案例丨教育行业MySQL数据库加密安全实践

2020-01-03

Limo

2017上半年，安华金和推出国内首款MySQL TDE数据库加密产品，采用数据库引擎代码改造技术，通过替换原生MySQL中的执行文件mysqld，实现数据在存储层的加、解密功能，还能避免以往加密过程中数据库文件导入导出的繁琐程序，最大程度减少性能损失。

国内数据库安全领域在MySQL加密技术上常年空白，安华金和MySQL加密产品也是在收集调研了多个行业用户的需求后，推出市场的，这一投石问路的创新之举立刻吸引了众多用户关注，目前，安华金和已为政府、人社、教育、企业等多行业多个用户完成MySQL TDE加密产品的成功部署，无论从加密效果还是性能影响上，首次发布的MySQL TDE加密产品均表现不俗，以案例充分体现产品价值。本文，以其中某教委用户的MySQL加密项目为例，呈现MySQL TDE数据库加密在实际应用场景下的价值体现。

项目背景

随着数据泄露事件全球范围内的频繁爆发，近些年每到年终泄露事件大盘点的时候，总能看到教育行业的影子。而在国内，近些年教育行业已经发生多起数据库泄露事件，案件相关人员隐私权益遭到严重损害，甚至危及生命健康，教育相关单位的声誉受到严重挑战。也正是因此，社会、各类院校、教育机构、学生家长等对于教育行业的信息安全建设倾注了更多的关注，数据保护方面的安全教育也因此得到明显的提升。与此同时，犯罪分子的也开始不断提升作案手段，通过非法攻击、违规操作等一系列手段窃取教育系统数据库里的敏感数据，频频发生的拖库、刷库现象使得教育行业的数据库系统遭受严重的安全威胁。

某教委当前业务系统中的核心业务数据需要进行安全保护，该教委业务系统采用了MySQL数据库系统，其作为某地方教育资源基础设施，存储了大量核心教育信息，拥有大量敏感数据。一旦数据丢失或被篡改，将对社会公共秩序造成较为严重的损害，因此该教委认为数据安全的整体保障势在必行。

用户需求

该教委用户对于本项目重点提出了两大安全防护需求和业务正常运营需求：

1、操作管控需求

防止和限制数据库管理员对数据库的风险操作及高危操作；

防止第三方运维人员对生产数据库批量导出操作；

管理第三方数据分析员对数据库的越权操作；

2、数据防泄漏需求

防止突破边界防护的外部黑客攻击；防止明文存储引起的数据泄密；防止内部高权限用户的数据窃取，从根源上防止敏感数据泄漏的行为。

3、系统稳定运行需求

保证数据安全的同时，确保业务系统无需进行改造，功能不受影响，性能损耗小，并可以持续在线运行，备份恢复等日志维护工作依然可正常进行。

解决方案

结合该项目提出的上述安全需求，安华金和从存储层、数据库访问层、应用访问层三个层面对数据库面临的安全威胁进行分析，以该教委业务系统中的敏感数据的主动预防为目标，对教委核心数据库部署了MySQL TDE加密产品，从而针对其教师档案管理系统等数据库中的核心数据安全进行防范，通过数据存储加密、独立的权限控制、三权分立、应用安全访问等核心能力，主动预防来自于内部维护人员、第三方合作人员、内部工作人员的各种数据窃取行为，将对数据库系统进行有效地安全加固，弥补当前教委业务系统数据库安全“短板”。