以技術(shù)為中心的時代，信息至關(guān)重要。數(shù)據(jù)庫及其安全性已成為每個企業(yè)極具挑戰(zhàn)性的任務(wù)。數(shù)據(jù)庫可以包含關(guān)鍵信息，例如個人身份、信用卡信息、金融交易以及應(yīng)用程序密碼，這些都是對黑客和網(wǎng)絡(luò)犯罪分子有價值的信息。根據(jù)金雅拓的數(shù)據(jù)泄露水平指數(shù)，2018年上半年大約有35億條記錄違規(guī)，比2017年上半年增加了72%。數(shù)據(jù)泄露的后果對企業(yè)來說代價是非常昂貴的。即使是一個小漏洞或錯誤，也可能讓攻擊者掌握耗資數(shù)百萬的數(shù)據(jù)庫系統(tǒng)。為了防止這種事情的發(fā)生，企業(yè)應(yīng)該防患于未然，考慮一切有可能破壞數(shù)據(jù)庫的因素，防止有價值的信息受到損害。

[[269491]]

復(fù)雜的后端系統(tǒng)中，企業(yè)數(shù)據(jù)庫中的關(guān)鍵信息極易受到網(wǎng)絡(luò)威脅。以下方法可以幫助企業(yè)在很大程度上保護數(shù)據(jù)庫：

• 隔離Web服務(wù)器和數(shù)據(jù)庫
• 設(shè)置Web應(yīng)用程序防火墻(WAF)和反惡意軟件解決方案
• 實施數(shù)據(jù)加密和備份
• 用戶帳戶管理
• 定期更新和實施補丁

1、隔離Web服務(wù)器和數(shù)據(jù)庫

在同一臺機器上部署應(yīng)用程序和數(shù)據(jù)庫會導(dǎo)致攻擊者更容易進入系統(tǒng)，因為只需破解一臺服務(wù)器的管理員帳戶就能訪問整個數(shù)據(jù)庫，這是一個巨大的安全漏洞。

為了保護企業(yè)的敏感信息不受未經(jīng)授權(quán)的訪問，IT管理員應(yīng)該將服務(wù)器(應(yīng)用程序和數(shù)據(jù)庫)保存在不同的物理機上。應(yīng)用程序的高性能主機服務(wù)器可能最好，但為了存儲客戶的有價值數(shù)據(jù)，企業(yè)必須選擇單獨的數(shù)據(jù)庫服務(wù)器，該服務(wù)器需支持高級安全特性(如多因素身份驗證)和適當?shù)脑L問權(quán)限。

2、設(shè)置Web應(yīng)用程序防火墻(WAF)和反惡意軟件解決方案

設(shè)置防火墻是阻止攻擊者的另一種有效方法。防火墻通過拒絕未經(jīng)授權(quán)的訪問來確保數(shù)據(jù)庫安全，但如果需要，它可以監(jiān)控公司員工訪問服務(wù)器的行為。例如，SQL注入是攻擊者為入侵系統(tǒng)而進行的最常見的攻擊，但這可以通過適當?shù)姆阑饓ε渲脕頇z查并防范。

一旦企業(yè)建立了數(shù)據(jù)庫，就應(yīng)該確保計算機被防火墻完全保護，防火墻能夠過濾任何出站連接和任何想要訪問有用信息的請求(除了必要的請求)。此外，企業(yè)應(yīng)該確保數(shù)據(jù)庫服務(wù)器也可以通過安裝反惡意軟件和反勒索軟件來防范惡意攻擊，或者只允許來自可信源或特定web服務(wù)器的訪問，定期檢查數(shù)據(jù)庫服務(wù)器上的防火墻規(guī)則，并定期通過網(wǎng)絡(luò)掃描或允許ISP掃描進行測試。另外，應(yīng)該關(guān)閉數(shù)據(jù)庫服務(wù)器上從未使用或不必要的服務(wù)。

3、實施數(shù)據(jù)加密和備份

意外時刻都會發(fā)生，企業(yè)應(yīng)該時刻準備好額外的保護層，以防止數(shù)據(jù)受到損害。這個額外的保護層可以通過加密實現(xiàn)，這樣攻擊者即使可以訪問數(shù)據(jù)庫，也需要再去破解密碼。

第一階段的加密需要使用應(yīng)用程序服務(wù)器或數(shù)據(jù)庫服務(wù)器上的私鑰來實現(xiàn)。因此，即使攻擊者獲得對數(shù)據(jù)庫的訪問權(quán)限，他們也無法輕松解密或讀取數(shù)據(jù)。第二階段需要對傳輸中的數(shù)據(jù)進行加密，這意味著數(shù)據(jù)在通過網(wǎng)絡(luò)從應(yīng)用服務(wù)器移動到數(shù)據(jù)庫服務(wù)器之前就被加密，反之亦然。

4、用戶帳戶管理

除了犯罪分子，企業(yè)的員工也可能會對有價值的數(shù)據(jù)構(gòu)成重大威脅。很多具有不同角色的用戶可能經(jīng)常訪問數(shù)據(jù)庫，他們可能沒有惡意，但仍有可能大規(guī)模泄露機密信息。這就是為什么管理用戶帳戶變得至關(guān)重要的原因。

企業(yè)應(yīng)該盡量使訪問數(shù)據(jù)庫的用戶最少。只有在需要時，才應(yīng)向授權(quán)用戶提供使用一次性密碼(OTP)技術(shù)訪問數(shù)據(jù)庫的權(quán)限，以避免用戶在其他時間進行任何未經(jīng)授權(quán)的訪問。應(yīng)強制使用強密碼來訪問數(shù)據(jù)庫，數(shù)據(jù)庫憑據(jù)應(yīng)以哈希加鹽法存儲，這樣它們就不可讀了。另外，應(yīng)定期維護活動日志，以監(jiān)控與查詢和請求相關(guān)的所有活動。如果企業(yè)遇到數(shù)據(jù)泄露，審計和日志記錄可以幫助調(diào)查可疑活動。

5、定期更新和實施補丁

許多后端系統(tǒng)在其應(yīng)用程序中使用第三方api、應(yīng)用程序和插件，這可能是網(wǎng)絡(luò)罪犯的目標。為了解決這個問題，企業(yè)應(yīng)該建立健全的應(yīng)用更新系統(tǒng)，以避免網(wǎng)絡(luò)罪犯利用任何已知的漏洞對系統(tǒng)進行破壞。

保持所有第三方軟件、api和插件更新到最新版本，這些更新應(yīng)該定期進行或者在API和插件供應(yīng)商發(fā)布新補丁時進行，這確保了最新的版本能夠用最新的網(wǎng)絡(luò)威脅免疫系統(tǒng)。不僅如此，應(yīng)用程序中不使用的插件、api或服務(wù)應(yīng)該完全從系統(tǒng)中刪除或停用。

關(guān)于數(shù)據(jù)庫保護的其他建議

無論數(shù)據(jù)庫服務(wù)器受到多大程度的保護，攻擊者總有可能滲入系統(tǒng)，所以要經(jīng)常備份數(shù)據(jù)庫的加密副本，這就保證了即使數(shù)據(jù)庫被破壞時也可以恢復(fù)數(shù)據(jù)。

設(shè)置數(shù)據(jù)庫代理也可能是一個很好的解決方案，因為它位于應(yīng)用程序和數(shù)據(jù)庫之間。它能解析查詢，只接受來自應(yīng)用程序服務(wù)器的請求，并阻止任何其他未通過可信源生成的請求。

數(shù)據(jù)庫安全對企業(yè)來說至關(guān)重要，企業(yè)有義務(wù)保護客戶的數(shù)據(jù)安全，以免造成任何法律后果并失去客戶信任。以上方法，不僅有助于保護數(shù)據(jù)庫，降低數(shù)據(jù)泄露處理不當?shù)娘L險，而且還可確保企業(yè)做好面對不可控攻擊的準備。