库的安全带来了全新的挑战。其中最常见的隐患包括：数据库使用安全、数据存储安全、云平台管理系统自身安全三种。
数据库使用安全，由于应用程序、程序员和 DBA 没有安全使用数据库，从而直接对数据库造成的灾难性后果。这种安全威胁在传统模式里也有，但上云后将更为突出。比如数据明文传输过程中潜存的被窥视风险；SQL注入、缓冲区溢出导致的敏感数据泄露；越权使用、合法权限滥用、权限盗用等导致数据库被入侵，数据被窃取、篡改等。
数据存储安全源于云数据库与传统数据库模式的本质区别，即底层存储机制。这或许也是企业上云最关注同时也是最担心的问题。由于共享底层基础设置、数据，因此客观上存在第三方、黑客或云运营商窃取、篡改、删除数据的潜在风险。
云平台管理系统自身安全也是企业上云必须考虑的维度。云平台通过面向互联网的管理系统，对所有租户提供实例服务，这个管理系统本质上也是一个典型的“前台网站 + 后台服务 + 运维管理”的互联网系统，其自身也面临着系统漏洞导致实例被恶意操作，系统被 DDoS攻击导致无法管理实例，以及人为安全事故导致实例被损坏等。
面对如上种种，企业又该如何应对？现阶段，公有云领域采用不同的解决方案来针对性解决以上所有威胁。以下列举几个简单说明：
数据库防火墙，这是一种有别于一般 IT 基础设施的，专门针对数据库访问安全进行防护的特殊防火墙。在技术上，数据库防火墙通过采用（设置）应用程序/客户端与数据库之间的反向代理，拦截所有数据库访问，并对返回值进行处理，从而实现多种安全防护，如 SQL 注入检测与防攻击、•敏感数据识别与脱敏、细粒度访问控制等等。
云数据库由于其所处环境为“公共场所”，相较传统场景而言，更有必须要启用安全组或IP 白名单。IP白名单，就是传统的基于 OS 的 iptables，而安全组则是云平台基于主机或网络设备提供的，相比于OS层是更为安全的访问控制机制。安全组的规则类似于IP白名单，可对进出、IP段进行约束。
防止数据泄露，除了采取隔离保护措施外，最有效的当属加密方式了。云数据库从网络传输、计算、表数据存储到备份，都是在公共设施中进行的。网络传输可以通过SSL安全连接进行加密，计算和存储加密，则需要额外的机制，比如静态加密、表空间加密、同态加密等。
云平台本身是个复杂的、面向互联网的管理系统，和所有互联网系统一样，面临着各种各样的攻击，防范措施也类似。而作为公共设施，其自身安全性比单个企业的系统显得更为重要而迫切，因为一旦被攻破，可能导致成千上万的企业遭受损失，后果极其严重。云平台系统的安全防范需从两个维度进行：技术和人员，此外还需要看云平台提供商的战略定位，预防提供商自身的核心利益与用户数据利益冲突导致可能存在的的“监守自盗”。
华为云数据库服务在数据库使用、数据存储和自身管理系统安全方面，均具备良好的基础。例如直接支持数据库安全服务，租户可以配套RDS启用数据库防火墙。数据库安全服务（Database Security Service）是一个智能的数据库安全防护服务，基于反向代理及机器学习机制，提供敏感数据发现、数据脱敏、数据库审计和防注入攻击等功能，保障云上数据库的安全。
此外，华为云内部系统开发有数以千计安全规范和扫描工具，涵盖编程语言、数据库、操作系统、运维等领域，以及严格的安全验证流程。
当前华为云已获得CSA STAR金牌认证、公安部信息安全等级保护三级、网信办网络安全审查试点、可信云认证、金牌运维及国际通用准则CC+EAL3+等安全认证
华为的战略是云、管、端，华为云已宣布“不碰用户数据”的中立立场，这是企业上云的重要“定心丸”。
相较于企业自建数据库的传统部署方式，云数据库服务面临着数据库使用、数据存储和自身平台系统安全等方面的安全挑战。企业上云应根据自身业务功能需求、性能需求、预算和安全需求，以及云平台定位，选择最适合自身的云数据库服务。
