采集安全數(shù)據(jù)前要確認(rèn)的十個問題
大型安全解決方案供應(yīng)商、政府機(jī)構(gòu)以及一些巨型科技公司的信息中心通常會采集和安全漏洞、威脅以及事故相關(guān)的大量數(shù)據(jù)并進(jìn)行分析。為什么這么做的原因其實(shí)很容易理解。畢竟，對環(huán)境面臨的威脅了解得越多越容易進(jìn)行相關(guān)的處理，以避免或阻止事件的發(fā)生，或者在事件發(fā)生后盡快進(jìn)行有效處理。
但，如果操作不謹(jǐn)慎的話，建立并維護(hù)一個和安全漏洞、威脅以及事故相關(guān)的數(shù)據(jù)庫可能會給系統(tǒng)在安全方面帶來更大的風(fēng)險。因此，在選擇創(chuàng)建并管理信息安全數(shù)據(jù)庫前，請考慮下面提出的十個問題，確認(rèn)你已經(jīng)作好了準(zhǔn)備：
1. 該數(shù)據(jù)庫的設(shè)計(jì)重點(diǎn)是否放在了數(shù)據(jù)格式上，確保其內(nèi)容可以獲得最有效的利用。
為什么要對采集到數(shù)據(jù)庫中的數(shù)據(jù)格式進(jìn)行關(guān)注，是有很多方面的原因。太多的數(shù)據(jù)可能導(dǎo)致難以進(jìn)行篩選和分析，無法得到有實(shí)際意義的結(jié)果。還會降低整個處理過程的速度。在確認(rèn)需要的數(shù)據(jù)類型之前，首先要做的工作是對面臨的威脅進(jìn)行分析，只有這樣才能找到實(shí)際需要的數(shù)據(jù)，而不會出現(xiàn)采集的數(shù)據(jù)過于廣泛，無法獲得真正結(jié)果這樣的情況。只有建立了有效的數(shù)據(jù)采集策略，才能保證整個計(jì)劃的有效運(yùn)行，從而達(dá)到需要的目的。
2. 數(shù)據(jù)庫在運(yùn)行時，是否復(fù)制了不需要在數(shù)據(jù)庫中出現(xiàn)的機(jī)密數(shù)據(jù)?
對于機(jī)密數(shù)據(jù)，不應(yīng)該進(jìn)行不必要的復(fù)制操作。在這里說的機(jī)密數(shù)據(jù)不僅僅包含了大家在通常情況下明確認(rèn)識到的公司專門保護(hù)的機(jī)密信息，而且也包含了在數(shù)據(jù)采集過程中可能產(chǎn)生的和機(jī)密有關(guān)的數(shù)據(jù)，它們的泄露都可能為不法分子的破壞帶來幫助。在沒有獲得許可的時間，不應(yīng)該進(jìn)行和機(jī)密數(shù)據(jù)相關(guān)的任何操作。
3. 在數(shù)據(jù)采集策略和現(xiàn)有網(wǎng)絡(luò)環(huán)境下的安全策略之間是否存在潛在的沖突?
如果對安全策略進(jìn)行了調(diào)整，可能導(dǎo)致數(shù)據(jù)采集策略在調(diào)整的部分進(jìn)行工作時產(chǎn)生沖突。即使沒有進(jìn)行過調(diào)整，但在現(xiàn)實(shí)中存在也是這樣一種可能性的：數(shù)據(jù)采集過程本身就給企業(yè)網(wǎng)絡(luò)環(huán)境帶來了更多的漏洞。因此，在實(shí)施數(shù)據(jù)采集策略前，對整個項(xiàng)目進(jìn)行全面檢查，確保沒有潛在漏洞出現(xiàn)的跡象。不僅在為了采集數(shù)據(jù)導(dǎo)致新的漏洞出現(xiàn)或者現(xiàn)有的安全策略可能遭到削弱這種情況的時間，要考慮是否調(diào)整或者放棄數(shù)據(jù)采集工具，而且也要考慮到進(jìn)行數(shù)據(jù)采集也不一定要調(diào)整安全策略，畢竟安全策略才是真正的重中之重。
4. 是否采取了措施保證采集的數(shù)據(jù)不會被濫用?
事情是眾所周知的，數(shù)據(jù)庫會有人訪問，也需要人來建立和維護(hù)。如果這些人獲取了里面的數(shù)據(jù)，并用于不恰當(dāng)甚至錯誤惡意的地方，應(yīng)該怎么辦?為了解決這個問題，就需要設(shè)立專門的負(fù)責(zé)人，并對他們的活動進(jìn)行監(jiān)控。在這里需要注意的時間，不要在未經(jīng)授權(quán)的情況下進(jìn)行監(jiān)控，以防止機(jī)密數(shù)據(jù)泄露。如果發(fā)現(xiàn)了違規(guī)行為，負(fù)責(zé)人應(yīng)該馬上進(jìn)行處理。
5. 數(shù)據(jù)庫本身是否應(yīng)該支持未經(jīng)授權(quán)的訪問?
數(shù)據(jù)庫的安全解決方案從運(yùn)行開始的第一天就應(yīng)該到位，這是不用說的。如果威脅數(shù)據(jù)庫在建立的過程中沒有安全措施的話，就會出現(xiàn)未經(jīng)授權(quán)的訪問連接到數(shù)據(jù)庫上，在沒有得到容許的情況下獲取相關(guān)的數(shù)據(jù)。實(shí)際上，后果可能會變得更糟糕(這取決于數(shù)據(jù)庫數(shù)據(jù)的實(shí)際存儲量)，未經(jīng)授權(quán)的人可以改變數(shù)據(jù)，影響分析的結(jié)果，導(dǎo)致安全策略的改善和威脅應(yīng)對措施變得沒有預(yù)計(jì)的那么有效。
實(shí)際上，認(rèn)識到這點(diǎn)是非常重要的，并不是將所有的數(shù)據(jù)都牢牢地進(jìn)行保護(hù)才是最安全的做法。對于非機(jī)密數(shù)據(jù)進(jìn)行保護(hù)是一件非常困難的事情，我們應(yīng)該做的是確保真正需要保密數(shù)據(jù)的安全，對非機(jī)密數(shù)據(jù)進(jìn)行公開可以為安全分析帶來更好的效果。數(shù)據(jù)庫管理和分析工作團(tuán)隊(duì)都可利用它們進(jìn)行分析，獲得安全方面的額外改善。發(fā)布非機(jī)密信息被證明是一件非常有用的事情。在這里，需要注意的是，確定該數(shù)據(jù)確實(shí)是非機(jī)密的，并且通過這些已經(jīng)獲準(zhǔn)公布的數(shù)據(jù)無法獲得更多的機(jī)密數(shù)據(jù)。
6. 是否應(yīng)該為數(shù)據(jù)庫建立經(jīng)過詳細(xì)分析和認(rèn)證的訪問控制列表，以最大限度保證其中數(shù)據(jù)的安全?
如果過多甚至錯誤的訪問者都可以查看威脅數(shù)據(jù)庫中信息的話，就有可能給數(shù)據(jù)庫本身和包含在里面的數(shù)據(jù)帶來危害。對于沒有實(shí)際需求或者類似情況的訪問要求應(yīng)該予以阻止，以保證數(shù)據(jù)庫的安全;對于確實(shí)存在實(shí)際用途的訪問，應(yīng)該保證訪問過程的安全，以防止數(shù)據(jù)庫遇到伴隨而來的直接威脅。此外，設(shè)定訪問標(biāo)準(zhǔn)的時間應(yīng)該保持嚴(yán)謹(jǐn)?shù)膽B(tài)度，盡量減少進(jìn)入數(shù)據(jù)庫的時間帶來的風(fēng)險，并且確保存在明確的管理權(quán)限，不是所有人都可以批準(zhǔn)連接。采用默認(rèn)否定的授權(quán)模式;只有在外部人員存在確實(shí)需求的時間，才給予相應(yīng)的授權(quán)，并且只有確認(rèn)不會給數(shù)據(jù)庫帶來風(fēng)險的時間，才對數(shù)據(jù)和相關(guān)的其它業(yè)務(wù)信息進(jìn)行保存。
7. 應(yīng)該對獲得訪問數(shù)據(jù)庫授權(quán)的使用者進(jìn)行怎樣的培訓(xùn)，以避免出現(xiàn)錯誤導(dǎo)致數(shù)據(jù)庫安全受到影響?
為了保證數(shù)據(jù)庫的安全，僅僅采用授權(quán)模式是遠(yuǎn)遠(yuǎn)不夠的。你不僅僅應(yīng)該考慮到人們是否存在獲得數(shù)據(jù)進(jìn)行工作的需求，或者他們的目的是否是無害的;而且也應(yīng)該確保他們已經(jīng)了解安全策略和不遵循的話會帶來的危險后果，防止他們由于無意識的操作而給系統(tǒng)帶來更大的漏洞。如果有必要的話，就需要確保獲得訪問數(shù)據(jù)庫授權(quán)的使用者進(jìn)行了適當(dāng)?shù)呐嘤?xùn)，讓他們了解這樣操作的原因，以及不恰當(dāng)?shù)牟僮鲿硎裁礃拥暮蠊苊饨o數(shù)據(jù)庫安全造成損害，
8. 管理數(shù)據(jù)庫的時間是否應(yīng)該采用可以區(qū)分授權(quán)和未經(jīng)授權(quán)更改的日志審計(jì)模式?
對于這個問題來說，答案永遠(yuǎn)都是“應(yīng)該”，除非你有一個經(jīng)過深思熟慮內(nèi)容非常具體的安全理由可以證明不這樣做更安全。
9. 在設(shè)計(jì)威脅數(shù)據(jù)庫的時間是否可以對沒有實(shí)際需求的功能進(jìn)行簡化?
安東尼·德·圣埃克蘇佩里這樣說過：“對于設(shè)計(jì)師來說，一個不能多，一個也不能少，才是最佳的設(shè)計(jì)”。阿爾伯特·愛因斯坦則認(rèn)為：“一切設(shè)計(jì)都應(yīng)該簡單簡單再簡單，直到不能更簡單為止”。而查爾斯·安東尼·理查德·霍爾的觀點(diǎn)是：“進(jìn)行軟件設(shè)計(jì)有兩種方法：一種是讓軟件變得簡單并且沒有明顯的漏洞，而另一種則是盡可能復(fù)雜一些以消除明顯的漏洞”。實(shí)際上，上面的三種說法都是正確的，特別是對于安全來說。
簡單是安全最好的朋友。而復(fù)雜則是其最大的敵人。為了最大限度地提高安全性，我們總是應(yīng)該對新安全項(xiàng)目設(shè)計(jì)進(jìn)行簡化，而最佳的狀態(tài)就是讓該項(xiàng)目帶來的安全效果大于可能被帶入的潛在安全漏洞帶來的損失。
10. 如果數(shù)據(jù)庫本身成為安全方面的缺陷的話，這時間應(yīng)該怎么辦?
正如在剛才討論設(shè)計(jì)簡化的時間我指出的，如果數(shù)據(jù)庫本身為安全帶來了新的潛在漏洞，你要做的當(dāng)然不是盡快地部署它。總的來說，這時間我們就需要對數(shù)據(jù)庫進(jìn)行調(diào)整，直到潛在的漏洞被清除。在這種嚴(yán)峻的情況發(fā)生的時間，請務(wù)必做好充分的準(zhǔn)備。
當(dāng)然，對公共數(shù)據(jù)進(jìn)行匯總和分析的時間，不要關(guān)注所有這些問題，但如果你建設(shè)的是涉及到少量公共數(shù)據(jù)的威脅數(shù)據(jù)庫項(xiàng)目的話，請確保已經(jīng)對上述列表中的這些問題有了明確的答案。就目前而言，由于整個政府機(jī)構(gòu)的普遍無能，官方的數(shù)據(jù)采集和分析工具，是不可避免的出現(xiàn)低級錯誤的。即使現(xiàn)在沒有發(fā)生，下屆選舉的時間也有可能發(fā)生，或者是在該項(xiàng)目預(yù)算進(jìn)行調(diào)整的時間。
對于這個問題，企業(yè)和項(xiàng)目緊急反應(yīng)小組不應(yīng)該認(rèn)為他們是置身事外的，僅僅因?yàn)檎粫⑴c它們的事務(wù)。任何情況下，在決定采集和安全相關(guān)的數(shù)據(jù)并進(jìn)行分析的時間，必須首先對這樣做會導(dǎo)致的后果進(jìn)行分析，確保所有的人都受到了足夠的保護(hù)，不會受到濫用、連累以及疏忽等情況帶來的損害。
【編輯推薦】
