支持業(yè)務(wù)或流程的數(shù)據(jù)，需要立即訪問(wèn)。因此，供應(yīng)商、分析師和工程師花費(fèi)大量時(shí)間優(yōu)化數(shù)據(jù)庫(kù)性能也就不足為奇了。以至于性能的概念往往掩蓋了同樣重要的數(shù)據(jù)安全問(wèn)題。

在數(shù)據(jù)庫(kù)技術(shù)的早期，主要瓶頸是硬件，這使得可訪問(wèn)性和安全性相互矛盾，因?yàn)樗鼈儽举|(zhì)上是在爭(zhēng)奪同樣有限的計(jì)算資源。

現(xiàn)在，計(jì)算資源是幾乎是無(wú)限的，它是在該組織的運(yùn)作，該速度已成為更大的問(wèn)題。像創(chuàng)建新數(shù)據(jù)庫(kù)這樣的操作——在本地硬件世界中很容易需要幾個(gè)月的時(shí)間——現(xiàn)在只需要幾分鐘。在現(xiàn)代 DevOps 世界中，每個(gè)月都有成百上千的產(chǎn)品發(fā)布，工程團(tuán)隊(duì)在安全團(tuán)隊(duì)做出反應(yīng)之前就創(chuàng)建了新的基礎(chǔ)設(shè)施。

這就是為什么它已經(jīng)成為明顯的是t他架構(gòu)性能優(yōu)化純粹的威脅者是同樣進(jìn)行了優(yōu)化。這一啟示已經(jīng)過(guò)去了幾十年，但沒(méi)有將安全性納入數(shù)據(jù)庫(kù)設(shè)計(jì)和資源分配仍然是一個(gè)普遍存在的問(wèn)題。

除了性能和安全性之間不斷的拉鋸戰(zhàn)之外，還有另一個(gè)同樣重要的成本概念。很多時(shí)候，決定平衡點(diǎn)的都是沉默的法官。同樣，這種平衡通常不會(huì)有利于安全。

數(shù)據(jù)庫(kù)安全能力

在傳統(tǒng)的本地?cái)?shù)據(jù)庫(kù)世界中，安全問(wèn)題從概念上歸結(jié)為適當(dāng)?shù)馁Y源工程。數(shù)據(jù)庫(kù)安全功能，如監(jiān)控和審計(jì)所需的系統(tǒng)資源，允許的資源越多，他們期望的性能就越好。

數(shù)據(jù)庫(kù)服務(wù)器本身在組織范圍內(nèi)運(yùn)行，允許更嚴(yán)格的訪問(wèn)控制和使用情況的可見(jiàn)性——只有受信任的用戶才能訪問(wèn)數(shù)據(jù)庫(kù)運(yùn)行的基礎(chǔ)設(shè)施。此外，生產(chǎn)應(yīng)用程序與數(shù)據(jù)庫(kù)的耦合非常緊密，通常除了少數(shù)管理員之外沒(méi)有人允許直接訪問(wèn)這些數(shù)據(jù)庫(kù)。

這并不是說(shuō)數(shù)據(jù)泄露沒(méi)有發(fā)生。他們確實(shí)做到了，但它們遠(yuǎn)不及我們今天所遇到的問(wèn)題的比例。

那么，人們理所當(dāng)然地想知道，云是否應(yīng)該憑借其所有敏捷資源工程功能和基礎(chǔ)設(shè)施即代碼 (IaC) 使數(shù)據(jù)庫(kù)安全變得更容易？在某種程度上，它確實(shí)做到了：在云中管理和保護(hù)數(shù)據(jù)從未如此便宜。但它也從未覺(jué)得如此困難。

云時(shí)代的數(shù)據(jù)安全

想象一下保護(hù)現(xiàn)代數(shù)據(jù)層的復(fù)雜性呈指數(shù)級(jí)增長(zhǎng)。如今，一個(gè)典型的組織不再使用幾種精心配置的本地?cái)?shù)據(jù)庫(kù)，而是使用分布在多個(gè)云中的大量數(shù)據(jù)庫(kù)、數(shù)據(jù)倉(cāng)庫(kù)和管道。

將按需動(dòng)態(tài)配置任何類型數(shù)據(jù)庫(kù)的 DevOps 模型添加到等式中，通常針對(duì)每個(gè)微服務(wù)，很少有敏捷控件可用于正確調(diào)節(jié)對(duì)它們的訪問(wèn)。

然而，這并不全是厄運(yùn)和憂郁。以云和 IaC 明顯有助于數(shù)據(jù)庫(kù)安全的最佳示例之一為例：自動(dòng)補(bǔ)丁管理的概念。這種已經(jīng)變得普遍的做法為組織節(jié)省了數(shù)千小時(shí)的勞動(dòng)力，毫無(wú)疑問(wèn)，潛在的違規(guī)成本還會(huì)增加數(shù)百萬(wàn)。這可能是許多 IT 專業(yè)人士認(rèn)為公共云在安全性方面優(yōu)于他們自己的數(shù)據(jù)中心的原因之一——它可以幫助輕松避免基本的人為錯(cuò)誤，例如未能安裝最新補(bǔ)丁。

然而，云中數(shù)據(jù)安全的基本困境仍然存在：實(shí)施任何控制來(lái)監(jiān)控?cái)?shù)據(jù)庫(kù)訪問(wèn)仍然意味著您處于性能敏感的道路上。

一個(gè)簡(jiǎn)單的讀取請(qǐng)求要求數(shù)據(jù)庫(kù)執(zhí)行諸如語(yǔ)法分析、查詢優(yōu)化、計(jì)劃執(zhí)行和從物理媒體獲取結(jié)果等任務(wù)。在該路徑前面放置一個(gè)控制點(diǎn)，您不可避免地會(huì)減慢鏈中的其余進(jìn)程。

在加強(qiáng)安全方面的一些不太成功的嘗試包括引入直接位于基礎(chǔ)設(shè)施中的代理，對(duì)所有活動(dòng)進(jìn)行背景分析，以期捕捉未經(jīng)授權(quán)的訪問(wèn)或任何可疑活動(dòng)。

然而，參與這些檢查每一個(gè)微秒的意思是小號(hào)放緩關(guān)閉應(yīng)用程序，這反過(guò)來(lái)又影響了用戶體驗(yàn)，最終的整體業(yè)務(wù)表現(xiàn)。例如，銀行家無(wú)需意識(shí)到，在發(fā)放貸款時(shí)，與數(shù)小時(shí)前相比，在幾秒鐘內(nèi)獲取關(guān)鍵客戶信息之間存在很大差異。

在提高安全性的同時(shí)回避性能問(wèn)題

幸運(yùn)的是，還有其他方法可以保護(hù)數(shù)據(jù)，這些方法已被證明更有效。以異步分析為例，它假設(shè)未經(jīng)授權(quán)的讀取請(qǐng)求可以到達(dá)數(shù)據(jù)層，只要結(jié)果可以被阻止。通過(guò)這種方法，對(duì)數(shù)據(jù)層的讀取請(qǐng)求沒(méi)有任何延遲，而數(shù)據(jù)層正在并行處理它們以確定是否應(yīng)該允許或阻止相應(yīng)的結(jié)果。

當(dāng)然，為了提供這項(xiàng)技術(shù)，您還需要采用某種形式的無(wú)狀態(tài)代理，將所有會(huì)話狀態(tài)管理交給數(shù)據(jù)層連接。這種無(wú)狀態(tài)代理將攔截任何類型的數(shù)據(jù)請(qǐng)求，并通過(guò)異步分析提供對(duì)性能幾乎沒(méi)有影響的結(jié)果。

除了技術(shù)創(chuàng)新之外，一些保護(hù)數(shù)據(jù)云的新方法側(cè)重于如何為數(shù)據(jù)提供安全性所涉及的特定流程和實(shí)踐。數(shù)據(jù)安全已經(jīng)從安全團(tuán)隊(duì)的特權(quán)演變?yōu)楣餐�的�?zé)任，這已經(jīng)不是什么秘密了。例如，考慮到數(shù)據(jù)基礎(chǔ)設(shè)施是通過(guò)他們編寫的代碼立即擴(kuò)展和啟用的事實(shí)，工程承擔(dān)了更重的負(fù)擔(dān)。

例如，如今，許多采用 DevOps 的工程團(tuán)隊(duì)每年以數(shù)千次發(fā)布的頻率發(fā)布新代碼。以如此高的速度，確保高數(shù)據(jù)安全標(biāo)準(zhǔn)需要安全即代碼等實(shí)踐，這些實(shí)踐將安全測(cè)試、掃描和訪問(wèn)策略直接實(shí)施到持續(xù)集成和部署 (CI/CD) 管道中。這些檢查中的每一項(xiàng)都使工程團(tuán)隊(duì)能夠在開(kāi)發(fā)過(guò)程中更早地了解和修復(fù)安全問(wèn)題。因此，安全問(wèn)題立即得到解決，避免了開(kāi)發(fā)過(guò)程結(jié)束時(shí)潛在的代價(jià)高昂的延遲和返工。

這些新方法雖然仍處于采用初期，但有理由感到樂(lè)觀。事實(shí)上，我們當(dāng)中比較樂(lè)觀的人甚至可能會(huì)說(shuō)，數(shù)據(jù)庫(kù)性能和安全性之間永無(wú)止境的拉鋸戰(zhàn)可能已經(jīng)成為過(guò)去。