1. 如何定义外部?

至于如何定义外部威胁，则需要对于数据库边界进行明确的界定，而这个数据库边界的界定则具有多变性。第一种定义，从极限的角度来看，由于现在网络边界的模糊，可以把所有来自于数据库之外的访问都定义为外部。如果是这个定义来看，防火墙承载的任务非常繁重，可能不是一个安全设备所能够承担的。第二种定义是数据中心和运维网络可以被定义为内部访问，其他访问定义为外部访问，让防火墙不需要去承载内部运维安全和员工安全，从而更好的工作。

综合看来，我们采用第二种定义，数据库防火墙主要承载数据中心和运维网络之外的数据(库)安全工作。

2. 如何定义数据库防火墙?

一旦准确的定义了什么是外部之后，什么是数据库防火墙就比较清楚了。运维网络之外的访问我们都可以定义为业务访问。

数据库防火墙是一款抵御并消除由于应用程序业务逻辑漏洞或者缺陷所导致的数据(库)安全问题的安全设备或者产品。数据库防火墙一般情况下部署在应用程序服务器和数据库服务器之间，采用数据库协议解析的方式完成。但这并不是唯一的实现方式，你可以部署在数据库外部，可以不采用协议解析。从这个定义可以看出，数据库防火墙其本质目标是给业务应用程序打补丁，避免由于应用程序业务逻辑漏洞或者缺陷影响数据(库)安全。