烽火臺(tái)已經(jīng)和大家接觸了有段日子了，相信通過(guò)前面十幾臺(tái)的介紹，大家已經(jīng)對(duì)它的功能、特點(diǎn)有了比較深的了解。今天的主題是數(shù)據(jù)庫(kù)安全，借著這個(gè)機(jī)會(huì)給大家介紹下我們的烽火臺(tái)和銳御WAF如何雙劍合璧來(lái)保障數(shù)據(jù)庫(kù)安全。

數(shù)據(jù)是Web應(yīng)用的核心資源，存放數(shù)據(jù)的數(shù)據(jù)庫(kù)也是一個(gè)非常重要的資產(chǎn)，而數(shù)據(jù)庫(kù)是否真的安全呢，其實(shí)不然，根據(jù)調(diào)查2015年新發(fā)現(xiàn)的數(shù)據(jù)庫(kù)漏洞統(tǒng)計(jì)眾多，其中mysql新發(fā)現(xiàn)了47個(gè)漏洞占據(jù)了總數(shù)的62%、oracle新發(fā)現(xiàn)了14個(gè)漏洞占據(jù)了總數(shù)的18%，這兩種數(shù)據(jù)庫(kù)是業(yè)界使用最廣泛的，每年仍能新發(fā)現(xiàn)這么多的漏洞信息，由此可見(jiàn)數(shù)據(jù)庫(kù)安全隱患還是非常大的。

數(shù)據(jù)庫(kù)存在如此嚴(yán)重的威脅，面對(duì)這些威脅盛邦安全對(duì)數(shù)據(jù)庫(kù)的安全如何保障呢?

做好數(shù)據(jù)庫(kù)安全的第一點(diǎn)是要做好日常的安全檢查，可以使用烽火臺(tái)對(duì)數(shù)據(jù)庫(kù)資產(chǎn)進(jìn)行定期的安全檢查，能夠有效的檢查到數(shù)據(jù)庫(kù)系統(tǒng)軟件本身存在的已知漏洞、數(shù)據(jù)庫(kù)系統(tǒng)的各項(xiàng)設(shè)置錯(cuò)誤、數(shù)據(jù)庫(kù)系統(tǒng)完整性等問(wèn)題。最后根據(jù)檢測(cè)結(jié)果對(duì)數(shù)據(jù)庫(kù)系統(tǒng)的整體安全性做出專(zhuān)業(yè)評(píng)估，并給出相應(yīng)的修復(fù)建議。

目前烽火臺(tái)支持檢測(cè)數(shù)據(jù)庫(kù)類(lèi)型眾多，包含主流的數(shù)據(jù)庫(kù)，如Oracle、MySQL、DB2、PostgreSQL、sybase、SQL Server等。

對(duì)于數(shù)據(jù)庫(kù)的檢測(cè)漏洞現(xiàn)在已經(jīng)多達(dá)2600多條，并且對(duì)于漏洞的更新頻率為一周一更新，我們的漏洞來(lái)源分成三方面：

1.高危緊急漏洞，我們研發(fā)自己寫(xiě)PoC，自研漏洞庫(kù)。

2.針對(duì)第三方收費(fèi)組織(如國(guó)外的qualys 四葉草)，購(gòu)買(mǎi)合作。

3.第三方公開(kāi)免費(fèi)的漏洞庫(kù)定期收集。

相信通過(guò)這些日常的安全檢查可以有效幫助維護(hù)人員及時(shí)的發(fā)現(xiàn)數(shù)據(jù)庫(kù)存在的各種問(wèn)題，以便更好的處理存在的安全隱患。

做好數(shù)據(jù)庫(kù)安全第二點(diǎn)是針對(duì)各種數(shù)據(jù)庫(kù)的攻擊以及拖庫(kù)、暴庫(kù)危險(xiǎn)動(dòng)作等進(jìn)行有效的阻斷防御。

黑客想要對(duì)數(shù)據(jù)庫(kù)進(jìn)行非法操作必然要尋找Web服務(wù)器上的SQL注入漏洞，把銳御WAF部署在Web服務(wù)器及數(shù)據(jù)庫(kù)服務(wù)器的前端，通過(guò)WAF有效的分析經(jīng)過(guò)的http數(shù)據(jù)包，過(guò)濾掉帶有攻擊參數(shù)的http數(shù)據(jù)，從而屏蔽掉黑客的SQL注入攻擊。

以上是對(duì)于非常規(guī)手段的拖庫(kù)防護(hù)，那么對(duì)于正常訪問(wèn)方式的裝庫(kù)等操作如何來(lái)防范呢。

WAF具有特征識(shí)別以及數(shù)據(jù)模糊混淆等技術(shù)。特征識(shí)別和數(shù)據(jù)模糊混淆匹配則是使用WAF的敏感信息檢測(cè)規(guī)則來(lái)對(duì)正常的訪問(wèn)數(shù)據(jù)進(jìn)行防范，它能夠把數(shù)據(jù)包中的帶有的敏感信息進(jìn)行過(guò)濾屏蔽加密等處理，如手機(jī)號(hào)碼、銀行卡號(hào)、身份證號(hào)碼等信息，讓黑客即使拿到這些信息也不能為己所用，從而有效的防范拖庫(kù)行為。

做好數(shù)據(jù)庫(kù)安全第三點(diǎn)是排查銳御WAF的各種日志，對(duì)用戶訪問(wèn)數(shù)據(jù)庫(kù)行為的記錄進(jìn)行審計(jì)分析，幫助用戶事后進(jìn)行數(shù)據(jù)泄密行為的追根溯源，提高數(shù)據(jù)資產(chǎn)安全。

盛邦安全烽火臺(tái)以及銳御WAF的雙劍合璧保護(hù)，通過(guò)以上三點(diǎn)對(duì)數(shù)據(jù)庫(kù)進(jìn)行全面的安全檢測(cè)及有效的數(shù)據(jù)過(guò)濾，以保證數(shù)據(jù)庫(kù)的安全，也是現(xiàn)階段解決網(wǎng)站安全問(wèn)題的一個(gè)有效手段。