数据库系统作为非常重要的存储工具,里面往往会存放着大量有价值的数据,这些信息包括用户信息、金融财政、知识产权、企业数据、订单信息等方方面面的内容,其重要程度不不言而喻。
因此,数据库往往会成为黑客们的主要攻击对象。网络黑客们会利用各种途径来获取他们想要的信息。保证数据库安全变得尤为重要。
尽管意识到数据库安全的重要性,但开发者在集成应用程序或修补漏洞、更新数据库的时候仍然会犯一些错误,让黑客们乘虚而入。为此,小编总结出数据库系统10个最常见的安全问题及对应办法。
Part 1 滥用过高权限
当用户被授予超出了其工作职能所需的数据库访问权限时,这些权限可能会被恶意滥用。例如,在给业务系统分配数据库账号时,直接分配了DBA或者其他超级权限,导致拥有此账号密码的管理员或业务开发人员,可以通过此账号操作或查询本来不属于其使用的数据。
原因很简单,数据库管理员没有为每个用户定义细化的访问权限控制机制,从而使给定的用户拥有了过高的权限。因此,此用户就被授予了远远超出其特定工作需要的访问权限。
◇ 建恒信安:防止滥用过高权限 ← 细粒度访问控制
应对过高权限的解决办法是进行细粒度的访问控制,将数据库的权限控制限制到细粒度的SQL操作和访问对象。大部分的数据库管理软件实现了某种程度的细粒度的访问控制,但是这对于大部分DBA来说,为大量的数据库用户定义细粒度的权限很困难,并且要随着业务的变化进行更新。
大部分的单位的情况是,数据库账号使用了一组过高的通用型访问权限。实际上,各单位客户都需要一种更加直观的细粒度权限控制方式。
建恒信安数据库审计与管控系统的数据库授权模式基于岗位授权,岗位上绑定被审计数据库及从账号,这样授权可迁移、授权粒度更细;并可针对岗位设置相关安全策略。一旦用户尝试高于其权限的动作时,该系统不但可以做到立即阻止,而且事后数据库安全管理人员可以通过数据库防火墙系统收到告警通知。
Part 2 滥用合法权限
用户还可能将合法的数据库权限用户未经授权的目的。假设一个医务人员具有可通过WEB应用查看药方使用统计信息的权限,正常情况下,他需要定期进行数据统计,从而掌握整个科室的用药信息。但是实际情况是,可能此医务人员的业务系统账号,其他同事也知道,那就存在数据被非法利用的可能。
◇ 建恒信安:防止滥用合法权限 ← 了解数据库访问的场景
应对滥用合法权限的解决办法是通过调查清楚客户端IP、时间、账号、统计对象等信息,可以识别以可疑方式使用合法数据库访问权限的情况。这种情况,一般通过数据库系统本身不易配置。
建恒信安数据库审计与管控系统通过设置告警策略,对于滥用合法权限进行检测、告警,并提供多种告警方式,如短信告警、邮件告警、SYSLOG告警。同时,针对采集策略设置的匹配条件,它还会对所有违规操作进行实时告警并生成告警日志。
Part 3 权限提升
黑客可利用数据库软件的漏洞将普通账号的权限转换为管理员权限,从而给数据库数据带来泄漏的危险。
◇ 建恒信安:防止权限提示 ← 高危操作控制
只要将普通账号的操作权限限定其只能使用有限的数据、操作有限的命令,而不能操作系统表、不能操作系统对象、不能执行提权操作,就可以做到防止普通账号的权限被提权。建恒信安数据库审计与管控系统可通过访问控制规则,将普通账号的权限限定在一定的范围内,阻止其执行系统提权权限、系统对象权限,就可以大大降低权限提升的威胁力。
Part 4 数据库漏洞
目前,大部分常用的数据库都有成百上千的漏洞,数据库需要经常打补丁,才能防止漏洞被利用,但是由于业务系统历史性及重要程度,有大量的业务系统数据库并未进行正常打补丁工作。黑客就可能利用数据库软件的漏洞将普通账号的权限转换为管理员权限,从而给数据库数据带来泄漏的危险。
◇ 建恒信安:防止权限提示 ← 数据库漏洞攻击防御
很明显,对于数据库漏洞问题,如果DBA能够与数据库厂商同步,更新按照数据库补丁的话,数据库被攻击的可能性将降到最低。但实际情况是,绝大部分都不怎么打补丁。
建恒信安数据库审计与管控系统内置漏洞库,收纳了1000条以上的具有CVE或者CNNVD认证的数据库漏洞,漏洞库丰富且权威,可以针对目前存在的数据库漏洞利用进行防御的规则,且规则库可以升级。
针对目标数据库存在的每一条漏洞,系统均注明漏洞类型、漏洞来源、风险等级、受影响的版本和修复建议,便于DBA准确的了解当前数据库的安全现状,有针对性的消除安全隐患。
Part 5 SQL注入
在数据库的众多威胁中,业务系统遭到SQL注入攻击,导致数据库拖库应该是最大的威胁,没有之一。而SQL注入攻击是广泛存在的,其攻击手段隐蔽、特征不可穷举、攻击手段平民化,这些特点也让其安全防护者头痛。在SQL注入攻击中,入侵者通常将未经授权的数据库语句注入到有漏洞的通信中。利用SQL注入,黑客可以不受限制地访问数据库内容。
◇ 建恒信安:防止SQL注入 ← SQL注入防御和业务系统代码修复
如果业务系统代码、存储过程经过严格代码安全检查,基本可避免SQL注入攻击。但是,大部分的应用由于开发人员技术水平不一,并未进行严格的代码检查,就会存在SQL注入的可能性。
建恒信安数据库审计与管控系统内置大量的SQL注入防御库,具有针对目前存在的SQL注入情景进行防御的规则,且规则库可升级,也可根据需要增加。
咨询热线 400 655 8875
传 真 010-56428067
地 址 北京市海淀区中关村软件园8号楼华夏科技大厦2层
咨询热线 400 655 8875
传 真 010-56428067
地 址 北京市海淀区中关村软件园8号楼华夏科技大厦2层