本文轉載自IT168，作者danny
事件背景回顧
根據權威IT媒體報道，2月25日微盟官方釋出公告稱，2月23日19點，微盟收到系統監控報警，服務出現故障，随後微盟召集相關技術人員進行定位，發現大面積服務叢集無法響應，生産環境及資料遭受嚴重破壞。
微盟的業務系統資料庫（包括主備）被其公司運維人員删除。目前微盟技術團隊正在努力恢複資料，但資料恢複較慢。對新使用者服務已經恢複正常，但官方預計老使用者資料要到2月28日才有結果……
衆所周知，“删庫跑路”是IT界的老梗了，但如果段子成為事實，後果不堪設想。那麼，企業應該如何避免人為因素導緻的運維事故呢？
01、傳統資料庫安全管控方案漏洞百出
傳統的人為資料安全管控方案有兩種，集權管理和分權管理。
使用集權管理方案需要在業務代碼使用賬号之外，建立獨立的讀寫賬号、隻讀賬号，隻給與DBA、運維等特定的人員，但是這種方案的弊端在于，對于有些需要快速響應檢視資料進行決策的場景，繁瑣的步驟将直接影響研發效率，且運維人員直接通路資料庫存在直接變更産生諸如删庫跑路的風險！
在日常資料庫使用過程中，應用代碼的線上服務通路是最主要的一種方式，但人員基于資料分析、線上問題排查、新需求變更結構、臨時修正資料等各種訴求也需要直接接觸資料庫。
如果采用分權管理，建立獨立的讀寫賬号、隻讀賬号，分發到一線負責人，相較于集權管理，效率有一定的提升，但是接觸資料庫賬号密碼人員較多，人員變動時需要及時變更賬号密碼資訊確定安全。
這兩種方案不僅本身存在弊端，且在大批量管理時，實施難度也将成指數級放大。如此一來，企業還能如何避免人為因素導緻的資料洩露事件發生呢？
阿裡雲資料管理DMS企業版（對應新版中執行個體的“安全協同”管理模式，下文介紹的DMS企業版均采用該管控模式）針對此問題，提供了從通路源頭開始防護的完善、成熟的資料安全通路解決方案。
DMS企業版高效保障資料安全，提升研發效率
- 資料安全解決方案
- 資料庫DevOps解決方案
與傳統的資料通路方案相比，DMS企業版消除了人員的運維瓶頸，通過執行個體級别的安全規則管控審批流程，每一次操作都經過安全規則自動稽核或人為審批确認後才可以執行，在保障資料安全的前提下也兼顧了企業的研發效率。DMS企業版主要從通路和變更兩個方面進行安全管控。
在通路方式上，差別于傳統方案，無需直連資料庫，隻需提前錄入需要管理的資料庫執行個體、接觸資料庫的人員，當需要通路資料庫、表、字段的時候，可直接在産品内按需申請或由資料owner主動授權，具備權限後登入DMS企業版即可直接通路資料庫，不再接觸任何資料庫的賬号密碼。
在通路權限粒度上也設定了相應的規範，若無對應權限則不可大量資料導出、不可送出資料變更（DML、DDL等）操作，避免了資料被大量洩漏。同時，DMS企業版支援了特有的字段級别權限管控，友善企業在身份證、銀行卡、密碼等敏感資訊上進行精細化的管理。
DMS企業版對于保障通路性能安全也做了特别的處理，比如資料庫級别閥值禁止全表掃描管控，當表空間大于一定值執行計劃不走索引則禁止發起查詢；使用者級别單天查詢行數、次數上限管控；産品内單次查詢傳回行數上限管控等，全方位保障通路安全。
變更安全管控主要加入了執行個體級别變更流程管控、任務排程負載管控以及資料變更update、delete預設備份前鏡像，如果遇到異常情況可快速恢複，并且避免了中繼資料鎖争用阻塞資料庫、避免thread_running過高時排程加重負載。
除此以外，DMS企業版還提供了雲賬号準入、企業人員準入、企業内網準入三層登入安全保障；在開啟内網準入（通路IP白名單）管控後，即使企業内人員變更流失賬号未及時回收，但由于人員已不能再登入企業内網環境這無疑又是一道安全保障。
值得注意的事，在人員賬号都精細化按需使用後，賬号無共用，産品内人員的每一個操作都将可被溯源。公司内（尤其是上市公司）固定周期的操作審計将是重要的資料支撐來源。
02、資料安全任重道遠
資料安全任重道遠，企業内資料作為一個企業的核心資産、賴以生存的命脈，資料安全是重中之重；也是最值得持續投入改進、不斷加強的一個方向。DMS将不斷努力，助力企業完善資料安全管理。
資料管理DMS實作了人員權限的精細化管理包括操作的管控，那管理人員不接觸資料庫後，是不是資料就絕對安全呢？主機、資料庫執行個體的運維怎麼管控，如果不進入資料庫，直接主機銷毀或者執行個體銷毀怎麼辦？
阿裡雲資料庫備份DBS提供備份恢複能力，當出現極端情況時，異常執行個體可以通過備份來快速恢複資料，最終恢複生産服務。
🔸資料庫備份DBS是什麼？
DBS是一款可靠的備份産品，讓資料庫多一份保護。
• 你的資料庫在阿裡雲ECS上，使用資料庫備份DBS将資料備份到雲存儲上，從購買、配置到運作，僅需5分鐘；
• 你的資料庫在本地機房上，資料庫已開通公網可以使用資料庫備份DBS直接備份，或者通過開通阿裡雲專線，也可以使用資料庫備份DBS将資料備份到雲存儲上，根據DBS地域選擇，還可以做到異地備份；
• 你的資料庫在非阿裡雲的雲環境上，如果資料庫已開通公網可以使用資料庫備份DBS直接備份，或者通過部署代理、開通阿裡雲專線，都可以使用資料庫備份DBS将資料備份到雲存儲上，在阿裡雲上做跨雲備份。
最後附上【資料安全管理小建議】
1）禁止弱密碼的存在，即使生産服務使用的資料庫賬号密碼如有可能建議定期更換
2）禁止敏感資訊的大量接觸，敏感資訊嚴格限制可接觸人員
3）禁止公開企業内資料庫通路方式、伺服器IP等敏感資訊
4）設定資料庫伺服器的可通路IP白名單，來源管控
5）設定資料庫賬号的可通路IP白名單，來源管控
6）嚴格限制直接接觸資料庫的人員與操作