安恒信息：深入淺出數(shù)據(jù)庫(kù)安全審計(jì)

2013-10-22 10:30:40 eNet硅谷動(dòng)力　點(diǎn)擊量：評(píng)論 (0)

數(shù)據(jù)庫(kù)安全現(xiàn)狀　　大學(xué)數(shù)據(jù)庫(kù)原理教科書(shū)中，數(shù)據(jù)庫(kù)是這樣被解釋的：數(shù)據(jù)庫(kù)是計(jì)算機(jī)應(yīng)用系統(tǒng)中的一種專(zhuān)門(mén)管理數(shù)據(jù)庫(kù)資源的系統(tǒng)。數(shù)據(jù)具有多種形式，如文字數(shù)碼符號(hào) 圖形圖象以及聲音。數(shù)據(jù)庫(kù)系統(tǒng)立足于數(shù)

數(shù)據(jù)庫(kù)安全現(xiàn)狀

　　大學(xué)數(shù)據(jù)庫(kù)原理教科書(shū)中，數(shù)據(jù)庫(kù)是這樣被解釋的：數(shù)據(jù)庫(kù)是計(jì)算機(jī)應(yīng)用系統(tǒng)中的一種專(zhuān)門(mén)管理數(shù)據(jù)庫(kù)資源的系統(tǒng)。數(shù)據(jù)具有多種形式，如文字/數(shù)碼/符號(hào)/圖形/圖象以及聲音。數(shù)據(jù)庫(kù)系統(tǒng)立足于數(shù)據(jù)本身的管理，將所有的數(shù)據(jù)保存于數(shù)據(jù)庫(kù)中，進(jìn)行科學(xué)地組織，借助于數(shù)據(jù)庫(kù)管理系統(tǒng)，并以此為中介，與各種應(yīng)用程序或應(yīng)用系統(tǒng)接口，使之能方便地使用并管理數(shù)據(jù)庫(kù)中的數(shù)據(jù)，如數(shù)據(jù)查詢(xún)/添加/刪除/修改等。

　　數(shù)據(jù)庫(kù)無(wú)所不在。海量的數(shù)據(jù)信息因?yàn)閿?shù)據(jù)庫(kù)的產(chǎn)生而變得更加容易管理和使用。政府、金融、運(yùn)營(yíng)商、公安、能源、稅務(wù)、工商、社保、交通、衛(wèi)生、教育、電子商務(wù)及企業(yè)等行業(yè)，紛紛建立起各自的數(shù)據(jù)庫(kù)應(yīng)用系統(tǒng)，以便隨時(shí)對(duì)數(shù)據(jù)庫(kù)中海量的數(shù)據(jù)進(jìn)行管理和使用，國(guó)家/社會(huì)的發(fā)展帶入信息時(shí)代。同時(shí)，隨著互聯(lián)網(wǎng)的發(fā)展，數(shù)據(jù)庫(kù)作為網(wǎng)絡(luò)的重要應(yīng)用，在網(wǎng)站建設(shè)和網(wǎng)絡(luò)營(yíng)銷(xiāo)中發(fā)揮著重要的作用，包括信息收集/信息查詢(xún)及搜索/產(chǎn)品或業(yè)務(wù)管理/新聞發(fā)布/BBS論壇等等。

　　然而，信息技術(shù)是一把雙刃劍，為社會(huì)的進(jìn)步和發(fā)展帶來(lái)遍歷的同時(shí)，也帶來(lái)了許多的安全隱患。對(duì)數(shù)據(jù)庫(kù)而言，其存在的安全隱患存在更加難以估計(jì)的風(fēng)險(xiǎn)值，數(shù)據(jù)庫(kù)安全事件曾出不窮：

　　某系統(tǒng)開(kāi)發(fā)工程師通過(guò)互聯(lián)網(wǎng)入侵移動(dòng)中心數(shù)據(jù)庫(kù)，盜取沖值卡

　　某醫(yī)院數(shù)據(jù)庫(kù)系統(tǒng)遭到非法入侵，導(dǎo)致上萬(wàn)名患者私隱信息被盜取

　　某網(wǎng)游公司內(nèi)部數(shù)據(jù)庫(kù)管理人員通過(guò)違規(guī)修改數(shù)據(jù)庫(kù)數(shù)據(jù)盜竊網(wǎng)游點(diǎn)卡

　　黑客利用SQL注入攻擊，入侵某防病毒軟件數(shù)據(jù)庫(kù)中心，竊取大量機(jī)密信息，導(dǎo)致該防病毒軟件公司嚴(yán)重?fù)p失

　　某證券交易所內(nèi)部數(shù)據(jù)庫(kù)造黑客股民入侵，盜竊證券交易內(nèi)部報(bào)告

　　……

　　數(shù)據(jù)庫(kù)安全面臨內(nèi)部惡意操作以及外部惡意入侵兩大夾擊。如何有效保護(hù)數(shù)據(jù)庫(kù)信息成為當(dāng)前信息安全界最為關(guān)注的課題。

數(shù)據(jù)庫(kù)安全分析

　　三大安全風(fēng)險(xiǎn)

　　數(shù)據(jù)庫(kù)是任何商業(yè)和公共安全中最具有戰(zhàn)略性的資產(chǎn)，通常都保存著重要的商業(yè)伙伴和客戶(hù)信息，這些信息需要被保護(hù)起來(lái)，以防止競(jìng)爭(zhēng)者和其他非法者獲取。互聯(lián)網(wǎng)的急速發(fā)展使得企業(yè)數(shù)據(jù)庫(kù)信息的價(jià)值及可訪問(wèn)性得到了提升，同時(shí)，也致使數(shù)據(jù)庫(kù)信息資產(chǎn)面臨嚴(yán)峻的挑戰(zhàn)，概括起來(lái)主要表現(xiàn)在以下三個(gè)層面：

　　管理層面：主要表現(xiàn)為人員的職責(zé)、流程有待完善，內(nèi)部員工的日常操作有待規(guī)范，第三方維護(hù)人員的操作監(jiān)控失效等等，致使安全事件發(fā)生時(shí)，無(wú)法追溯并定位真實(shí)的操作者。

　　技術(shù)層面：現(xiàn)有的數(shù)據(jù)庫(kù)內(nèi)部操作不明，無(wú)法通過(guò)外部的任何安全工具（比如：防火墻、IDS、IPS等）來(lái)阻止內(nèi)部用戶(hù)的惡意操作、濫用資源和泄露企業(yè)機(jī)密信息等行為。

　　審計(jì)層面：現(xiàn)有的依賴(lài)于數(shù)據(jù)庫(kù)日志文件的審計(jì)方法，存在諸多的弊端，比如：數(shù)據(jù)庫(kù)審計(jì)功能的開(kāi)啟會(huì)影響數(shù)據(jù)庫(kù)本身的性能、數(shù)據(jù)庫(kù)日志文件本身存在被篡改的風(fēng)險(xiǎn)，難于體現(xiàn)審計(jì)信息的真實(shí)性。

　　伴隨著數(shù)據(jù)庫(kù)信息價(jià)值以及可訪問(wèn)性提升，使得數(shù)據(jù)庫(kù)面對(duì)來(lái)自?xún)?nèi)部和外部的安全風(fēng)險(xiǎn)大大增加，如違規(guī)越權(quán)操作、惡意入侵導(dǎo)致機(jī)密信息竊取泄漏，但事后卻無(wú)法有效追溯和審計(jì)。

　　傳統(tǒng)數(shù)據(jù)庫(kù)安全方案缺陷

　　傳統(tǒng)的審計(jì)方案，或多或少存在一些缺陷，主要表現(xiàn)在以下兩個(gè)方面。

　　傳統(tǒng)網(wǎng)絡(luò)安全方案：依靠傳統(tǒng)的網(wǎng)絡(luò)防火墻及入侵保護(hù)系統(tǒng)（IPS），在網(wǎng)絡(luò)中檢查并實(shí)施數(shù)據(jù)庫(kù)訪問(wèn)控制策略。但是網(wǎng)絡(luò)防火墻只能實(shí)現(xiàn)對(duì)IP地址、端口及協(xié)議的訪問(wèn)控制，無(wú)法識(shí)別特定用戶(hù)的具體數(shù)據(jù)庫(kù)活動(dòng)（比如：某個(gè)用戶(hù)使用數(shù)據(jù)庫(kù)客戶(hù)端刪除某張數(shù)據(jù)庫(kù)表）；而 IPS雖然可以依賴(lài)特征庫(kù)有限阻止數(shù)據(jù)庫(kù)軟件已知漏洞的攻擊，但他同樣無(wú)法判別具體的數(shù)據(jù)庫(kù)用戶(hù)活動(dòng)，更談不上細(xì)粒度的審計(jì)。因此，無(wú)論是防火墻，還是 IPS都不能解決數(shù)據(jù)庫(kù)特權(quán)濫用等問(wèn)題。

基于日志收集方案：需要數(shù)據(jù)庫(kù)軟件本身開(kāi)啟審計(jì)功能，通過(guò)采集數(shù)據(jù)庫(kù)系統(tǒng)日志信息的方法形成審計(jì)報(bào)告，這樣的審計(jì)方案受限于數(shù)據(jù)庫(kù)的審計(jì)日志功能和訪問(wèn)控制功能，在審計(jì)深度、審計(jì)響應(yīng)的實(shí)時(shí)性方面都難以獲得很好的審計(jì)效果。同時(shí)，開(kāi)啟數(shù)據(jù)庫(kù)審計(jì)功能，一方面會(huì)增加數(shù)據(jù)庫(kù)服務(wù)器的

上一頁(yè) 1 2 3 4 下一頁(yè)

責(zé)任編輯：和碩涵

免責(zé)聲明：本文僅代表作者個(gè)人觀點(diǎn)，與本站無(wú)關(guān)。其原創(chuàng)性以及文中陳述文字和內(nèi)容未經(jīng)本站證實(shí)，對(duì)本文以及其中全部或者部分內(nèi)容、文字的真實(shí)性、完整性、及時(shí)性本站不作任何保證或承諾，請(qǐng)讀者僅作參考，并請(qǐng)自行核實(shí)相關(guān)內(nèi)容。

我要收藏

個(gè)贊