搜索

[14442] 2019-08-07_数据库安全能力：数据泄露途径及防护措施

文档创建者：s7ckTeam
浏览次数：110
最后更新：2025-01-18
2019-08-07_数据库安全能力：数据泄露途径及防护措施 数 据 库 安 全 能 力 ： 数 据 泄 露 途 径 及 防 护 措 施 两 块   F r e e B u f   2 0 1 9 - 0 8 - 0 7 2 0 1 8 - 2 0 1 9 年 ， 全 球 各 地 深 受 数 据 泄 露 事 件 的 困 扰 ， 已 造 成 数 以 万 计 损 失 。 据 《 数 据 泄 露 损 失 研 究 》 评 估 显 示 ， 年 ， 全 球 各 地 深 受 数 据 泄 露 事 件 的 困 扰 ， 已 造 成 数 以 万 计 损 失 。 据 《 数 据 泄 露 损 失 研 究 》 评 估 显 示 ， 遭 遇 数 据 泄 露 事 件 的 公 司 企 业 平 均 要 损 失 遭 遇 数 据 泄 露 事 件 的 公 司 企 业 平 均 要 损 失 3 8 6 万 美 元 ， 同 比 去 年 增 加 了 万 美 元 ， 同 比 去 年 增 加 了 6 . 4 % 。 面 对 如 此 严 峻 的 数 据 安 全 形 势 ， 。 面 对 如 此 严 峻 的 数 据 安 全 形 势 ， 如 何 有 效 地 保 障 数 据 安 全 成 为 了 众 多 企 业 的 当 务 之 急 。 如 何 有 效 地 保 障 数 据 安 全 成 为 了 众 多 企 业 的 当 务 之 急 。 从 数 据 泄 露 的 途 径 分 析 ， 数 据 泄 漏 主 要 分 为 三 种 ： 窃 密 、 泄 密 和 失 密 。 结 合 各 种 实 际 情 况 分 析 ， 数 据 泄 露 的 主 要 途 径 有 以 下 几 种 ： 窃 密 窃 密 攻 击 者 主 动 窃 密 ： 恶 意 攻 击 者 或 外 部 竞 争 对 手 ， 基 于 经 济 利 益 或 政 治 原 因 驱 动 ， 通 过 层 出 不 穷 的 高 超 技 术 手 段 ， 窃 取 企 业 的 各 种 重 要 数 据 。 泄 密 泄 密 离 职 人 员 泄 密 ： 由 于 权 限 管 理 疏 忽 等 ， 离 职 人 员 在 离 职 时 有 意 或 无 意 违 规 带 走 大 量 核 心 数 据 （ 专 利 著 作 及 源 码 数 据 等 ） 。 内 部 人 员 泄 密 ： 由 于 内 部 员 工 安 全 意 识 薄 弱 ， 数 据 安 全 分 级 不 明 确 ， 操 作 失 误 ， 部 分 涉 密 人 员 无 意 中 泄 露 数 据 ； 部 分 员 工 因 情 绪 化 报 复 、 利 益 收 买 等 主 动 泄 露 数 据 。 失 密 失 密 权 限 失 控 失 密 ： 由 于 帐 号 生 命 周 期 管 理 不 善 ， 权 限 划 分 及 认 证 鉴 别 方 式 失 控 ， 导 致 人 员 对 数 据 的 密 级 访 问 权 限 不 对 等 ， 高 密 级 数 据 流 向 低 权 限 帐 号 ， 涉 密 数 据 流 向 无 权 限 帐 号 等 。 数 据 维 护 及 处 置 失 密 ： 不 安 全 的 加 密 方 式 或 明 文 存 储 、 公 开 的 存 储 位 置 、 管 理 密 钥 或 存 储 介 质 丢 失 、 未 完 全 擦 除 报 废 ， 存 储 数 据 发 生 泄 露 。 信 息 发 布 失 密 ： 合 作 渠 道 商 管 理 不 善 数 据 交 互 泄 露 ， 发 布 信 息 审 核 不 当 涉 及 密 级 数 据 泄 露 ， 信 息 数 据 流 入 未 授 权 、 竞 争 关 系 的 第 三 方 。 综 合 分 析 数 据 泄 露 的 原 因 可 能 如 下 ： 数 据 通 信 安 全 ： 网 络 端 口 、 数 据 传 输 等 都 会 因 各 种 原 因 造 成 电 磁 泄 露 ， 企 业 数 据 库 存 储 未 安 置 防 护 设 施 ， 信 息 在 通 信 传 输 过 程 中 未 进 行 加 密 处 置 ， 窃 听 、 非 法 终 端 接 入 、 利 用 非 应 用 方 式 侵 入 数 据 库 、 线 路 干 扰 等 方 式 都 可 以 得 知 通 信 信 息 数 据 。 数 据 库 管 理 系 统 脆 弱 性 ： 数 据 及 数 据 库 管 理 系 统 通 常 以 分 级 管 理 ， 由 此 D B M S 必 然 存 在 很 多 弱 点 。 另 外 ， 为 了 方 便 访 问 数 据 ， D B M S 会 留 下 不 少 接 口 ， 但 其 与 操 作 系 统 的 配 套 必 然 存 在 不 少 不 足 之 处 ， 而 且 这 种 不 足 是 先 天 的 ， 无 法 完 全 克 服 。 病 毒 与 非 法 入 侵 ： 由 于 病 毒 或 者 非 法 入 侵 而 导 致 数 据 泄 漏 ， 病 毒 入 侵 感 染 后 ， 破 坏 数 据 、 勒 索 加 密 数 据 等 导 致 数 据 不 可 用 ， 甚 至 盗 取 拖 库 ， 非 法 入 侵 指 恶 意 攻 击 者 运 用 不 道 德 的 手 段 侵 入 数 据 库 或 者 数 据 存 储 空 间 ， 盗 取 数 据 。 系 统 漏 洞 ： 系 统 内 数 据 库 漏 洞 、 操 作 系 统 漏 洞 ， 硬 件 上 防 火 墙 、 存 储 设 备 等 网 络 产 品 的 漏 洞 ， 补 丁 更 新 不 及 时 或 不 安 全 配 置 ， 导 致 恶 意 攻 击 者 主 动 发 现 了 系 统 存 在 的 漏 洞 ， 从 而 窃 取 数 据 。
访 问 控 制 和 权 限 管 理 不 善 ： 人 和 数 据 的 权 限 分 层 、 安 全 分 级 ， 帐 号 的 生 命 周 期 管 理 ， 安 全 的 访 问 控 制 ， 以 及 因 为 人 的 脆 弱 性 存 在 而 导 致 的 数 据 泄 露 屡 见 不 鲜 。 在 数 据 安 全 防 护 措 施 上 有 哪 些 成 熟 的 建 议 呢 ？ M 1   预 防 性 措 施 ： l     安 全 访 问 控 制 l     身 份 鉴 别 （ 强 口 令 认 证 ） l     权 限 分 离 l     多 因 素 认 证 M F A l     安 全 策 略 配 置 l     数 据 分 级 l     数 据 脱 敏 l     数 据 加 密 l     安 全 意 识 培 训 对 数 据 的 访 问 ， 进 行 帐 号 权 限 的 划 分 ， 三 权 分 立 ， 知 其 所 需 ， 通 过 完 善 接 入 安 全 ， 固 定 接 入 的 终 端 设 备 、 应 用 接 口 ， 将 非 法 接 入 拒 之 门 外 ， 同 时 采 用 多 因 素 认 证 ( M F A ) 方 式 和 强 口 令 认 证 ， 周 期 性 修 改 口 令 ， 防 止 弱 口 令 和 权 限 泄 露 ； 数 据 相 关 的 系 统 更 改 不 安 全 的 默 认 配 置 ， 进 行 加 固 操 作 ； 对 数 据 根 据 重 要 程 度 和 敏 感 级 别 进 行 分 级 ， 划 分 访 问 权 限 ； 存 储 和 传 输 数 据 时 ， 进 行 敏 感 数 据 脱 敏 和 加 密 处 理 ， 同 时 对 内 部 员 工 进 行 安 全 培 训 ， 提 供 保 障 数 据 安 全 意 识 。 M 2   检 测 性 措 施 ： l     准 入 控 制 l     漏 洞 检 测 / 修 复 l     安 全 行 为 审 计 l     I D S / I P S / F W 对 系 统 内 数 据 的 访 问 ， 通 过 管 理 权 限 检 测 、 网 络 分 层 （ 网 络 层 、 应 用 层 ） 控 制 检 测 、 物 理 控 制 做 到 准 入 安 全 ； 及 时 检 测 系 统 存 在 的 漏 洞 ， 进 行 补 丁 升 级 修 复 或 风 险 规 避 ； 对 数 据 访 问 行 为 进 行 记 录 ， 通 过 审 计 来 不 断 调 整 权 限 和 发 现 违 规 事 件 ； 通 过 入 侵 检 测 发 现 恶 意 访 问 事 件 ， 进 行 及 时 告 警 。   M 3   威 慑 性 措 施 ： l     防 扫 描 l     W A F / 数 据 库 防 火 墙 l     行 为 阻 断 告 警 通 过 W E B 和 数 据 库 防 火 墙 功 能 ， 来 保 障 数 据 安 全 访 问 ， 及 时 阻 断 已 知 的 恶 意 攻 击 ， 同 时 结 合 告 警 反 馈 和 防 扫 描 技 术 来 达 到 对 恶 意 攻 击 者 的 威 慑 。 M 4   恢 复 性 措 施 ： l     数 据 备 份 l     异 地 灾 备
通 过 数 据 备 份 、 异 地 灾 备 ， 可 以 在 数 据 遭 受 勒 索 病 毒 加 密 、 入 侵 破 坏 后 ， 快 速 恢 复 业 务 应 用 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 两 块 ， 本 文 属 两 块 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理