數據庫因包含有各種有價值的敏感信息，例如金融或知識產權信息、公司數據、個人用戶數據等等，一直是黑客攻擊的目標，黑客企圖通過破壞服務器、數據庫來獲利，因此，數據庫安全測試是必不可少的。

黑客攻擊公司的事件比比皆是，過去的幾年中，Equifax，Facebook，雅虎，蘋果，Gmail，Slack 和 eBay 都曾發生過數據泄露事。而這種情況也引發了企業對網絡安全軟件和 web 應用程序測試的需求，通過采用這些措施，黑客將被拒絕訪問在線數據庫中的可用記錄和文檔。另外，嚴格遵守 GDPR 有助于加強用戶數據保護。

那么數據庫驅動系統中常見的漏洞有哪些呢？我們總結了常見的十大漏洞以及消除這些漏洞的技巧。

??

[[238715]]

部署前無安全測試

數據庫被攻擊最常見的原因之一就是在開發過程中部署階段的疏忽。雖然為了確保高性能，企業可能進行了功能測試，但是這種類型的測試無法顯示數據庫是否正在執行不應該執行的操作。因此，在完全部署之前，使用不同類型的測試來測試網站安全性是非常重要的。

糟糕的加密與數據泄露密不可分

很多人都會把數據庫視為后端部分，因此更多的是在關注 Internet 傳播的威脅，但其實他們都忽略了數據庫也是有網絡接口的，如果軟件安全性很差，黑客同樣可以輕松跟蹤這些接口。為了避免這種情況，使用 TLS 或 SSL 加密通信平臺很重要。

虛弱的網絡安全軟件 = 破碎的數據庫

Equifax 數據泄露事件，公司承認有 1.47 億消費者的數據受到損害，造成的后果非常嚴重。這個案例證明了網絡安全軟件對于保護數據庫的重要性。不過，大多數企業因為缺乏資源或時間原因不愿意進行用戶數據安全測試，甚至也不為系統提供定期補丁，因此容易導致數據泄露。

數據庫被盜

數據庫一般有兩種威脅：外部威脅和內部威脅。在某些情況下，內部威脅的嚴重程度甚至會超過外部威脅，因為無論企業使用什么樣的安全軟件都無法保證員工的忠誠度，任何有權訪問敏感數據的人都有機會竊取它并將其出售給第三方組織以獲取利潤。但是，有一種方法可以消除風險：加密數據庫檔案，實施嚴格的安全標準，在違規情況下罰款，使用網絡安全軟件，并通過公司會議和個人咨詢不斷提高團隊的意識。

??

[[238716]]

功能中的缺陷成為了數據庫安全問題

黑客可以利用數據庫的功能缺陷進行攻擊，通過破解合法憑據并強制系統運行任意代碼。雖然這聽起來有點復雜，但這是基于功能固有的缺陷，所以可以通過安全測試保護數據庫免受第三方訪問。此外，其功能結構越簡單，確保對每個數據庫功能進行良好保護的機會就越多。

弱而復雜的數據庫基礎架構

黑客通常不會一次控制整個數據庫，他們會利用基礎設施中存在的特殊弱點并將其用于自己的優勢。安全軟件無法完全保護系統免受此類操作。即使想要避免功能缺陷，就不要讓整個數據庫基礎結構過于復雜。當它很復雜時，你有可能忘記或忽視檢查和修復它的弱點。因此，重要的是每個部門保持相同的控制量并隔離系統以分散重點并降低可能的風險。

無限的管理訪問 = 糟糕的數據保護

管理員和用戶之間應該有明確的分工，確保團隊是有限制性的訪問，這樣如果有用戶試圖竊取任何數據，那么也會因未參與數據庫管理的過程而遇到更多困難。如果還可以限制用戶帳戶的數量，那就更好了，因為黑客也會在獲得對數據庫的控制權方面遇到更多問題。這種情況通常會發生在金融行業，他們不僅要關心誰有權訪問敏感數據，還要在發布之前執行銀行軟件測試。

測試網站安全性以避免 SQL 注入

因為注入攻擊應用程序，數據庫管理員被迫清除插入到字符串中的惡意代碼和變量。Web 應用程序安全測試和防火墻實施是保護面向 Web 數據庫的最佳選擇。不過，這對于在線業務來說是一個大問題，但對于移動業務來說卻不是挑戰，而對于只有移動版本的應用程序來說這是一個很大的優勢。

密鑰管理不足

對敏感數據進行加密是很重要的，但同樣重要的是要注意誰可以訪問密鑰。由于密鑰通常存儲在硬盤上，因此對于想要竊取的人來說，這顯然是一個容易攻擊的目標。

??

數據庫中的不規范

導致數據庫漏洞的原因多種多樣，因為需要測試網站安全性并定期進行數據保護。如果發現有任何差異，一定要盡快修復。而企業開發人員應該要了解可能會影響數據庫的任何威脅。 

雖然企業可能已經意識到要進行安全測試，但是仍有很多企業都無法實施，因為致命錯誤通常會出現在開發階段，或者是應用程序集成期間、修補和更新數據庫期間。