在云平台上的数据库主要面临哪些安全问题

数据库存储着系统的核心数据，其安全方面的问题在传统环境中已经很突出，成为数据泄漏的重要根源。而在云端，数据库所面临的威胁被进一步的放大。其安全问题主要来自于以下几方面： 1） 云运营商的“上帝之手”。如上所述，云端数据库的租户对数据库的可控性是很低的，而云运营商却具有对数据库的所有权限。从技术上来说，云运营商完全可以在租户毫无察觉的情况下进入数据库系统；或者进入数据库服务器所在的虚拟机；或者进入虚拟机所在的宿主物理服务器；或者直接获取到数据库文件所在的存储设备。也就是说，任何租户的数据，对云运营商来说，几乎是完全开放的。而对于有商业价值的数据，对云运营商的众多技术人员来说，绝对有足够的吸引力；2） 来自于其它租户的攻击。同一个云平台上的其它租户，有可能通过虚拟机逃逸等攻击方法，得到数据库中的数据；3） 来自租户自身内部人员的威胁。租户内部人员能够直接使用帐号密码登录到云数据库，从而进行越权或者违规的数据 *** 作；4） 更广泛的攻击。有价值的数据放在云上之后，各种来源的攻击者，都“惦记”着这些数据。可能通过各种方法来进行攻击以获取数据，如近年来频发的SQL注入攻击事件，就导致了大量云端数据的泄漏。要解决如上所述的数据安全问题，需要多方面的防御手段。但是对数据库访问情况的记录和审计，是最基本的安全需求。租户需要清楚的知道，自己的数据库，在什么时间，被什么人，以什么工具，具体做什么访问，又拿到了什么数据。并且需要知道什么时候出现了攻击行为和异常的访问情况。这些功能，正是合格数据库审计产品所必须具有的功能。在云平台上的数据库主要面临哪些安全问题？

个人信息主要包括以下类别：

1 基本信息。为了完成大部分网络行为，消费者会根据服务商要求提交包括姓名、性别、年龄、身份z号码、电话号码、Email地址及家庭住址等在内的个人基本信息，有时甚至会包括婚姻、信仰、职业、工作单位、收入、病历、生育等相对隐私的个人基本信息。

2 设备信息。主要是指消费者所使用的各种计算机终端设备（包括移动和固定终端）的基本信息，如位置信息、Wifi列表信息、Mac地址、CPU信息、内存信息、SD卡信息、 *** 作系统版本等。

3 账户信息。主要包括网银帐号、第三方支付帐号，社交帐号和重要邮箱帐号等。

4 隐私信息。主要包括通讯录信息、通话记录、短信记录、IM应用软件聊天记录、个人视频、照片等。

5 社会关系信息。这主要包括好友关系、家庭成员信息、工作单位信息等。

6 网络行为信息。主要是指上网行为记录，消费者在网络上的各种活动行为，如上网时间、上网地点、输入记录、聊天交友、网站访问行为、网络游戏行为等个人信息。

安全现状

编辑

随着互联网应用的普及和人们对互联网的依赖，互联网的安全问题也日益凸显。恶意程序、各类钓鱼和欺诈继续保持高速增长，同时黑客攻击和大规模的个人信息泄露事件频发，与各种网络攻击大幅增长相伴的，是大量网民个人信息的泄露与财产损失的不断增加。

《经济参考报》记者日前采访获悉，目前信息安全“黑洞门"已经到触目惊心的地步，网站攻击与漏洞利用正在向批量化、规模化方向发展，用户隐私和权益遭到侵害，特别是一些重要数据甚至流向他国，不仅是个人和企业，信息安全威胁已经上升至国家安全层面。 [1]

从某漏洞响应平台上收录的数据显示，目前该平台已知漏洞就可导致236亿条隐私信息泄露，包括个人隐私信息、账号密码、yhk信息、商业机密信息等。导致大量数据泄露的最主要来源是：互联网网站、游戏以及录入了大量身份信息的政府系统。根据公开信息，2011年至今，已有1127亿用户隐私信息被泄露。

“这个数据意味着，我们几乎每一个上网的人，自己的信息都可能已经在不知不觉中被窃取甚至利用。”

泄露途径

编辑

研究发现，人为倒卖信息、PC电脑感染、网站漏洞、手机漏洞是目前个人信息泄露的四大途径。

一是人为因素，即掌握了信息的公司、机构员工主动倒卖信息。

据《北京晚报》报道，2015年3月份，6名在京的教育培训机构员工因非法买卖大量学生及家长个人信息，总计多达200余万条，涉嫌非法获取公民个人信息罪，当庭受审并认罪。

被告人之一杨某高中文化，今年25岁，从内蒙古鄂伦春来京打工。据他称，2011年他到一家教育培训机构上班，发现公司掌握大量家长信息，就偷偷拷贝了一些准备出售。杨某先后在至少3家此类机构干过，获取学生及家长个人信息总计200多万条。杨某在网上分批出售信息，共获利1万余元，平均每条信息5厘钱。

另一名被告徐某，今年37岁，硕士文化，因2011年创业开公司需招收学员，正好收到一条称有学生家长数据的短信，经联系后，便花了2000元从杨某手中获取了理工大附属小学等海淀7所小学学生家长的信息。之后他找短信代发公司，以每条5分钱大批量群发垃圾短信，每年能增加25%的招生量。同时，他加价到2万元的价格将部分信息卖给同行。

二是电脑感染了病毒木马等恶意软件，造成个人信息泄露。

网民在享受互联网来的便利、快捷功能的同时，不经意间感染了病毒木马等恶意软件，造成个人隐私、重要信息泄露。如轻信假网站被骗。

三是通过手机泄漏的信息。主要有以下几条途径：

手机中了木马；

使用了黑客的钓鱼WiFi，或者是自家WiFi被蹭网；

手机云服务账号被盗（弱密码或撞库或服务商漏洞等各种方式）；

拥有隐私权限的APP厂商服务器被黑客拖库；

通过伪基站短信等途径访问了钓鱼网站，导致重要的账号密码泄露；

使用了恶意充电宝等黑客攻击设备；

GSM制式网络被黑客监听短信。　

四是攻击者利用网站漏洞，入侵了保存信息的数据库。

从2014年网站安全的攻防实践来看，网站攻击与漏洞利用正在向批量化，规模化方向发展。网站安全直接关系到大量的个人信息数据、商业机密、财产安全等数据。技术人员入侵网站后，一般会篡改网站内容，植入黑词黑链；二是植入后门程序，达到控制网站或网站服务器的目的；三是通过其他方式骗取管理员权限，进而控制网站或进行拖库。2011年至今，约有总计112167亿用户信息数据因网站遭遇拖库和撞库等原因被泄露。

泄露案例

编辑

自2011年国内最大的IT技术社区CSDN曝出泄密事件以后，网站被拖库和撞库事件不断发生。2014年，撞库攻击达到前所未有的高峰期。2014年，包括无秘（原秘密）、大众点评网、搜狐、安智网、汽车之家、搜狗、印象笔记等多家国内知名网站都遭到了撞库攻击，导致大量用户的个人信息泄露。 [1]

从12306信息泄露、携程信息泄露，到近期江苏省公安厅曝出海康威视监控设备安全隐患事件……种种迹象表明，对于正在大力发展信息经济与互联网经济的中国，网络信息安全保护问题已经迫在眉睫。 [1]

案例1:“琼女郎”俞小凡被骗800万元。俞小凡去年12月18日接到诈骗电话，对方自称是“上海公安”，指控俞小凡涉及诈欺案件，必须监管其账户存款，要她将存款转到指定账户，俞小凡立刻乖乖照做。透过网络转账总共汇款6次，金额高达800万元人民币。 [2]

案例2：汤唯遭遇电信诈骗，被犯罪嫌疑人骗走人民币21万余元。汤唯事后已向松江警方报案，目前警方已介入调查。松江公安确实接到汤唯自称“被电信诈骗21万余元”的电话报案，并介入调查。 [3]

防止泄露

编辑

公共场合WiFi不要随意链接，更不要使用这样的无线网进行网购等活动。如果确实有必要，最好使用自己手机的3G或者4G网络。 [4]

手机、电脑等都需要安装安全软件，每天至少进行一次对木马程序的扫描，尤其在使用重要账号密码前。每周定期进行一次病毒查杀，并及时更新安全软件。

来路不明的软件不要随便安装，在使用智能手机时，不要修改手机中的系统文件，也不要随便参加注册信息获赠品的网络活动。

设置高保密强度密码，不同网站最好设置不同的密码。网银、网购的支付密码最好定期更换。

尽量不要使用“记住密码”模式，上网后注意个人使用记录。

到正规网站购物。查看消息或者浏览视频时，一定要去正规的网站，有时安装了杀毒软件，也不能保证电脑不会感染病毒。尤其是购物的时候，会涉及到网上支付，使用正规且有保障的网站，安全系数更高。

不随意打开陌生邮件。不随意接收或打开陌生邮件，打开邮箱，看到陌生人发来的邮件千万不能轻易打开，尤其是看到中奖或者是奖品认领等带有诱惑性信息的内容。 [4]

在处理快递单、各种账单和交通票据时，最好先涂抹掉个人信息部分再丢弃，或者集中起来定时统一销毁。

在使用公共网络工具时，下线要先清理痕迹。如到复印店打印材料，打印完毕后要确保退出邮箱，有QQ号码的，退出时要更改登录区设置有“记住密码”的电脑设置。

在上网评论朋友微博、日志、时，不要随意留下朋友的个人信息，更不要故意公布他人的个人信息。

在网络上留电话号码，数字之间可以用“-”隔开，避免被搜索引擎搜到。

身份z、户口本等有个人信息的证件，一定要保存好。

微博具有手机签到功能，能显示机主所处位置，不少年轻人热衷于晒地点、晒自拍照，还有家长喜欢晒孩子照片等。这种手机签到可能被别有用心的人盯上。一方面暴露了个人隐私，比如姓名、工作单位、家庭住址等，另一方面可能招致犯罪，在网上使用手机签到时，需要谨慎。 [5]

泄漏危害

编辑

一．垃圾短信源源不断：这已经是非常普遍的事，无怪乎央视连续两个在315晚会上将垃圾短信进行曝光。最新听说的是，利用小区短信，可以基站作为发送中心，向基站覆盖区域内的移动用户发送短信，这一发短信系统每十分钟可以发送15万条。 [6]

二．骚扰电话接二连三：本来只有朋友、同学或亲戚知道的电话，会经常被陌生人打过来，有推销保险的，有推销装修的，有推销婴儿用品的。你不找他们，他们就自动找上门。你可能还在纳闷他们怎么知道你的电话之时，孰不知你的信息早被卖过多少回了。

三．垃圾邮件铺天盖地：个人信息被泄露后，你的电子邮箱可以每天都会收到十几封垃圾邮件，也是以推销为主，而且还是些乱七八糟且没有创意的广告。所以许多用户每天打开邮箱的第一件事就是删除垃圾邮件，多羡慕国外对垃圾邮件的重判，一封就罚一百多美元。

四．冒名办卡透支欠款：有人通过买来你的个人信息，办个你的身份z，在网上骗取银行的信用，从银行办理出各种各样的xyk，恶意透支消费，然后银行可能直接将欠费的催款单寄给了身份z的主人，你说可恶不可恶，别人冒你的名花的钱，还要你来还上。

五．案件事故从天而降：不法分子可能利用你的个人信息办个什么身份，干些坏事，如果犯了什么案或发生什么事故，公安机关或交通管理部门可能会依据身份信息找到你的头上，你可能还觉得这是哪跟哪啊？可是，这些案件事故的烦心事就来了，就算查清楚也会把你搞得精疲力竭。

六．不法人员前来诈骗：最可恶的是不法人员到你的门头上来诈骗你。因为他们知道了你的个人信息，编出来些耸人听闻的消息，甚至对你的哪个朋友、同学或亲戚知根知底，还能报出姓名与单位，在你心神不宁之时，可以做出错误判断，在慌乱中上了骗子的当。

七．冒充公安要求转帐：这就是胆大妄为的不法分子，敢于冒充公安局的名义，报出你的个人信息，然后说最近经常发生诈骗案件，提醒你某个帐户不安全，要你转帐，还告诉你一个公安的咨询电话，你一打那个电话还会得到确认，然后你信以为真，转帐了。虽然上当人不多，但时有耳闻。

八．坑蒙拐骗乘虚而入：因为知道了你的个人信息，那些躲在暗处的人会费心心机地想法子坑你、蒙你、拐你、骗你。有道是“明q易躲，暗箭难防”，稍不留神，可能就会落入坏人的圈套。因为，他们可能会冒充你的朋友、你的亲戚或你的同学，甚至以假乱真，有时的确得非常小心。

九．帐户钱款不翼而飞：有些人不敢在网上消费的最大障碍就是怕信息被泄露；还有些不法分子办一张的你的身份z，然后挂失你的银行帐户或xyk帐户，然后重新补办你的卡，再设置个密码，如果你长时间不用卡，里面的钱款说不定已经不翼而飞了。

十．个人名誉无端受损：个人信息被泄露后，出的任何事都牵连上你了。本来就是“好事不出门，坏事传千里”，别人冒用你的名义所干的一切坏事都归到你的名下了，那怕最后费心周折得个清白，但再怎么说你的个人名誉还是受到了破坏，至少不会提高你的声誉。

个人信息遭泄露后危害非常大，以上所述并非危言耸听。网络公司、电信运营商、SP、房地产、物业管理公司、医疗机构等是最应该引起特别注意的单位。

对于泄露个人信息的行为应该人人喊打，发现一起严肃处理一起，可以由政府要求在这些单位中建立“一把手负责制”问责制度，当然主要要看公安等主管部门是否有作为了。

对于老百姓，看好自己的个人信息，不要随意告诉别人，随时小心是必要的。 [6]

希望对你有帮助，祝你好运！

一项对2021年数据泄露的分析显示，总共有50亿份数据被泄露，这对所有参与大数据管道工作的人来说，从开发人员到DevOps工程师，安全性与基础业务需求同等重要。

大数据安全是指在存储、处理和分析过于庞大和复杂的数据集时，采用任何措施来保护数据免受恶意活动的侵害，传统数据库应用程序无法处理这些数据集。大数据可以混合结构化格式(组织成包含数字、日期等的行和列)或非结构化格式(社交媒体数据、PDF 文件、电子邮件、图像等)。不过，估计显示高达90%的大数据是非结构化的。

大数据的魅力在于，它通常包含一些隐藏的洞察力，可以改善业务流程，推动创新，或揭示未知的市场趋势。由于分析这些信息的工作负载通常会将敏感的客户数据或专有数据与第三方数据源结合起来，因此数据安全性至关重要。声誉受损和巨额经济损失是大数据泄露和数据被破坏的两大主要后果。

在确保大数据安全时，需要考虑三个关键阶段:

当数据从源位置移动到存储或实时摄取(通常在云中)时，确保数据的传输

保护大数据管道的存储层中的数据(例如Hadoop分布式文件系统)

确保输出数据的机密性，例如报告和仪表板，这些数据包含通过Apache Spark等分析引擎运行数据收集的情报

这些环境中的安全威胁类型包括不适当的访问控制、分布式拒绝服务(DDoS)攻击、产生虚假或恶意数据的端点，或在大数据工作期间使用的库、框架和应用程序的漏洞。

由于所涉及的架构和环境复杂性，大数据安全面临着许多挑战。在大数据环境中，不同的硬件和技术在分布式计算环境中相互作用。比如：

像Hadoop这样的开源框架在设计之初并没有考虑到安全性

依赖分布式计算来处理这些大型数据集意味着有更多的系统可能出错

确保从端点收集的日志或事件数据的有效性和真实性

控制内部人员对数据挖掘工具的访问，监控可疑行为

运行标准安全审计的困难

保护非关系NoSQL数据库

这些挑战是对保护任何类型数据的常见挑战的补充。

静态数据和传输中数据的可扩展加密对于跨大数据管道实施至关重要。可扩展性是这里的关键点，因为除了NoSQL等存储格式之外，需要跨分析工具集及其输出加密数据。加密的作用在于，即使威胁者设法拦截数据包或访问敏感文件，实施良好的加密过程也会使数据不可读。

获得访问控制权可针对一系列大数据安全问题提供强大的保护，例如内部威胁和特权过剩。基于角色的访问可以帮助控制对大数据管道多层的访问。例如，数据分析师可以访问分析工具，但他们可能不应该访问大数据开发人员使用的工具，如ETL软件。最小权限原则是访问控制的一个很好的参考点，它限制了对执行用户任务所必需的工具和数据的访问。

大数据工作负载所需要的固有的大存储容量和处理能力使得大多数企业可以为大数据使用云计算基础设施和服务。但是，尽管云计算很有吸引力，暴露的API密钥、令牌和错误配置都是云中值得认真对待的风险。如果有人让S3中的AWS数据湖完全开放，并且对互联网上的任何人都可以访问，那会怎么样有了自动扫描工具，可以快速扫描公共云资产以寻找安全盲点，从而更容易降低这些风险。

在复杂的大数据生态系统中，加密的安全性需要一种集中的密钥管理方法，以确保对加密密钥进行有效的策略驱动处理。集中式密钥管理还可以控制从创建到密钥轮换的密钥治理。对于在云中运行大数据工作负载的企业，自带密钥 (BYOK) 可能是允许集中密钥管理而不将加密密钥创建和管理的控制权交给第三方云提供商的最佳选择。

在大数据管道中，由于数据来自许多不同的来源，包括来自社交媒体平台的流数据和来自用户终端的数据，因此会有持续的流量。网络流量分析提供了对网络流量和任何潜在异常的可见性，例如来自物联网设备的恶意数据或正在使用的未加密通信协议。

2021年的一份报告发现，98%的组织感到容易受到内部攻击。在大数据的背景下，内部威胁对敏感公司信息的机密性构成严重风险。有权访问分析报告和仪表板的恶意内部人员可能会向竞争对手透露见解，甚至提供他们的登录凭据进行销售。从内部威胁检测开始的一个好地方是检查常见业务应用程序的日志，例如 RDP、***、Active Directory 和端点。这些日志可以揭示值得调查的异常情况，例如意外的数据下载或异常的登录时间。

威胁搜寻主动搜索潜伏在您的网络中未被发现的威胁。这个过程需要经验丰富的网络安全分析师的技能组合，利用来自现实世界的攻击、威胁活动的情报或来自不同安全工具的相关发现来制定关于潜在威胁的假设。具有讽刺意味的是，大数据实际上可以通过发现大量安全数据中隐藏的洞察力来帮助改进威胁追踪工作。但作为提高大数据安全性的一种方式，威胁搜寻会监控数据集和基础设施，以寻找表明大数据环境受到威胁的工件。

出于安全目的监视大数据日志和工具会产生大量信息，这些信息通常最终形成安全信息和事件管理(SIEM)解决方案。

用户行为分析比内部威胁检测更进一步，它提供了专门的工具集来监控用户在与其交互的系统上的行为。通常情况下，行为分析使用一个评分系统来创建正常用户、应用程序和设备行为的基线，然后在这些基线出现偏差时进行提醒。通过用户行为分析，可以更好地检测威胁大数据环境中资产的保密性、完整性或可用性的内部威胁和受损的用户帐户。

未经授权的数据传输的前景让安全领导者彻夜难眠，特别是如果数据泄露发生在可以复制大量潜在敏感资产的大数据管道中。检测数据泄露需要对出站流量、IP地址和流量进行深入监控。防止数据泄露首先来自于在代码和错误配置中发现有害安全错误的工具，以及数据丢失预防和下一代防火墙。另一个重要方面是在企业内进行教育和提高认识。

框架、库、软件实用程序、数据摄取、分析工具和自定义应用程序——大数据安全始于代码级别。 无论是否实施了上述公认的安全实践，代码中的安全缺陷都可能导致数据泄漏。 通过在软件开发生命周期中检测自研代码及开源组件成分的安全性，加强软件安全性来防止数据丢失。

数据库所有安全性都可保证，但数据是否依旧有泄漏的危险

网络数据库的安全机制数据库的安全性是指保护数据库以防止非法使用所造成的数据泄密、更改或破坏安全性控制的方法安全性控制是指要尽可能地杜绝任何形式的数据库非法访问。常用的安全措施有用户标识和鉴别、用户存取权限控制、定义视图、数据加密、安全审计以及事务管理和故障恢复等几类

以上就是关于在云平台上的数据库主要面临哪些安全问题全部的内容，包括:在云平台上的数据库主要面临哪些安全问题、大数据时代，你的个人数据被泄露了吗、保护大数据安全的10个要点等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！