案例丨教育行业MySQL数据库加密安全实践

2017上半年，安华金和推出国内首款MySQL TDE数据库加密产品，采用数据库引擎代码改造技术，通过替换原生MySQL中的执行文件mysqld，实现数据在存储层的加、解密功能，还能避免以往加密过程中数据库文件导入导出的繁琐程序，最大程度减少性能损失。

随着数据泄露事件全球范围内的频繁爆发，近些年每到年终泄露事件大盘点的时候，总能看到教育行业的影子。而在国内，近些年教育行业已经发生多起数据库泄露事件，案件相关人员隐私权益遭到严重损害，甚至危及生命健康，教育相关单位的声誉受到严重挑战。也正是因此，社会、各类院校、教育机构、学生家长等对于教育行业的信息安全建设倾注了更多的关注，数据保护方面的安全教育也因此得到明显的提升。与此同时，犯罪分子的也开始不断提升作案手段，通过非法攻击、违规操作等一系列手段窃取教育系统数据库里的敏感数据，频频发生的拖库、刷库现象使得教育行业的数据库系统遭受严重的安全威胁。

某教委当前业务系统中的核心业务数据需要进行安全保护，该教委业务系统采用了MySQL数据库系统，其作为某地方教育资源基础设施，存储了大量核心教育信息，拥有大量敏感数据。一旦数据丢失或被篡改，将对社会公共秩序造成较为严重的损害，因此该教委认为数据安全的整体保障势在必行。

该教委用户对于本项目重点提出了两大安全防护需求和业务正常运营需求：

• 防止和限制数据库管理员对数据库的风险操作及高危操作；

• 防止第三方运维人员对生产数据库批量导出操作；

• 管理第三方数据分析员对数据库的越权操作；

2、数据防泄漏需求

• 防止突破边界防护的外部黑客攻击；防止明文存储引起的数据泄密；防止内部高权限用户的数据窃取，从根源上防止敏感数据泄漏的行为。

3、系统稳定运行需求

• 保证数据安全的同时，确保业务系统无需进行改造，功能不受影响，性能损耗小，并可以持续在线运行，备份恢复等日志维护工作依然可正常进行。

结合该项目提出的上述安全需求，安华金和从存储层、数据库访问层、应用访问层三个层面对数据库面临的安全威胁进行分析，以该教委业务系统中的敏感数据的主动预防为目标，对教委核心数据库部署了MySQL TDE加密产品，从而针对其教师档案管理系统等数据库中的核心数据安全进行防范，通过数据存储加密、独立的权限控制、三权分立、应用安全访问等核心能力，主动预防来自于内部维护人员、第三方合作人员、内部工作人员的各种数据窃取行为，将对数据库系统进行有效地安全加固，弥补当前教委业务系统数据库安全“短板”。

网络拓扑图

通过在数据库存储层进行数据加密处理，MySQL TDE加密产品实现了即使数据遭到盗取也无法解密的效果，从根源上解决数据泄露问题。

总结下来，具体客户价值如下：

针对该教委的业务系统进行数据库加密，防范“越权使用、权限滥用、权限盗用”等安全威胁；将内部高权限人员的风险操作、高危操作、越权操作、批量操作进行有效的管理，其中，客户端IP访问控制和应用关联控制两个功能点，实现细粒度的访问对象识别，增强针对应用侧的权限控制能力。

防止该教委数据库系统内的数据明文存储，不法分子通过拷贝数据文件引起的批量泄密。

防高权限用户导出数据，防黑客安全攻击进行拖库，对不同列使用不同密钥。

有效记录来自非授权的访问行为、数据库入侵行为、违规操行进行及时防护和预警，并且对数据库运行情况进行全面分析。

数据库加密MySQL TDE产品采用国产SM4加密算法，缺省盐方式进行数据加密，相较传统AES等算法更安全可靠、合规，最大程度保证数据安全。

部署数据库加密MySQL TDE产品，对于现有应用系统的SQL语句、开发接口，都无需改造，原有数据库核心特性均可继续使用；同时产品的集中控制模式，能够更快地、无缝地融合到当前信息管理系统中；采用的密文索引列创建，确保了性能优化，保障高可用性。

目前，凭借产品的高可用性和高安全性等优势，安华金和的数据库加密MySQL TDE加密获得多行业客户应用认可，真正肩负起“用户数据库底线防守，用户核心数据安全防护”的产品使命。