大数据是工业社会的「自在」资源，谁把握了数据，谁就把握了主动权。随着企业数字化转型的浪潮，数据更是成为了金融行业的外围资产和翻新因素。
而证券行业作为国家金融流动的重要入口，汇聚了大量的金融数据。其数据库作为公司外围数据库系统，存储着大量敏感重要数据信息，其安全性关系着整个交易系统的平安运行。这要求行业充沛粗浅意识网络数据安全的重要性和紧迫性，保持金融平安与数据利用倒退并重，踊跃应答简单的数据安全危险与挑战。
在此背景下，某大型证券交易所（以下简称：A 所）为进一步提高外部数据库安全运维保障能力，对标信息安全合规性要求，启动数据库运维治理建设工作，部署一体化数据安全管控平台—— CloudQuery 企业版（以下简称：CQ）。
外围诉求
通过部署 CQ，A 所增强数据库安全访问控制机制，解决直连数据库带来的人与账户不对立、权限不易管控、审计信息定位不精准的问题，同时减少数据脱敏性能，对用户查问进行实时数据校验，动静脱敏敏感数据，在不影响原始数据的根底上，升高人为传世泄密的危险。其外围诉求有以下几点：
数据库操作管控
勾销直连数据库形式，通过平台实现对数据的拜访操作，在不扭转用户应用习惯的根底上，代替 PLSQL Developer、SQLYOG 等工具。
数据库权限管控
通过用户和账户一对一绑定，解决以数据库账户多人共用的状况。同时晋升账户权限精密粒度，加大用户账户提权、过期、登记的审核力度，在满足用户失常应用的同时，晋升权限管控程度。
敏感数据脱敏
对查问后果数据进行动静脱敏，依据账户查问需要，灵便制订脱敏策略，在不影响用户应用的同时，最大限度保障数据安全不透露。
解决思路
依据 A 所的需要，咱们认为本次部的 CQ 次要致力解决企业数据库安全性弱、敏感数据泄露、人员与账户不对立、权限管控难度大、呈现数据变更时难以定位责任人员等问题。故咱们将利用场景次要定位在人员较多且流动性较大的部门，例如外包、研发、运维等，帮助其进行权限管控以及数据访问控制，同时针对行业性质增强零碎稳定性，并针对安全性、扩展性、高可用性进行了降级。
平台安全性
安全性次要体现在零碎及数据库的访问控制、非法拜访阻断以及数据脱敏。针对外包人员能够进行登录工夫管制，仅容许在指定工夫登录零碎，或仅容许在指定工夫进行指定资源的数据操作配合数据脱敏实现通过平台进行数据操作时，既保证了对人员的限度，又保障了对于敏感数据资源的屏蔽。
平台扩展性
基于 CQ 须要接入多种数据源，因而在进行架构设计时采纳模块化架构，具备高度可扩展性，实现数据源接入速度快、数据源个性反对全面、数据库元素覆盖度高、反对自定义筛选等性能。
高可用性
CQ 作为企业数据拜访入口，对服务稳定性要求较高，因而提供双 A 计划进行高可用反对，故障切换在 5s 内即可实现，极大水平上保障了零碎的可用性。
方案设计
本次设计的 CQ 次要性能包含用户治理、数据库连贯治理、数据库操作治理、数据脱敏治理、系统管理，同时提供数据库服务器监控性能、审计性能。
用户治理
对于有数据库拜访需要的用户，须要登录 CQ，通过该零碎实现对数据库的拜访。同时内置的用户零碎能够对用户以及组织架构信息进行保护，也反对多源用户信息导入，实现用户与账号一一对应，解决了一个数据库账号多人应用的问题。
权限管控
依据用户管理权限，平台用户可分为系统管理员、连贯管理员、普通用户三级角色，在数据库权限层面分为操作权限、导出权限、限时、限次、限量等，权限管制力度可达单元格级别，对于不在受权范畴内的数据操作进行及时阻断并收集至告警零碎中，不便数据库管理员及时发现危险点。
数据脱敏治理
对查问后果进行脱敏，平台脱敏性能仅波及数据查问，不波及数据变更，技术实现的过程中数据不落地的形式既保证了数据库的数据安全，也不会对失常运行的业务零碎造成影响。
服务器监控
通过监控，平台可实时感知服务器负载状态、读写状态、慢查问状态等，实现监控模块集成现有成熟体系，在不影响数据库运行效率的同时及时进行数据库状态反馈。不便 DBA 实时观测纳管数据库状态。
审计性能
用户在 CQ 产生的每一个细节操作都会被审计服务追踪。CQ 反对审计明细以及审计后果剖析，可及时捕获可能呈现问题的软弱环节进行提前预警，在呈现问题时可精准定位账户，同时提供危险、失败操作高亮提醒告警等性能。同时基于审计明细进行建模计算后得出审计剖析能够帮助数据库管理人员及时观测普通用户操作动静，查看外部数据库应用情况等。
至此，A 所的数据安全以及审计溯源问题在 CQ 平台引入后得以解决，同时搭配平台本身的高可用配置，在保障数据库拜访平安的根底上做到了操作入口的对立纳管、灵便受权又兼顾了平台稳定性。在上线前 A 所对 CQ 平台进行了深度平安扫描，确认产品本身无问题后开始投入生产应用，从根本上解决了数据管控难、治理难的问题。
官网地址：https://cloudquery.club/