自2011年以来，，，，，多家互联网站频发被黑客果真用户数据库的事务，，，，，凌驾5000万个用户帐号和密码在网上大规模被泄露，，，，，数据库拖库事务频发 。。。。。2018年某中文论坛上，，，，，果真泛起了售卖海内着名旅馆集团数据库的“广告”，，，，，详细信息合计近 5 亿条，，，，，涵盖了入住者及旅馆会员小我私家信息、入住挂号、开房纪录等内容 。。。。。
最近，，，，，网络清静组织GDI基金会又爆出，，，，，有数以亿计的中国用户私人谈天纪录被泄露在互联网上 。。。。。据美国电信公司Verizon 2018年宣布的年度清静报告显示，，，，，在数据泄露缘故原由方面，，，，，62%的数据泄露与黑客攻击有关；；81%的的数据泄露涉及到撞库或弱口令 。。。。。
数据库泄露的缘故原由许多，，，，，数据库治理员清静意识弱、程序设计没有思量清静冗余性、应用层误差等均可导致数据库拖库、数据泄露 。。。。。简单的清静手段已经无法提防数据泄露的多重危害，，，，，只有多手段并用才可以最洪流平地提高数据清静 。。。。。
由世纪互联运营的Azure效劳平台通过多种先进的清静手艺构建完整的清静平台，，，，，从多角度、多层面保；び没У氖萸寰玻，，，，避免数据泄露事务的爆发 。。。。。Azure中国版SQL数据库效劳现在已提供了以下四种数据库清静增强设置，，，，，划分是高级数据清静（ADS）、透明数据加密（TDE）、动态数据掩码（DDM）、审核（Audit），，，，，真正做到了多维度数据保； 。。。。。
高级数据清静 (ADS)
高级数据清静 (ADS) 是一种从战略上保；な菘馇寰残缘幕疲，，，，它提供一组高级 SQL 清静功效，，，，，包括数据发明与分类、误差评估和威胁检测 。。。。。误差评估可以发明、跟踪并资助修正潜在的数据库误差，，，，，剖析检查身份验证与授权设置、数据保；ど柚谩⑼馕вτ蒙柚谩⑸蠛松柚玫龋，，，，并提供响应的修复要领与建议 。。。。。它可直观审查清静状态，，，，，包括解决清静问题的可操作办法，，，，，并可增强数据库的防御工事 。。。。。
如上图所示，，，，，检测效果发明dbo账户被看成通俗用户去使用，，，，，这被标记为中等危害，，，，，由于dbo具有最高的权限，，，，，ADS功效会针对差别危害给出响应建议与解决要领 。。。。。
除了对数据库误差及设置举行评估，，，，，ADS还集成了威胁检测 ？？？ ？？椋，，，，对常见的危害如SQL注入等举行检测，，，，，用户可凭证需要勾选 。。。。。 来自异常位置的会见、生疏账户的登录、暴力破解SQL凭证的行为都可以被检测到并触发警报 。。。。。
ADS功效支持设置按期扫描、设置清静基线，，，，，并天生清静报告发送至治理员邮箱 。。。。。这些功效有用镌汰了黑客撞库或治理员设置弱口令的可能性 。。。。。
透明数据加密 (TDE)
透明数据加密 (TDE) 是一种从元数据层级保；な菘獾姆椒ǎ，，，，它有助于保； Azure SQL 数据库、Azure SQL 托管实例和 Azure 数据客栈免受恶意运动的威胁 。。。。。 它可执行静态数据库、关联备份和事务日志文件的实时加密息争密，，，，，无需更改应用程序 。。。。。 默认情形下，，，，，为所有新安排的 Azure SQL 数据库启用了 TDE 。。。。。
TDE功效可以避免数据库文件（mdf/ndf/ldf）被附加到非授权效劳器或者使用TDE功效的备份文件被容易还原到别的效劳器上，，，，，从而进一步增强了数据的清静性 。。。。。对黑客拖库行为有一定的限制作用 。。。。。启用TDE后，，，，，将组织内部的密钥与数据治理责任相疏散，，，，，纵然非授权职员在取得数据库后，，，，，如无密钥，，，，，无法在异地还原偷取的数据库 。。。。。
如上图所示，，，，，我们在外地试图还原一个启用过TDE的数据库，，，，，在没有密钥的情形下显示还原失败 。。。。。这样，，，，，即便数据库文件层级泄露，，，，，黑客也无法会见数据 。。。。。
动态数据掩码（DDM）
动态数据掩码手艺用一种假名化（pseudonymization）手段保；ぴ荩，，，，通过对非特权用户模糊化敏感数据来限制此类数据的泄露 。。。。。动态数据屏障允许客户指定在对应用层爆发最小影响的条件下可以透露的敏感数据量，，，，，从而资助避免未经授权的用户会见敏感数据 。。。。。它是一种基于战略的清静功效，，，，，会在针对指定的数据库字段运行盘问后返回的效果集中隐藏敏感数据，，，，，同时坚持数据库中的数据稳固 。。。。。
例如，，，，，我们用治理员账户在数据库中建设表dbo.JOBS并插入数据:
开启动态数据掩码功效，，，，，并设置掩码字段, 掩饰人为字段:
切换为非治理员账户后执行盘问:
如图所示，，，，，敏感字段已经自动凭证设置规则举行掩饰 。。。。。这项功效在一定水平上缓解了非拖库行为造成的数据泄露，，，，，例如SQL注入 。。。。。该功效现在支持自界说屏障规则及屏障函数 。。。。。
审核（Audit）
除了上述清静功效，，，，，Azure版SQL还具有审核功效 。。。。。审核 Azure SQL 数据库和 SQL 数据客栈会跟踪数据库事务，，，，，并将这些事务写入 Azure 存储帐户、OMS 事情区或事务中心中的审核日志 。。。。。审核功效资助治理员追溯数据库爆发的事务，，，，，它能告诉你“谁什么时间做了什么事情” 。。。。。详细是指审核SQL Server 数据库引擎实例或单独的数据库涉及到跟踪和纪录数据库引擎中爆发的事务 。。。。。
如图所示，，，，，审核日志提供了会见者IP地点、账户名称、事务类型、执行语句等详细信息，，，，，资助数据库治理员定位问题，，，，，实时排查危害，，，，，解决隐患 。。。。。
Azure版SQL数据库依托强盛的Azure平台，，，，，不但支持以上清静特征，，，，，还集成了一些平台的清静特点，，，，，如集成Azure AD身份验证、效劳器级别IP防火墙、传输历程加密等特征 。。。。。通太过层深度防御的要领，，，，，划分在网络清静、会见治理、威胁防护、信息保；に拇蠓矫嫖匏澜潜；；び没槟庾什寰玻，，，，尽可能降低数据泄露危害 。。。。。
虽然，，，，，数据万万条，，，，，清静第一条；；设置不规范，，，，，用户两行泪 。。。。。Azure为宽大用户提供了强盛的清静防护，，，，，数据库治理员还需要树立清静意识，，，，，镌汰不规范的设置问题，，，，，杜绝弱口令，，，，，严酷限制账户权限，，，，，适当开启IP会见白名单，，，，，减小黑客攻击面 。。。。。
（本文作者陈初，，，，，世纪互联彩友会ISC security团队工程师）