设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [14473] 2019-08-15_数据库安全能力：安全准入控制矩阵 ...
返回列表 发新帖
查看: 0|回复: 0

[14473] 2019-08-15_数据库安全能力：安全准入控制矩阵模型构建与实践

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2019-08-15_数据库安全能力：安全准入控制矩阵模型构建与实践 数 据 库 安 全 能 力 ： 安 全 准 入 控 制 矩 阵 模 型 构 建 与 实 践 两 块   F r e e B u f   2 0 1 9 - 0 8 - 1 5 随 着 企 业 组 织 自 然 生 长 ， 业 务 规 模 不 断 扩 大 ， 信 息 化 建 设 和 网 络 安 全 性 工 作 的 复 杂 性 越 来 越 高 ， 安 全 部 门 工 作 随 着 企 业 组 织 自 然 生 长 ， 业 务 规 模 不 断 扩 大 ， 信 息 化 建 设 和 网 络 安 全 性 工 作 的 复 杂 性 越 来 越 高 ， 安 全 部 门 工 作 范 围 涉 及 更 广 ， 安 全 保 障 必 须 及 时 匹 配 以 支 撑 业 务 的 发 展 。 范 围 涉 及 更 广 ， 安 全 保 障 必 须 及 时 匹 配 以 支 撑 业 务 的 发 展 。 企 业 信 息 数 据 的 高 利 益 诱 惑 、 不 断 精 进 的 武 器 化 攻 击 方 法 、 攻 击 情 报 收 集 更 加 便 利 ， 在 日 益 剧 增 的 网 络 安 全 威 胁 状 况 下 ， 传 统 性 的 终 端 安 全 和 网 络 安 全 显 得 捉 襟 见 肘 ， 已 无 法 保 障 企 业 组 织 真 正 重 要 的 东 西 – 业 务 数 据 和 应 用 程 序 。 如 何 维 持 企 业 的 核 心 竞 争 力 ， 保 证 业 务 连 续 性 和 数 据 安 全 ， 需 要 构 建 更 高 层 次 、 更 全 面 、 更 具 成 熟 度 的 数 据 安 全 能 力 （ 参 考 D S M M 数 据 安 全 能 力 成 熟 度 模 型 ） 。 而 数 据 库 安 全 能 力 ， 承 载 了 企 业 核 心 业 务 数 据 的 系 统 软 件 ， 已 经 成 为 业 务 运 行 和 数 据 保 护 的 基 础 设 施 ， 自 然 也 成 为 针 对 性 攻 击 的 首 要 目 标 。 而 数 据 风 险 带 来 的 爆 炸 半 径 早 已 远 超 过 去 ， 数 据 库 安 全 首 当 其 冲 跃 上 安 全 部 门 的 数 据 安 全 能 力 建 设 工 作 清 单 榜 首 。 数 据 库 安 全 能 力 如 何 建 设 ？ 保 护 企 业 数 据 库 和 应 用 程 序 安 全 ， 满 足 数 据 合 规 要 求 以 及 有 效 管 控 数 据 库 免 遭 数 据 窃 取 ， 是 每 个 C S O 都 会 关 注 的 事 情 ， 笔 者 近 几 年 一 直 在 汉 领 信 息 从 事 数 据 库 安 全 管 控 方 面 的 工 作 ， 下 面 介 绍 下 我 的 数 据 库 安 全 准 入 控 制 矩 阵 模 型 的 构 建 和 实 践 心 得 ， 以 此 为 企 业 组 织 的 数 据 安 全 能 力 建 设 提 供 借 鉴 思 路 。 随 着 信 息 化 开 展 ， 业 务 系 统 数 据 化 明 显 ， 数 据 被 广 泛 应 用 于 企 业 内 部 支 撑 、 合 作 经 营 、 产 品 研 发 等 ， 数 据 共 享 带 来 了 普 遍 性 ， 促 进 了 生 产 力 发 展 ， 同 时 也 让 数 据 的 边 界 模 糊 ， 流 动 变 得 频 繁 。 因 此 ， 流 通 共 享 数 据 的 安 全 访 问 控 制 带 来 了 更 高 的 挑 战 。 为 什 么 传 统 的 身 份 认 证 和 访 问 控 制 不 再 适 用 于 数 据 安 全 ？ 为 什 么 传 统 的 身 份 认 证 和 访 问 控 制 不 再 适 用 于 数 据 安 全 ？ 因 为 传 统 的 身 份 认 证 和 访 问 控 制 是 基 于 网 络 层 的 访 问 控 制 ， 通 过 划 分 独 立 数 据 网 络 区 域 和 运 维 管 理 区 域 ， 以 I P 资 源 （ 协 议 端 口 ） 为 对 象 ， 控 制 力 度 较 为 宽 泛 ， 只 能 参 与 网 络 传 输 层 的 访 问 要 求 。 与 业 务 系 统 有 关 的 访 问 控 制 ， 通 常 以 核 心 业 务 实 现 为 中 心 设 计 ， 通 过 控 制 用 户 对 不 同 功 能 界 面 的 访 问 来 达 到 权 限 控 制 的 目 的 。 部 分 数 据 共 享 时 ， 通 常 系 统 允 许 以 文 件 或 图 片 方 式 保 存 ， 并 在 文 件 中 添 加 水 印 ， 用 于 在 信 息 泄 露 后 的 追 溯 ， 如 果 高 权 限 人 员 对 数 据 库 内 具 有 流 动 性 的 单 条 数 据 进 行 传 播 ， 系 统 则 难 以 招 架 。 这 些 方 式 在 面 对 数 据 中 心 级 别 资 源 池 面 前 ， 便 不 足 以 支 撑 对 企 业 内 数 据 传 输 、 数 据 交 换 、 数 据 处 理 的 更 高 细 粒 度 的 访 问 准 入 控 制 要 求 。 一 个 核 心 技 术 点 是 协 议 解 码 框 架 ， 需 要 有 专 业 的 全 协 议 解 码 能 力 ， 识 别 和 分 析 数 据 库 传 输 协 议 以 及 应 用 层 的 协 议 解
码 ， 剥 离 S Q L 语 句 。 通 过 流 会 话 技 术 ， 对 协 议 进 行 流 重 组 ， 所 有 解 析 语 句 会 被 标 记 唯 一 的 标 识 。 在 此 基 础 上 ， 针 对 数 据 库 安 全 访 问 的 准 入 控 制 方 面 ， 总 结 形 成 了 一 个 安 全 准 入 控 制 矩 阵 模 型 。 传 统 网 络 架 构 中 ， 不 注 重 数 据 安 全 的 流 向 ， 关 注 点 始 终 停 留 在 网 络 建 设 层 面 ， 对 数 据 库 的 访 问 准 入 策 略 ， 元 素 使 用 网 络 传 输 的 来 源 与 目 标 I P 、 目 标 端 口 及 协 议 （ T C P / U D P ） 。 在 安 全 准 入 控 制 中 ， 对 数 据 库 的 访 问 准 入 还 能 基 于 哪 些 元 素 ？ 在 安 全 准 入 控 制 中 ， 对 数 据 库 的 访 问 准 入 还 能 基 于 哪 些 元 素 ？ 要 实 现 对 数 据 库 访 问 准 入 的 控 制 ， 首 当 其 冲 便 是 对 数 据 库 协 议 的 解 析 。 首 先 需 要 从 网 络 流 量 中 获 取 数 据 库 的 访 问 流 量 ， 识 别 数 据 库 协 议 ， 例 如 O r a c l e 的 数 据 传 输 协 议 T N S 、 S Q L   S e r v e r 传 输 协 议 T D S 。 然 后 对 数 据 库 流 量 协 议 数 据 包 进 行 全 协 议 解 码 ， 其 必 然 涉 及 到 对 加 密 数 据 库 信 息 的 破 解 （ 如 S Q L S e r v e r 的 T D S 协 议 ， 需 要 通 过 获 取 加 密 证 书 实 现 加 密 登 录 参 数 解 析 ） ， 从 中 识 别 可 利 用 的 独 特 参 数 。 从 以 上 对 O r a c l e 数 据 库 的 简 短 访 问 请 求 中 我 们 可 以 看 到 ， 除 了 访 问 I P 、 端 口 和 协 议 外 ， 还 能 够 采 集 的 参 数 信 息 有 客 户 端 应 用 程 序 名 （ n a v i c a t . e x e ） 、 客 户 端 主 机 名 （ D E S K T O P - V C K 0 M F C ） 、 客 户 端 主 机 用 户 名 （ J ） ， 以 及 访 问 时 使 用 的 数 据 库 账 号 名 （ s y s t e m ） 和 实 例 服 务 名 （ x e ） ， 以 上 称 为 准 入 控 制 因 子 。 企 业 组 织 架 构 设 计 时 ， 可 选 用 数 据 库 软 件 种 类 众 多 ， 协 议 类 型 、 加 密 方 法 各 不 相 同 ， 我 们 通 过 协 议 解 析 获 得 的 数 据 库 应 用 协 议 内 的 参 数 信 息 也 不 相 同 ， 其 部 分 举 例 如 下 ： 如 何 构 建 实 现 矩 阵 模 型 如 何 构 建 实 现 矩 阵 模 型 ? 创 新 的 安 全 准 入 控 制 模 型 ， 以 数 据 库 协 议 的 解 析 为 核 心 基 础 ， 加 入 流 量 解 析 识 别 而 来 的 准 入 因 子 ， 形 成 更 完 善 的 可 选 准 入 控 制 因 子 集 合 。
在 安 全 准 入 控 制 模 型 中 ， 综 合 以 上 准 入 控 制 因 子 ， 便 可 以 实 现 更 高 细 粒 度 的 访 问 控 制 ， 准 入 控 制 策 略 也 将 变 得 更 灵 活 。 企 业 内 对 数 据 库 访 问 使 用 的 准 入 因 子 多 种 多 样 ， 因 为 访 问 途 径 较 多 ， 例 如 业 务 中 间 件 与 数 据 库 集 群 交 互 ， 业 务 应 用 后 台 维 护 对 数 据 库 的 访 问 ， 运 维 D B A 利 用 工 具 对 数 据 库 表 的 操 作 行 为 。 而 做 到 评 估 所 有 的 “ 需 要 知 道 ” 的 访 问 权 限 信 息 是 非 常 困 难 且 成 本 过 高 的 ， 因 此 需 要 自 动 化 的 方 法 ， 而 且 需 要 更 智 能 。 安 全 准 入 控 制 模 型 ， 基 于 数 据 中 心 大 流 量 的 数 据 库 协 议 全 解 码 技 术 ， 通 过 机 器 学 习 ， 实 现 对 全 网 数 据 库 流 量 （ 包 含 业 务 系 统 请 求 的 南 北 向 流 量 、 运 维 与 数 据 中 心 内 服 务 器 交 互 的 东 西 向 流 量 ） 内 安 全 访 问 准 入 因 子 的 自 主 学 习 ， 甄 别 自 动 化 脚 本 攻 击 掺 入 的 脏 数 据 ， 快 速 完 善 数 据 库 访 问 策 略 ， 形 成 准 入 控 制 矩 阵 。 如 何 完 美 实 现 技 术 落 地 ？ 如 何 完 美 实 现 技 术 落 地 ？ 在 业 务 系 统 与 数 据 库 访 问 路 径 中 间 ， 建 立 完 善 可 视 化 的 准 入 控 制 矩 阵 ， 形 成 了 白 名 单 式 的 安 全 规 则 配 置 ， 对 数 据 库 的 所 有 访 问 行 为 ， 都 需 要 进 入 准 入 控 制 矩 阵 进 行 混 合 匹 配 认 证 ， 只 有 符 合 复 杂 白 名 单 规 则 的 访 问 才 被 允 许 。 而 自 动 化 变 换 攻 击 脚 本 程 序 、 更 换 账 号 以 及 目 标 设 备 的 异 常 攻 击 行 为 ， 都 会 被 精 准 识 别 并 及 时 阻 断 。 不 管 从 业 务 系 统 的 外 来 请 求 ， 还 是 服 务 器 集 群 内 的 东 西 向 交 互 访 问 ， 实 现 完 全 杜 绝 非 法 行 为 。 所 以 ， 数 据 库 安 全 准 入 控 制 矩 阵 模 型 的 构 建 是 以 协 议 全 解 码 技 术 为 基 础 ， 识 别 多 项 准 入 控 制 因 子 ， 通 过 访 问 内 容 的 自 主 学 习 ， 形 成 的 准 入 控 制 矩 阵 。 对 数 据 库 的 访 问 进 行 准 入 控 制 ， 对 非 理 性 和 异 常 行 为 达 到 精 准 阻 断 ， 有 效 落 地 企 业 数 据 库 安 全 能 力 。 数 据 库 安 全 准 入 控 制 矩 阵 模 型 是 企 业 构 建 数 据 库 安 全 能 力 建 设 内 容 之 中 的 一 环 ， 是 实 现 灵 活 多 变 、 自 适 应 式 、 且 具 有 高 细 粒 度 访 问 控 制 矩 阵 的 最 佳 实 践 。 对 企 业 组 织 而 言 ， 特 别 是 在 面 对 众 多 以 获 取 企 业 敏 感 数 据 信 息 为 目 的 的 威 胁 面 前 ， 在 未 来 以 数 据 为 中 心 的 新 经 济 时 代 ， 通 过 整 合 来 自 人 、 流 程 和 技 术 的 输 入 信 息 ， 才 能 有 效 构 建 并 提 升 企 业 数 据 安 全 能 力 ， 才 能 在 威 胁 来 临 之 际 快 速 、 自 信 地 做 出 反 应 。 * 本 文 作 者 ： 本 文 作 者 ： 两 块 ， 转 载 请 注 明 来 自 两 块 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:20 , Processed in 0.595806 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表