一个问题明文报警记录谁能改、怎么防某城燃集团 18 座门站/分输站的 SCADA 数据统一汇入集团监测数据库一次内部安全检查发现泄漏报警记录是明文存的——任何一个能连上数据库的人都能直接查看甚至改掉一条报警记录。检查结论写得很克制报警记录缺少完整性保护存在被静默篡改后无法追溯的风险。这个问题本质上是存储层的信任问题不是谁有权限改的问题而是改没改、谁改的、原始记录还在不在——在明文数据库里这些全都说不清。这也是为什么燃气门站这类工业 SCADA 系统的数据加密核心验收项永远是报警记录能不能被篡改。数据体量先看清8.6 亿条靠权限控制已经兜不住了把集团监测库拆开看四类数据数据类型累计数据量日均新增敏感级别甲烷浓度采样ppm4.3 亿条滚动保留30天约 1200 万条高泄漏报警记录时间/点位/级别58 万条约 1600 条含预警级极高压力/温度/流量运行参数3.6 亿条约 980 万条中门站视频与门禁事件65 万条约 2600 条中浓度采样这个量是怎么来的全集团 2800 余路可燃气体检测点每 20 秒轮询一次一天约 1200 万条。四张表加起来约 8.6 亿条全部明文落盘。数据量大到不能再靠控制谁能登录来兜底只能靠存储层加密。加密的三种做法为什么多数人一开始选错一说加密第一反应是应用层改代码——往每个读写 SQL 里加解密函数。这条路改造的账通常这么算第1-2周 → 逐表梳理加密需求监测库4类业务表、20张物理表 第3-6周 → 逐段SQL修改加加解密函数核心两张表的读写SQL涉及约800行 第7-8周 → 全量回归测试验证SQL执行计划不受影响 第9周 → 申请停机窗口上线加密版本 ← 合计8周停机1次问题出在最后一步要停机。门站 SCADA 是 7×24 生产监控系统年度可用性要求不低于 99.9%。为加密停一次机等于安全改造期间先放弃监测——燃气门站没法接受。对比三种加密路线的实际差异对比维度应用层加密数据库内置加密驱动层透明加密(TDE)是否改应用代码是逐段SQL是需表空间配置否零改造改造周期8周4周2-3周是否停服上线是是否在线加密运维/DBA隔离无DBA仍见明文部分按PID控制DBA不可见明文性能影响5-15%5-10% 3%国密认证需自证需自证已获国密局认证透明加密TDE的落地完整 SQL以燃气门站监测库为例落地分三步走。第一步先扫敏感字段别靠人肉翻表在从库上跑一遍 KDPS 敏感字段扫描把四类数据里的敏感字段清单自动拉出来从库扫描不影响主库运行全程约 1 小时。靠人工逐张翻 20 多张物理表列哪些字段该加密既容易遗漏验收时也说不清口径。第二步启用表级加密一表一密对每张核心表单独配置加密策略和密钥在线加密不停机-- 泄漏报警表启用TDE加密在线加密不停机EXECtde_enable_table_encryptiondatabase_namegas_station_leak,table_namet_leak_alarm,encryption_algorithmSM4_256,key_idtde_leak_alarm_key,rotation_interval_days90,modeonline;报警记录表单独一把密钥、独立轮换——因为敏感级别最高极高要单独审计。第三步存量数据渐进加密不锁表4.3 亿条存量浓度数据不可能一次性加密完。TDE 走渐进加密凌晨窗口执行加密 I/O 不超过总 I/O 的 30%不锁表。加密进度可实时查SELECTtable_name,ROUND(encrypted_mb/NULLIF(total_mb,0)*100,1)ASprogress_pct,estimated_remaining_minutesFROMtde_catalog.encryption_progressWHEREdatabase_namegas_station_leakANDstatusin_progress;密钥是怎么管的三级体系 90 天轮换加密不是配一次就完事密钥的生成、轮换、销毁不管好加密等于留后门。透明加密的密钥走三级体系根密钥 KEK存于 HSM 国密密码机永不导出工作密钥 DEK由 KEK 加密保护数据库中存的是密文TDE 密钥由 DEK 派生运行时加载到 TDE 过滤驱动即使门站数据库服务器被攻破攻击者拿到的也只是 DEK 密文根密钥在硬件里出不来。轮换配置在线执行不停机旧密钥保留到存量数据全部重新加密完成# KSP 自动轮换配置90天凌晨执行在线轮换curl-XPOST https://ksp.internal.gasgroup.cn/api/v1/keys/rotation-policy\-HAuthorization: Bearer ksp_admin\-d{ key_id: tde_leak_alarm_key, rotation_interval_days: 90, rotation_time: 02:00, online_rotation: true }验收三条 SQL 证明真的防篡改了这是每个项目交付时被问得最多的问题三条 SQL 当场可验-- 验证1以数据库root身份直查泄漏报警表SELECT*FROMgas_station_leak.t_leak_alarmORDERBYalarm_timeDESCLIMIT10;-- 输出密文非授权进程不解密DBA看不到明文-- 验证2以SCADA应用身份查同一张表SELECT*FROMgas_station_leak.t_leak_alarmWHEREalarm_levelHIGHLIMIT10;-- 输出明文授权进程自动解密业务照常-- 验证3查加密状态与进度SELECTtable_name,encryption_statusFROMtde_catalog.encryption_statusWHEREdatabase_namegas_station_leak;三条走完报警记录能不能被改就有了确定答案外部拖库→ 拿到的是密文无用内部 DBA 直查→ 看到的是密文改不了授权运行的燃气SCADA进程→ 正常读明文业务无损合规上对应什么合规标准要求方案实现方式等保2.0三级-数据保密性数据库加密存储驱动层SM4加密DBA隔离等保2.0三级-安全审计操作日志留存密钥轮换全链路审计日志GB/T 39786-2021密码应用合规产品国密局认证证书直接举证《城镇燃气管理条例》燃气安全监测数据可追溯报警记录加密落盘防篡改对燃气门站这类不能停、不能改代码的 SCADA 系统透明加密是唯一能同时满足零改造、不停机、DBA 隔离三条硬约束的路线。安当 TDE 数据库透明加密 KSP 密钥管理就是为这类工业场景设计的可提供完整落地支持。文章作者安当加密技术负责人