2018年，將有更多企業(yè)轉用大數據存儲敏感數據，隨之帶來的安全隱患也與日俱增。大數據與典型的關系型數據庫管理系統(tǒng)(RDBMS)有天壤之別，很多企業(yè)尚未做好充分的預防準備。

　　Gartner把大數據定義為三“高”：高量級、高速率、高多樣化。Imperva對這三點進行了解釋：大數據的數據庫存儲了越來越多的數據，其中敏感數據的比重越來越高，覆蓋了所有本地部署和云端的不同技術;同時，大數據解決方案正在以比此前快很多的速率演變;不同供應商的技術之間存在高度的不一致，安全保護沒有萬靈藥，必須有能力應對多樣化的場景。

　　針對大數據安全保護的這些難點和復雜性，Imperva在年初提出了降低大數據風險時應該首要考慮的四個要點，提倡以一種分層的方式進行思考，四個要點分別如下：

　　數據庫發(fā)現和數據分類

　　大數據可以存儲敏感數據，而敏感數據的存儲地點需要判定。數據發(fā)現可以看做是一個兩階段的過程：第一，發(fā)現你所有的大數據數據庫的地點;第二，了解它們是否存儲敏感數據(如果是的話，存儲的是哪種敏感數據)。

　　發(fā)現所有的大數據數據庫并不是一次性的工作，而應該隨著大數據數據庫不斷增長的容量和多樣性而定期開展。同樣，識別敏感數據也是一項復合型任務。大數據的結構可以是半結構化的(例如，MongoDB)，所以手動執(zhí)行這項任務就會相當煩冗，評估結果也很快會過時。所以，投資數據發(fā)現解決方案，永遠是值得的。

　　IMPERVA SecureSphere 數據庫安全方案可找尋企業(yè)內部的正在提供服務的數據庫，管理者可依據清查結果，對該企業(yè)數據庫服務進行全盤了解，可協(xié)助管理者知悉目前企業(yè)內部網絡有哪些數據庫正在被使用，是否有未知或可疑的數據庫在企業(yè)網絡內活動?如果發(fā)現有未知或可疑的數據庫提供服務，管理者可迅速確認該服務是否為員工非法建立或惡意使用的數據庫，在確認后可決定是否要立即終止該服務，還是要將該數據庫服務納入監(jiān)控，以降低數據庫安全事件發(fā)生的可能。

　　企業(yè)內部數據庫眾多，數據庫中的數據表中存在相當多企業(yè)的敏感數據，時間一久，管理者已無法掌握敏感數據的分布情況，IMPERVA SecureSphere 數據庫安全方案也可針對數據庫進行敏感數據找尋與分類，協(xié)助管理者了解企業(yè)的敏感數據位于眾多數據庫的何處，也可根據分類結果，對企業(yè)為在數據庫的敏感數據進行相對應的安全管理，以降低敏感數據被濫用或被竊取的機率，確保企業(yè)形象與運營。

　　內部人員威脅

　　安全保護措施，數據庫機器物理訪問的控制，以及數據庫訪問權限的限制，仍無法抵御惡意或失守的內部人員。來自內部的威脅要求一套不同的安全措施來應對。例如，一個監(jiān)控異常數據訪問的解決方案，包括如數據庫管理員(DBA)這樣的高優(yōu)先級用戶。僅僅基于何人在何時登入何種資源(即登入/登出一個數據庫)的典型模式的行為模型是不夠用的。真正的需求是要提前識別出潛在的惡意數據濫用，這就要求對在被訪問的精確數據中潛入更深(即，在登錄后，何種記錄被訪問以及未被訪問)。

　　DBA(Database Administrator)為數據庫最高權限管理者，數據庫從無到有，到可以提供企業(yè)運營服務使用，DBA功不可沒，但也因為DBA擁有最高權限，相對于這個職位對數據庫也存在最大的威脅性，而DBA對數據庫的聯(lián)機及管理絕大部分是透過SSH、Telnet及遠程桌面等方式或進入數據中心機房直接登入數據庫進行管理，這類行為，從網絡上是無法監(jiān)控的，IMPERVA SecureSphere 數據庫安全方案，針對DBA此類行為也提供了監(jiān)控方法，可在數據庫服務器上安裝IMPERVA SecureSphere 代理程序(Agent)，借由這個代理程序，DBA對數據庫服務器管理與訪問行為都可納入監(jiān)控，當然我們相信絕大多數的DBA都是奉公守法不做非分之想，但將DBA的行為納入監(jiān)控記錄，除了可以幫助企業(yè)完善數據庫審計的完整性，也可幫助DBA分清責任，因為數據庫安全事件發(fā)生時，第一個被懷疑的往往是DBA，如今有了獨立的審計機制，可幫助DBA確認該事件是否為其所為。

　　易受攻擊性測試

　　目前，大數據數據庫的安全保護基準只有寥寥幾種。例如，CIS最近剛發(fā)布了一個MongoDB的安全保護基準(要求注冊)。

　　企業(yè)應按時測試，發(fā)現易受攻擊性的存在，采取行動，修補漏洞。有的漏洞很容易修補，只需要更新補丁，但是有一些要求重新設置系統(tǒng)，補上那些讓你易受攻擊的安全漏洞。與RDBMS相比，這個領域尚未成熟，迎來真正可用的基準，尚需時日。

　　只要是軟件，就會存在著安全性的漏洞，所以軟件開發(fā)商一直會發(fā)布補丁(Patch)修補已知的安全漏洞，但軟件的補丁修補并非隨時可修，因為有可能修補后會造成數據庫服務因此被影響而導致數據庫服務可用性及穩(wěn)定性的問題。但數據庫存在著安全漏洞畢竟對數據庫安全還是存在著潛在的風險，如此企業(yè)對數據庫安全的補丁更新與否陷入了兩難之境，IMPERVA 有專業(yè)的ADC(Application Defense Center) Team ，ADC成員中有非常多數據庫專家，他們會持續(xù)收集數據庫易受攻擊及安全漏洞數據，然后通過更新機制(ADC Update)將數據庫安全漏洞與被攻擊簽名(Signature)，更新至使用IMPERVA SecureSphere 數據庫解決方案的客戶系統(tǒng)中，雖然客戶本身的數據庫安全漏洞并未修補，但IMPERVA SecuerSphere DBF(Database Firewall)可以對利用數據庫安全漏洞之不正常訪問行為或惡意攻擊行為立即予以阻攔，如此可在數據庫安全漏洞修補前，提供防御機制，猶如一道數據庫的虛擬補丁(Virtual Patch)，讓企業(yè)可兼顧數據庫的可用性及安全性。

　　數據庫行為監(jiān)控

　　大數據數據庫中每一天的用戶行為和應用都應加以監(jiān)控，不放過任何可疑的行為�？梢栽O置警報(觸發(fā)人工行為)或者設定規(guī)則，當發(fā)現不正當的訪問時，自動拒絕用戶或應用的訪問。如果大數據數據庫包括敏感數據，那么還需要根據法規(guī)的要求來進行監(jiān)控(以及/或者限制)敏感數據的訪問。

　　大數據保護絕非小事。大數據的數據庫、架構、應用以及技術的多樣性，意味著需要一個綜合性的解決方案來保護你的大數據環(huán)境，還需要尋找一個能夠提供數據庫發(fā)現和評估、抵御內部人員威脅的漏洞防護以及易受攻擊性測試的解決方案。這個解決方案還要提供持續(xù)的監(jiān)控和審計，隨時識別不正當的或可疑的行為。而這些解決方案，正是Imperva致力投入的方向。

　　現今電子商務相當發(fā)達，每日以兆計算的交易讓傳統(tǒng)普及的關聯(lián)性數據庫可能無法滿足需求，大數據數據庫的應用已成為趨勢，IMPERVA SecureSphere數據庫安全方案，除了可支持眾多的傳統(tǒng)關系數據庫外，也可支持主流的大數據數據庫的審計與安全保護，如Cloudera,Hoodop,MangoDB等，同樣能為客戶提供這些已漸為趨勢的大數據數據庫記錄重要的數據庫訪問行為和異常告警，讓企業(yè)在享受大數據數據庫所提供的巨量事務數據處理能力與分析的優(yōu)點外，亦可透過IMPERVA SecureSphere數據庫安全方案幫助企業(yè)兼顧大數據數據庫的安全。