歡迎訪問 OceanBase 官網獲取更多資訊：https://www.oceanbase.com/
作為資料的承載工具，資料庫自身安全能力對於資料安全至關重要。資料庫軟體誕生至今，經過了幾十年的發展和演進，已經成為 IT 系統中不可或缺的關鍵技術。但是隨著資料呈海量、高速增長態勢，資料型別越來越多、資料部署環境日益複雜、資料安全風險遞增等原因，資料庫自身的安全性已經成為必不可少的重要屬性。提升資料庫本身的原生安全能力，將會極大提升資料儲存環節的安全性，大幅增強資料的安全水平，有助於企業保障自身的資料安全。
近日，國際權威市場研究機構 IDC 正式釋出《中國資料庫原生安全能力洞察 2022》研究報告， OceanBase 憑藉領先的資料一致性、資料訪問控制、資料加密、高可用等資料庫原生安全能力，作為中國資料庫的代表廠商入選此報告。
本次 IDC 報告從實際業務及產品技術視角出發，結合 IDC 研究的方法論為 CIO 提供科學的客觀展現，供實際選擇資料庫過程中做參考。重點考察資料庫軟體的自身健壯性以及資料庫原生的安全能力,包括資料儲存加密、通訊加密、白名單控制、TEE、脫敏等能力、監控預警、安全審計和可靠性等技術措施，以保護資料庫的資料資產安全。
入選該報告，意味著 OceanBase 原生安全能力的卓越表現得到了國際權威機構的認可。 OceanBase 提供了全面的安全體系，包括身份標識與鑑別、訪問控制、資料安全、資源管控、監控預警、安全審計等功能，並從資料一致性、網路傳輸、使用者認證、操作審計、儲存安全、高可用等多個方面全面保護客戶資料的安全。
為何資料庫安全性至關重要？
資料庫安全事件的頻發使企業和使用者意識到保障資料庫安全的重要性和迫切性。在實際情況中，企業通常會使用第三方安全工具加強系統整體安全性，但是卻忽視了資料庫自身的原生安全能力的重要性。
而資料安全防護難度大，易攻難守。因此，資料庫原生安全可以從根本上提升資料安全防護的水平。儘管透過複雜的工具和技術可以提高資料庫整體安全性，但是本質上將會帶來更為複雜的操作過程，甚至有些難以實現。 因此，資料庫原生安全能力將使得資料安全建設事半功倍，也是未來資料庫發展的大趨勢。
OceanBase 安全能力為何備受國際市場研究機構認可？
OceanBase 從資料一致性、網路傳輸、使用者認證、操作審計、儲存安全、高可用等多個方面全面保護客戶資料安全。OceanBase 的安全體系包括身份標識與鑑別、訪問控制、資料安全、資源管控、監控預警、安全審計，目前已經支援比較完整的企業級安全特性，這些安全特效能夠有效保障使用者的資料安全。
▋ 資料一致性，避免資料丟失
無論是因為磁碟靜默錯誤導致的資料丟失，還是由於伺服器時間被篡改而導致資料混亂，都會對資料的一致性和正確性產生影響，這是分散式資料庫面臨的巨大挑戰。對於磁碟靜默錯誤，傳統的磁碟冗餘（Raid）方案並不可行，傳統資料庫也無法有效處理靜態資料的靜默錯誤。然而，磁碟靜默錯誤引起的資料丟失，在很多視資料為生命線的行業中是無法接受的。
OceanBase 實施了三項技術手段，包括存量資料一致性主動校驗、鏈式校驗和磁碟靜默錯誤防禦機制，以應對傳統資料庫在資料一致性、正確性和安全性方面所面臨的挑戰：
1）存量資料一致性主動校驗及主備叢集校驗
傳統資料庫缺乏對存量資料的校驗機制，包括對主備庫之間存量資料的校驗。OceanBase 實現了主動校驗機制，打破了傳統資料庫無存量資料校驗的慣例。同時，主叢集內的多副本校驗，可以確保主叢集內多個副本資料的一致性。
2）鏈式校驗 —— 區塊鏈級的防篡改
傳統資料庫的資料檔案中有資料塊（block）的校驗和存在兩個盲區：資料表和索引表的資料是否一致，以及高階駭客篡改資料塊（block）是否能被識別。OceanBase構建了全場景的校驗和機制，包括微塊、宏塊（2M）、分割槽、表級、索引的校驗和機制，同時涵蓋物理校驗（二進位制校驗）和邏輯校驗（列校驗）兩個維度，彌補了傳統資料庫在資料校驗領域的不足。
3）磁碟靜默錯誤防禦機制 —— 避免資料丟失
金融行業的保單資料儲存可達到 100年，銀行業臺賬資料儲存 30-50年，這些基本都是靜態資料，傳統資料庫、傳統的Raid冗餘對靜態資料無定期校驗機制。針對潛在的靜默錯誤，OceanBase設計了磁碟靜默錯誤防禦機制，透過後臺執行緒主動校驗能力，可以及時發現任意粒度的磁碟靜默錯誤及時預警，有效保證靜態資料的正確性避免丟失資料。
▋ 身份標識與鑑別，提升資料庫安全性
OceanBase 提供了身份標識和鑑別、使用者管理和角色管理能力，以提高資料庫的安全性。身份標識和鑑別是指透過驗證使用者的身份來確認其是否有許可權訪問資料庫。在 OceanBase 資料庫中，身份鑑別是透過租戶進行的。租戶是一個邏輯概念，是資源分配的單位，是資料庫物件管理和資源管理的基礎。每個租戶都是資料庫物件的容器，同時也是資源（CPU、Memory、IO等）的容器。OceanBase 資料庫租戶間的資料是完全隔離的，每個租戶相當於傳統資料庫的一個資料庫例項。OceanBase 資料庫中的租戶分為兩類：系統租戶和普通租戶。建立使用者時，如果當前會話的租戶為系統租戶，則新建的使用者為系統租戶使用者，反之則為普通租戶使用者。無論是系統租戶還是普通租戶，租戶管理員建立的使用者只能用於本租戶內登入。
▋ 資料訪問控制，最小許可權原則
OceanBase 透過定義系統、物件許可權以及角色來控制使用者對資料的訪問。此外，它還支援 Lable Security 特性，以記錄行級資料粒度進行安全標記，防止使用者資料洩露。對於許可權設計，OceanBase 透過為不同使用者或角色設定不同的驗證策略來確保賬戶安全。由於不同使用者或角色承擔的職責不同，OceanBase 提供了不同的使用者操作許可權策略和角色策略。使用者可以根據需要為使用者賦予不同的許可權和角色，並進行管理。
1）使用者許可權控制
OceanBase 透過嚴格的許可權管控機制保證使用者資料的安全。在 OceanBase 資料庫中，每個租戶的資料物件完全隔離，無論是系統租戶還是普通租戶，任何租戶下的使用者都不能跨越租戶訪問其他普通租戶的資料。
2）行級訪問控制
OceanBase 利用 Label Security 實現基於行的強制訪問控制。透過為表新增一個 Label 列記錄每行的 Label 值，在訪問資料庫時可透過比較使用者和資料的Label來約束使用者對錶中資料的訪問。OceanBase 提供了安全管理員LBACSYS，用於管理和使用該功能。安全管理員可透過建立安全策略、定義策略中的 Label、設定使用者 Label，定製自己的安全策略。一個安全策略可應用到多張表，一張表也可應用多個安全策略。每當一個安全策略被應用，該表會自動新增一列，用於該策略的訪問控制。
3）角色管理
OceanBase 支援將多個許可權組合為一個角色，可組合的許可權包括：建立角色、刪除角色、為角色賦予許可權、從角色回收許可權、為角色賦予角色、從角色回收角色、系統預定義的角色、設定使用者的預設角色。
4）網路安全訪問控制
OceanBase 提供基於租戶白名單策略的網路安全訪問控制。透過設定IP地址組白名單，實現對網路安全的訪問控制。
▋ 資料安全，透明加密實現隱私保護
OceanBase 支援在資料傳輸和儲存過程中，對資料進行加密。對於傳輸層，OceanBase支援全鏈路資料加密。在資料儲存時，OceanBase 支援透明加密特性，最大化保護使用者的資料安全。儲存加密支援 SM4 國密演算法，同時金鑰管理也支援對接阿里雲 KMS，保障使用者金鑰的可視可控可管理。
1）資料傳輸加密
從資料庫使用者的角度來看，如果在資料庫系統在網路傳輸過程中不對資料進行加密，那麼惡意攻擊者可能會透過“嗅探”網路流量的方式截獲傳輸中的資料，進而檢視資料庫中的敏感資訊。因此，對於資料庫使用者來說，保證在資料傳輸過程中進行加密是至關重要的，這可以有效地保護資料免受未經授權的訪問和竊取。
為此，OceanBase 採用安全傳輸層協議（TLS）來提供資料傳輸的保密性和完整性。在原有的 TCP 通訊上擴充套件支援 SSL/TLS 協議，使資料在傳輸過程中得到了有效的加密保護。OceanBase資料庫還為每個使用者提供了不同的 SSL 認證機制選擇，包括 SSL 單向認證、X509 雙向認證和特殊的雙向認證，從而進一步保證了資料傳輸的安全性和可靠性。
2）資料儲存加密
若資料庫中的靜態資料未經加密，那麼任何擁有底層儲存訪問許可權（包括資料檔案、備份和資料庫匯出）的人都可以使用檔案系統工具，繞過訪問控制和審計策略直接讀取資料。這將導致敏感資訊的洩露或未經授權的資料操作，從而給資料庫安全性帶來潛在的風險和威脅。
為了保護資料庫在記憶體和硬碟中的資料安全，OceanBase 支援國際上主流的加密演算法 AES和國密演算法 SM4。在金鑰管理方面，利用 KeyStore 提供兩層金鑰管理。為了保證資料的安全性，使用者無法使用 KeyStore 檢視主金鑰和加密秘鑰資訊，也無法指定主金鑰和加密秘鑰，主金鑰和加密秘鑰由系統生成，並且不會直接明文儲存到磁碟上，提高了系統的安全性。
▋ 資源管控，不允許跨租戶資料訪問
OceanBase 是資料庫領域中少數具備租戶資源隔離能力的資料庫之一。資源隔離的關鍵點是隔離性帶來安全性、穩定性以及現有伺服器資源上的分時分業務進行排程，實現資源利用效率的最大化。
在資料安全方面，OceanBase 不允許跨租戶的資料訪問，以確保您的資料資產不會被洩露。資料庫的⼀個叢集可以服務多個業務。每個業務會建立⼀個或者多個租戶，租戶之間互相隔離，可以設定每個租戶允許使用的資源，保證了租戶資料不會被洩露，並且當某個租戶使⽤的資源超出配額時，系統會⾃動對該租戶進⾏服務降級，避免影響其它租戶。在資源使用方面，租戶獨自使用其資源配額。該租戶對應的前端應用，無論是響應時間，還是 TPS 或 QPS，都比較平穩，不會受到其它租戶負載情況的影響。
▋ 資料高可用，全面保障資料安全
基於多副本的分散式架構高可用：OceanBase 採用 Shared-Nothing 的分散式架構，每個資料節點都是對等的。基於 Paxos 的分佈選舉演算法來實現系統的高可用。叢集中的每個分割槽都維護三個以上副本，且部署到不同的 Zone 中。整個系統中分割槽的多個副本之間透過 Paxos 協議進行日誌同步。所有針對該分割槽的寫請求時，都會自動路由到對應分割槽的 Leader 進行。主分割槽可以分佈到各個資料節點，且對於不同資料分割槽的寫操作也會分佈到不同的資料節點上，從而提高資料寫入的並行性，實現資料多點寫入，提高系統的效能。
閃回技術：作為保障資料安全的一種高階技術，它提供了查詢歷史資料，執行更改分析以及從資料邏輯損壞中快速修復的能⼒。OceanBase 目前提供了基於回收站、資料多版本、Restore Point 的閃回能力，基於資料多版本的閃回能力主要是閃回查詢資料的歷史版本，基於回收站的閃回能力包括閃回回收站中的資料庫、租戶和表物件。
▋ 監控告警，支援全生命週期管理
OceanBase 透過 OceanBase 運維管理工具（OceanBase Control Platform，OCP）進行監控預警。支援括資源和容器管理、叢集和例項生命週期管理、OpenAPI 以及基於實時計算的效能監控等功能模組。OCP 提供對叢集、租戶、主機等不同維度的監控。使用者可以根據自己的需要從多種維度對叢集、租戶或主機的效能資訊進行篩選監控。包括 QPS、TPS、SQL 響應時間、事務響應時間、活躍會話數等維度。
▋ 安全審計，確保資料訪問的收集記錄
安全審計要求企業記錄並維護其安全實踐記錄，審計其安全計劃的有效性，並適時採取糾正措施。OceanBase 可以對資料庫使用者的行為進行審計，確保使用者的操作都會被記錄，幫助企業識別發生了什麼事件、事件發生的具體時間以及具體訪問了哪些資料。同時，OceanBase 資料庫還支援對資料庫物件的審計操作，可以在使用者訪問資料時，產生審計資訊確保資料訪問被真實記錄。
最後，若需瞭解更多細節，可點選文末“閱讀原文”，檢視參考 IDC 5 月份最新發布的《中國資料庫原生安全能力洞察》報告。
歡迎訪問 OceanBase 官網獲取更多資訊：https://www.oceanbase.com/