设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [14807] 2019-11-12_数据库安全能力：安全威胁TOP5 ...
返回列表 发新帖
查看: 2|回复: 0

[14807] 2019-11-12_数据库安全能力：安全威胁TOP5

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2019-11-12_数据库安全能力：安全威胁TOP5 数 据 库 安 全 能 力 ： 安 全 威 胁 T O P 5 两 块   F r e e B u f   2 0 1 9 - 1 1 - 1 2 在 数 据 库 的 安 全 问 题 已 跃 至 在 数 据 库 的 安 全 问 题 已 跃 至 C S O 的 工 作 内 容 象 限 榜 首 的 今 天 ， 对 数 据 库 安 全 的 防 御 是 艰 苦 的 旅 程 ， 如 何 让 针 对 的 工 作 内 容 象 限 榜 首 的 今 天 ， 对 数 据 库 安 全 的 防 御 是 艰 苦 的 旅 程 ， 如 何 让 针 对 业 务 安 全 和 数 据 安 全 的 攻 击 成 为 一 场 废 鞋 底 的 马 拉 松 ， 防 止 恶 意 行 为 者 利 用 漏 洞 威 胁 这 个 业 务 安 全 和 数 据 安 全 的 攻 击 成 为 一 场 废 鞋 底 的 马 拉 松 ， 防 止 恶 意 行 为 者 利 用 漏 洞 威 胁 这 个 “ 线 头 线 头 ” 并 最 终 扯 下 数 并 最 终 扯 下 数 据 这 条 据 这 条 “ 线 裤 线 裤 ” 的 全 部 ， 让 我 们 一 起 来 关 注 在 数 据 库 安 全 能 力 建 设 中 识 别 数 据 库 的 安 全 威 胁 。 的 全 部 ， 让 我 们 一 起 来 关 注 在 数 据 库 安 全 能 力 建 设 中 识 别 数 据 库 的 安 全 威 胁 。 安 全 威 胁 简 介 安 全 威 胁 简 介 数 据 泄 露 对 每 个 企 业 都 构 成 威 胁 ， 其 损 失 不 仅 超 出 了 敏 感 数 据 、 机 密 数 据 和 品 牌 损 害 带 来 的 实 际 损 失 或 披 露 范 围 ， 公 司 还 承 担 了 与 补 救 和 多 年 法 律 责 任 索 赔 相 关 的 重 大 财 务 成 本 。 风 险 敏 感 的 企 业 组 织 必 须 在 数 据 库 安 全 性 方 面 保 持 领 先 地 位 ， 以 保 护 和 防 御 其 数 据 免 受 各 种 外 部 和 内 部 威 胁 。 是 什 么 使 您 的 数 据 成 为 主 要 目 标 ？ 是 什 么 使 您 的 数 据 成 为 主 要 目 标 ？ 根 据 V e r i z o n 2 0 1 9 D B I R 报 告 ， 黑 客 的 动 机 可 能 是 受 到 经 济 利 益 、 间 谍 活 动 、 意 识 形 态 或 怨 恨 甚 至 娱 乐 的 鼓 动 ， 7 1 % 的 泄 露 事 件 是 出 于 经 济 动 机 发 生 的 ， 大 多 数 掠 食 者 通 过 阻 力 最 小 的 路 径 攻 击 最 弱 的 猎 物 。 好 消 息 是 ， 这 意 味 着 您 的 安 全 性 虽 然 并 不 一 定 是 完 美 的 ， 但 它 已 经 足 以 阻 止 恶 意 攻 击 者 — 让 他 们 去 其 他 地 方 寻 找 更 容 易 的 猎 物 。 “ Y o u   d o n ’ t h a v e   t o   r u n f a s t e r   t h a n   t h e b e a r   t o   g e t a w a y .   Y o u   j u s t   h a v e t o   r u n   f a s t e r t h a n   t h e   g u y n e x t   t o   y o u . ” J I M   B U T C H E R “ 你 不 必 跑 得 比 熊 还 快 才 能 逃 脱 。 你 只 要 比 你 旁 边 的 人 跑 得 快 就 行 了 。 ” — 吉 姆 • 巴 特 坏 消 息 是 许 多 公 司 都 难 以 实 现 一 种 多 重 安 全 防 御 方 法 ， 该 方 法 可 以 检 测 、 监 视 、 预 防 和 缓 解 威 胁 。 在 本 文 中 ， 我 们 将 讨 论 关 系 型 数 据 库 面 临 的 五 大 数 据 库 安 全 威 胁 。 我 们 还 将 探 讨 确 保 大 数 据 安 全 的 需 求 ， 大 数 据 通 常 是 依 赖 敏 感 数 据 的 业 务 分 析 和 客 户 体 验 应 用 程 序 的 首 选 存 储 库 。 什 么 是 什 么 是 5 大 数 据 库 安 全 威 胁 ？ 大 数 据 库 安 全 威 胁 ？ 1 . 过 多 的 、 不 适 当 的 和 未 使 用 的 特 权 2 . 权 限 滥 用
3 .   W e b 应 用 程 序 安 全 性 不 足 4 . 审 计 线 索 不 足 5 . 不 安 全 的 存 储 介 质 前 两 大 威 胁 可 以 直 接 归 因 于 内 部 威 胁 的 增 加 。 通 常 ， 企 业 网 络 被 认 为 受 到 可 保 护 边 界 的 下 一 代 防 火 墙 的 保 护 。 但 是 ， 一 旦 恶 意 行 为 者 越 过 防 火 墙 ， 大 多 数 企 业 中 就 没 有 可 以 检 测 到 横 向 移 动 并 防 止 重 大 数 据 泄 露 的 保 护 机 制 ， 这 对 数 据 构 成 了 重 大 威 胁 。 此 外 ， 外 部 威 胁 是 持 续 不 断 的 ， 内 部 流 程 不 足 会 留 下 管 理 漏 洞 ， 因 此 ， 当 今 的 安 全 最 佳 实 践 要 求 组 织 必 须 采 取 多 层 次 、 多 方 面 的 方 法 来 有 效 保 护 数 据 并 防 止 数 据 泄 露 。 让 我 们 一 起 来 详 细 探 讨 这 五 种 数 据 库 安 全 威 胁 。 1 . 过 多 的 、 不 适 当 的 和 未 使 用 的 特 权 过 多 的 、 不 适 当 的 和 未 使 用 的 特 权 当 您 授 予 某 人 超 出 其 工 作 职 能 的 数 据 库 特 权 时 ， 这 些 特 权 可 能 会 被 滥 用 。 例 如 ， 其 工 作 能 力 是 需 要 更 新 员 工 休 假 信 息 的 H R ， 可 能 会 利 用 过 多 的 数 据 库 特 权 ， 对 同 事 或 高 管 的 薪 资 数 据 进 行 未 经 授 权 的 查 询 。 此 外 ， 当 某 人 在 组 织 内 的 角 色 更 改 时 ， 通 常 不 会 更 新 他 对 敏 感 数 据 的 访 问 权 限 ， 以 删 除 其 新 角 色 不 再 需 要 的 权 限 。 统 计 称 4 7 ％ 的 公 司 用 户 拥 有 过 多 的 权 利 应 用 程 序 的 复 杂 性 和 使 用 的 相 应 数 据 结 构 意 味 着 ， 管 理 员 倾 向 于 默 认 情 况 下 授 予 过 多 的 特 权 ， 只 是 为 了 避 免 由 于 缺 少 访 问 特 权 而 导 致 应 用 程 序 失 败 的 风 险 。 因 此 ， 用 户 可 能 被 授 予 远 远 超 出 其 特 定 工 作 要 求 的 通 用 或 默 认 访 问 特 权 ， 或 者 他 们 可 能 随 时 间 推 移 累 积 这 些 特 权 。 通 常 ， 企 业 可 以 保 护 或 “ 强 化 ” 处 于 高 级 职 位 （ 例 如 C E O 、 C F O 等 ） 的 员 工 的 设 备 免 受 外 部 （ 和 内 部 ） 攻 击 者 的 侵 害 ， 以 保 护 对 这 些 用 户 所 需 敏 感 数 据 的 广 泛 访 问 ， 这 种 加 强 有 助 于 发 现 威 胁 情 况 ， 终 止 访 问 以 及 本 地 存 储 数 据 的 潜 在 破 坏 。 但 是 ， B Y O D 情 况 下 这 不 是 可 行 的 解 决 方 案 。 当 普 通 用 户 的 设 备 受 到 攻 击 时 ， 很 可 能 更 难 以 检 测 到 ， 如 果 该 用 户 拥 有 过 多 特 权 ， 则 可 能 会 造 成 破 坏 ， 从 而 导 致 大 规 模 数 据 丢 失 事 件 。 2 .   权 限 滥 用 权 限 滥 用 在 一 项 来 自 多 个 企 业 数 据 的 长 达 两 年 的 研 究 中 表 明 ， 在 每 个 企 业 中 人 们 都 使 用 数 据 库 服 务 帐 户 来 访 问 数 据 库 ， 并 且 这 些 用 户 滥 用 这 些 特 权 服 务 帐 户 来 直 接 访 问 敏 感 数 据 ， 从 而 绕 过 了 应 用 程 序 界 面 。 此 外 ， 某 些 “ 特 权 用 户 ” 可 能 会 出 于 未 经 授 权 的 目 的 滥 用 合 法 的 数 据 库 特 权 。 组 织 中 的 某 些 用 户 组 由 于 其 职 业 和 活 动 而 有 权 访 问 整 个 数 据 库 。 特 权 用 户 的 两 个 主 要 类 别 是 数 据 库 系 统 管 理 员 和 开 发 人 员 ： 数 据 库 系 统 管 理 员 （ D B A ） 可 以 无 限 制 地 访 问 数 据 库 中 的 所 有 数 据 。 为 了 获 得 最 佳 安 全 性 ， D B A 在 管 理 数
据 库 时 不 应 直 接 访 问 数 据 库 中 的 应 用 程 序 数 据 （ 应 用 程 序 数 据 / 表 ） 。 当 D B A 直 接 通 过 数 据 库 而 不 是 应 用 程 序 界 面 访 问 应 用 程 序 数 据 时 ， 他 绕 过 了 应 用 程 序 日 志 记 录 和 检 索 限 制 ， 并 避 免 了 应 用 程 序 权 限 和 安 全 性 机 制 。 当 某 个 使 用 防 泄 露 方 案 的 客 户 端 收 到 以 下 警 告 ： 受 信 任 的 D B A 已 直 接 通 过 数 据 库 而 不 是 通 过 某 应 用 程 序 入 口 访 问 了 此 应 用 程 序 表 中 的 敏 感 数 据 ， 这 些 表 包 含 D B A 不 应 访 问 的 财 务 信 息 。 这 一 发 现 清 楚 地 说 明 了 内 部 威 胁 的 风 险 。 开 发 人 员 通 常 可 以 完 全 访 问 生 产 数 据 库 ， 质 量 团 队 可 以 快 照 数 据 库 以 进 行 测 试 ， 而 工 程 师 可 以 调 试 实 时 生 产 系 统 。 在 这 些 情 况 下 ， 敏 感 数 据 都 容 易 受 到 特 权 滥 用 的 影 响 。 什 么 是 内 部 威 胁 ? 内 部 威 胁 可 以 分 为 三 类 ： 恶 意 、 疏 忽 和 受 到 威 胁 ： 恶 意 内 部 人 威 胁 来 自 企 业 内 部 或 与 企 业 直 接 相 关 的 人 员 （ 如 员 工 、 前 雇 员 、 供 应 商 、 合 作 伙 伴 ） ， 他 们 掌 握 有 关 企 业 的 安 全 实 践 、 数 据 和 计 算 机 系 统 的 内 部 信 息 。 P a l e r r a 曾 提 交 的 I n s i d e r   T h r e a t   S p o t l i g h t 报 告 指 出 ， 平 均 每 5 0 位 用 户 中 就 有 一 位 是 恶 意 用 户 。 疏 忽 大 意 的 内 部 人 员 是 没 有 恶 意 企 图 的 企 业 内 部 人 员 或 与 企 业 直 接 相 关 的 人 员 ， 但 是 由 于 粗 心 大 意 的 行 为 ， 他 们 会 将 敏 感 数 据 暴 露 ， 导 致 于 数 据 泄 露 。 受 威 胁 的 用 户 成 为 利 用 或 接 管 组 织 系 统 的 “ 外 部 ” 恶 意 攻 击 者 的 受 害 者 。 外 部 攻 击 者 可 以 使 用 多 种 技 术 来 攻 击 组 织 ， 包 括 使 用 直 接 攻 击 、 计 算 机 病 毒 、 社 会 工 程 学 、 网 络 钓 鱼 和 其 他 不 断 发 展 的 技 术 。 V e r i z o n   D B I R 表 示 六 分 之 一 的 用 户 会 滥 用 或 公 开 数 据 。 3 .   W e b 应 用 程 序 安 全 性 不 足 应 用 程 序 安 全 性 不 足 大 多 数 企 业 组 织 严 重 依 赖 应 用 程 序 与 客 户 进 行 交 互 ， 对 可 公 开 访 问 的 应 用 程 序 的 攻 击 有 很 多 类 型 ， 可 以 暴 露 数 据 。 针 对 数 据 库 的 两 种 常 见 的 W e b 应 用 程 序 攻 击 是 S Q L 注 入 和 W e b S h e l l 。 多 年 来 ， S Q L 注 入 （ S Q L i ） 攻 击 一 直 是 V e r i z o n   D B I R 报 告 中 的 头 号 威 胁 。 S Q L i 攻 击 是 输 入 验 证 不 完 整 或 不 充 分 的 结 果 ， 它 使 不 良 行 为 者 以 从 未 曾 预 料 到 的 方 式 通 过 W e b 应 用 程 序 将 S Q L 命 令 传 递 给 数 据 库 。
W e b   S h e l l 攻 击 是 一 种 隐 蔽 方 法 ， 用 于 获 得 对 服 务 器 的 未 经 授 权 的 远 程 访 问 。 W e b   S h e l l 是 利 用 W e b 服 务 器 核 心 功 能 （ 为 远 程 客 户 端 提 供 服 务 ） 获 得 持 久 远 程 访 问 并 通 过 与 服 务 器 S h e l l 的 接 口 获 得 对 服 务 器 的 完 全 或 有 限 控 制 的 后 门 程 序 。 根 据 V e r i z o n   D B I R 由 W e b   S h e l l 后 门 造 成 的 W e b 应 用 程 序 攻 击 破 坏 数 量 仅 次 于 凭 据 被 盗 。 W e b S h e l l 可 以 使 用 S h e l l 的 功 能 来 破 坏 企 业 组 织 数 据 库 并 泄 露 数 据 而 不 被 检 测 到 。 攻 击 者 使 用 S h e l l 程 序 的 文 件 浏 览 功 能 从 应 用 程 序 的 配 置 文 件 中 查 找 和 窃 取 合 法 应 用 程 序 使 用 的 数 据 库 凭 据 。 S h e l l 固 有 地 拥 有 服 务 器 应 用 程 序 / 守 护 进 程 本 身 的 O S 特 权 ， 从 而 使 之 成 为 可 能 。 此 外 ， 在 某 些 应 用 程 序 中 ， 数 据 库 凭 证 （ 用 户 名 和 密 码 ） 以 明 文 形 式 存 储 在 配 置 文 件 中 。 4 .   审 计 线 索 不 足 审 计 线 索 不 足 接 下 来 ， 我 们 将 讨 论 由 内 部 流 程 不 足 或 漏 洞 引 起 的 威 胁 。 监 控 整 个 企 业 中 的 数 据 访 问 应 该 是 任 何 生 产 数 据 库 的 一 部 分 。 无 法 同 时 监 视 安 全 性 和 合 规 性 异 常 以 及 无 法 收 集 数 据 库 活 动 的 适 当 审 计 详 细 信 息 ， 这 在 许 多 层 面 上 都 构 成 了 严 重 的 组 织 风 险 。 此 外 ， 具 有 薄 弱 的 （ 或 有 时 不 存 在 ） 数 据 库 审 计 机 制 的 组 织 还 发 现 ， 它 们 与 行 业 和 政 府 法 规 要 求 不 符 。 旨 在 防 止 会 计 错 误 和 欺 诈 行 为 的 萨 班 斯 - 奥 克 斯 利 法 案 （ S O X ） ， 以 及 医 疗 保 健 领 域 的 《 医 疗 保 健 信 息 携 带 和 责 任 法 案 》 （ H I P A A ） ， 都 是 具 有 明 确 数 据 库 审 计 要 求 的 法 规 示 例 。 欧 盟 新 颁 布 的 通 用 数 据 保 护 条 例 （ G D P R ） 是 第 一 个 对 未 能 满 足 严 格 的 数 据 保 护 措 施 （ 包 括 足 以 满 足 所 有 个 人 数 据 的 审 计 和 违 规 通 知 要 求 的 数 据 库 监 控 功 能 ） 的 企 业 处 以 令 人 沮 丧 的 罚 款 数 额 的 条 例 。 为 何 审 计 跟 踪 具 有 挑 战 性 为 何 审 计 跟 踪 具 有 挑 战 性 第 一 个 原 因 是 ， 许 多 企 业 转 向 其 数 据 库 供 应 商 提 供 的 数 据 库 本 地 审 计 功 能 ， 或 者 依 赖 临 时 和 手 动 解 决 方 法 ， 并 认 为 这
些 方 法 已 足 够 。 本 地 审 计 不 会 记 录 支 持 安 全 性 和 合 规 性 审 计 或 检 测 攻 击 所 需 的 上 下 文 详 细 信 息 ， 也 不 提 供 事 件 取 证 。 此 外 ， 本 地 数 据 库 审 计 机 制 由 于 数 据 库 服 务 器 的 C P U 和 磁 盘 资 源 的 不 稳 定 和 过 度 消 耗 而 臭 名 昭 著 ， 这 迫 使 许 多 企 业 缩 减 或 完 全 取 消 本 机 审 计 。 最 后 ， 大 多 数 本 地 审 计 机 制 是 此 类 数 据 库 服 务 器 平 台 所 独 有 的 。 例 如 ， O r a c l e 日 志 与 M S S Q L 不 同 ， 并 且 M S S Q L 日 志 与 D B 2 不 同 。 对 于 具 有 异 构 数 据 库 环 境 的 企 业 ， 这 对 实 施 统 一 、 可 扩 展 的 审 计 流 程 和 报 告 构 成 了 重 大 障 碍 。 报 告 称 只 有 1 9 % 的 公 司 监 控 数 据 库 的 活 动 具 有 对 数 据 库 （ 合 法 或 恶 意 获 得 ） 的 管 理 访 问 权 的 用 户 可 以 关 闭 本 机 数 据 库 审 计 以 隐 藏 欺 诈 性 活 动 。 审 计 功 能 和 职 责 应 与 数 据 库 管 理 员 和 数 据 库 服 务 器 平 台 分 开 ， 以 确 保 职 责 之 间 的 强 烈 隔 离 。 第 二 个 挑 战 ： 第 二 个 挑 战 ： 审 计 处 理 审 计 处 理 拥 有 正 确 的 审 计 记 录 只 是 保 护 数 据 的 第 一 步 。 第 二 步 是 了 解 数 据 活 动 和 访 问 尝 试 记 录 ， 以 处 理 该 数 据 并 确 定 可 信 威 胁 。 如 果 您 没 有 为 该 任 务 构 建 工 具 ， 则 很 难 识 别 访 问 数 据 库 的 实 体 并 区 分 D B A 、 应 用 程 序 、 用 户 和 作 业 进 程 。 您 需 要 了 解 对 数 据 库 的 哪 些 访 问 是 可 疑 的 ， 例 如 ， 登 录 失 败 尝 试 是 数 据 库 访 问 中 的 常 见 现 象 。 用 户 由 于 忘 记 或 键 入 错 误 的 凭 据 或 更 改 密 码 而 无 法 登 录 数 据 库 。 但 是 ， 当 用 户 多 次 未 能 成 功 登 录 数 据 库 而 从 未 尝 试 过 再 次 登 录 时 ， 或 者 当 用 户 试 图 成 功 访 问 企 业 中 的 多 个 数 据 库 而 未 成 功 时 ， 则 是 可 疑 的 ， 可 能 表 明 用 户 没 有 获 得 访 问 应 用 程 序 的 授 权 。 在 一 些 帐 户 安 全 研 究 中 ， 发 现 确 定 了 一 个 用 户 ， 该 用 户 尝 试 访 问 一 个 他 从 未 访 问 过 的 数 据 库 ， 然 后 在 不 到 一 个 小 时 的 时 间 内 使 用 四 个 不 同 的 帐 户 而 没 有 成 功 ， 他 使 用 第 五 个 帐 户 成 功 登 录 了 数 据 库 ， 但 是 该 帐 户 没 有 足 够 的 特 权 来 对 该 数 据 库 执 行 任 何 操 作 。 此 活 动 有 多 个 危 险 信 号 ： 用 户 突 然 对 从 未 尝 试 访 问 过 的 数 据 库 产 生 兴 趣 单 个 用 户 使 用 多 个 帐 户 访 问 数 据 库 的 帐 户 没 有 权 限 ， 这 可 能 会 导 致 一 个 结 论 即 该 帐 户 根 本 不 应 该 能 够 访 问 此 数 据 库 曾 数 据 泄 露 报 告 称 超 过 3 5 0 0 万 条 记 录 丢 失 或 被 盗 ， 其 中 4 4 ％ 与 医 疗 或 医 疗 保 健 相 关 此 事 件 中 将 该 活 动 标 记 为 高 风 险 ， 并 提 供 了 一 项 分 析 ， 指 出 此 事 件 是 由 受 威 胁 的 内 部 人 员 实 施 的 。 为 了 识 别 此 类 事 件 ， 您 需 要 了 解 哪 些 用 户 是 人 类 用 户 （ 而 不 是 作 业 进 程 和 应 用 程 序 ） 。 然 后 ， 您 需 要 了 解 用 户 的 正 常 行 为 - 他 们 访 问 哪 些 数 据 库 、 使 用 哪 些 数 据 库 帐 户 、 借 助 哪 些 工 具 、 何 时 使 用 它 们 以 及 最 终 定 义 对 等 的 正 常 用 户 和 正 常 行 为 的 更 多 详 细 信 息 （ 数 据 库 准 入 因 子 自 学 习 可 参 考 ： 数 据 库 安 全 能 力 ： 安 全 准 入 控 制 矩 阵 模 型 构 建 与 实 践 ） 。 不 幸 的 是 ， 当 今 使 用 的 许 多 安 全 系 统 工 具 无 法 识 别 数 据 泄 露 ， 因 为 它 们 无 法 区 分 对 数 据 库 的 可 疑 访 问 和 正 常 访 问 。 这 些 工 具 产 生 了 太 多 模 糊 的 告 警 ， 这 些 告 警 需 要 进 行 大 量 调 查 分 析 才 能 具 有 可 视 化 ， 从 而 造 成 了 过 度 消 耗 。 通 用 告 警 的 这 种 过 载 是 为 什 么 只 研 究 了 不 到 百 分 之 一 的 关 键 安 全 警 告 的 原 因 。 对 等 组 异 常 的 一 个 例 子 是 ， 一 个 开 发 人 员 在 其 开 发 工 作 中 访 问 一 个 应 用 程 序 表 ， 而 另 一 名 开 发 人 员 访 问 该 表 以 查 看 同 事 的 个 人 数 据 。 确 定 风 险 级 别 的 关 键 是 上 下 文 ， 特 别 是 要 了 解 用 户 和 对 等 用 户 的 正 常 表 访 问 权 限 。 由 于 恶 意 内 部 人 员 会 利 用 其 特 权 从 企 业 组 织 中 窃 取 数 据 ， 因 此 无 法 区 分 上 下 文 非 常 危 险 （ 请 参 阅 “ 特 权 滥 用 ” 部 分 ） 。 本 地 审 计 工 具 无 法 区 分 不 正 常 的 用 户 访 问 和 正 常 的 内 容 ， 并 经 常 导 致 过 多 的 告 警 ， 所 有 这 些 都 必 须 由 专 业 安 全 人 员 进 行 筛 选 。 S I E M 工 具 可 以 减 小 此 范 围 并 使 其 更 易 于 可 视 化 ， 但 是 它 们 缺 乏 此 领 域 专 业 知 识 ， 并 且 仅 是 从 源 数 据 中 提 取 出 来 ， 并 且 只 为 直 接 调 查 提 供 了 有 限 的 可 操 作 选 项 。 需 要 具 有 反 入 侵 行 为 分 析 以 及 自 动 化 的 数 据 库 监 视 和 检 测 功 能 系 统 ， 可 以 提 供 关 注 实 际 威 胁 所 需 的 情 报 ， 以 一 种 上 下 文 关 联 和 可 操 作 的 方 式 关 注 真 正 的 威 胁 。 5 .   不 安 全 的 存 储 介 质 不 安 全 的 存 储 介 质 您 上 次 关 注 存 储 介 质 备 份 的 威 胁 是 什 么 时 候 ？ 通 常 ， 它 是 完 全 不 受 保 护 的 。 许 多 管 理 漏 洞 涉 及 数 据 库 备 份 磁 盘 和 磁 带 的 被 盗 或 意 外 暴 露 。 采 取 适 当 措 施 保 护 敏 感 数 据 的 备 份 副 本 不 仅 是 数 据 安 全 的 最 佳 实 践 ， 而 且 是 许 多 法 规 的 强 制 性 要
求 。 此 外 ， 特 权 较 高 的 用 户 通 常 将 具 有 直 接 访 问 数 据 库 服 务 器 的 权 限 。 这 种 物 理 上 的 接 触 意 味 着 他 们 可 以 插 入 类 似 拇 指 大 小 的 U S B 驱 动 器 ， 并 直 接 对 数 据 库 执 行 S Q L 命 令 ， 这 可 以 关 闭 本 地 审 计 功 能 并 绕 过 除 数 据 库 服 务 器 内 核 级 别 部 署 的 保 护 机 制 之 外 的 所 有 保 护 机 制 。 我 们 需 要 健 壮 的 数 据 库 监 控 和 防 御 工 具 ， 不 允 许 这 些 类 型 的 违 规 行 为 的 工 具 。 威 胁 组 合 威 胁 组 合 到 目 前 为 止 ， 讨 论 的 每 种 数 据 库 威 胁 肯 定 足 以 造 成 数 据 泄 露 ， 但 是 侥 幸 的 恶 意 攻 击 者 会 寻 找 阻 力 最 小 的 途 径 。 许 多 时 候 ， 我 们 看 到 了 多 种 威 胁 的 组 合 使 用 ， 这 些 威 胁 会 加 快 攻 击 者 对 数 据 的 访 问 ， 并 简 化 其 在 未 被 发 现 的 情 况 下 泄 漏 数 据 的 能 力 。 这 里 有 一 些 例 子 ： 当 应 用 程 序 具 有 过 多 特 权 时 ， S Q L 注 入 或 W e b   S h e l l 会 使 数 据 库 受 到 破 坏 由 于 审 计 线 索 不 足 ， 难 以 发 现 特 权 滥 用 当 用 户 或 应 用 程 序 拥 有 过 多 特 权 时 ， 特 权 滥 用 会 更 加 严 重 5 7 ％ 的 公 司 认 为 数 据 库 是 内 部 攻 击 最 脆 弱 的 资 产 大 数 据 应 用 程 序 的 安 全 威 胁 不 可 忽 略 大 数 据 应 用 程 序 的 安 全 威 胁 不 可 忽 略 大 数 据 应 用 程 序 仍 处 于 起 步 阶 段 ， 在 不 根 据 每 个 公 司 的 特 定 需 求 进 行 自 定 义 的 情 况 下 进 行 部 署 ， 几 乎 没 有 成 熟 的 商 业 解 决 方 案 。 在 市 场 发 展 的 现 阶 段 ， 仍 然 缺 少 了 解 大 数 据 技 术 并 能 跟 上 其 快 速 发 展 的 专 家 。 在 大 多 数 情 况 下 ， 内 部 开 发 人 员 设 计 、 编 写 代 码 、 测 试 和 部 署 大 数 据 应 用 程 序 和 硬 件 时 ， 却 没 有 得 到 足 够 的 培 训 、 需 求 定 义 、 时 间 或 资 源 。 人 们 可 能 误 认 为 ， 大 数 据 “ 开 源 ” 软 件 包 是 一 种 快 速 成 功 的 安 装 方 式 ， 实 际 上 这 些 系 统 要 复 杂 得 多 。 构 建 软 件 时 的 第 二 个 问 题 是 缺 乏 可 行 的 本 机 安 全 性 或 审 计 框 架 ， 该 框 架 不 会 妨 碍 定 制 解 决 方 法 。 缺 少 本 地 模 型 使 安 全 性 实 现 变 得 不 容 易 ， 并 且 需 要 深 入 的 设 计 和 持 续 不 断 的 维 护 。 因 此 ， 需 要 考 虑 的 安 全 和 审 计 功 能 会 被 反 复 推 迟 ， 从 而 使 您 的 数 据 容 易 受 到 攻 击 。 大 数 据 大 数 据 — 安 全 不 是 重 点 安 全 不 是 重 点 大 数 据 领 域 的 某 些 人 认 识 到 对 原 生 安 全 性 和 治 理 能 力 的 需 求 ， 有 早 期 的 A p a c h e 项 目 正 在 寻 求 解 决 这 些 需 求 。 不 幸 的 是 ， 这 些 项 目 经 常 有 自 己 的 安 全 问 题 ， 这 些 问 题 可 能 直 接 影 响 到 它 们 试 图 保 护 的 大 数 据 系 统 的 安 全 性 。 这 些 问 题 包 括 ： 向 应 用 程 序 添 加 身 份 验 证 过 程 。 这 需 要 更 多 的 安 全 考 虑 ， 会 使 应 用 程 序 更 加 复 杂 。 例 如 ， 应 用 程 序 需 要 定 义 用 户 和 角 色 。 基 于 此 类 数 据 ， 应 用 程 序 可 以 决 定 是 否 授 予 用 户 访 问 系 统 的 权 限 。 输 入 验 证 。 我 们 再 次 看 到 困 扰 R D B M S 应 用 程 序 的 问 题 又 回 来 了 ， 同 样 困 扰 着 N o S Q L 数 据 库 。 O W A S P 现 在 建 议 测 试 N o S Q L 数 据 库 （ 例 如 M o n g o D B ） 是 否 受 到 S Q L 注 入 式 攻 击 。 应 用 意 识 。 在 每 个 应 用 程 序 都 需 要 管 理 安 全 性 的 情 况 下 ， 它 必 须 了 解 每 个 其 他 应 用 程 序 。 这 是 禁 用 对 任 何 非 应 用 程 序 数 据 的 访 问 所 必 需 的 。 当 新 的 数 据 类 型 添 加 到 数 据 存 储 时 ， 数 据 存 储 管 理 员 必 须 弄 清 楚 并 确 保 哪 些 应 用 程 序 无 法 访 问 该 特 定 数 据 。 弱 代 码 。 有 许 多 大 数 据 项 目 和 产 品 ， 是 通 过 敏 捷 开 发 方 法 实 现 的 ， 没 有 为 安 全 性 检 查 和 测 试 分 配 时 间 或 资 源 。 恶 意 行 为 者 将 利 用 有 缺 陷 的 开 发 方 法 ， 探 索 漏 洞 加 以 利 用 。 重 复 数 据 重 复 数 据 N o S Q L 的 强 大 功 能 也 是 它 的 安 全 性 致 命 弱 点 。 在 这 些 系 统 中 ， 数 据 并 非 严 格 保 存 在 唯 一 表 中 。 而 是 ， 将 数 据 复 制 到 许 多 表 以 优 化 查 询 处 理 。 因 此 ， 不 可 能 根 据 特 定 的 敏 感 表 对 进 行 分 类 。 相 反 ， 可 以 在 不 同 位 置 找 到 此 类 数 据 ： 交 易 日
志 、 个 人 帐 户 详 细 信 息 、 代 表 所 有 的 特 定 表 以 及 甚 至 可 能 没 有 考 虑 到 的 其 他 位 置 。 隐 私 问 题 隐 私 问 题 尽 管 我 们 专 注 于 安 全 性 ， 但 是 隐 私 问 题 也 不 容 忽 视 。 以 医 疗 大 数 据 平 台 为 例 ， 提 供 商 可 以 共 享 患 者 数 据 。 患 者 可 以 访 问 系 统 获 取 遗 传 信 息 ， 然 后 再 访 问 有 关 药 物 信 息 的 系 统 。 分 析 此 数 据 的 应 用 程 序 可 以 将 信 息 关 联 起 来 ， 以 找 到 与 遗 传 和 健 康 有 关 的 购 买 趋 势 。 问 题 在 于 ， 最 初 插 入 数 据 时 未 考 虑 这 种 类 型 的 相 关 性 。 因 此 ， 数 据 未 被 匿 名 化 脱 敏 ， 从 而 可 以 从 更 大 的 趋 势 图 中 查 明 特 定 的 个 人 。 这 将 违 反 包 括 H I P A A 和 G D P R 在 内 的 多 项 法 规 。 如 何 创 建 全 面 的 数 据 安 全 解 决 方 案 如 何 创 建 全 面 的 数 据 安 全 解 决 方 案 数 据 安 全 性 需 要 对 数 据 和 用 户 活 动 进 行 统 计 。 此 过 程 从 指 纹 识 别 ， 发 现 数 据 库 服 务 器 ， 然 后 分 域 管 理 进 行 准 入 访 问 / 活 动 监 控 ， 还 需 要 连 续 的 用 户 权 限 管 理 来 阻 止 特 权 滥 用 。 最 佳 实 践 的 解 决 方 法 会 考 虑 到 数 据 访 问 的 每 个 实 例 （ 包 括 特 权 用 户 的 实 例 ） ， 敏 感 数 据 的 匿 名 化 脱 敏 ， 为 用 户 和 应 用 程 序 构 建 完 整 的 安 全 配 置 策 略 。 在 异 构 环 境 下 的 数 据 库 审 计 日 志 方 面 ， 及 日 常 行 为 中 关 注 上 下 文 使 用 机 器 自 学 习 ， 可 以 准 确 地 识 别 内 部 威 胁 并 防 止 数 据 泄 露 。 而 加 强 访 问 数 据 库 的 应 用 程 序 安 全 也 很 重 要 。 S Q L i 和 W e b   S h e l l 只 是 W e b 应 用 程 序 面 临 的 两 种 威 胁 ， 同 时 也 需 要 能 够 阻 止 S Q L i 、 W e b   S h e l l 事 件 并 防 止 复 杂 的 业 务 逻 辑 攻 击 的 类 似 高 级 W e b 应 用 防 火 墙 的 数 据 库 业 务 防 火 墙 ， 为 防 止 未 经 授 权 的 数 据 访 问 提 供 重 要 的 保 护 。 如 您 所 见 对 数 据 库 的 此 五 种 威 胁 需 要 多 重 安 全 防 御 机 制 ， 仅 仅 依 靠 本 机 工 具 或 忽 略 外 部 和 内 部 攻 击 者 能 够 利 用 并 且 将 会 利 用 的 安 全 漏 洞 已 不 再 足 够 。 保 护 数 据 库 中 的 数 据 对 于 保 护 客 户 、 声 誉 和 企 业 业 务 生 存 能 力 至 关 重 要 。 注 ： 翻 译 整 理 自 某 安 全 白 皮 书 * 本 文 作 者 ： 两 块 ， 转 载 请 注 明 来 自 本 文 作 者 ： 两 块 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:44 , Processed in 0.592286 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表