印刻数据库

外观

SQLServer 敏感数据保护 ​

敏感数据保护概述 ​

敏感数据保护是指识别、分类、保护和监控敏感数据的过程，确保敏感数据不被未授权访问、泄露或滥用。敏感数据包括个人身份信息 (PII)、财务数据、健康数据、商业秘密等，这些数据受到各种法规和标准的保护，如 GDPR、PCI DSS、HIPAA 等。

敏感数据的类型 ​

  1. 个人身份信息 (PII)：

    • 姓名、地址、电话号码
    • 身份证号、护照号
    • 出生日期
    • 电子邮件地址

  2. 财务数据：

    • 信用卡号、借记卡号
    • 银行账号
    • 财务报表
    • 税号

  3. 健康数据：

    • 医疗记录
    • 诊断信息
    • 处方信息
    • 健康保险信息

  4. 商业秘密：

    • 客户列表
    • 产品设计
    • 营销策略
    • 财务预测

  5. 认证数据：

    • 密码哈希
    • 加密密钥
    • 证书

敏感数据保护的挑战 ​

  1. 数据分散：敏感数据可能分散在多个数据库、应用程序和系统中，难以统一管理
  2. 数据增长：数据量不断增长，增加了敏感数据保护的难度
  3. 合规要求：各种法规和标准对敏感数据保护提出了严格要求
  4. 内部威胁：内部人员可能故意或无意泄露敏感数据
  5. 技术复杂度：敏感数据保护技术复杂，需要专业知识和技能

敏感数据识别与分类 ​

敏感数据识别 ​

  1. 手动识别：

    • 基于业务知识手动识别敏感数据
    • 适用于小型环境
    • 效率低，容易遗漏

  2. 自动识别：

    • 使用 SQL Server 数据发现与分类功能自动识别敏感数据
    • 基于内置或自定义的敏感数据类型模板
    • 适用于大型环境
    • 效率高，准确性高

  3. 混合识别：

    • 结合手动识别和自动识别的优点
    • 先使用自动识别，再手动验证和调整
    • 适用于大多数环境

敏感数据分类 ​

  1. 基于敏感度的分类：

    • 高敏感度：如信用卡号、身份证号
    • 中敏感度：如姓名、地址
    • 低敏感度：如公开信息

  2. 基于法规的分类：

    • GDPR 相关数据
    • PCI DSS 相关数据
    • HIPAA 相关数据

  3. 基于业务的分类：

    • 客户数据
    • 员工数据
    • 财务数据
    • 产品数据

数据发现与分类配置 ​

  1. 使用 SQL Server Management Studio (SSMS) 配置：

    • 打开 SSMS，连接到 SQL Server 实例
    • 展开数据库，右键点击数据库，选择「任务」→「数据发现和分类」→「分类数据...」
    • 按照向导提示自动识别敏感数据
    • 手动调整分类结果
    • 保存分类报告

  2. 使用 T-SQL 配置：

    sql
    -- 添加分类标签
ADD SENSITIVITY CLASSIFICATION TO
    [SchemaName].[TableName].[ColumnName]
WITH (
    LABEL = 'PII',
    INFORMATION_TYPE = 'Contact Info',
    SENSITIVITY_LEVEL = 'Medium'
);
GO

-- 查看分类信息
SELECT
    schema_name(O.schema_id) AS schema_name,
    O.name AS table_name,
    C.name AS column_name,
    information_type,
    label,
    rank_desc AS sensitivity_level
FROM sys.sensitivity_classifications sc
JOIN sys.objects O ON sc.major_id = O.object_id
JOIN sys.columns C ON sc.major_id = C.object_id AND sc.minor_id = C.column_id;
GO

-- 删除分类
DROP SENSITIVITY CLASSIFICATION FROM
    [SchemaName].[TableName].[ColumnName];
GO

动态数据掩码 ​

动态数据掩码概述 ​

动态数据掩码 (Dynamic Data Masking, DDM) 是 SQL Server 2016+ 提供的一种功能，它可以在查询结果中动态掩码敏感数据，不需要修改应用程序代码。动态数据掩码只影响查询结果，不影响数据库中存储的数据。

动态数据掩码的类型 ​

  1. 默认掩码：

    • 对于字符串类型，显示前两位和后四位，中间用星号替换
    • 对于数值类型，显示 0
    • 对于日期类型，显示 01-01-1900

  2. 电子邮件掩码：

    • 显示电子邮件的前缀和域名，中间用星号替换
    • 例如：j***@example.com

  3. 随机掩码：

    • 用随机值替换原始值
    • 对于数值类型，生成范围内的随机值

  4. 自定义字符串掩码：

    • 自定义掩码格式，指定可见字符的位置和替换字符
    • 例如：xxxx-xxxx-xxxx-1234

动态数据掩码配置步骤 ​

  1. 创建带掩码的表：

    sql
    -- 创建带掩码的表
CREATE TABLE [dbo].[Customer]
(
    [Id] INT PRIMARY KEY IDENTITY(1,1),
    [Name] NVARCHAR(50) MASKED WITH (FUNCTION = 'partial(1, "xxxx", 0)') NULL,
    [Email] NVARCHAR(100) MASKED WITH (FUNCTION = 'email()') NULL,
    [Phone] NVARCHAR(20) MASKED WITH (FUNCTION = 'partial(3, "xxxx", 4)') NULL,
    [CreditCard] NVARCHAR(20) MASKED WITH (FUNCTION = 'partial(0, "xxxx-xxxx-xxxx-", 4)') NULL,
    [BirthDate] DATE MASKED WITH (FUNCTION = 'default()') NULL,
    [Salary] DECIMAL(18,2) MASKED WITH (FUNCTION = 'random(10000, 100000)') NULL
);
GO

  2. 向表中插入数据：

    sql
    -- 插入数据
INSERT INTO [dbo].[Customer] ([Name], [Email], [Phone], [CreditCard], [BirthDate], [Salary])
VALUES 
('John Doe', 'john.doe@example.com', '1234567890', '1234567890123456', '1980-01-01', 50000),
('Jane Smith', 'jane.smith@example.com', '0987654321', '6543210987654321', '1990-02-02', 60000);
GO

  3. 创建测试用户并授予权限：

    sql
    -- 创建测试用户
CREATE USER [TestUser] WITHOUT LOGIN;
GO

-- 授予 SELECT 权限
GRANT SELECT ON [dbo].[Customer] TO [TestUser];
GO

  4. 测试动态数据掩码：

    sql
    -- 以测试用户身份查询数据
EXECUTE AS USER = 'TestUser';
GO

SELECT * FROM [dbo].[Customer];
GO

REVERT;
GO

动态数据掩码最佳实践 ​

  1. 只对敏感列应用掩码：

    • 只对真正需要保护的敏感列应用掩码
    • 避免对所有列应用掩码，影响查询性能

  2. 使用合适的掩码函数：

    • 根据数据类型和业务需求选择合适的掩码函数
    • 确保掩码后的结果符合业务需求，同时保护敏感数据

  3. 限制掩码的绕过：

    • 只授予必要的权限，避免用户绕过掩码
    • 限制对 sys.masked_columns 视图的访问

  4. 结合其他安全功能：

    • 结合数据加密、行级安全等功能，提供多层保护
    • 定期审计掩码的使用情况

  5. 测试掩码效果：

    • 测试不同用户在不同权限下的掩码效果
    • 确保掩码后的结果符合业务需求

行级安全 ​

行级安全概述 ​

行级安全 (Row-Level Security, RLS) 是 SQL Server 2016+ 提供的一种功能，它可以根据用户的身份或属性限制用户对表中特定行的访问。行级安全可以确保用户只能访问他们有权访问的数据行。

行级安全的工作原理 ​

  1. 安全策略：定义行级安全的规则和条件
  2. 内联表值函数 (TVF)：返回允许用户访问的行
  3. 筛选谓词：将 TVF 应用到表上，筛选用户可以访问的行

行级安全配置步骤 ​

  1. 创建测试表：

    sql
    -- 创建测试表
CREATE TABLE [dbo].[Sales]
(
    [Id] INT PRIMARY KEY IDENTITY(1,1),
    [Region] NVARCHAR(50),
    [Product] NVARCHAR(50),
    [Amount] DECIMAL(18,2),
    [SalesPerson] NVARCHAR(50)
);
GO

-- 插入测试数据
INSERT INTO [dbo].[Sales] ([Region], [Product], [Amount], [SalesPerson])
VALUES 
('North', 'Product A', 1000, 'Alice'),
('North', 'Product B', 2000, 'Alice'),
('South', 'Product A', 1500, 'Bob'),
('South', 'Product B', 2500, 'Bob'),
('East', 'Product A', 1200, 'Charlie'),
('East', 'Product B', 2200, 'Charlie'),
('West', 'Product A', 1800, 'David'),
('West', 'Product B', 2800, 'David');
GO

  2. 创建内联表值函数：

    sql
    -- 创建内联表值函数
CREATE FUNCTION [dbo].[fn_securitypredicate](@SalesPerson AS NVARCHAR(50))
RETURNS TABLE
WITH SCHEMABINDING
AS
RETURN SELECT 1 AS [fn_securitypredicate_result]
WHERE @SalesPerson = USER_NAME() OR USER_NAME() = 'dbo';
GO

  3. 创建安全策略：

    sql
    -- 创建安全策略
CREATE SECURITY POLICY [SalesSecurityPolicy]
ADD FILTER PREDICATE [dbo].[fn_securitypredicate]([SalesPerson]) 
ON [dbo].[Sales]
WITH (STATE = ON);
GO

  4. 创建测试用户并授予权限：

    sql
    -- 创建测试用户
CREATE USER [Alice] WITHOUT LOGIN;
CREATE USER [Bob] WITHOUT LOGIN;
GO

-- 授予 SELECT 权限
GRANT SELECT ON [dbo].[Sales] TO [Alice];
GRANT SELECT ON [dbo].[Sales] TO [Bob];
GO

  5. 测试行级安全：

    sql
    -- 以 Alice 身份查询数据
EXECUTE AS USER = 'Alice';
GO

SELECT * FROM [dbo].[Sales];
GO

REVERT;
GO

-- 以 Bob 身份查询数据
EXECUTE AS USER = 'Bob';
GO

SELECT * FROM [dbo].[Sales];
GO

REVERT;
GO

行级安全最佳实践 ​

  1. 使用简单的谓词函数：

    • 保持谓词函数简单，避免复杂逻辑
    • 确保谓词函数性能良好，不影响查询性能

  2. 测试性能影响：

    • 测试行级安全对查询性能的影响
    • 优化谓词函数，提高查询性能
    • 考虑使用索引，提高谓词函数的性能

  3. 结合其他安全功能：

    • 结合数据加密、动态数据掩码等功能，提供多层保护
    • 定期审计行级安全的使用情况

  4. 限制管理员权限：

    • 限制具有高权限的用户数量
    • 定期审查管理员权限

  5. 测试不同场景：

    • 测试不同用户在不同权限下的访问情况
    • 测试行级安全在各种场景下的效果

敏感数据保护最佳实践 ​

数据发现与分类 ​

  1. 定期扫描敏感数据：

    • 定期使用数据发现与分类功能扫描敏感数据
    • 及时发现新的敏感数据
    • 更新敏感数据分类

  2. 建立分类标准：

    • 建立明确的敏感数据分类标准
    • 确保分类标准与业务需求和合规要求一致
    • 培训员工了解分类标准

  3. 维护分类元数据：

    • 维护敏感数据的分类元数据
    • 确保元数据的准确性和完整性
    • 定期更新元数据

数据访问控制 ​

  1. 遵循最小权限原则：

    • 只授予用户完成工作所需的最小权限
    • 定期审查和撤销不必要的权限
    • 使用角色管理权限，简化权限管理

  2. 使用行级安全和列级安全：

    • 使用行级安全限制用户对特定行的访问
    • 使用动态数据掩码或列级加密保护敏感列
    • 结合使用多种安全功能，提供多层保护

  3. 监控数据访问：

    • 监控敏感数据的访问情况
    • 配置告警，及时发现异常访问
    • 定期审计数据访问日志

数据加密 ​

  1. 加密敏感数据：

    • 使用透明数据加密 (TDE) 加密整个数据库
    • 使用列级加密或 Always Encrypted 加密敏感列
    • 使用备份加密保护备份数据

  2. 安全管理密钥：

    • 定期备份加密密钥和证书
    • 定期轮换密钥
    • 限制密钥的访问权限
    • 使用硬件安全模块 (HSM) 存储密钥

合规与审计 ​

  1. 了解合规要求：

    • 了解适用的法规和标准对敏感数据保护的要求
    • 确保敏感数据保护措施符合合规要求
    • 定期进行合规审计

  2. 审计敏感数据访问：

    • 审计敏感数据的访问、修改和删除操作
    • 记录审计日志，定期审查审计日志
    • 及时发现和处理异常访问

  3. 准备合规报告：

    • 准备敏感数据保护的合规报告
    • 记录敏感数据的分类、保护措施和审计结果
    • 定期向管理层和监管机构提交合规报告

版本差异 ​

SQL Server 2016 ​

  • 引入了动态数据掩码 (DDM)
  • 引入了行级安全 (RLS)
  • 引入了数据发现与分类功能

SQL Server 2017+ ​

  • 改进了数据发现与分类功能
  • 增强了动态数据掩码的功能
  • 改进了行级安全的性能

SQL Server 2022 ​

  • 进一步增强了敏感数据保护功能
  • 引入了新的数据分类模板
  • 改进了动态数据掩码和行级安全的性能

常见问题 (FAQ) ​

Q: 如何选择合适的敏感数据保护方法？ ​

A: 选择合适的敏感数据保护方法需要考虑以下因素：

  1. 敏感数据的类型：不同类型的敏感数据需要不同的保护方法
  2. 合规要求：不同法规和标准对敏感数据保护有不同要求
  3. 业务需求：保护方法需要符合业务需求，不影响业务操作
  4. 性能影响：保护方法的性能开销需要在可接受范围内
  5. 管理复杂度：保护方法的管理复杂度需要考虑

Q: 动态数据掩码和列级加密有什么区别？ ​

A: 动态数据掩码和列级加密的主要区别在于：

  1. 动态数据掩码：只影响查询结果，不影响数据库中存储的数据，对应用程序透明
  2. 列级加密：加密数据库中存储的数据，需要修改应用程序代码以使用加密列

Q: 如何处理敏感数据泄露事件？ ​

A: 处理敏感数据泄露事件的步骤包括：

  1. 识别泄露：及时发现敏感数据泄露事件
  2. 评估影响：评估泄露的范围和影响
  3. ** containment**：采取措施防止进一步泄露
  4. 通知相关方：根据法规要求通知受影响的个人和监管机构
  5. 调查原因：调查泄露的原因，采取措施防止类似事件再次发生
  6. 恢复和改进：恢复系统，改进敏感数据保护措施

Q: 如何确保敏感数据保护措施的有效性？ ​

A: 确保敏感数据保护措施有效性的方法包括：

  1. 定期测试：定期测试敏感数据保护措施的有效性
  2. 审计和监控：定期审计和监控敏感数据的访问和使用情况
  3. 培训员工：培训员工了解敏感数据保护的重要性和方法
  4. 更新保护措施：根据新的威胁和合规要求更新保护措施
  5. 持续改进：持续改进敏感数据保护流程和技术

Q: 敏感数据保护的成本如何控制？ ​

A: 控制敏感数据保护成本的方法包括：

  1. 优先保护高价值数据：只对真正需要保护的敏感数据应用高级保护措施
  2. 使用内置功能：优先使用 SQL Server 内置的敏感数据保护功能，避免购买第三方工具
  3. 自动化保护流程：自动化敏感数据发现、分类和保护流程，减少手动工作
  4. 合理规划：合理规划敏感数据保护架构，避免过度设计
  5. 培训员工：培训员工了解敏感数据保护的重要性和方法，减少人为错误

实际生产运维场景 ​

企业级敏感数据保护部署 ​

场景：大型企业环境，需要保护多种类型的敏感数据，满足 GDPR、PCI DSS 等合规要求。

处理步骤：

  1. 评估敏感数据：

    • 识别企业中的敏感数据
    • 分类敏感数据，确定保护级别
    • 了解适用的法规和标准要求

  2. 选择保护方法：

    • 对于整个数据库的保护，使用透明数据加密 (TDE)
    • 对于敏感列的保护，使用 Always Encrypted 或列级加密
    • 对于查询结果的保护，使用动态数据掩码
    • 对于行级访问控制，使用行级安全

  3. 部署保护措施：

    • 配置数据发现与分类，自动识别敏感数据
    • 应用动态数据掩码和行级安全
    • 配置数据加密
    • 建立安全策略和流程

  4. 监控和审计：

    • 监控敏感数据的访问情况
    • 配置告警，及时发现异常访问
    • 定期审计敏感数据保护措施的有效性
    • 准备合规报告

  5. 持续改进：

    • 根据新的威胁和合规要求更新保护措施
    • 培训员工，提高敏感数据保护意识
    • 定期测试和评估保护措施的有效性

合规要求下的敏感数据保护 ​

场景：金融行业，需要满足 PCI DSS 要求，保护信用卡号等敏感数据。

处理步骤：

  1. 了解 PCI DSS 要求：

    • 研究 PCI DSS 对敏感数据保护的要求
    • 确定需要保护的敏感数据类型
    • 制定敏感数据保护计划

  2. 部署保护措施：

    • 使用 Always Encrypted 加密信用卡号等敏感数据
    • 使用动态数据掩码保护查询结果中的敏感数据
    • 使用行级安全限制对敏感数据的访问
    • 使用备份加密保护备份数据

  3. 监控和审计：

    • 监控信用卡号等敏感数据的访问情况
    • 配置告警，及时发现异常访问
    • 定期审计敏感数据保护措施的有效性
    • 准备 PCI DSS 合规报告

  4. 测试和验证：

    • 定期测试敏感数据保护措施的有效性
    • 进行渗透测试，发现潜在的安全漏洞
    • 验证保护措施符合 PCI DSS 要求

总结 ​

敏感数据保护是 SQL Server 安全管理的重要组成部分，它涉及敏感数据的识别、分类、保护和监控。SQL Server 提供了多种敏感数据保护功能，包括数据发现与分类、动态数据掩码、行级安全和数据加密等。

合理的敏感数据保护需要结合使用多种安全功能，提供多层保护，并定期测试和审计保护措施的有效性。同时，需要了解适用的法规和标准要求，确保敏感数据保护措施符合合规要求。

通过采用最佳实践和利用 SQL Server 提供的敏感数据保护功能，可以构建一个安全、可靠的数据库环境，保护敏感数据不被未授权访问、泄露或滥用，满足业务需求和合规要求。