动态数据脱敏不同技术路线对比-凯发k8游戏

目前，市面上的动态数据脱敏类产品良莠不齐，不同产品的技术路线和演进方式也存在差异。其中主流的技术路线有“结果集解析”和“语句改写”两种：

基于结果集脱敏，运算点在产品侧，需要动态脱敏设备收到数据库返回包并解析结果集后，再逐行完成解析、匹配规则与脱敏，因此对性能的损耗往往高达50%甚至几倍之多。而基于语句改写脱敏，是将运算逻辑交给数据库系统自身，所得结果集即为运算后的脱敏结果，并通过动态脱敏设备直接返回查询侧，一般可降低10%~40%的性能损耗。

在运维场景中，往往存在大量的嵌套查询、复杂语句和同名字段等情况。基于结果集脱敏需要先将结果集和所查询的列名一一对应，才能进行脱敏规则匹配及运算，因此存在匹配不准确或别名、嵌套无法识别的可能性。而基于语句改写的动态脱敏产品则不存在此类问题。

例如，现需要对身份证personid字段配置脱敏规则：

基于结果集脱敏，首先要判断结果集中是否存在如‘110103199012038372’的身份证特征，如发现此类数据，则对其执行脱敏规则；但是，若通过构造如下语句：

select substr（personid，1，6），substr（personid，7，6），substr（personid，13，6） from tablea；

则返回的结果集是110103，199012，038372——单从每个字段看并没有身份证特征，可能导致判断失误不进行脱敏处理；但在查询人看来，这就是一串身份证信息，存在敏感数据泄露风险。而基于语句改写的动态脱敏产品则不存在此类问题。

安华金和动态数据脱敏系统（dms-d）基于“语句改写”技术路线，是一款高性能、高扩展性的动态数据屏蔽和脱敏产品——在数据库通讯协议层面，通过sql代理技术，实现了完全透明的、实时的敏感数据掩码能力；在不需要对生产数据库中的数据进行任何改变的情况下，依据用户的角色、职责和其他it定义规则，动态的对生产数据库返回的数据进行专门的屏蔽、加密、隐藏和审计，确保业务用户、外包用户、运维人员、兼职雇员、凯发k8游戏的合作伙伴、数据分析/研发/测试团队及顾问能够恰如其分地访问生产环境的敏感数据。

dms-d在国家等级保护、分级保护等领域均具有很强的政策合规性；现已实现对oracle、mysql、db2、mssql、postgresql等主流数据库，以及windows、linux、aix、solaris等主流数据库应用平台的支持，并可提供灵活的脱敏规则配置及脱敏规则扩展；同时，dms-d能够满足企业在运维侧和应用侧的数据安全需求——在应用侧，脱敏后的数据可以保留原有数据的特征和分布，无需改变相应的业务系统逻辑，实现了企业低成本、高效率、安全的使用数据；在运维侧，对敏感数据进行遮蔽处理，既不影响正常运维工作，又能够保证数据安全。