認(rèn)識(shí)數(shù)據(jù)庫(kù)安全威脅 保護(hù)數(shù)據(jù)安全（1）
數(shù)據(jù)庫(kù)安全威脅 1 - 審計(jì)記錄不足
自動(dòng)記錄所有敏感的和/或異常的數(shù)據(jù)庫(kù)事務(wù)應(yīng)該是所有數(shù)據(jù)庫(kù)部署基礎(chǔ)的一部分。如果數(shù)據(jù)庫(kù)審計(jì)策略不足，則組織將在很多級(jí)別上面臨嚴(yán)重風(fēng)險(xiǎn)。
數(shù)據(jù)庫(kù)安全威脅 2 - 拒絕服務(wù)
拒絕服務(wù) (DOS)是一個(gè)寬泛的攻擊類(lèi)別，在此攻擊中正常用戶對(duì)網(wǎng)絡(luò)應(yīng)用程序或數(shù)據(jù)的訪問(wèn)被拒絕?？梢酝ㄟ^(guò)多種技巧為拒絕服務(wù) (DOS)攻擊創(chuàng)造條件，其中很多都與上文提到的漏洞有關(guān)。例如，可以利用數(shù)據(jù)庫(kù)平臺(tái)漏洞來(lái)制造拒絕服務(wù)攻擊，從而使服務(wù)器崩潰。其他常見(jiàn)的拒絕服務(wù)攻擊技巧包括數(shù)據(jù)破壞、網(wǎng)絡(luò)泛洪和服務(wù)器資源過(guò)載（內(nèi)存、CPU 等）。資源過(guò)載在數(shù)據(jù)庫(kù)環(huán)境中尤為普遍。
數(shù)據(jù)庫(kù)安全威脅 3 - 數(shù)據(jù)庫(kù)通信協(xié)議漏洞
在所有數(shù)據(jù)庫(kù)供應(yīng)商的數(shù)據(jù)庫(kù)通信協(xié)議中，發(fā)現(xiàn)了越來(lái)越多的安全漏洞。在兩個(gè)最新的 IBMDB2 Fix Pack 中，七個(gè)安全修復(fù)程序中有四個(gè)是針對(duì)協(xié)議漏洞1。同樣地，最新的 Oracle 季度補(bǔ)丁程序所修復(fù)的 23個(gè)數(shù)據(jù)庫(kù)漏洞中有 11 個(gè)與協(xié)議有關(guān)。針對(duì)這些漏洞的欺騙性活動(dòng)包括未經(jīng)授權(quán)的數(shù)據(jù)訪問(wèn)、數(shù)據(jù)破壞以及拒絕服務(wù)。例如， SQL Slammer2蠕蟲(chóng)就是利用了 Microsoft SQL Server協(xié)議中的漏洞實(shí)施拒絕服務(wù)攻擊。更糟糕的是，由于自身數(shù)據(jù)庫(kù)審計(jì)機(jī)制不審計(jì)協(xié)議操作，所以在自身審計(jì)記錄中不存在這些欺騙性活動(dòng)的記錄。
數(shù)據(jù)庫(kù)安全威脅 4- 身份驗(yàn)證不足
薄弱的身份驗(yàn)證方案可以使攻擊者竊取或以其他方法獲得登錄憑據(jù)，從而獲取合法的數(shù)據(jù)庫(kù)用戶的身份。攻擊者可以采取很多策略來(lái)獲取憑據(jù)。
暴力- 攻擊者不斷地輸入用戶名/密碼組合，直到找到可以登錄的一組。暴力過(guò)程可能是靠猜測(cè)，也可能是系統(tǒng)地枚舉可能的用戶名/密碼組合。通常，攻擊者會(huì)使用自動(dòng)化程序來(lái)加快暴力過(guò)程的速度。
社會(huì)工程– 在這個(gè)方案中，攻擊者利用人天生容易相信別人的傾向來(lái)獲取他人的信任，從而獲得其登錄憑據(jù)。例如，攻擊者可能在電話中偽裝成一名 IT 經(jīng)理，以“系統(tǒng)維護(hù)”為由要求提供登錄憑據(jù)。
直接竊取憑據(jù)– 攻擊者可能通過(guò)抄寫(xiě)即時(shí)貼上的內(nèi)容或復(fù)制密碼文件來(lái)竊取登錄憑據(jù)。
數(shù)據(jù)庫(kù)安全威脅 5 - 備份數(shù)據(jù)暴露
經(jīng)常情況下，備份數(shù)據(jù)庫(kù)存儲(chǔ)介質(zhì)對(duì)于攻擊者是毫無(wú)防護(hù)措施的。因此，在若干起著名的安全破壞活動(dòng)中，都是數(shù)據(jù)庫(kù)備份磁帶和硬盤(pán)被盜。防止備份數(shù)據(jù)暴露所有數(shù)據(jù)庫(kù)備份都應(yīng)加密。實(shí)際上，某些供應(yīng)商已經(jīng)建議在未來(lái)的 DBMS產(chǎn)品中不應(yīng)支持創(chuàng)建未加密的備份。建議經(jīng)常對(duì)聯(lián)機(jī)的生產(chǎn)數(shù)據(jù)庫(kù)信息進(jìn)行加密，但是由于性能問(wèn)題和密鑰管理不善問(wèn)題，這一加密方法通常是不現(xiàn)實(shí)的，并且一般被公認(rèn)為是上文介紹的細(xì)化的權(quán)限控制的不理想的替代方法。
至于對(duì)策，有的其實(shí)由DBA通過(guò)一些配置和加固就可以DIY，當(dāng)然，有的還需要考慮引入第三方的產(chǎn)品，例如對(duì)于提權(quán)行為、濫用合法權(quán)限行為、SQL注入行為的判定。在以后，我還會(huì)更多地談及數(shù)據(jù)庫(kù)審計(jì)的話題。
數(shù)據(jù)庫(kù)的安全問(wèn)題是個(gè)很?chē)?yán)重的話題，需要每一位學(xué)者認(rèn)真對(duì)待。
【編輯推薦】
