雲上資料安全防護

1.資料安全概述

資料漏洞，資料篡改，資料丢失，資料被非法通路，正常使用者無法通路等

資料安全可以分為兩大類：資料本身的安全和資料防護的安全

資料本身的安全：保密性，完整性，可用性

• 保密性：控制各個可以洩密的環節，不能把資料洩露給沒有授權的個人合适。加密，證書
• 完整性：資料存儲，傳輸過程中不被修改，破壞，插入，不延遲，不亂序等特征。　完整性驗證
• 可用性：通過備援的手段實作可用性。主備執行個體，異地執行個體

資料防護的安全：實體安全，安全防護

資料防護安全是指因存儲媒體受損，人為措施竊取破壞或者病毒導緻的資料洩露。包括實體安全和安全防護

• 實體安全：及時備份和恢複
• 安全防護：資料通路授權和審批

阿裡雲的資料安全防護

阿裡雲從以下幾個方面來實作資料安全防護：資料備份和容災；資料加密；資料傳輸安全

2.資料備份，恢複和容災

常見的不同級别的備份方法

• 按地理位置
  • 本地備份：不同機房，不同交換機
  • 同城備份：不同資料中心，資料中心之間的電力網絡互相隔離
  • 異地備份
• 按備份模式
  • 實體備份：資料塊級别；以磁盤按塊為機關，将資料複制到備機，忽略了檔案和結構，處理過程簡潔，開銷比較小，性能比較高。不受檔案系統限制
  • 邏輯備份：檔案級别；以檔案為機關，将資料複制到備機。比如資料庫按照庫表的級别備份就是邏輯備份。磁盤開銷比較大，性能比較低，比較難做到實時備份。會受到檔案系統制約
• 按時效性：
  • 熱備
  • 冷備

1.雲服務ECS備份與恢複--快照

雲伺服器ECS使用快照來現實資料的備份，恢複。

快照：就是某一時間點上某一磁盤的資料備份

阿裡雲提供了快照機制，通過為雲盤建立快照，您可以保留一個或多個時間點的磁盤資料拷貝。

快照機制：第一個快照是全量快照，以後是增量快照

2.雲資料庫RDS備份與恢複

備份與恢複：為了保證資料的安全性，必須定期進行資料庫的備份，當資料庫損壞或系統崩潰時可以将過去制作的備份恢複到資料庫伺服器中。阿裡雲雲資料庫RDS提供了備份與恢複機制：

備份：可以通過設定備份政策調整RDS資料庫備份和日志備份的周期來實作自動備份，也可以通過手動備份RDS資料。備份是儲存在OSS叢集中

恢複：支援按備份集和制定時間點的恢複

3.雲資料庫RDS資料導入、導出

雲資料庫RDS可以進行資料導入導出，以用于資料庫的備份和還原：

• 導出即将雲資料庫(表)導出到本地資料庫(表)檔案
• 導入即将該資料庫(表)檔案導入（還原）到雲資料庫中

雲資料庫RDS分為兩種：

• 資料本身的導入導出：通過DMS實作
• 備份檔案的導出： 通過控制台實作，包括資料備份，日志備份

4.雲資料庫RDS高可用版、災備執行個體

RDS産品系列有基礎版，高可用版，叢集版和三節點企業版

高可用版：

RDS高可用版采用一主一備的經典高可用架構，熱備架構，實體伺服器出現故障後服務秒級完成切換。整個切換過程對應用透明

災備執行個體：

RDS提供異地災備執行個體，幫助使用者提升資料可靠性。執行個體和災備執行個體均搭建主備高可用架構。主節點(Master)和備節點(Slave)均無法連接配接時，可将異地災備執行個體切換為主執行個體

5.雲存儲OSS多副本&異地備份

OSS多副本：雲存儲OSS提供多資料備份功能，可靠性達99.999999999%

異地備份：雲存儲OSS提供跨區域複制功能，将本地的資料自動複制到異地的資料中心去。整個複制過程無需使用者人工參與，0運維成本，無需運維人員及托管費用

3.資料加密

介紹一下資料加密技術和阿裡雲上各種服務如何用資料加密技術來保障使用者資料安全。

加密的必要性

資料加密技術

1.常見的加密算法

• 對稱加密算法：加密解密用相同的密鑰
• 非對稱加密算法：加密解密用不同的密鑰，public key 和 private key
• 哈希（HASH,摘要）算法：單向，不可逆的算法，哈希值不能轉換回原來的值

2.如何選擇加密算法和密鑰

加密算法的效能通常可以按照算法本身的複雜程度，密鑰長度（密鑰越長越安全），加密解密速度等來衡量。

下面介紹一下阿裡雲上各種服務如何用資料加密技術來保障使用者資料安全

1.密鑰管理服務KMS

密鑰管理服務概念和優勢

密鑰管理服務KMS（Key Management Service）是阿裡提供的密鑰的安全托管及密碼運算等服務。借助密鑰管理服務，使用者可安全，便捷的使用密鑰，專注于開發加解密功能場景。

功能包括：加密密鑰的托管，自帶密鑰（BYOK），自動輪轉加密密鑰，簡單的密碼運算API等。與多個阿裡雲産品無縫內建：雲伺服器ECS，雲資料庫RDS，對象存儲OSS，通路控制RAM，操作審計ActionTrail

密鑰管理服務--解決的問題

信封加密：将加密資料的加密密鑰放入信封中

密鑰管理服務--适用場景

2.阿裡雲加密服務

阿裡雲加密服務（Ali Cloud Data Encryption Service）是雲上的資料安全加密解決方案，服務底層使用經國家密碼管理局檢測認證的硬體密碼機，幫助客戶滿足資料安全方面的監管合規要求，確定雲上業務資料的隐私性和機密性。

客戶可以借助雲加密服務實作對加密密鑰的完全控制和進行加解密操作。

金融支付領域的加解密支援。權限認證：裝置與敏感資訊管理分離。高可用性保障

加密服務使用方法：

1. 購買并建立加密服務執行個體，并配置設定私有IP位址（VPC網絡）
2. 填寫位址，接收身份認證卡USB key
3. 安裝執行個體管理端，使用身份卡USB key對執行個體進行管理
4. 安裝安全代理程式，并通過執行個體管理端對其授權
5. 通過代理程式調用加密服務執行個體，對業務資料進行指定的加解密運算

加密服務支援的加密算法：全面支援國産算法以及部分國際通用密碼算法

1. 對稱加密算法：SM1 SM4 DES 3DES AES等
2. 非對稱加密算法：SM2 RSA 等
3. 摘要算法：SM3 SHA1 SHA256 SHA384等

加密服務的特點

 3.雲資料庫加密存儲---TDE透明資料加密

對執行個體資料檔案執行實時I/O加密解密：資料在寫入磁盤前加密，從磁盤讀入記憶體時解密

不會增加資料檔案的大小，開發人員無需更改任何應用程式

會增加CPU使用率

4.雲存儲OSS加密存儲---用戶端加密保護資料

用戶端加密：使用者資料在發送給遠端伺服器之前就完成加密，加密所用的密鑰的明文隻保留在本地。

保證使用者資料安全，即使資料洩露别人也無法解密得到原始資料

5.雲存儲OSS資料完整性驗證

資料在用戶端和伺服器之間傳輸時可能會出錯，OSS現在支援對各種方式上傳的object傳回其CRC64值，用戶端可以和本地計算的CRC64值做對比。用到了Hash算法

4.資料傳輸安全

流量劫持

資料傳輸安全要求保護網絡上被傳輸的資訊，以防止被動地和主動地侵犯。流量就是網絡上傳輸的資料量，流量劫持就是目前最典型的資料傳輸安全風險。流量劫持包括：資料劫持和域名劫持

HTTP協定和HTTPS協定

有效的HTTPS安全傳輸

CA憑證

CA是指Certificate Authority也叫證書授權中心。CA憑證就是CA頒發的證書。

CA憑證的作用：

1. 驗證網站是否可信，針對HTTPS
2. 驗證某檔案是否可信：是否被篡改

CA憑證的趨勢

1. 谷歌、火狐等主流浏覽器對HTTP頁面提出警告
2. 蘋果IOS強制開啟ATS标準
3. HTTP/2協定隻支援HTTPS
4. HTTPS提升搜尋排名
5. 英美強制要求所有政府網站啟用HTTPS
6. 超級權限應用禁止适用HTTP連接配接

SSL證書：避免資料劫持

SSL證書也稱為雲盾證書服務Ali Cloud Certificate Service。數字證書稽核成功後，可以推送到其它阿裡雲産品，包括CDN，DDoS高防IP，WAF，及SLB服務

适用場景

1. 場景1：使用者網站服務由HTTP協定轉換成HTTPS協定
2. 場景2：阿裡雲CDN，SLB服務上适用HTTPS協定

 HTTPDNS：避免域名劫持

SSL證書可以避免資料劫持，然後可以使用HTTPDNS避免域名劫持。

HTTPDNS是阿裡雲向移動開發者推出的一款域名解析産品，具有域名防劫持，精準排程的特性

HTTPDNS原理

HTTPDNS使用場景

由于通過HTTPSDNS進行域名解析擷取IP資訊後，需要基于該IP資訊進行網絡請求，即需要具備定制網絡請求的能力。是以HTTPDNS比較适用于C/S架構的應用場景

浏覽器環境下B/S架構由于用戶端的網絡實作對于開發者而言是黑盒過程，無法定制DNS與網絡請求的實作，是以不适合在該場景下使用HTTPDNS 

如何使用HTTPDNS

5.資料庫審計

常見的資料庫攻擊手段

1. 破解弱密碼或者預設的使用者名及密碼
2. 特權提升
3. 利用未用的和不需要的資料庫服務和功能中的漏洞
4. 針對未打更新檔的資料庫漏洞
5. SQL注入
6. 竊取備份（未加密）的錄音帶
7. 資料庫審計主要功能

資料庫審計服務

資料庫審計服務是一款專業，主動，實時監控資料庫安全的審計産品，滿足對資料審計及日志資料留存的要求。可針對SQL注入，風險操作等資料風險操作行為進行記錄與告警。可用于審計阿裡雲平台中的RDS雲資料庫，ECS自建資料庫和NoSQL資料庫。

資料庫審計通過旁路檢測方式，不影響資料庫運作效率，實作靈活的審計與監控。

資料庫審計功能特性

資料庫審計提供使用者行為發現審計，多元度線索分析，實時報警和報表功能

1. 使用者審計：使用者行為發現審計
2. 多元度線索分析
3. 實時告警：異常操作，SQL注入，黑白名單實時告警
4. 針對各種異常行為的精細化報表

 資料庫審計應用場景

可用于審計阿裡雲平台中的RDS雲資料庫，ECS自建資料庫和NoSQL資料庫。

資料庫審計适用流程

完成購買資料庫審計執行個體後，需要将資料庫添加至資料庫審計系統中并部署相應的Agent程式，将資料庫接入資料庫審計系統後，系統才能對資料庫進行審計

1. 購買并啟用資料庫審計執行個體
2. 登入資料庫審計系統
3. 添加被審計的資料庫執行個體
4. 部署Agent程式