雙11購(gòu)物狂歡節(jié),阿里巴巴創(chuàng)造的節(jié)日,多少剁手黨們翹首以盼。阿里更沒(méi)讓大家失望,原本24小時(shí)的狂歡,今年延長(zhǎng)至24天,真是越玩越大的節(jié)奏。聽(tīng)到這個(gè)消息后,我想大概會(huì)有兩個(gè)群體倍感壓力,一個(gè)自然是負(fù)責(zé)清空購(gòu)物車(chē)的老公們,另一個(gè)則是各大物流公司。稍等,我們今天要說(shuō)的不是快遞員,而是容易被大家遺忘的幕后英雄,物流行業(yè)的IT運(yùn)維人。
幾個(gè)月前,我們交流了一家來(lái)自上海的大型物流企業(yè),現(xiàn)在,他們已經(jīng)是安華金和的用戶(hù)了。作為國(guó)內(nèi)排名前三的大型物流企業(yè),用戶(hù)的信息系統(tǒng)建設(shè)起步較早,在2009年即啟動(dòng)建設(shè)以核心業(yè)務(wù)系統(tǒng)為主體的信息技術(shù)平臺(tái),并部署了傳統(tǒng)的網(wǎng)絡(luò)安全產(chǎn)品,以應(yīng)對(duì)來(lái)自網(wǎng)絡(luò)層的外部攻擊。然而,近年來(lái)隨著各大電商平臺(tái)的交易量飛速上漲,與訂單量成正比的物流數(shù)據(jù)正在直面愈加復(fù)雜的安全威脅。
據(jù)統(tǒng)計(jì),2015年快遞企業(yè)信息泄露案件達(dá)43起,泄露包含消費(fèi)者個(gè)人隱私數(shù)據(jù)的訂單信息數(shù)量,保守估計(jì)高達(dá)上百萬(wàn)。在這些案件中,更有數(shù)起源于內(nèi)部人員泄露或內(nèi)外勾結(jié)竊取數(shù)據(jù)。作為物流行業(yè)領(lǐng)頭羊之一,用戶(hù)自然不希望這個(gè)鍋砸到自己身上,于是有了這一次針對(duì)核心數(shù)據(jù)庫(kù)的安全防護(hù)交流,希望從安華金和找到滿(mǎn)意的安全對(duì)策。
簡(jiǎn)單交流后,我們的咨詢(xún)工程師將用戶(hù)需求歸納為:在不影響業(yè)務(wù)系統(tǒng)的正常運(yùn)行下,對(duì)來(lái)自應(yīng)用側(cè)、運(yùn)維側(cè)的數(shù)據(jù)庫(kù)訪問(wèn)行為進(jìn)行監(jiān)控與審計(jì),提升數(shù)據(jù)庫(kù)安全指數(shù)。對(duì)于這一需求,旁路部署安華金和數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)(DBAudit)顯然是最為合適的解決方案??蛻?hù)對(duì)方案表示認(rèn)可,但同時(shí)補(bǔ)充道:“對(duì)你們產(chǎn)品最大的挑戰(zhàn)恐怕不單是數(shù)據(jù)庫(kù)的安全保障,還有今年的雙十一。”我們明白,在各大電商集體爆發(fā)的雙十一期間,對(duì)于物流行業(yè)信息系統(tǒng)的最大挑戰(zhàn),自然是超高的數(shù)據(jù)處理壓力。用戶(hù)的核心數(shù)據(jù)庫(kù)系統(tǒng),主要服務(wù)于以淘寶為主的大型電商平臺(tái)傳送來(lái)的物流信息。系統(tǒng)承載的日均SQL語(yǔ)句數(shù)量為3w條/s,而在雙十一期間,日均處理量將飆升至三倍以上。
于是,我們將用戶(hù)對(duì)數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品的關(guān)鍵要求定位在兩點(diǎn):無(wú)漏審+無(wú)延遲。
實(shí)現(xiàn)無(wú)漏審
安華金和數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)基于對(duì)SQL語(yǔ)句的精準(zhǔn)解析能力,能夠解決包括長(zhǎng)語(yǔ)句、參數(shù)化語(yǔ)句、查詢(xún)語(yǔ)句結(jié)果集、結(jié)果集壓縮等解析難點(diǎn),完美實(shí)現(xiàn)100%無(wú)漏審。
確保無(wú)延遲
面對(duì)雙十一期間,高并發(fā)量、高語(yǔ)句入庫(kù)的實(shí)時(shí)業(yè)務(wù)壓力,通過(guò)“采樣優(yōu)化”、專(zhuān)門(mén)存儲(chǔ)于檢索技術(shù),實(shí)現(xiàn)采集、入庫(kù)、查詢(xún)、分析各環(huán)節(jié)無(wú)延遲。從而確保實(shí)時(shí)審計(jì)、實(shí)時(shí)告警。
在項(xiàng)目測(cè)試環(huán)節(jié)中,除安華金和,另有兩家友商同時(shí)參與測(cè)試。當(dāng)測(cè)試數(shù)據(jù)量調(diào)整至模擬雙十一期間的高峰流量,結(jié)果是:兩家在延遲時(shí)間上落后安華金和3天以上,其中一家在漏審率上的表現(xiàn)也相差甚遠(yuǎn),我們理所當(dāng)然的成為中標(biāo)方。
故事到這里還沒(méi)有結(jié)束,時(shí)隔幾個(gè)月,我們接到了另一個(gè)項(xiàng)目需求,來(lái)自另一家同樣規(guī)模的上海大型物流企業(yè)??蛻?hù)明確表示,是得到來(lái)自同行業(yè)伙伴對(duì)安華金和產(chǎn)品的使用反饋,希望由我們?yōu)槠浜诵臄?shù)據(jù)庫(kù)系統(tǒng)提供安全加固方案,目的自然是應(yīng)對(duì)即將到來(lái)的雙十一。
雖然在上一個(gè)項(xiàng)目中,客戶(hù)方的產(chǎn)品需求明確定位于數(shù)據(jù)庫(kù)審計(jì)系統(tǒng),但這一次交流后,基于對(duì)物流行業(yè)安全現(xiàn)狀的了解,我們的咨詢(xún)工程師提出了更大膽的方案:部署安華金和數(shù)據(jù)庫(kù)防火墻系統(tǒng)。不僅限于數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)的實(shí)時(shí)告警與事后追責(zé),而是對(duì)于來(lái)自外部黑客及內(nèi)部運(yùn)維人員的數(shù)據(jù)竊取、高危操作、誤操作等行為,進(jìn)行實(shí)時(shí)阻斷。
與數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)的功能要求不同,審計(jì)的重點(diǎn)在審,而防火墻重點(diǎn)在防,這決定了數(shù)據(jù)庫(kù)防火墻的部署方式必須是串聯(lián)。聽(tīng)到我們的方案,客戶(hù)有些猶豫。串聯(lián)部署意味著什么?我們自然明白,這意味著我們對(duì)于產(chǎn)品在高性能與高可用兩方面的要求更加嚴(yán)苛,既要防的準(zhǔn),還要確保對(duì)業(yè)務(wù)運(yùn)轉(zhuǎn)速度做到無(wú)損,在任何突發(fā)情況下不阻斷數(shù)據(jù)傳輸。但既然敢提出這樣的方案,我們自然深有把握,在詳細(xì)的方案中我們給出了四個(gè)技術(shù)關(guān)鍵點(diǎn):
1、 有效應(yīng)對(duì)應(yīng)用側(cè)產(chǎn)生的SQL注入攻擊
當(dāng)應(yīng)用側(cè)數(shù)據(jù)庫(kù)暴露于復(fù)雜的應(yīng)用交互之中,惡意的SQL注入攻擊是數(shù)據(jù)庫(kù)最大的威脅之一。安華金和數(shù)據(jù)庫(kù)防火墻基于SQL語(yǔ)句的精準(zhǔn)解析能力,通過(guò)對(duì)SQL注入的特征描述,提供默認(rèn)注入防護(hù)策略,實(shí)時(shí)攔截危險(xiǎn)語(yǔ)句。
2、 制定有針對(duì)性的行業(yè)安全策略
產(chǎn)品部署初期將開(kāi)啟學(xué)習(xí)模式,記錄用戶(hù)日常業(yè)務(wù)中的各類(lèi)SQL語(yǔ)句,以建立符合行業(yè)特性的語(yǔ)句模型。學(xué)習(xí)期結(jié)束后,根據(jù)語(yǔ)句模型開(kāi)啟黑白名單策略,并針對(duì)用戶(hù)核心數(shù)據(jù)庫(kù)、核心數(shù)據(jù)表添加防護(hù)策略,設(shè)置update、delete影響行數(shù)限制,形成一整套符合物流行業(yè)需求的安全防護(hù)策略。
3、 性能上限防護(hù)機(jī)制保障業(yè)務(wù)不停頓
針對(duì)雙十一的高并發(fā)訪問(wèn)、高語(yǔ)句量執(zhí)行壓力,開(kāi)啟性能上限防守機(jī)制?;贑PU和內(nèi)存的使用量動(dòng)態(tài)調(diào)節(jié)產(chǎn)品處理方式,確保高強(qiáng)度數(shù)據(jù)量壓力下不影響業(yè)務(wù)正常運(yùn)轉(zhuǎn)。
4、 主備模式結(jié)合ByPass(鏈路導(dǎo)通)功能提供高可用的安全保障
通過(guò)網(wǎng)卡的ByPass能力,并結(jié)合“看門(mén)狗”機(jī)制,當(dāng)發(fā)生設(shè)備斷電、操作系統(tǒng)故障、數(shù)據(jù)庫(kù)防火墻核心組件僵死等異常情況時(shí),迅速啟動(dòng)ByPass模式,重新打通網(wǎng)絡(luò)連接,保證業(yè)務(wù)通暢運(yùn)行?,F(xiàn)場(chǎng)基于雙機(jī)HA模式部署,并結(jié)合現(xiàn)場(chǎng)交換機(jī)的IRF堆疊模式,搭建主備防護(hù)體系。
進(jìn)一步交流中,我們了解到用戶(hù)的網(wǎng)絡(luò)架構(gòu)相對(duì)復(fù)雜,需要進(jìn)行防護(hù)的四個(gè)數(shù)據(jù)庫(kù)服務(wù)器兩兩構(gòu)成RAC集群,為了確保不影響業(yè)務(wù)正常運(yùn)轉(zhuǎn),決定采用雙數(shù)據(jù)庫(kù)防火墻方案,部署于核心交換機(jī)與核心數(shù)據(jù)庫(kù)之間,采用透明網(wǎng)橋模式進(jìn)行串聯(lián)。
部署方案圖
兩家規(guī)模相當(dāng)?shù)奈锪髌髽I(yè),核心數(shù)據(jù)庫(kù)系統(tǒng)的日均數(shù)據(jù)量非常接近。在測(cè)試階段,安華金和數(shù)據(jù)庫(kù)防火墻系統(tǒng)成功經(jīng)受住考驗(yàn),在模擬雙十一的高強(qiáng)度流量壓力下,依然能夠在不影響業(yè)務(wù)系統(tǒng)正常運(yùn)行的基礎(chǔ)上,保證SQL語(yǔ)句的精準(zhǔn)解析,嚴(yán)格執(zhí)行安全策略,放行或阻斷。用戶(hù)終于放下心,認(rèn)可了我們的安全加固方案。
目前,兩套安華金和數(shù)據(jù)庫(kù)防火墻已在用戶(hù)核心數(shù)據(jù)庫(kù)系統(tǒng)中正常運(yùn)行超過(guò)兩個(gè)月。而另一個(gè)項(xiàng)目中的數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)更是無(wú)故障運(yùn)行近半年。
雙十一就要來(lái)了,一大波買(mǎi)家物流信息向各大物流企業(yè)的IT系統(tǒng)中涌來(lái)。也許,已經(jīng)有黑產(chǎn)人士盯上了這些個(gè)人敏感數(shù)據(jù)?又或者,由于淘寶任性的將24小時(shí)的節(jié)日延長(zhǎng)至24天,物流行業(yè)運(yùn)維人員在高強(qiáng)度壓力下可能會(huì)產(chǎn)生高危操作和誤操作?無(wú)論哪一種情況出現(xiàn),都是對(duì)安華金和產(chǎn)品的最終檢驗(yàn),我們有信心為用戶(hù)的數(shù)據(jù)遮風(fēng)擋雨,用成熟的案例展現(xiàn)實(shí)力是我們?cè)谑袌?chǎng)說(shuō)話(huà)的方式。
雙十一來(lái)了,我們與物流行業(yè)用戶(hù)一起扛過(guò)!
- 蜜度索驥:以跨模態(tài)檢索技術(shù)助力“企宣”向上生長(zhǎng)
- 比亞迪第五代DM技術(shù)問(wèn)世,首搭秦L/海豹06 DM-i,開(kāi)創(chuàng)油耗2時(shí)代!
- 小紅書(shū)沉帖降權(quán)怎么做,有效方法大盤(pán)點(diǎn)!
- 亞洲時(shí)刻京東送上電視好禮 以舊換新一體化服務(wù)讓低價(jià)更靠譜
- 互聯(lián)網(wǎng)營(yíng)銷(xiāo)師和全媒體運(yùn)營(yíng)師的區(qū)別?
- 聯(lián)想集團(tuán)車(chē)計(jì)算“超級(jí)大腦”概念機(jī)亮相
- 華策影視設(shè)立專(zhuān)項(xiàng)基金成立AIGC應(yīng)用研究院
- 三部委審批,聯(lián)合發(fā)布9個(gè)新職業(yè),“互聯(lián)網(wǎng)營(yíng)銷(xiāo)師”上榜
- 互聯(lián)網(wǎng)營(yíng)銷(xiāo)師的報(bào)考條件是什么?
- 互聯(lián)網(wǎng)營(yíng)銷(xiāo)師的適合人群有哪些?
- 互聯(lián)網(wǎng)營(yíng)銷(xiāo)師行業(yè)前景怎么樣?
免責(zé)聲明:本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿,凡在本網(wǎng)站出現(xiàn)的信息,均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性,但不保證有關(guān)資料的準(zhǔn)確性及可靠性,讀者在使用前請(qǐng)進(jìn)一步核實(shí),并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏,概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí),應(yīng)及時(shí)向本網(wǎng)站提出書(shū)面權(quán)利通知或不實(shí)情況說(shuō)明,并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后,將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí),溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。