提到网络安全，不得不提到科技巨头微软。微软除了作为全球*大软件厂商外，自身的业务横跨多个不同的领域，建立操作系统平台、Office 生产力套件、企业资源管理及数据库、软件开发语言、平台及工具、互联网服务、社交服务、人工智能、大数据分析等在内庞大的生态系统，同时也包含网络安全。

作为云厂商，微软 Azure 平台在全球有 60+个已提供服务或正在构建的云计算服务区域，向全球用户提供数百种不同的云计算服务。

如何确保如此庞大的业务安全和云计算服务平台安全性，成为了微软所面临的巨大挑战。因此微软在安全领域“大手笔”投入：每年在网络安全研发方面的投资超过 10 亿美元，汇集全球超 3500 名安全专家。

与此同时，微软过去一年在安全业务方面的收入超过 100 亿美元、位居全球*，超 90% 全球财富 500 强企业正在使用微软提供的企业级安全产品与服务。2020 年5月，Gartner 发布《SolutionComparison for the Native Security Capabilities 》报告，首次全面评估全球 TOP 云厂商的整体安全能力，其中微软 Azure 获得全球云厂商*多的 High 评分，位列*。

微软是如何做到的？对此，CSDN 专访微软顾问咨询服务大中华区 Cybersecurity 首席架构师张美波先生，揭开微软安全的技术密码。

张美波认为“实践是检验安全能力的唯一标准”。他虽然属于架构师，但是喜欢深入企业客户一线作战，直面全球安全威胁。因此是不折不扣的“实战型架构师”，人送外号“微软中国安全的头号打手”????。

企业上云，四大安全痛点

去年微软 CEO 萨提亚·纳德拉曾表示，疫情下，数字技术比以往任何时候都更加重要，企业数字化转型迫在眉睫。在两个月内，我们见证了两年才能实现的数字转型进展。

拥抱云计算是企业数字化转型中的一个重要技术发展趋势，但是在企业上云的过程中也存在较多的安全痛点，张美波总结为以下四点：不信任云计算服务提供商、难以厘清安全责任关系、面临技术转型的调整与压力、以及难以实现有效的安全防护。

1、不信任云计算服务提供商

• 对于企业用户而言，以前的数据是放在自己的数据中心里，无论安全控制措施做的好坏与否，自己可直接控制。但是如果使用云计算服务，将数据放到公有云后，那这些数据是否会被云计算服务提供商访问或窃取？同时位于Internet 上的数据也为外部人员提供了访问途径。这必然是重要的安全顾虑。
• 云计算服务商存在系统故障和业务连续性的风险。由于云计算服务商集中存储数据、集中提供服务的原因，它的系统故障和业务连续性问题将导致更大范围的影响，例如 3 月 10 日，欧洲*大的云服务和网络托管服务运营商 OVH 位于法国斯特拉斯堡的一个数据中心发生火灾，导致约 360 万网站出现故障，近 1.5 万名用户的数据受到影响。
• 监管合规问题。一些特定行业的企业存在特殊的监管要求，目前可能还不鼓励甚至反对使用公有云的云计算业务。

谈到这，张美波举了一个例子“钱存银行”：

为什么我们能够放心的把钱存到银行呢？一是银行满足国家监管合规的要求，二是银行具有完善的安全防护措施，包括物理防护措施、技术防护措施和安保人员等等，从而能够让我们充分的信任它。

映射到云计算平台亦需如此。

2、难以厘清安全责任关系

这和技术转型有关，也和技术转型所带来的思维转型相关。

在云计算服务模式下的安全责任划分上，大家首先了解什么是“共享责任模型”。由于云计算服务的核心理念为“租用模式”，基于具体所使用的云计算服务类型的不同，您所拥有的安全控制和能力也不同，负责的安全责任也不同。

我们必须清楚的意识到，用户和云计算服务商是合作关系。因此为了实现有效和高效的安全防护，用户必须和云计算服务商进行充分和紧密的合作。所有安全团队甚至 IT 团队必须学习和理解这种“共享责任模型”，以适应云计算时代的新型安全技术和能力组合，从而避免无意中造成企业安全态势的缺口或重叠，导致出现安全风险或资源浪费。

3、面临技术转型的调整与压力。

技术转型是为企业数字化转型而服务的，安全转型也是为 IT 转型而服务的。

从技术层面来看，大多数企业应用系统经过多年积累而构建，迁移到云计算平台可能存在复杂的技术架构调整，同时在企业数字化转型和业务转型中也可能存在复杂的业务架构调整甚至发生颠覆性的重大变化，这将同样导致安全转型层面所面临的调整与压力。

如何在此转型过程中协调不同条线的利益关系，以企业数字化转型需求为目标，围绕业务生产力、可靠性和安全性等建立共同目标并制定安全战略，拥抱云计算、移动互联、大数据和人工智能等新技术，从而实现较为平滑和完美的整体转型，这对于企业而言是一个巨大的挑战。

4、难以实现有效的安全防护。

和前面三个难题不同的是，这一点主要在于技术与人员方面。云计算服务是 IT 世界针对传统企业 IT 场景的一场变革，对于安全而言也是一场变革。技术的变革必然带来使用场景的变革，以及所面对的安全风险的变革。在这个安全变革过程中，我们需要充分的认识到，我们不能完全使用传统企业 IT 环境的安全风险去映射到云计算的安全性，而是要刷新自己的思维，必须从云计算自身的技术架构和特性出发去评估潜在的安全风险。

但是这种变革往往是痛苦的，特别是在从传统企业安全转变到拥抱云计算安全的变革初期。这时，安全团队通常会沿用传统的企业安全思维去保护云计算服务和平台，便会遇到以下两个问题：

• 现有安全团队人员缺乏针对云计算安全相关的知识和技能，从而缺乏对于云计算服务相关的完善支持和防护能力，无法为企业有效的抵御和防范网络安全风险，从而无法对企业的业务转型和数字化转型提供有力的安全和决策支撑。
• 由于云计算服务的技术变革，我们所面临的安全架构也在进行变革。而传统的企业网络安全工具，往往缺乏针对云计算服务和平台的有效或者高效支持，以及针对云计算平台和服务的有效攻击防范和威胁检测，存在技术能力上的缺失。

因此张美波建议道，我们要充分认识到云计算时代对于安全转型的需求和要求，安全团队需充分拥抱云计算、大数据、机器学习和人工智能等先进技术所提供的安全技术和能力，才能更好应对各种先进的攻击行为，实现有效的安全防护。

面对安全威胁，Azure 这样迎战！

微软 CEO 萨提亚·纳德拉曾表示：“安全是技术的*优先级，企业和用户只会拥抱和使用他们所信任的技术，微软承诺给客户提供安全的云计算服务”。

因此，微软打造出下图全面、可实践并持续更新的整体安全参考架构，从而确保企业客户云计算环境、IT 环境和 OT/IoT 环境的安全性。

在近 10 年之前，微软已提出可信云四原则：安全性、隐私与管控、合规性和透明性，这诠释了微软云计算服务的核心价值，并逐步成为业界的事实标准和服务准则。

张美波表示，虽然我们谈的是云计算安全，但是从技术架构层面上来看，云计算安全只是一个整体性的名称代词而已。

因为云计算本身的技术架构中包含了多个不同的产品组件，例如身份验证、网络、计算节点、存储、应用和数据等，这些产品组件是紧密结合一起工作，用户基于具体云计算业务场景和使用功能的不同而具体使用。

所以我们需要看整体，更要看局部。不同的技术组件之间，从安全的角度来看，有集成耦合，也要考虑解耦合。开发者和企业需要评估在不同层次和不同组件之间的安全控制措施，基于和参考微软“4S”安全原则（Secure by design, Secure by default, Secure in deployment and Secure in operation），和“假定被攻击”、“层级隔离保护”、“零信任架构”等安全理念和安全架构，实现完善的纵深防御和监测体系。

为了更好保护微软云计算服务的用户、应用、服务和数据，基于云计算的实际应用场景，结合微软 Azure 云计算平台的安全能力输出，以及微软对于云计算安全的*佳实践经验，微软特别制定了微软的云计算安全框架，针对不同的云计算服务场景（SaaS、PaaS、IaaS和私有云/On-premises环境）具有 9 个类别的、超过 102 种安全控制能力，从而完善地保护 Azure 云计算相关应用、服务和数据的整体安全性：

三步打造云安全防护体系

上述的云计算安全框架较复杂，张美波具体举例道：

在云计算安全中，目前*常见的两个安全风险均位于边界部分。一是 Web 应用层面的漏洞，二是针对虚拟机管理界面（例如远程桌面和SSH）的暴力破解。

当入侵者通过这两个攻击手段打开突破口之后，就可以充分的在租户的云计算环境中进行横向移动、凭据窃取、权限提升和数据泄露等后续攻击操作等，从而逐步扩大攻击的影响范围，持续维持控制权、命令控制、监控和潜伏等。

面对这些威胁，开发者和企业该如何应对？

张美波分享了三点经验：

首先，在云计算服务体系下，安全责任是基于“共享责任模型”的。基于具体所使用的云计算服务类型的不同，您所拥有的安全控制和能力也不同。

其次，可利用 Azure 平台相关的安全能力，基于自身的具体服务配置和需求，按照*佳安全实践进行相关的安全加固和防范控制。针对上面这个例子，我们需要通过不同层次的安全控制能力实现纵深防御安全防护体系，例如包括但不限于：

• 在网络层面，是否需要对 Internet 开放管理界面的访问？是否可以通过 Just-in-time VM access 来实现按需请求的动态访问许可？是否限定只允许从特定IP地址来源的访问？是部署 Azure Firewall 实现网络层面的访问控制？还是通过Network Security Gateway来进行TCP/IP层面的访问控制？云计算服务内部网络是否实现微隔离和层级隔离保护？
• 在 Web 应用层面，是否部署了 Azure WAF 来实现针对 Web 应用层访问的安全控制？是否对 Web 应用代码进行过安全扫描分析或者渗透测试？Web 应用的开发是否遵循 SDL 或者 DevSecOps 的安全标准规范？相关的 API 接口是否通过 Azure API Management 进行统一管理？
• 在数据和存储方面，相关的密钥和机密数据是否通过 Azure Key Valut 进行统一管控？数据的分层分级、访问控制和角色管理如何实现？数据存储和传输的安全性如何保障？
• 在身份验证与凭据层面，VM 相关的用户身份验证和访问控制如何实现？是否需要与其他身份验证系统例如 Azure AD 或者活动目录做集成？Web 应用相关的身份验证技术、算法与凭据如何安全控制？是否采用多因素身份验证方式或者强系统绑定？
• 在高可用性和业务连续性方面，整体的高可用性要求是什么？需要采用什么部署架构？数据的高可用性和备份如何实现？是否使用异地容灾/多活等高可用性架构？

第三，张美波建议，开发者和企业与 Azure 平台合作，通过利用云计算平台的安全监测和情报能力，加强针对安全攻击的监测和响应，实现安全可视化、安全态势感知与主动防御。如可集成 Azure 提供的安全态势管理平台 Azure Security Center 和 SOC 平台 Azure Sentinel，它们均集成了微软智能安全图谱（Microsoft Security Graph）所提供的及时、强大的安全情报，从而实现完善的安全监测与主动防御。

未来展望

*后，张美波打 call 道，微软是全球超一流的网络安全企业，也是全球网络安全的基石。安全对于微软而言不仅仅是为用户提供的产品和服务，也是微软的社会责任。因此微软在技术认证、服务可用性上成绩斐然：

1、在安全合规、隐私控制、透明性等上，微软 Azure 平台在全球 50 多个国家及地区拥有超过 90 项的安全控制、安全合规、数据保护和隐私控制认证（如 ISO 27001、ISO 27018、SOC1、SOC 2、SOC3、FedRAMP、HITRUST、MTCS、IRAP 和 ENS等），这是全球云计算服务平台中*多的。除此之外，微软 Azure 平台还拥有超过 35 种的全球特定行业的安全合规和认证要求，包括健康、政府、金融、教育、制造和媒体等行业。

2、在高可用性上，基于具体服务、所在区域的不同，Azure 承诺*高达99.99% 的服务可用性，写入到服务级别协议中。Azure 数据存储达到业界*高的备份数量指标，可确保安全、可靠、灵活、高效的云服务。

3、在云计算平台的安全技术/安全控制能力上，如上文提到，在 2020 年Gartner《Solution Comparison for the Native Security Capabilities 》报告上，微软 Azure 的安全技术能力评分高居全球云厂商的榜首。

展望未来，张美波相信微软会持续地加强与全球政府机构的合作、领导全球网络行业合作，持续在安全研发方面投入巨资，通过内建的、原生的智能、集成的安全体系和产品技术，守护全球企业与个人用户网络安全，护航企业数字化转型。

更多资料：https://azure.microsoft.com/zh-cn/overview/security/

嘉宾简介：

张美波先生现任微软顾问咨询服务大中华区Cybersecurity首席架构师，具有微软大师、CISSP、CCSP和PMP等行业相关认证。他主要负责微软网络安全服务业务在中国的战略规划、技术实施和项目执行，并负责多个全球 500 强客户的微软企业服务的技术规划、服务实施和项目管理。他是微软全球企业服务体系级别*高的技术专家之一，曾参与过全球*大活动目录环境的全球优化项目，负责其亚太区的部分；他还是全球*大 Exchange 服务器企业部署环境的架构师，并在多个具有全球排名前列的 Top 超大规模企业环境客户担任微软方的安全架构师和“红军/蓝军”顾问，负责相关的安全架构体系规划设计部署、 APT 攻击相关防范、安全运营及安全响应等。

除此之外，张美波先生还担任(ISC)² 西南分会的会长一职。(ISC)² 西南分会是全球*大的网络安全/信息安全领域认证机构、非营利组织 (ISC)² 在中国大陆西南本地的官方分会，主要覆盖四川、重庆、云南和贵州等西南区域，会员均为网络安全/信息安全领域相关的专业人士。

Gartner*新的“安全领域新兴技术及趋势影响雷达”（Emerging Technologies and Trends Impact Radar: Security）显示，安全服务及接入边缘技术具有*高重要性，并在未来一至三年，市场会落地关于安全服务及接入边缘的融合架构。因此，中国企业和厂商有必要研究这个新兴市场以及安全服务的演进。

为何市场会产生安全服务演进

传统企业的数据中心架构（如图一所示）大多为从分支机构上行的一个信息网络连接到总部的数据中心，然后从互联网区再连接到互联网，此外还有“云”上部署的应用。目前，很多中国的数据中心基本为该架构。

图一

但为何称这样一个从数据中心到互联网再到“云”的架构较为传统？因为企业的应用大多没有“上云”、“上云”的应用基本为互联网应用。随着未来更多的企业应用“上云”，西方“云优先”的市场目前已采用图二所示的架构——数据中心内存在很多应用，且传统应用迁移至云、企业的数据中心愈发强大。企业分支机构的员工在访问数据中心应用时，不仅可以访问数据中心应用，还能访问数据中心以外以及迁至云上的应用。因此，每家分支机构具有两条线——一条代表通往数据中心，另一条代表通往云上的SaaS类应用。

图二

我们亦可把图二描绘成另一个场景——企业员工或客户通过多种数字化接触访问不同的数据和应用。数字化接触可以是手机、物联网或触摸屏。在此情况下，保证“访问安全”对企业而言至关重要，因为所有数字化接触都会接入互联网，但企业不可能在每一家分支机构或“云”上都部署一套边缘栈。若用传统数据中心的方式来管理目前新型广域网及应用外迁到“云”的这样一个现实场景的话，企业就需要很多套边缘栈安全设备、防火墙来管理不同的安全边界。然而，现在的安全边界已不在数据中心，而是外扩到各种各样的边缘、云场景之中，因此企业需要新的网络安全架构。

针对数字化接触，企业需要具备基于“策略”（policy-based）的接入方式，即通过基于策略的接入到各种分布式的边缘、再到互联网边缘、*后到互联网或企业的核心应用。因此，SaaS其实是面对分布式边缘所定义的全新安全及网络架构。

图三

当前的SD-WAN是非常重要的技术改进推动力。其在管理各种各样下层网络的同时，还可作为软件被灵活部署在所有硬件之上。这当中的SD-WAN就变为了广域网的边缘，若广域网下层架构发生改变，很多互联网的出口不只在数据中心、会在众多分支机构或边缘的接入应用中，此时企业下层的网络会有很多的非信任外部网络，因此企业需要具备针对所有数据化接触的安全策略来加以保护。如图三所示，网络安全接入服务保护所有的网络接入，广域网的边缘与安全服务兼容、成为了一个新的“安全服务接入边缘”融合架构。

当企业不清楚访问流量是否存在风险时，应当考虑CASB——CASB是云接入服务的中介。企业数据可能存放在数据中心或云上，当公有云上的SaaS服务要访问数据时，企业可以用CASB来管理风险，即所有访问先经过CASB“大门”、SaaS应用与访问相互集成，读取的数据返至CASB应用、再返至授权数据，通过全程监控保护数据安全。若用户访问企业专用应用，亦可用同样方式进行保护。企业可以用CDN进行加速、SD-WAN进行连接，同时使用CASB、SWG等保护访问安全。从这个角度来看，将网络模块与安全模块融合成一个安全接入服务平台即是SASE。SASE包含五个核心模块：SD-WAN、Firewall as a service（FWaaS）、SWG、CASB和零信任网络接入。现在不少安全厂商具备两至三个模块，但鲜有具备全模块者。

图四

图四展示了SASE中的各种技术，Gartner认为这些技术在未来十年会相互融合至SASE模块中。目前，安全产品非常碎片化，不同产品具有自己的管理和控制界面，对企业使用而言不够友好，所以这时就需要出现一个把这些碎片化的安全接入服务融合成一个安全接入服务的平台。其实，SASE接入不单是基于公有云的互联网接入方式，也会有很多接入到企业级私有数据中心。

企业如何部署安全服务架构

Gartner预测，至2023年，20%的企业会部署来自同一家厂商的SWG、CASB、零信任网络接入及分支机构防火墙能力。2019年，Gartner观察到该领域的用户低于5%。这代表安全厂商可以通过SASE来扩展自己的市场份额，SASE是一个非常重要的营收增长机会。

图五

从终端用户角度来看，SASE目前具有三个场景。首先是企业管理员工IT设备（见图五），员工使用自己的电脑或手机接入云上的应用。此时企业可以通过SWG实现DNS保护、敏感信息保护等，即员工的访问是通过相关SASE工具接入到SASE接入点，然后从SASE接入点代理再访问互联网应用以及企业内部资源。

图六

第二个场景（见图六）是企业外部人员访问内部资源。企业外部人员的设备是非管理设备，因为其设备中没有访问工具，所以只能实现从SASE接入点到其它地方QoS的网络功能。另外，因为需要接入到SASE代理接入点，相关的DLP等功能会就绪。一旦外部人员接入SASE时，SASE就会提供安全接入保护，而网络功能也是在接入SASE后才能提供。

图七

第三个场景（见图七）关于物联网。风电物联网存在一个汇聚点，即物联网边缘的汇聚点，在这之中可以收集、分析数据。边缘的汇聚点可以部署SASE，如SD-WAN，所以接入到边缘的SASE可以延伸到风电厂、延伸到各个物联网和边缘计算，接入到企业的内部应用。

一些目前使用SASE的企业也在考虑是否需要把自己的数据中心连接到SASE中，或是把自己的数据中心与公有云托管的VPC进行打通以及打通后用户的访问路径。用户可以是合作伙伴、员工或客户，他们的访问可以通过SASE进行，因为零信任网络接入的安全是先授权认证、再分派访问权限。SASE接入点一定是广泛分布性的，若接入点在上海或者广州、相距较远时，网络时延就变成大问题，所以低时延在国内非常重要，需要更多的分布式接入点加以保证。

关于分支机构应用的优化。目前中国很多企业分支机构的应用基本放在分支机构的小型数据中心内。SASE会使分支机构架构得到改变，越来越多的分支机构会从“重分支”变成“轻分支”，同时在“云”上会更多部署分支机构的应用。“轻分支”基本上是SD-WAN，因为很多的SD-WAN自带防火墙、一个SD-WAN就能解决问题。通过SD-WAN连接到*近的公有云VPC，分支机构公有云直接部署在VPC上。用户直接访问VPC应用时需要授权验证，所以企业需要SASE。SASE对于分支机构的用户来讲，先访问就近的SASE接入点，通过SD-WAN访问再接入到相关的公有云、VPC办公室。

中国厂商如何抓住机会

Gartner预计全球SASE市场将在2024年达到110亿美元，大中华地区市场规模大约为7亿6千9百万美元（见图八）。SASE的核心功能包含SD-WAN、SWG、CASB、ZTNA、FWaaS，Line rate operation，但对中国来讲，略有不同。

图八

如图九所示，中国目前CASB的需求很少，因为中国的SaaS应用大部分是消费者级别的应用，真正的企业级SaaS应用目前在中国仍有不足。很多企业级SaaS应用存在很多安全漏洞、没有CASB保护，因此很多大型企业不敢把自己的数据直接放至其中。正因为这些企业用户不是很多，所以CASB目前在中国是一个未被开发的市场。从SASE服务的起步阶段来讲，CASB在中国并不是核心模块，更多的是SWG、零信任网络安全、SD-WAN等。随着企业级PaaS及SaaS应用的增多，CASB在中国的趋势会逐渐与全球同步。

图九

Gartner认为云原生架构对厂商实现SASE服务非常重要。对于很多企业用户来讲，SASE接入点的部署*好离自己要近、同时要延伸到自己的数据中心之内。企业在部署SaaS接入点时需要采用更加灵活的方式以便同时部署在云上和第三方数据中心内。云原生架构可以为企业部署SaaS服务提供更加灵活的方式和更灵活的交付。分布式的多边云部署对北上广深这类核心城市或各省省会城市的接入点非常重要。因为时延的优化在中国是非常重要的“卖点”。SASE产品会变得更加容器化、微服务化，以此更好部署在其他的硬件平台或自己提供的硬件平台之上。

总结而言，终端用户需考虑、研究SASE架构和整体广域网及网络安全方面的架构转型。虽然中国疫情控制很好，但是物联网、5G带来的数字化转型非常巨大，所以将来需考虑能否将数字化接触反映到企业应用上。很多企业应用及企业数据很可能都放到“云”上，虽然目前传统方式是主流，但越来越多的企业进行IT规划时，已在考虑部分的数据外迁，所以SASE是企业敏感数据外迁后的重要保护手段。

另一方面，SASE需要整个广域网的架构做出改变，如建立分支机构的本地接入互联网、考虑SD-WAN厂商是否有SD-WAN防火墙等。厂商越多，企业的管理复杂度越高，所以企业需要做出战略性变化。企业级的SaaS应用一定要考虑SASE保护。公有云上的数据如没有安全工具保护，会存在数据泄漏或丢失的风险，而CASB这类工具可以把未知风险降低。“SASE保护”不一定需要全部五个模块，企业在设计SASE部署战略时，需要明晰用到哪些模块，如此，在选择安全厂商时才能更得心应手。

同时，厂商需清楚自己是何种厂商。管理服务提供商需考虑如何快速切入SASE市场，因为切入SASE市场能够为其快速提供新的业务增长，如帮助海外SASE厂商进入中国，或帮助国内SASE服务厂商建立接入点、提供相关的服务。技术提供商需考虑SASE的产品战略，还要考虑如何做到云原生的SASE。

SQL语句代码：CREATE DATABASE 语句。
CREATE DATABASE Epiphany
ON
(
NAME = Epiphany,
FILENAME = ‘E:\SQL SERVER 2008\Epiphany_data.mdf’,
SIZE = 5MB,
MAXSIZE = 20,
FILEGROWTH = 20
)
LOG ON
(
NAME = Epiphany,
FILENAME = ‘E:\SQL SERVER 2008\Epiphany_log.ldf’,
SIZE = 2MB,
MAXSIZE = 10MB,
FILEGROWTH = 1MB
);
可以用这个模板，红色字体自己添加就好了。

CREATE DATABASE Epiphany
ON
(
NAME = Epiphany,
FILENAME = ‘E:\SQL SERVER 2008\Epiphany_data.mdf’,
SIZE = 5MB,
MAXSIZE = 20,
FILEGROWTH = 20
)
LOG ON
(
NAME = Epiphany,
FILENAME = ‘E:\SQL SERVER 2008\Epiphany_log.ldf’,
SIZE = 2MB,
MAXSIZE = 10MB,
FILEGROWTH = 1MB
);

完毕！

如何用SQL语句创建数据库

说明：在项目的开发当中数据库需要部署在客户的实际环境中试运行，但我们在部署的时候需要考虑的是，后台的数据库如何移植到客户的计算机中，考虑到各种版本的兼容性，*好的办法就是编写比较通用的SQL语句，包括建库，建表，添加约束等，*后复制到客户的计算机中运行；

创建数据库的语法：

*步：先要判断当前数据库系统中是否存在你要新建的数据库，如果是就要删除（MASTER系统数据库中的sysdatabases表中存放了所有数据库清单）

if exists(select * from sysdatabases where name=’databasesName’)

drop databases databasesName

第二步创建新库

create databases databasesName

ON

（

name =’databases_data’,–表示数据库的逻辑名

filename =’路径/databases_data.mdf’,–表示数据库的物理文件名

size =XXmb,–表示数据库的初始大小

maxsize=xxmb,–表示数据库的*大大小

filegrowth=xx–表示文件的增长速度（可以是百分数也可以是好多mb

）

log on

(

name =’databases_log,–表示数据库的逻辑名

filename =’路径/databases_log.ldf,–表示数据库的物理文件名

size =XXmb,–表示数据库的初始大小

maxsize=xxmb,–表示数据库的*大大小

filegrowth=xx–表示文件的增长速度（可以是百分数也可以是好多mb

)

实例

use master

go

if exists(select * from sysdatabases where name=’student’)

drop database student

go

create database student

on

(

name=’student_data’,

filename=’student_data.mdf’,

size=10mb,

maxsize=100mb,

filegrowth=1mb

)

log on

(

name=’student_log,

filename=’student_log.ldf’,

size=10mb,

maxsize=100mb,

filegrowth=1mb

)

2020年，全球遭受了新冠疫情的袭击，人们的生产生活受到了*大的影响。在网络世界中，僵尸网络作为多年来的主要威胁形式之一，并未受到疫情的影响，反而更加活跃。在IoT世界中，僵尸病毒有了更多的变种和入侵方式。

根据绿盟科技发布的《2020 BOTNET趋势报告》显示，2020年1月初，我国在IoT家用设备中首次检测到以流量劫持为主要攻击手段的僵尸网络木马家族——Pink，其主要利用广告植入技术，进行非法牟利。从2020年2月开始，国际黑产团伙利用COVID-19相关信息为诱饵，制作钓鱼邮件，肆意传播僵尸网络木马。发动此类攻击的代表性邮件僵尸网络有Emotet、NetWire等。与此同时，沉寂许久的Trickbot、Necurs家族卷土重来，投递大量与疫情、工作岗位招聘、欺诈链接等内容有关的恶意邮件。

僵尸网络病毒离我们并不遥远。如果你家里有智能音箱、智能电视等IoT设备，一定要多加留心，因为也许不知何时，你家的物联网设备就会悄然成为攻击者的“肉鸡”目标，而设备一旦感染病毒并发作，很可能泄漏个人隐私甚至威胁到个人生命及财产安全。

什么是僵尸网络？

可能有人对僵尸网络的了解并不深，它究竟是什么呢？从定义上来看，僵尸网络 （Botnet）是指采用一种或多种传播手段，使大量主机感染Bot程序（僵尸程序）病毒，从而在控制者和被感染主机之间形成可一对多控制的网络。

攻击者通过各种途径传播僵尸程序感染互联网上的大量主机，而被感染的主机将通过一个控制信道接收攻击者的指令，组成一个僵尸网络。之所以用僵尸网络这个名字，是为了更形象地让人们认识到这类危害的特点：众多的计算机在不知不觉中如同中国古老传说中的僵尸群一样被人驱赶和指挥着，成为被人利用的一种工具。（引用自百度百科）

僵尸网络“毒发”机制

僵尸网络病毒听起来可怕，它的工作机制究竟是怎样的呢？为了让大家更清晰地了解僵尸网络病毒的“毒发”机制，AI科技大本营特邀绿盟科技伏影实验室主任研究员吴铁军，以Mozi木马为例来科普一下僵尸病毒的通信流程。

吴铁军 绿盟科技伏影实验室主任研究员

僵尸网络病毒的“毒发”机制并不神秘。

图2 Mozi木马典型通信流程

首先，黑客使用自己的主机或受黑客控制的“肉鸡”设备，对全网进行弱密码登录扫描和漏洞扫描；

如果发现能够被弱密码爆破或漏洞利用的设备，黑客会在该设备上执行bash指令，这种指令一般会下载自动化部署脚本；

自动化部署脚本根据被入侵物联网设备的CPU架构，下载指定文件服务器上的僵尸网络木马程序并运行；

僵尸网络木马程序加入黑客控制的僵尸网络域中，通常的僵尸网络域是由一台由黑客控制的命令控制服务器进行集中化管理，Mozi僵尸网络比较特殊，它是加入一种名为Mozi-dht的分布式网络中，使用P2P的方式接收黑客的管理命令；

被僵尸网络木马程序控制的物联网设备会自动进行弱密码登录扫描和漏洞扫描，从而达成闭环，自动化扩大僵尸网络范围。

物联网平台为何成为*大攻击目标？

了解了僵尸网络病毒的概念和工作机制后，就不难理解为什么物联网平台会成为这种病毒的*大攻击目标。

吴铁军解释道，首先，当前物联网设备的安全性较为脆弱，易被僵尸网络控制。一是因为物联网整体缺乏管理，物联网设备漏洞的发现与修复频度不够充分，且存在弱密码问题，使得IoT设备*易被僵尸网络木马攻陷；二是目前主流的IoT僵尸木马源代码基本上都已经开源，木马开发成本低、门槛低，入门黑客也可以参与运营僵尸网络；第三，DDoS 服务、勒索和恶意挖矿容易变现且风险低，黑客可利用开源的武器库快速组装恶意软件，进而扫描、渗透并控制物联网设备。这些原因使得物联网僵尸网络防御难、溯源难。

而对于攻击者来说，物联网设备是具有高价值的脆弱目标。物联网设备有其特殊性，需要独占公网IP提供网络服务，这样的设备给僵尸网络提供了丰富的网络资源，因此容易成为黑客的重点关注对象。由于前述的漏洞和弱密码问题，攻陷物联网设备的难度也要比攻陷其他类型设备的难度低得多。加之物联网的供应链长、碎片化严重，部分物联网厂商不具备完善的安全能力，安全厂商也无法参与整个物联网产品的设计、实现、生产和升级环节，以上原因使得物联网设备备受黑客的“青睐”。

IoT主流僵尸病毒家族

可见，IoT设备感染病毒的风险很大。这不禁让人好奇，在IoT平台上，*常见的僵尸病毒有哪些，有哪些比较成熟的攻击技术，又分别会造成怎样的危害呢？

吴铁军表示，从分类上来讲，目前IoT遭受的僵尸网络病毒攻击仍然是来自以Mirai、Gafgyt等为代表的主流僵尸网络家族，同时以Dofloo为首的多平台僵尸网络家族也活跃于多种设备环境中。正是这些“土得掉渣”的家族，组成了当今IoT平台威胁形式的主体。

2020年，根据CNCERT物联网威胁情报平台及绿盟威胁识别系统监测数据，Mirai家族无疑是*活跃的IoT DDoS僵尸网络家族之一。该家族因代码开源而导致大量变种产生，并通过UPX变形壳进行保护。

图3 Mirai常见变种与特征

作为老牌开源DDoS僵尸网络家族，Gafgyt木马变种众多，使用者遍布世界各地，活跃程度仅次于Mirai家族。

跨平台木马Dofloo的活跃度也比较高，并呈现了超越以往的态势。Dofloo的一大特点在于管理者会比较频繁地进行网络维护和变种程序的开发。这个家族近期比较大的变化是搭载了针对Docker容器的漏洞利用，可以通过未授权访问攻陷一些云主机上未开启安全认证的容器设备。

吴铁军说，目前针对这类设备攻击的僵尸网络木马比较少，所以预计Dofloo通过这类漏洞利用成功扩大了僵尸网络范围，反映在监控中的活跃度就会相应提升。

新兴僵尸病毒“升级进化”

有意思的是，2020年新冠疫情的爆发也为黑客提供了便利，包括Emotet、Netwire和SmokeLoader等。除此之外，以间谍木马AgentTesla、勒索软件Maze、新兴远控木马BitRAT等为代表的以邮件为主要传播途径的木马程序，也获得了滋生的温床。

吴铁军指出，IoT平台僵尸网络发展至今，控制者已经不再满足于基于TCP的传统模式，开始探索高隐匿性的网络模型，探索一些不同的通信模式，反侦测手段与攻击方式都有了不同程度的改变和提升，变得更加“狡猾”。

从通信模式上来说，新兴的僵尸网络采用了通信加密+证书验证的双重通信模式，普通的恶意家族，顶多对流量进行加密，而一些新家族在此基础上添加了证书验证，不仅提高恶意流量协议分析的难度，而且加强了对僵尸网络的控制权。

其次，新兴僵尸网络家族还使用去中心化模式，掺入更复杂的协议。某些恶意家族，会在P2P DHT协议基础上再构建一层专属DHT协议，使得恶意流量更难被发现，C&C更难被追踪到。已知的僵尸网络如Hajime和Mozi，它们利用了DHT协议，将自己的节点加入到BitTorrent的种子网络中，并利用种子网络互相连接，黑客则通过配置文件扩散的方式控制这些木马节点；还有一些木马利用暗网进行通信，比如知名物联网僵尸网络Mirai和Gafgyt，都出现了使用Tor网络隐藏命令控制服务器的变种。

上述的基于DHT或Tor的新型通信模式，实际上也是僵尸网络提升反侦测能力的方式。除此之外，已经有小部分僵尸网络木马开始设计其他种类的反侦测功能，做到“雁过不留痕”，如Moobot的一类变种可以伪造受害主机的设备指纹，使外部扫描器无法获得主机正确的设备类型，还有一些僵尸网络会在入侵成功后关闭设备的一些端口，避免被后续的扫描流量探测。

但无论病毒怎么进化，弱密码爆破/协议爆破和漏洞利用一直是IoT僵尸网络木马*常用的攻击方式。

其中，协议暴破包含弱口令攻击（例如telnet、ssh）和接口身份认证不严（例如Kubernetes集群的Kubelet配置不当），并以弱口令攻击为主，直接登录目标系统。漏洞利用则主要针对各家设备，利用其处理输入时的缺陷，通过发送相应Payload，使得目标执行远程代码或命令。

攻击者可以通过这两类方式，在入侵目标后置入恶意程序进行DDoS、挖矿、窃密甚至勒索等行为，严重消耗目标资源，造成数据泄密，导致经济损失。

而这两类攻击的主要不同之处在于，弱口令的犯罪成本和门槛较低，容易造成大面积传播，但更容易被修复；而设备漏洞有一定使用门槛，且其影响存在一定的局限性，修复工作涉及代码更新，若升级不及时，可能造成长期影响。

暴利的黑产链和运营模式

天下熙熙，皆为利来；天下攘攘，皆为利往。僵尸网络如此猖獗，让IoT用户深受其害的原因，也无非在于其背后巨大的黑色产业链。

僵尸网络的运营方式有很多种，其中售卖僵尸网络软件和敲诈勒索是*常见的黑客牟利手段。这个行业的暴利达到什么程度？以2017年臭名昭著的“仙女座”僵尸网络为例，根据版本的不同，这款软件在网络犯罪市场中的销售价从10美元到500美元不等。2020年影响规模增长*快的新兴邮件木马AgentTesla，明码标价在15美元到69美元之间，在转入地下交易后，其样本销售数量反而持续增长。

图 4 AgentTesla软件售价

再比如2019年*成功的RaaS（勒索软件即服务）实例，软件制造者声称共同利润超过20亿美元。可想而知，僵尸网络黑产背后的利润有多丰厚。

守护你的IoT设备不中招，还需多方努力

说了这么多，其实大家*关心的还是怎么样才能让自己家的IoT设备避免中招。在吴铁军看来，防止病毒感染用户家的IoT设备，需要监管单位、安全从业者，以及用户自身多方共同努力。

首先，从监管角度来讲，国家需要加强防范，并打击地下黑色产业链对移动互联网生态的管理，及时处置僵尸木马等网络攻击威胁，清理木马僵尸网络控制的服务器，净化公共互联网环境。其次，明确信息类资产以及个人隐私类的法律界定，施行《个人信息保护法》，有利于依法有效打击相关违法犯罪活动。

从安全从业者角度，需要不断提高对僵尸木马病毒的检测能力，提高对用户隐私以及生产环境的保护能力，思黑客之所未思，提高对未知威胁的感知和捕获能力，并对安全事件做到及时预警和响应。同时要提高对于黑色产业链的取证能力，为打击相关违法犯罪活动提供有效证据支持。

而从普通用户角度，要做好个人安全意识的培养，提高自我保护能力和网络安全防范意识。因为目前大部分僵尸网络病毒传播主要还是依赖弱口令爆破，所以使用安全可靠、复杂度较高的密码，并定期修改，是普通用户*行之有效的防爆方法。

其次是加强对物联网设备的管理，及时更新系统安全补丁，注意使用和执行安全可信的第三方代码和应用程序，做好权限管理，注意识别附带恶意载荷的钓鱼手段，以及配置网络路由策略及防火墙过滤策略或增加网络安全防护设备，这些都是拦截掉僵尸网络病毒传播的有效手段。

综上，吴铁军认为，国家相关部门与安全厂商、物联网厂商、物联网服务商、网络运营商之间要通力协作，从横贯“云管端”安全的顶层设计，到具体产品的安全设计、测评实现，从威胁预警和安全治理结合的监管体系，到产业合作创建多赢的商业模式，多管齐下，才能共建物联网安全生态环境。

未来僵尸网络病毒进化，AI将发挥更大的作用

吴铁军告诉AI科技大本营，当前，对抗物联网的技术生态正处于不断完善的过程中，通过对物联网病毒的传播技术、驻留技术、攻击技术等方面进行技术研究和知识积累，国内对于物联网病毒已经有了比较好的检测能力和监测跟踪机制，可以实时感知到物联网病毒的攻击活动以及活跃度。

然而，未来针对IoT的僵尸网络依然会“进化”，这几个发展趋势我们不得不留心。

一是僵尸网络的头部运营者将不断向高隐匿性发展，隐藏方式及手段不断翻新，包括扩大犯罪群体，“藏木于林”；二是僵尸网络的经营者可能会改变经营模式，将生产、销售、维护这三个营销阶段剥离并独立，自己则隐藏在整个营销链条之下。防守方在网络层面发现的僵尸网络管理者一般位于僵尸网络利益链的尾部，离发现真正的头部运营者还有很长的距离。

这些都意味着抓到幕后黑手的难度更大，对防范僵尸网络病毒散播提出更多挑战。

在保护物联网设备免遭网络攻击的道路上，越来越多的新技术正在被派上用场，例如AI。

吴铁军认为，ML和DL（机器学习和深度学习）在IoT网络中是非常有前景的技术，IoT网络生成的大量数据，正是ML和DL将智能带入系统所需的“原材料”。反之，前者也将利用这些数据，使得IoT系统做出更加明智的决策。

当前，ML和DL在IoT网络中主要用于安全性分析、隐私分析、攻击检测和恶意软件分析，如执行复杂的感测技术和识别任务，实时交互分析，身份验证和访问控制，攻击检测与缓解，DoS和分布式DoS（DDoS）攻击检测，异常/入侵检测，以及恶意软件分析等。

未来，吴铁军还很看好生成对抗网络（GAN）在检测物联网中的入侵、恶意软件分析和DDoS攻击检测方面，以及分布式学习（联邦学习）在边缘/移动设备上提供高度个性化和安全模型，维护客户端/用户隐私方面的广阔前景。

为了更好地对抗僵尸网络病毒，吴铁军所带领的伏影实验室目前在物联网攻击团伙、物联网指纹识别、物联网威胁识别（漏洞攻击识别、自动化规则生成等）等特征学习方向进行着更深入的研究。

通过这篇文章，相信大家对于IoT安全和僵尸病毒家族有了更深刻的了解，也希望未来在更多成熟的安全技术保护下，让每个普通的IoT设备用户不再因为安全问题而担心忧虑，甚至因噎废食不敢使用IoT设备。

传统大数据平台和数据仓库是数据中台的数据来源，建设数据中台是为了更好地服务于业务部门。

下图展示了信息化系统、数据仓库、传统大数据平台、数据中台之间的关系，其中的箭头表示数据的主要流向。

▲图1-1 数据中台与传统大数据平台、数据仓库的关系

数据中台与传统大数据平台到底有什么区别？

为了叙述方便，我们先给出传统大数据平台的架构（见图1-2）。

▲图1-2 传统大数据平台

• 大数据基础能力层：Hadoop、Spark、Hive、HBase、Flume、Sqoop、Kafka、 Elasticsearch等。
• 在大数据组件上搭建的 ETL流水线，包括数据分析、机器学习程序。
• 数据治理系统。
• 数据仓库系统。
• 数据可视化系统。

可以看到，这些是传统大数据平台的核心功能。在很多大数据项目里，只要把这些系统搭起来，每天可以生成业务报表（包括实时大屏），就算大数据平台搭建成功了。

但数据中台应该是大数据平台的一个超集。我们认为，在大数据平台的基础之上，数据中台还应该提供下面的系统功能。

1. 全局的数据应用资产管理

这里所说的数据应用资产管理包括整个生态系统中的数据和应用。传统的数据资产管理*大部分只包括关系型数据库中的资产（包括Hive），而一个数据中台应该管理所有结构化、非结构化的数据资产，以及使用这些数据资产的应用。

如果传统的数据资产管理提供的是数据目录，那么数据中台提供的应该是扩展的数据及应用目录。要避免重复造轮子，首先要知道系统中有哪些轮子，因此维护一个系统中数据及数据应用的列表是很关键的。

2. 全局的数据治理机制

与传统的数据治理不一样，数据中台必须提供针对全局的数据治理工具和机制。传统数据仓库中的数据建模和数据治理大多针对一个特定部门的业务，部分原因是全局数据建模和治理周期太长，由于存在部门之间的协调问题，往往难度很大。

数据中台提供的数据治理机制必须允许各个业务部门自主迭代，但前提是要有全局一致的标准。阿里提出的OneID强调全局统一的对象ID（例如用户ID），就属于这个机制。

3. 自助的、多租户的数据应用开发及发布

现有的*大部分大数据平台要求使用者具备一定的编程能力。数据中台强调的是为业务部门赋能，而业务人员需要有一个自助的、可适应不同水平和能力要求的开发平台。这个开发平台要能够保证数据隔离和资源隔离，这样任何一个使用系统的人都不用担心自己会对系统造成损害。

4. 数据应用运维

用户应该可以很方便地将自己开发的数据应用自助发布到生产系统中，而无须经过专门的数据团队。因为我们需要共享这些应用及其产生的数据，所以需要有类似于CI/CD的专门系统来管理应用的代码质量和进行版本控制。

在数据应用运行过程中产生的数据也需要全程监控，以保证数据的完整性、正确性和实时性。

5. 数据应用集成

应该可以随时集成新的数据应用。新的大数据应用、人工智能工具不断涌现，我们的系统应该能够随时支持这些新应用。如果数据中台不能支持这些应用，各个业务部门可能又会打造自己的小集群，造成新的数据孤岛及应用孤岛。

6. 数据即服务，模型即服务

数据分析的结果，不管是统计分析的结果，还是机器学习生成的模型，应该能够很快地使用无代码的方式发布，并供全机构使用。

7. 数据能力共享管理

大部分数据能力应当具有完善的共享管理机制、方便安全的共享机制以及灵活的反馈机制。*后决定数据如何使用的是独立的个人，他们需要一套获取信息的机制，因此在机构内部必须要有这样的共享机制，才能真正让数据用起来。

8. 完善的运营指标

数据中台强调的是可衡量的数据价值，因此，对于数据在系统中的使用方式、被使用的频率、*后产生的效果，必须要有一定的运营指标，才能验证数据的价值和数据中台项目的效率。

综合上面的讨论，除了阿里巴巴提出的OneID、OneModel、OneService之外，我们认为数据中台还应该满足以下两个要求。

1. TotalPlatform

所有中台数据及相关的应用应该在统一平台中统一管理。如果有数据存储在中台管理不到的地方，或者有人在中台未知的情况下使用数据，我们就无法真正实现对数据的全局管理。这要求数据中台能快速支持新的数据格式和数据应用，便于数据工具的共享，而无须建立一个分离的系统。

2. TotalInsight

数据中台应该能够理解并管理系统中数据的流动，提供数据价值的定量衡量，明确各个部门的花费和产出。整个中台的运营是有序可控的，而不是一个黑盒子，用户可以轻松理解全局的数据资产和能力，从系统中快速实现数据变现。

如图1-3所示，数据中台可以说是按照一定的规范要求建设的数据能力平台，在数据仓库、大数据平台、数据服务、数据应用的建设中实现了符合OneID、OneModel、OneService的数据层。

这个数据层，加上在其上建立的业务能力层以及运营这个数据中台需要的TotalPlatform、TotalInsight，形成我们看到的数据中台。

通过在现场的见闻，以及和专家们的交流探讨，我深刻感受到，物联网行业已经来到了一个重要的十字路口，将会发生明显的变化。结合我的观察和思考，写下这篇文章，希望与大家交流碰撞，抛砖引玉。

物联网技术的发展演进

说到物联网，大家都不会觉得陌生。“大、物、云、移”四大金刚里面，物联网的诞生时间是*早的。确切来说，它比互联网的诞生时间还要早。上世纪60年代的时候，它就已经以传感网的身份，被运用于军事领域。

80年代左右，随着TCP/IP技术和以太网技术的出现，数据通信网络的发展进入了一个新的阶段。局域网和广域网迅速普及，并*终催生了伟大的全球互联网。

传感网受上述技术的影响，也逐渐将自己的数据传输通道IP化、以太化。与此同时，伴随传感器技术的飞速进步，传感网开始逐渐从军事领域，走向工业及民用领域。

1996年，澳大利亚研究机构CSIRO在美国成功申请了无线网技术的专利，从而将Wi-Fi这一新兴事物带到了我们的面前。不久之后，1998年，蓝牙技术也出现了。

以Wi-Fi和蓝牙为代表的短距离无线通信技术，很快得到普及和推广，走进我们每个人的生活。

传感网迅速吸纳了这些无线通信技术，并借此向家庭及商业应用场景延伸。

1999年，麻省理工学院的凯文·阿什顿（Kevin Ashton）教授首次提出物联网（Internet of Things）的概念。他也因此被称为“物联网之父”。

凯文·阿什顿

2003年，美国《技术评论》杂志提出，传感网技术将是未来改变人们生活的十大技术之首。也是从这一年起，英国卫报、科学美国人和波士顿环球报等主流媒体开始使用“物联网”这一叫法取代“传感网”，两者开始明确划分界限。

2005年11月17日，在突尼斯举行的信息社会世界峰会上，国际电信联盟（ITU）发布了《ITU互联网报告2005：物联网》。这份报告，算是从官方层面正式给“物联网（IoT）”授予了一个合法的身份。

报告封面

我们国内老百姓对物联网的接触和了解，也差不多是从那一时期开始的。

不过，当时人们对物联网的理解，更多是基于一个名词——智能家居。

智能家居（Smart Home）

在很多人看来，物联网就是智能家居，智能家居就是物联网。

为什么会这样呢？

很简单，物联网就是把物连接起来，要么用有线连，要么用无线连。

有线的话，就要到处布线，成本太高，难以普及。无线的话，受限于频谱资源的分配，民用领域能够免费用的，只有Wi-Fi、蓝牙使用的ISM免费频段（例如2.4GHz）。

Wi-Fi、蓝牙这些技术，*致命的问题就是通信距离太短，*多只有几十米。

因此，它们所能适用的场景，想来想去，就只有室内场景（家庭、办公室）了。厂区、林区、渔区、牧区、公共道路等室外场景，根本没办法用（要么就成本太高）。

除了智能家居之外，还有一个物联网场景被广泛看好，而且确实取得了实质进展，那就是以NFC、RFID为代表的超短距离近场通信技术。

你不是通信距离短嘛，干脆脸贴着脸通信得了。

近场通信（公交刷卡）

NFC和RFID这样的技术，在商业上获得了很大的成功。它们被广泛应用于物料管理、商品支付、身份认证、门禁通行等场景，形成了独特的商业模式和产业链。

回到智能家居这个话题。

2005年之后，随着智能手机和移动互联网的成功，人们陷入了对数码产品的狂热。很多人认为，数字生活时代全面到来了，智能家居马上就会迎来大爆发。于是，全国涌现了大量的智能家居企业，希望搭上风口，大赚一笔。

然而，风口并没有如期而至，这一等，就是十年。

就在这漫长的等待过程中，通信工程师们也在积*探索新的可用于长距离通信的物联网技术。

很快，他们就盯上了蜂窝移动通信技术，也就是2G/3G技术。

借助基站，可以大幅增加物联网的覆盖范围，从而满足更多的应用场景。

于是，在这期间，大量的2G/3G物联网卡终端入网，形成了物联网市场的主力军。

2013年，国内发放4G牌照。没过多久，4G LTE就形成了全国范围的普遍覆盖。

有了4G之后，人们自然就会想到将4G用于物联网应用。但是，4G是高端网络，不仅速率高，成本（芯片、模组、套餐）也高。大部分物联网场景并不需要这么高的速率，也承受不起这么高的成本，只能继续使用2G/3G，赖着不走。

2015年，华为和高通突然领了两个娃走进家门，并告诉我们，其中一个娃叫NB-IoT（窄带物联网），另一个娃叫eMTC（增强型机器类型通信）。两个娃都是LTE的表弟，要一起打天下。

说白了，NB-IoT和eMTC都是简化版的LTE，速率更低，成本更低，可以同时连接的终端数更多，专门用于物联网场景。他们有一个统称，叫做LPWAN（Low Power Wide Area，低功耗广域网）技术。

大佬们对NB和eMTC非常满意。他们心想：“你看，路都给你们造好了，就往这走呗！”

结果，市场和用户并没有非常买账，他们一方面觉得NB-IoT的网络覆盖不太好，另一方面觉得NB-IoT的成本仍然太高。于是，他们反而盯上了另一个“不起眼”的技术，那就是——Cat.1。

关于Cat.1的由来，我就不再赘述了，大家可以看这里：Cat.1是从哪来的？

简而言之，Cat.1就是LTE。Cat.1终端的速率可以对标3G，能够无缝接入现有的LTE网络，基站无需进行软硬件升级。在芯片模组成本方面，Cat.1的集成度更高，硬件架构更简单，价格更低。

也就是说，Cat.1既有网络覆盖优势，又有成本优势。

Cat.1在2020年彻底火了一把，不仅判了国内eMTC的死刑，还抢了NB不少份额。如今的Cat.1，仍然处于高速上升期。它的成功，验证了那条永远正确的真理——“在成本优势面前，所有的高科技都是纸老虎。”

再来看看5G。

5G三大应用场景里面，eMBB增强型移动宽带，场景落地*不顺利，拉不开与4G的差距，现在处境尴尬；mMTC海量机器通信，本来是NB-IoT和eMTC的演进，结果指标超前，NB和eMTC都够用，干脆把兄弟俩转正，直接升级为5G。（没想到，还被Cat.1狠狠滴挖了一把墙角。）

目前，*被寄予厚望的，只剩下uRLLC低时延高可靠通信，也是用于物联网。但是能用到的场景，并不算多，只有远程驾驶、智能制造、远程手术等。

折腾来折腾去，国内就形成了现在的物联网技术演进格局：

随着2G/3G的退网，*大部分的3G和少部分的2G，将迁移到Cat.1。大部分的2G，将迁移到NB-IoT。eMTC在国内基本上没戏。LTE Cat.4补足辅助Cat.1。

（点击可以看大图）

物联网行业的发展现状

说完了技术，再来说说产业。

如今的物联网产业，处于一个非常微妙的状态。没有人怀疑物联网的价值，但很少有人能够在物联网里真正赚到大钱。

物联网行业的技术门槛相对来说比较低，只要会点单片机嵌入式，就可以搞个小项目起步。早些年智能家居火的时候，就有很多团队入局，通过写物联网项目BP（商业计划书），找投资人要钱。虽然后面倒了一批又一批，结果又进来了一批又一批。

现在进来的这帮人，不仅搞WLAN短距离物联网，还搞LPWAN物联网。不仅搞硬件，还搞软件和平台。他们的目标很明确，就是冲着这些年热炒的智慧城市、智慧社区、智慧学校、智慧医疗等概念。

物联网架构的四大层级

殊不知，市场已经是一片红海，同质化竞争加剧，强者恒强，弱者淘汰。

2C（消费者）市场方面，小米、华为、苹果这样的大厂忙于拉拢生态，形成阵营优势。小厂夹缝求生，犹豫不决，不知何去何从。即使站队，也只能喝汤，吃不上肉。

2G、2B（政企）市场方面，资源为王，赢家通吃。要么你足够大，能掌控供应链，掌控渠道，把成本做到足够低，拼价格，耗死对手。要么你掌握关键资源，能拿到政府或国企等大客户的定向订单。否则，就只是耗尽资金，黯然离场。

中下游企业处境艰难，上游却是另外一幅情景。

芯片、模组，作为物联网产业的上游，在大环境和政策的影响下，得到了快速的发展。以前我们只知道高通、华为、紫光展锐、联发科技做物联网终端芯片，现在翱捷、移芯通信、智联安、芯翼等都做起来了。

资本的大量涌入，助推了芯片企业的崛起，吸引了更多的人才和资源入局。芯片企业有更多的资金可以投入研发，推出更好更优秀的产品，推动产业的向前发展。

话说回来，我们国家的物联网自主化，还有很长的路要走。越是上游，越是底层技术，我们的自主化率越低。举个例子，传感器这样看似很简单的东西，芯片的自主率也不到10%。现在越来越流行的UWB和蓝牙AoA（精准定位场景），我们的核心专利占比也远低于美国。

越是核心的东西，利润率就越高。所以，看似繁荣的市场，巨额的利润已经悄悄流进了国外企业的口袋。国内企业同室操戈，员工拼命工作，天天996，可能只是为了一小块蛋糕而已。

*后再总结一下：

1、目前的国内物联网市场，技术演进路线已十分清晰，市场竞争将进一步加剧，一些企业将会被淘汰出局，也有一些企业将全面崛起，成为寡头；

2、包括芯片这样的核心技术，国产自主研发的比例将会持续增加，国内企业的市场占比也会增加，但是，还有很长的路要走，谨防泡沫和浑水摸鱼；

3、整个物联网产业，由技术驱动转向应用驱动，需要持续关注车联网、工业互联网、智慧城市等行业应用的落地。这是一场持久战，谁能熬到*后，甚至穿越周期，谁就能笑到*后。

net stop mysql

net start mysql

第二招、登陆mysql

语法如下： mysql -u用户名 -p用户密码

mysql的提示符是：mysql>

注意，如果是连接到另外的机器上，则需要加入一个参数-h机器IP

第三招、增加新用户

格式：grant 权限 on 数据库.* to 用户名@登录主机 identified by “密码”

如，增加一个用户user1密码为password1，让其可以在本机上登录， 并对所有数 据库有查询、插入、修改、删除的权限。首先用以root用户连入mysql，然后键入以下命令：

grant select,insert,update,delete on *.* to user1@localhost Identified by “password1”;

如果希望该用户能够在任何机器上登陆mysql，则将localhost改为”%”。

如果你不想user1有密码，可以再打一个命令将密码去掉。

grant select,insert,update,delete on mydb.* to user1@localhost identified by “”;

第四招： 操作数据库

登录到mysql中，然后在mysql的提示符下运行下列命令，每个命令以分号结束。

1、 显示数据库列表。

show databases;

缺省有两个数据库：mysql和test。 mysql库存放着mysql的系统和用户权限信息，我们改密码和新增用户，实际上就是对这个库进行操作。

2、 显示库中的数据表：

use mysql;

show tables;

3、 显示数据表的结构：

describe 表名;

4、 建库与删库：

create database 库名;

drop database 库名;

5、 建表：

use 库名;

create table 表名(字段列表);

drop table 表名;

6、 清空表中记录：

delete from 表名;

7、 显示表中的记录：

select * from 表名;

第五招、导出和导入数据

1. 导出数据：

mysqldump –opt test > mysql.test

即将数据库test数据库导出到mysql.test文件，后者是一个文本文件

如：mysqldump -u root -p123456 –databases dbname > mysql.dbname

就是把数据库dbname导出到文件mysql.dbname中。

2. 导入数据:

mysqlimport -u root -p123456 < mysql.dbname。

不用解释了吧。

3. 将文本数据导入数据库:

文本数据的字段数据之间用tab键隔开。

use test;

load data local infile “文件名” into table 表名;

1:使用SHOW语句找出在服务器上当前存在什么数据库：

mysql> SHOW DATABASES;

2:2、创建一个数据库MYSQLDATA

mysql> CREATE DATABASE MYSQLDATA;

3:选择你所创建的数据库

mysql> USE MYSQLDATA; (按回车键出现Database changed 时说明操作成功!)

4:查看现在的数据库中存在什么表

mysql> SHOW TABLES;

5:创建一个数据库表

mysql> CREATE TABLE MYTABLE (name VARCHAR(20), sex CHAR(1));

6:显示表的结构：

mysql> DESCRIBE MYTABLE;

7:往表中加入记录

mysql> insert into MYTABLE values (“hyq”,”M”);

8:用文本方式将数据装入数据库表中(例如D:/mysql.txt)

mysql> LOAD DATA LOCAL INFILE “D:/mysql.txt” INTO TABLE MYTABLE;

9:导入.sql文件命令(例如D:/mysql.sql)

mysql>use database;

mysql>source d:/mysql.sql;

10:删除表

mysql>drop TABLE MYTABLE;

11:清空表

mysql>delete from MYTABLE;

12:更新表中数据

mysql>update MYTABLE set sex=”f” where name=’hyq’;

posted on 2006-01-10 16:21 happytian 阅读(6) 评论(0) 编辑 收藏 收藏至365Key

13：备份数据库

mysqldump -u root 库名>xxx.data

14：例2：连接到远程主机上的MYSQL

假设远程主机的IP为：110.110.110.110，用户名为root,密码为abcd123。则键入以下命令：

mysql -h110.110.110.110 -uroot -pabcd123 // 远程登录

(注:u与root可以不用加空格，其它也一样)

3、退出MYSQL命令： exit (回车)

1.当前服务器主流的品牌：

HP、联想、浪潮、华为、思科

2.每个服务器品牌查两到三台服务器的型号

3.每个型号的配置  网卡 cpu 内部 等等

 

HP：

惠普（HP） DL20 Gen9 1U机架式服务器主机 I3 7100（冷插拔） 8G内存+1T硬盘

机箱：1U机架式（H*W*D：38.2mm*432mm*435mm）；约重8kg

处理器：奔腾 G4560（双核四线程，基本频率：3.5GHz，缓存：3M）;
酷睿 I3-7100（双核四线程，基本频率：3.9GHz，缓存：3M）;
至强 E3-1220 v6（四核四线程，基本频率：3.0GHz，缓存：8M）;
至强 E3-1230 v6（四核八线程，基本频率：3.5GHz，缓存：8M）;
至强 E3-1240 v6（四核八线程，基本频率：3.7GHz，缓存：8M）

内存：8GB DDR4 ECC UDIMM内存，可扩展至64GB

硬盘：支持2块3.5英寸热插拔/非热插拔硬盘(无硬盘配置均不带硬盘托架)

阵列卡：动态智能阵列 B140i,支持RAID0/1

显卡：集成显卡

网卡：1Gb 332i以太网适配器，双端口控制器

光驱：标配无光驱，可选配DVD-ROM/DVD-RW

电源：标配290W单电源

扩展：1*pci-e x8接口，1*pci-e x16插槽；3个USB3.0接口（后置2个，内置1个）；2个USB2.0接口（前置置）；1个VGA接口；2个千兆网口

惠普（HP）DL388Gen9

型号：根据配置

结构：2U机架式服务器

CPU（根据配置）：

至强E5-2603v4/6核/1.7G/6线程；
至强E5-2609v4/8核/1.7G/8线程；
至强E5-2620v4/8核/2.1G/16线程；
至强E5-2630v4/10核/2.2G/20线程；

CPU个数：可支持2个

扩展槽：3个PCle(可选增加第二个PCle扩展笼）

芯片组：Intel C600芯片组

嵌入式网络控制器：1Gb 361i以太网适配器，双端口控制器

内存描述：类型：DDR4-2400  按需配置

内存插槽数：24个

硬盘描述：标配无硬盘       支持SAS/SATA

内部硬盘位数：可支持8个2.5英寸SFF

磁盘阵列卡: 1个智能阵列P440ar带2GB FBWC

光驱：标配无光驱

网络控制器：Broadcomm5720  四端口控制器

电源：1个500W通用插槽热插拔电源

尺寸：8.73cm*44.55cm*67.94cm

重量：14.8kg-23.6kg(按实际配置)

联想

联想System x3850 X6

CPU类型：Intel 至强E7 v2

CPU型号：Xeon E7-4809 v2

CPU频率：1.9GHz

扩展槽：7×半长PCI-E

内存类型：DDR3

内存容量：32GB

内存描述：32GB(4×8GB)1600MHz DDR3

*大内存容量：1536GB

硬盘描述：8个2.5″SAS热插拔硬盘槽位

网络控制器：板载ML2四端口千兆以太网卡，可选双口万兆夹层卡

散热系统：散热系统

系统管理：Alert on LAN 2，服务器自动重启，IBM Systems Director，IBM ServerGuide，集成管理模块（IMM），光通路诊断（单独供电），适用于硬盘驱动器/处理器/VRM/风扇/内存的Predictive Failure Analysis，Wake on LAN，动态系统分析，QPI Faildown，单点故障转移

系统支持：Windows Server 2008（Standard，Enterprise 和 Data Center Edition，32位和64位）
32位和64位 Red Hat Enterprise Linux
SUSE Enterprise Linux（Server 和 Advanced Server）
VMware ESX Server/ESXi 4.0

联想ThinkSystem SR550

CPU类型：Intel 至强 铂金

CPU型号：Xeon 铂金

*大CPU数量：2颗

扩展槽：6×PCIe 3.0

内存类型：DDR4

内存描述：64GB DIMM，2666MHz TruDDR4

硬盘接口类型：SATA/SAS

内部硬盘架数：*大支持16块2.5英寸热插拔SAS/SATA硬盘，8个热插拔/易插拔3.5英寸SAS/SATA硬盘，*多2个内置M.2盘

RAID模式：标配RAID软件（多达8个端口）；多达16个端口HBA/或硬件RAID，含闪存缓存

标准接口：2个1GbE端口+1个专用1GbE管理端口（标配），可选1个10GbE LOM

系统管理：XClarity Controller 嵌入式管理、XClarity Administrator 集中基础架构交付、XClarity Integrator 插件、XClarity Energy Manager集中服务器电源管理

系统支持：Windows Server、SLES、RHEL
VMware vSphere

电源类型: 热插拔/冗余电源，80 Plus铂金电源或80 Plus钛金电源

电源功率: 550/750/1100/1600W

联想System x3650 M5

CPU类型: Intel 至强E5-2600 v3

CPU型号: Xeon E5-2603 v3

CPU频率: 1.6GHz

CPU:核心六核（Haswell）

CPU:线程数六线程

内存类型: DDR4

内存容量: 8GB

硬盘接口类型: SAS

硬盘描述: 8个2.5英寸SAS硬盘

内部硬盘架数M5210

外部驱动器架数多达24个前端和2个后端2.5英寸 HDD/SSD

标准接口4×1GbE
1×IMM
前端：1×USB 3.0、2×USB 2.0
后端：2×USB 3.0、2×USB 2.0
1×USB 3.0

系统管理: IBM IMM2.1；一个IMM专用插槽和一个共享插槽；可选的远程在线；预测性故障分析；LED；可选的下一代光通路诊断面板

系统支持Microsoft Windows Server
Red Hat Enterprise Linux
SUSE Linux Enterprise Server
VMware vSphere

电源功率: 550W

 

DELL：

浪潮：

浪潮英信NF5270M4

CPU类型：Intel 至强E5-2600 v3

CPU型号：Xeon E5-2609 v3

主板芯片组：Intel C610

扩展槽：6×PCI-E 3.0

硬盘接口类型：SATA/SAS

硬盘描述：可支持7200转 3.5寸 SAS及SATA硬盘

内部硬盘架数：8个硬盘支架

磁盘控制器：硬盘小于等于4块时，系统默认标配一个4口背板；超过4块硬盘时，带两个4口背板

网络控制器：双千兆网卡

标准接口：1×USB 3.0接口，1×VGN接口（前置）
2×USB 3.0接口，1×VGA接口（后置）
2×USB 3.0接口 兼容2.0（内置）

系统支持：Microsoft Windows Server 2008 SP1 32/64bit
Microsoft Windows Server 2008 R2
Red Hat Enterprise Linux6 32/64bit
SuSE Linux Enterprise Server 11 32/64bit

电源类型：单电源

电源电压：AC 100-240V

产品尺寸：87×447×720mm

 

浪潮英信NX8480M4

CPU类型：Intel 至强E7-E7-4800/8800 v3/v4

主板芯片组：Intel C610

扩展槽: 1×PCI-E 3.0 x8 Raid子卡插槽
4×PCI-E 3.0 x16扩展子卡插槽
4×PCI-E 3.0 x8扩展子卡插槽（可通过专用线缆选择链接IO Box支持4个标准PCIe扩展卡，半高半长规格，使用IO Box时内部4个PCIe 3.0 x8扩展子卡插槽不可用）

内存类型: DDR4

*大内存容量:6TB

硬盘接口类型: SATA/SAS/SSD

硬盘描述: *大支持8个热插拔2.5寸SATA/SAS接口硬盘或SSD
可支持4个NVMe SSD盘，可以同时配置为SAS+NVMe

磁盘控制器: 标配SAS 12Gb磁盘控制器子卡，可选2G、4G缓存磁盘控制器

RAID模式: SAS磁盘控制器支持RAID 0/1/5/6/10/50/60等

网络控制器: 集成高性能双口千兆以太网卡，支持虚拟化加速、网络加速、负载均衡、冗余等高级功能

标准接口: 1×UVC（可转出2×USB 2.0接口，1×VGA接口，1×COM口）
1×Power按键
1×Reset按键
1×UID状态指示灯

产品尺寸: 110×430×524mm

 

华为：

华为FusionServer 2288H V5

CPU类型: Intel 至强 铜牌

CPU型号: Xeon Bronze 3106

CPU频率: 1.7GHz

标配CPU数量:1颗

主板芯片组：Intel C622

扩展槽：*多10个PCIe扩展槽位：4个全高全长的PCIe3.0 x16标准卡(信号为x8)，3个全高半长的PCIe3.0 x16标准卡(信号为x8)，1个全高半长的PCIe3.0 x8标准卡(信号为x8)，1个RAID控制卡槽位，1个灵活LOM插卡

内存类型：DDR4

内存容量：16GB

内存描述：1*16GB DDR4

硬盘接口类型：SATA/SAS

内部硬盘架数：12个3.5英寸SAS/SATA硬盘

网络控制器：板载网卡：2个10GE接口与2个GE接口

散热系统：4个热拔插对旋风扇，支持N+1冗余

系统管理: 基于华为iBMC芯片，提供全面的故障诊断、自动化运维、硬件安全加固等管理特性；支持Redfish、SNMP、IPMI2.0等主流标准接口，易于被集成；提供基于HTML5/VNC KVM的远程管理界面；支持免CD部署、Agentless等特性简化管理复杂度

电源功率:550W

产品尺寸：86.1×436×748mm

 

华为FusionServer RH5885 V3

CPU类型：Intel 至强E7 v4

CPU型号：Xeon E7-4809 v4

CPU频率: 2.1GHz

扩展槽: *多8×PCI-E扩展插槽（含1个RAID专用）

内存类型: DDR4

内存容量：32GB

内存描述：2*16GB DDR4内存

内存插槽数量：48

硬盘接口类型：SAS

硬盘描述: 1块600GB 2.5英寸SAS硬盘

内部硬盘架数: 8个2.5英寸SAS/SATA/SSD硬盘

磁盘控制器:  SR430C 1G Cache

RAID模式: RAID 0，1，5

网络控制器: 4×GE接口

散热系统: 5个热插拔对旋风扇，支持N+1冗余

系统管理: 独立接口，支持SNMP、IPMI，提供GUI用户管理界面、虚拟KVM、虚拟媒体、SOL、远程控制、硬件监控、智能电源等管理特性
支持华为eSight管理软件，支持被VMWare vCenter、微软SystemCenter、Nagios等第三方管理系统集成

系统支持: Microsoft Windows Sever、Red Hat Enterprise Linux、SUSE Linux Enterprise Server、Citrix XenServer、VMware ESXi、Huawei FusionSphere等

电源电压: 110V/220V AC或-48V DC输入

产品尺寸: 447×790×175mm

 

华为FusionServer RH2288 V3

CPU类型: Intel 至强E5-2600 v4

CPU型号: Xeon E5-2609 v4

CPU频率: 1.7GHz

扩展槽: *多支持6个PCIe扩展插

内存类型: DDR4

内存容量:16GB

内存插槽数量: 16

内部硬盘架数: 12个3.5英寸SAS/SATA硬盘

网络控制器: 2×GE接口

散热系统: 热插拔风扇模组，支持N+1冗余

系统管理: 采用华为Hi1710管理芯片，独立接口，支持SNMP、IPMI，提供GUI、虚拟KVM、虚拟媒体、SOL，深度预故障检测（PFA）、智能电源、远程控制、硬件监控等特性，集成触控式LCD诊断面板
支持华为eSight管理软件，支持被VMWare vCenter、微软SystemCenter、Nagios等第三方管理系统集成

系统支持: Microsoft Windows Sever、Red Hat Enterprise Linux、SUSE Linux Enterprise Server、CentOS、Citrix、XenServer、Vmware ESXi

产品尺寸: 447×748×86.1mm

 

思科：

CISCO UCS C240 M3

CPU类型Intel 至强E5-2600

标配CPU数量1颗/2颗

主板芯片组Intel C600

扩展槽5×PCI-E 3.0

内存类型DDR3

硬盘接口类型SATA/SAS/SSD

*大硬盘容量24块2.5英寸硬盘

硬盘描述24块2.5英寸SATA/SAS/SSD硬盘

网络控制器1个千兆管理网卡口，四端口千兆网卡口

标准接口5×RJ45网络接口
2×USB 2.0接口
1×VGA接口

电源类型650W/1200W双冗余电源

 

CISCO UCS C220 M3

CPU类型：Intel 至强E5-2600

标配CPU数量：1颗/2颗

主板芯片组：Intel C600

扩展槽：2×PCI-E 3.0

内存类型：DDR3

内存插槽数量：16

硬盘接口类型：SATA/SAS/SSD

*大硬盘容量：8块2.5英寸SATA/SAS/SSD

硬盘描述：2.5英寸SATA/SAS/SSD硬盘

热插拔盘位：支持热插拔

RAID模式：RAID 0，1，10，5

网络控制器：一个千兆管理口，双千兆网卡口

标准接口：1×RJ45网络接口
2×USB 2.0接口
1×VGA接口

电源类型：450W/650W双冗余电源