談?wù)刄Cloud優(yōu)刻得保障數(shù)據(jù)安全的七種“武器”

　　當(dāng)前，數(shù)據(jù)安全受到多方面的威脅。有來自系統(tǒng)軟硬件的非人為故障，有運(yùn)維工程師的誤操作，甚至是黑客或內(nèi)部人員的惡意刪除。2017年1月31日，全球最大的代碼托管服務(wù)平臺Gitlab由于工程師的誤操作，刪除了5000個項(xiàng)目和700個用戶賬號的數(shù)據(jù)，雖然多方補(bǔ)救，但部分?jǐn)?shù)據(jù)最終沒能恢復(fù)。近幾年黑客入侵用戶系統(tǒng)后加密磁盤，以此來勒索的事件也層出不窮。更有來自黑客或內(nèi)部人員的惡意刪除，導(dǎo)致業(yè)務(wù)的極大損失。

　　如何徹底杜絕此類風(fēng)險，確保數(shù)據(jù)安全，需要全方位的技術(shù)保障措施：備份、反入侵、分權(quán)限管理、快速回檔等技術(shù)手段都不可或缺，而且必須覆蓋每一類存儲產(chǎn)品。

　　UCloud作為業(yè)界領(lǐng)先的云服務(wù)商，提供了全面的各類存儲產(chǎn)品，開發(fā)了完整和成熟的數(shù)據(jù)安全機(jī)制。并且在為數(shù)萬家用戶提供可靠線上服務(wù)的過程中，積累了豐富的經(jīng)驗(yàn)。下文提到的數(shù)個案例，其實(shí)就發(fā)生在UCloud平臺上。通過我們的產(chǎn)品和專業(yè)及時的服務(wù)，這些用戶最終得以恢復(fù)數(shù)據(jù)，避免由此造成的損失。

　　一般地說，用戶搭建數(shù)據(jù)庫有如下三種方式：使用公有云提供的DB PaaS托管服務(wù)，如UCloud UDB，由云服務(wù)商來負(fù)責(zé)DB的搭建及運(yùn)維;用戶也可以使用公有云的云主機(jī)和云盤來自行搭建數(shù)據(jù)庫;或者在私有云環(huán)境下搭建。在這三種情況下，UCloud都提供了專業(yè)的數(shù)據(jù)安全機(jī)制，來切實(shí)有效的保證用戶的數(shù)據(jù)安全。

　　接下來將介紹UCloud針對數(shù)據(jù)庫數(shù)據(jù)安全的七種“武器”。具體而言，本文主要回答如下三個問題：

　　1. 數(shù)據(jù)庫的備份容災(zāi)機(jī)制如何完善?

　　2. 數(shù)據(jù)被破壞丟失后如何快速恢復(fù)?

　　3. 數(shù)據(jù)庫運(yùn)維人員的權(quán)限如何有效控制?

　　UDB PaaS托管服務(wù)

　　如果需要得到最專業(yè)的數(shù)據(jù)庫安全服務(wù)，用戶的首選就是云服務(wù)商提供的DB PaaS服務(wù)。譬如說，UDB是UCloud提供的云數(shù)據(jù)庫服務(wù)，支持各種主流的數(shù)據(jù)庫產(chǎn)品。自2013年上線以來，運(yùn)營了數(shù)以萬計的UDB實(shí)例。

　　UDB遠(yuǎn)遠(yuǎn)不只是幫用戶搭建DB那么簡單，事實(shí)上這部分功能只是UDB價值的冰山一角。UDB提供了完備的數(shù)據(jù)庫搭建、運(yùn)維、性能調(diào)優(yōu)、資源擴(kuò)縮容等服務(wù)。其高可用、高性能、便捷易用等特性幫助用戶大量減輕了運(yùn)維負(fù)擔(dān)。同時，數(shù)據(jù)庫團(tuán)隊(duì)還自研了分布式架構(gòu)、讀寫分離、存儲計算分離等特性，進(jìn)一步提高云數(shù)據(jù)庫的性能和可用性。在數(shù)據(jù)的備份恢復(fù)機(jī)制上，UDB提供自動備份、秒級恢復(fù)、監(jiān)控告警、問題診斷等服務(wù)。

　　武器一：UDB備份機(jī)制

　　面對不可預(yù)測的誤操作或者人為惡意操作，數(shù)據(jù)庫自身的備份機(jī)制就顯得尤為重要。UDB的備份機(jī)制具體如下：

　　(1)UDB的備份模式

　　自動備份每天自動進(jìn)行一次備份(默認(rèn)備份時間為00:00—06:00的某一整點(diǎn))，備份可以保存7天。備份模式包括物理備份和邏輯備份兩種。

　　用戶可以對某些關(guān)鍵時間點(diǎn)的重要數(shù)據(jù)進(jìn)行手動備份，允許保留個數(shù)為3個。

　　(2)UDB備份文件存儲

　　備份文件存儲在UCloud獨(dú)立的備份資源池中，安全性有保障。

　　備份文件的副本始終保持多份異地冗余。

　　(3)備份文件轉(zhuǎn)存

　　針對用戶個性化的備份文件存儲需求，UDB支持備份文件下載：

　　Web控制臺或API支持下載備份文件(包括自動備份和手動備份)。

　　Web控制臺或API支持下載二進(jìn)制日志文件(MySQL的binlog) 用戶在下載備份文件后，可轉(zhuǎn)存到自有的存儲系統(tǒng)或者UCloud平臺上的存儲類產(chǎn)品(UDisk、UFS、UFile等)，理論上采用公有云存儲產(chǎn)品更為安全可靠。

　　(4)備份成功率保障機(jī)制

　　UDB的自動備份具備有效的告警機(jī)制，如果備份失敗，則會自動觸發(fā)告警。

　　UDB后臺會定期進(jìn)行備份成功率的巡檢，通過SPT反饋備份情況給到用戶。

　　武器二：數(shù)據(jù)恢復(fù)方案

　　針對誤操作或者人為惡意造成的數(shù)據(jù)庫刪除，UDB提供了一系列數(shù)據(jù)恢復(fù)方案。

　　對UDB實(shí)例中的庫做刪除，比如drop/delete操作，可以從源實(shí)例通過回檔功能恢復(fù)到操作的前一刻，回檔到一個全新的實(shí)例。

　　UDB實(shí)例被刪除后，它原先的備份將持續(xù)自動保留7天，7天內(nèi)仍然可從備份恢復(fù)為一個全新實(shí)例。

　　出現(xiàn)最極端的情況，實(shí)例被刪、備份文件全部被刪，那該怎么辦呢?UDB后端在一定有效期內(nèi)仍然保留有操作當(dāng)天的最新備份，應(yīng)對該極端情況。由于這份備份是系統(tǒng)內(nèi)部維護(hù)，用戶并不能直接訪問。所以即便發(fā)生運(yùn)維人員惡意刪除，此份備份依然存在，仍然可以使用該備份來數(shù)據(jù)恢復(fù)。

　　武器三：從本地備份到跨云備份

　　為了確保數(shù)據(jù)的絕對安全，必須做到數(shù)據(jù)的多份備份，可以從本地磁盤的多份備份到跨區(qū)域備份，甚至實(shí)現(xiàn)跨云平臺的多云備份。

　　數(shù)據(jù)庫數(shù)據(jù)可靠性受底層有效的RAID保護(hù)，實(shí)例級的冗余則包括主實(shí)例采用高可用架構(gòu)，后端主備雙節(jié)點(diǎn)，保證數(shù)據(jù)雙份冗余�？刂婆_一鍵創(chuàng)建從實(shí)例，主實(shí)例可以一主帶N從，包括可用區(qū)級(主從在同可用區(qū))和地域級(主從跨可用區(qū))，保證實(shí)例級冗余。

　　UCloud還提供數(shù)據(jù)傳輸產(chǎn)品UDTS，在數(shù)據(jù)庫可靠性更高要求的場景，主實(shí)例可以通過UDTS搭建異地或者兩地三中心的UDB集群架構(gòu)，進(jìn)一步保障數(shù)據(jù)安全。此外，UDTS也適用于多云部署的場景，其支持多種數(shù)據(jù)庫類型、雙向遷移的能力，可以幫助使用者將數(shù)據(jù)平滑地做跨云的遷移和備份。某電商便是借此實(shí)現(xiàn)了UCloud和T云之間的數(shù)據(jù)同步。

　　UDB數(shù)據(jù)恢復(fù)案例

　　1

　　場景一：數(shù)據(jù)庫誤變更

　　游戲行業(yè)業(yè)務(wù)變更快、變更多，是比較容易造成數(shù)據(jù)庫誤操作或者不當(dāng)變更的情況，此時如何快速恢復(fù)到變更前狀態(tài)就成為了棘手的問題。某游戲用戶在版本發(fā)布時造成數(shù)據(jù)庫的schema變更字段出錯，發(fā)現(xiàn)出錯時，已經(jīng)對游戲服造成了巨大影響。此時，管理人員對影響的UDB實(shí)例做了一個回檔操作，恢復(fù)至變更前一刻，精確到秒級，挽回了損失。再對源實(shí)例進(jìn)行必要數(shù)據(jù)的導(dǎo)出，補(bǔ)償?shù)交貦n的新實(shí)例，避免數(shù)據(jù)丟失。

　　場景二：數(shù)據(jù)庫誤刪除

　　在運(yùn)維權(quán)限管理混亂時，安全性就存在巨大的隱患，任何人都有可能對核心資源進(jìn)行不正當(dāng)操作。某互聯(lián)網(wǎng)App用戶的運(yùn)維人員由于看錯信息，造成核心UDB實(shí)例誤刪除。因UDB實(shí)例會每天自動備份，此時管理人員在控制臺找到UDB實(shí)例當(dāng)天的最新備份，做了恢復(fù)操作，恢復(fù)為一個全新UDB實(shí)例，減少了損失。

　　場景三：數(shù)據(jù)庫誤回收

　　在生產(chǎn)環(huán)境里，最為擔(dān)心的是資源的回收未及時發(fā)現(xiàn)，例如(1)運(yùn)維人員在資源整合時，刪除了某個數(shù)據(jù)庫實(shí)例;(2)過期資源未及時續(xù)費(fèi)被自動回收，事后過了很長時間才反應(yīng)過來，但為時已晚。針對該場景，UDB實(shí)例后端在一定有效期內(nèi)，仍然保留一份當(dāng)天的最新備份，通過數(shù)據(jù)全量恢復(fù)的模式，幫助不少用戶找回數(shù)據(jù)。

　　使用云主機(jī)自建DB

　　如果用戶出于各種原因考慮，不愿意使用公有云的DB PaaS托管服務(wù)，而是希望使用公有云IaaS產(chǎn)品來自行搭建DB。UCloud同樣提供了專業(yè)的數(shù)據(jù)安全產(chǎn)品，那就是數(shù)據(jù)方舟。方舟是當(dāng)前業(yè)界獨(dú)一無二的數(shù)據(jù)備份產(chǎn)品。通過在虛擬化層的I/O路徑改造，方舟可以把用戶的原始塊設(shè)備存儲放在后端去存儲，并且能實(shí)現(xiàn)按秒的回滾。

　　武器四：數(shù)據(jù)方舟持續(xù)保護(hù)

　　對于數(shù)據(jù)備份產(chǎn)品，有兩個重要的能力評估指標(biāo)——恢復(fù)點(diǎn)目標(biāo)(RPO)和恢復(fù)時間目標(biāo)(RTO)，目前數(shù)據(jù)方舟的RPO已經(jīng)達(dá)到秒級別，默認(rèn)支持12小時內(nèi)恢復(fù)任意一秒，24小時內(nèi)任意整點(diǎn)恢復(fù)，3天內(nèi)的任意零點(diǎn)恢復(fù)，用戶甚至可以自由定制備份鏈秒級、小時級、天級的保護(hù)范圍，并且是恢復(fù)到一塊新的磁盤上;而數(shù)據(jù)方舟的RTO則能夠達(dá)到最短5分鐘內(nèi)恢復(fù)，即使是TB級別的數(shù)據(jù)量，也可以做到半小時內(nèi)恢復(fù)。

　　數(shù)據(jù)方舟是如何在技術(shù)上做到對用戶數(shù)據(jù)的持續(xù)保護(hù)呢?數(shù)據(jù)方舟后端使用了分層混合存儲設(shè)計，用戶的實(shí)時I/O會通過旁路以oplog的方式記錄到方舟的接入節(jié)點(diǎn)(FRONT)上，由于方舟接入節(jié)點(diǎn)采用了高速磁盤設(shè)備，能夠扛住用戶大量的I/O寫操作。

　　流式計算節(jié)點(diǎn)SHUFFLE會拉取接入節(jié)點(diǎn)的oplog進(jìn)行批量處理，主要是進(jìn)行數(shù)據(jù)分片(sharding)，并將數(shù)據(jù)分片推送到最終存儲層(ARKER)進(jìn)行存儲。隨著時間的流逝，ARKER也會不斷對數(shù)據(jù)進(jìn)行合并，最終形成base/天級/小時/秒 四個級別的數(shù)據(jù)備份鏈。

　　用戶恢復(fù)時，會調(diào)動后端集群所有節(jié)點(diǎn)的能力進(jìn)行并行計算，加快恢復(fù)速度。值得一提的是，用戶恢復(fù)時當(dāng)前的磁盤數(shù)據(jù)是保留的，數(shù)據(jù)會回滾到一塊新的磁盤上，這樣做的目的是如果用戶回滾后后悔，也能夠回到恢復(fù)前的數(shù)據(jù)狀態(tài)。

　　數(shù)據(jù)方舟恢復(fù)數(shù)據(jù)案例

　　案例一：勒索病毒

　　2017年5月“永恒之藍(lán)”病毒爆發(fā)，全球大量Windows主機(jī)受到感染，企業(yè)重要文件被加密，只有支付高額贖金才能解密恢復(fù)文件。萬戶印刷公司的一臺云服務(wù)器也遭受到了病毒攻擊，用戶的印刷文件被加密。

　　案例二：誤操作導(dǎo)致文件系統(tǒng)異常

　　2017年12月，某AI公司遭遇到了重大危機(jī)，其運(yùn)維人員在對存放重要數(shù)據(jù)的云硬盤進(jìn)行擴(kuò)容時，違規(guī)操作，導(dǎo)致硬盤出現(xiàn)了文件系統(tǒng)故障，數(shù)據(jù)無法訪問。問題磁盤有著多個分區(qū)，該公司缺乏對多分區(qū)磁盤進(jìn)行文件系統(tǒng)修復(fù)的經(jīng)驗(yàn)，不敢貿(mào)然修復(fù)，擔(dān)憂會因此導(dǎo)致數(shù)據(jù)進(jìn)一步損壞。

　　案例三：游戲回檔

　　2019年3月，某知名端游公司出現(xiàn)了嚴(yán)重的運(yùn)營事故，一個道具的復(fù)制漏洞導(dǎo)致了游戲的平衡性失調(diào)，嚴(yán)重影響玩家體驗(yàn)，因此需要快速完成回檔，保證對玩家的影響降低到最小。

　　這些案例中，用戶最終都通過UCloud旗下的數(shù)據(jù)方舟產(chǎn)品進(jìn)行恢復(fù)，迅速找回了所需要的數(shù)據(jù)。

　　私有云DB的數(shù)據(jù)安全備份

　　如果用戶的DB搭建在私有云環(huán)境下，沒關(guān)系， UCloud的對象存儲產(chǎn)品UFile是一個海量的通用存儲產(chǎn)品。通過和第三方產(chǎn)品結(jié)合，即便是私有云的DB同樣可以利用公有云海量及可靠的存儲服務(wù)，實(shí)現(xiàn)數(shù)據(jù)的高可靠性。

　　武器五：UFile對象存儲幫助數(shù)據(jù)庫備份

　　塊存儲上數(shù)據(jù)的保護(hù)不僅可以通過數(shù)據(jù)方舟解決，用戶還可以使用基于 UFile 做數(shù)據(jù)持久化的 JuiceFS 存儲數(shù)據(jù)庫備份，JuiceFS 是為云端設(shè)計的 POSIX 共享文件系統(tǒng)，具有如下特點(diǎn)：

　　云端：采用云服務(wù)中的對象存儲作為后端，綜合性價比極高。

　　POSIX：兼容標(biāo)準(zhǔn) POSIX 接口，可以像本地文件系統(tǒng)一樣使用。

　　共享：上千臺機(jī)器同時掛載，高性能并發(fā)讀寫，共享數(shù)據(jù)。

　　UFile是UCloud自研的對象存儲系統(tǒng)，兼容s3協(xié)議，具備高可用、高可靠和低成本的數(shù)據(jù)存儲服務(wù)，提供多副本、跨地域等數(shù)據(jù)冗余機(jī)制，支持三地及以上的跨地域?yàn)?zāi)備功能。使用UFile用戶可以實(shí)現(xiàn)高可靠、低成本的云上和跨云的數(shù)據(jù)備份，包括數(shù)據(jù)庫備份、日志、大數(shù)據(jù)文件等。

　　基于UFile+JuiceFS搭建MySQL備份

　　UCloud用戶下廚房是國內(nèi)最大的專注于家庭美食領(lǐng)域的社區(qū)，目前擁有超過四千萬注冊用戶，海量的業(yè)務(wù)也讓下廚房對數(shù)據(jù)庫的冗余和備份格外的重視，并且總結(jié)出一套非常高效和可靠數(shù)據(jù)庫災(zāi)備經(jīng)驗(yàn)。

　　除建立了跨可用區(qū)的主從節(jié)點(diǎn)外，下廚房會進(jìn)行定時的整庫備份和實(shí)時的binlog備份。下廚房的數(shù)據(jù)庫備份借助了UFile、JuiceFS和Percona Xtrbackup。使用JuiceFS用戶可以無需修改代碼就可以替換之前的本地備份。并且可利用JuiceFS后端的對象存儲來解決無限存儲空間、跨區(qū)域復(fù)制以及低成本等問題。下廚房的策略是保留 7 天內(nèi)的 Percona XtraBackup 整庫備份、3 年內(nèi)的 binlog 以及 1 年內(nèi)的周級 mysqldump。

　　除此之外下廚房還想到了一個非常具備腦洞的備份驗(yàn)證方案。有了備份還無法做到高枕無憂，因?yàn)橛袝r備份文件會出錯，等到需要恢復(fù)時才發(fā)現(xiàn)備份出錯就已經(jīng)晚了。但是備份的驗(yàn)證是個非常耗時的工作，需要拷貝備份到本地進(jìn)行恢復(fù)。下廚房利用JuiceFS的快照功能，克隆一份備份文件，在不影響原備份文件的情況下快速做驗(yàn)證，省下大量拷貝的時間。

　　詳細(xì)實(shí)踐可參考鏈接：

　　https://juicefs.com/blog/cn/posts/xiachufang-mysql-backup-practice-on-juicefs/

　　賬號和權(quán)限控制

　　在具備一定的備份和恢復(fù)機(jī)制下，數(shù)據(jù)庫運(yùn)維管理人員的權(quán)限控制問題仍然不可忽視，例如將數(shù)據(jù)庫操作權(quán)限和備份權(quán)限進(jìn)行分離、權(quán)限審批和操作執(zhí)行分離、增加數(shù)據(jù)庫命令隔離層等。

　　武器六：子賬號

　　在權(quán)限管理控制方面，UCloud支持用戶為自己的賬戶開設(shè)子賬號，并定義為相應(yīng)的角色。角色是一組產(chǎn)品權(quán)限的集合。若某成員的角色被修改，則其相應(yīng)的權(quán)限也隨之變更。子賬號的存在有助于貫徹“最小權(quán)限管理”原則，只賦予工作職責(zé)所需的權(quán)限。大部分成員或許只需云資源的只讀權(quán)限，少量操作者可擁有修改的權(quán)限，而刪除權(quán)限必須通過管理員的審核。

　　多級賬號權(quán)限控制，可以有效的控制多級人員的操作權(quán)限，最大程度的降低來自內(nèi)部人員惡意操作的可能。

　　武器七：安全鎖

　　安全鎖是云資源高危操作的二次驗(yàn)證服務(wù)。開啟該服務(wù)后，每次進(jìn)行刪除資源等危險操作時，需要通過手機(jī)短信校驗(yàn)身份才可。

　　受安全鎖保護(hù)的高危操作例如有：

　　寫在最后

　　黑格爾曾說：“人類從歷史中學(xué)到的唯一教訓(xùn)，就是人類無法從歷史中學(xué)到任何教訓(xùn)。”云服務(wù)發(fā)展到今天，已經(jīng)實(shí)現(xiàn)了多種完備的數(shù)據(jù)安全方案。如本文提到的UCloud七種武器，無論用戶使用哪一種方式部署數(shù)據(jù)庫，必有一款適合你。企業(yè)在今后發(fā)生數(shù)據(jù)庫機(jī)器故障、誤操作、惡意刪除等情形時，能否充分利用云服務(wù)商提供的數(shù)據(jù)備份、恢復(fù)機(jī)制以及賬號權(quán)限控制等能力，是解決數(shù)據(jù)丟失問題的關(guān)鍵。