这家公司把安全嵌入拷贝数据管理
11月3日，上讯信息发布了第一款平台型产品——敏捷数据管理（ADM），其核心便是从2014年开始进入Gartner存储领域技术成熟度曲线后，便不断攀升的“拷贝数据管理”（CDM）。
上讯信息DS产品线高级研发经理李玉亮
在安全圈内鲜有发声的上讯信息，从2011年开始进行大规模地自主产品研发后，逐渐形成了IT合规审计（CA）、数据安全（DS）、终端安全（ETS）这三大产品线，但却始终都是围绕某一功能模块的单一产品。在“安全需要成体系的建设”这一呼声日渐高涨的今日，不免有些单薄。而此次敏捷数据管理平台，则凭借上讯信息在存储、备份、容灾、运维管理审计等方面的技术积累，并作为上讯信息数据安全这一“排头兵”产品线的第一款平台型产品正式推出。
拷贝数据管理中的一些问题
Gartner对拷贝数据的定义，是指从生产环境拷贝出来，用作备份、开发/测试、数据分析等用途的数据。这些拷贝数据也要占用企业的存储空间。即使只有上面提到的“备份、开发、测试、分析”四种用途，拷贝数据的存储成本也是生产数据存储成本的四倍。然而，这只是乐观的保守估计。
据IDC统计，77%的企业生产环境中的数据库实例数量超过200，而82%的生产数据库实例有超过10个拷贝。也就是说，超过半数的企业，要存储2000个以上的拷贝数据。这无疑是非常庞大的存储资源开销。
除了存储成本以外，现有的低效管理模式也在拖后腿。
“我们发现，在开发向主管申请测试数据时，还需要数据库管理员、系统管理员和存储管理员的参与，请求数据->批准->请求系统->请求存储->配置存储->配置系统->配置数据库，这个流程十分复杂；且由于涉及人员较多，人力成本投入也非常大。”同时，在拷贝数据的更新方面，有62%的企业更新时间超过12小时，68%的企业更新频率在一周以上。”
更可拍的是，如此冗长的业务数据流，数据的安全性会也会随之衰减。
目前安全策略的制定和执行不在一个层面，国外的CDM厂商也没有把更多的精力放到安全上。而上讯信息要做的，正是通过ADM这样一个平台，实现安全策略的不衰减和统一。
在对拷贝数据的脱敏处理方面，业务数据在转移到非生产环境中时，除了备份、容灾等需求外，都需要按照不同需求，通过不同的脱敏策略对业务数据进行快速脱敏。而目前，业内选择自己编写的脚本，而不是通过专业的脱敏产品来实现创建数据拷贝和数据脱敏的企业已经超过80%，这无疑存在着很大的安全隐患。
敏捷数据管理中的安全考量
通过DBhypervisor以及DBplayer进行多个虚拟数据库的创建和管理，上讯信息的敏捷数据管理平台(ADM)只存储一份生产数据的拷贝以及每次使用过程中1%的的变化，以及为虚拟数据库开发的脱敏引擎DBmasker和数据实时同步引擎DBrecorder，提供数据采集、数据存储和数据分发这三个基本功能，实现在数据使用过程中对数据的管控，并通过数据脱敏和运维审计实现安全性的补充。
数据脱敏
在数据脱敏方面，管理员可以通过DBmasker组件实现不同脱敏策略的配置，并与不同用户的不同账户权限相关联。目前DBmasker内置了30种不同的脱敏策略，并与整个ADM平台松耦合。如果有非常高的并发脱敏需求，可以单独增加脱敏模块节点实现。
据上讯信息CEO邢飞介绍，在脱敏算法的安全性方面，主要是基于随机数的脱敏加密算法，在保障“一致性”和“不可逆性”的前提下进行脱敏。
除了脱敏外，上讯信息还计划在ADM之后的版本中加入动态脱敏的功能。脱敏是不可逆的，如果员工有直接访问生产数据库的需求，但又不能让他看到全部字段的数据的话，就需要使用动态脱敏。
访问控制
数据库访问的权限设置往往与特权账户管理相关联，在账户的安全性方面，管理员可以通过ADM的客户端自动为所有用户配置脱敏虚拟数据库的访问账户和密码。在经过脱敏的虚拟数据库创建后，客户端会自动连接，并记录访问虚拟数据库账户的所有行为操作，从而避免A用户登录客户端后再使用B的虚拟数据库登录账号越权访问的情况发生。除此以外，上讯信息CA产品线的IT运维管理与审计(OMA)中，对人员操作行为的审计功能也将集成在ADM平台中。
“CDM刚开始推出的时候是为了解决数据存储成本和效率的问题，现在已经变成了数据使用的全生命周期管理的框架。以数据为中心的审计和保护，如果不把数据集中管理起来就是空谈。而敏捷数据管理则正是通过对拷贝数据的集中管理，来实现统一的安全的策略、访问策略、脱敏策略，以及审计策略，并延伸到数据管控。它会成为之后数据安全使用的基础。”
平台安全性
最后，在ADM平台自身的安全性方面，据上讯信息DS产品线高级研发经理李玉亮介绍，之前ADM平台与生产数据库的交互方案设计是通过传统的SSH协议实现，但是考虑到黑客有可能利用ADM作为跳板攻入企业内网，便自行开发了一套裁剪版的协议，只用于数据备份、日志上传等信令，而不能做其它事情。
同时，在操作系统层面，ADM使用的是上讯信息“研发总部”提供的深度Liunx定制版，集成了产品常用的加密、账号权限管理、存储池管理等功能，剔除了无关内容，并制度化地定期对操作系统和产品本身进行安全加固、安全性扫描和渗透测试。
－－－
在订阅号里，长按公众号，即可“置顶”