账户密码保护秘笈 解析数据库威胁保护

　　近两年，拖库现象频发，黑客盗取数据库的技术在不断提升。虽然数据库的防护能力也在提升，但相比黑客的手段来说，单纯的数据库防护还是心有余而力不足。数据库审计已经不是一种新兴的技术手段，但是却在数据库安全事件频发的今天给我们以新的启示。数据库受到的威胁大致有这么几种：

　　一、内部人员错误

　　数据库安全的一个潜在风险就是“非故意的授权用户攻击”和内部人员错误。这种安全事件类型的最常见表现包括：由于不慎而造成意外删除或泄漏，非故意的规避安全策略。在授权用户无意访问敏感数据并错误地修改或删除信息时，就会发生第一种风险。在用户为了备份或“将工作带回家”而作了非授权的备份时，就会发生第二种风险。虽然这并不是一种恶意行为，但很明显，它违反了公司的安全策略，并会造成数据存放到存储设备上，在该设备遭到恶意攻击时，就会导致非故意的安全事件。例如，笔记本电脑就能造成这种风险。

　　二、社交工程

　　由于攻击者使用的高级钓鱼技术，在合法用户不知不觉地将安全机密提供给攻击者时，就会发生大量的严重攻击。这些新型攻击的成功，意味着此趋势在 2012年继续。在这种情况下，用户会通过一个受到损害的网站或通过一个电子邮件响应将信息提供给看似合法的请求。应当通知雇员这种非法的请求，并教育他们不要做出响应。此外，企业还可以通过适时地检测可疑活动，来减轻成功的钓鱼攻击的影响。数据库活动监视和审计可以使这种攻击的影响最小化。

　　三、内部人员攻击

　　很多数据库攻击源自企业内部。当前的经济环境和有关的裁员方法都有可能引起雇员的不满，从而导致内部人员攻击的增加。这些内部人员受到贪欲或报复欲的驱使，且不受防火墙及入侵防御系统等的影响，容易给企业带来风险。

　　四、错误配置

　　黑客可以使用数据库的错误配置控制“肉机”访问点，借以绕过认证方法并访问敏感信息。这种配置缺陷成为攻击者借助特权提升发动某些攻击的主要手段。如果没有正确的重新设置数据库的默认配置，非特权用户就有可能访问未加密的文件，未打补丁的漏洞就有可能导致非授权用户访问敏感数据。

　　五、未打补丁的漏洞

　　如今攻击已经从公开的漏洞利用发展到更精细的方法，并敢于挑战传统的入侵检测机制。漏洞利用的脚本在数据库补丁发布的几小时内就可以被发到网上。当即就可以使用的漏洞利用代码，再加上几十天的补丁周期(在多数企业中如此)，实质上几乎把数据库的大门完全打开了。

　　六、高级持续性威胁

　　之所以称其为高级持续性威胁，是因为实施这种威胁的是有组织的专业公司或政府机构，它们掌握了威胁数据库安全的大量技术和技巧，而且是“咬定青山不放松”“立根原在"金钱(有资金支持)"中”，“千磨万击还坚劲，任尔东西南北风”。这是一种正甚嚣尘上的风险：热衷于窃取数据的公司甚至外国政府专门窃取存储在数据库中的大量关键数据，不再满足于获得一些简单的数据。特别是一些个人的私密及金融信息，一旦失窃，这些数据记录就可以在信息黑市上销售或使用，并被其它政府机构操纵。鉴于数据库攻击涉及到成千上万甚至上百万的记录，所以其日益增长和普遍。通过锁定数据库漏洞并密切监视对关键数据存储的访问，数据库的专家们可以及时发现并阻止这些攻击。

　　数据库审计不但可以在发生数据泄露和损坏之前，起到一定的防护作用，更重要的是数据库审计能够详细的记录数据库访问的历史记录，可以真实的还原数据泄露的过程，再现事件当事人的行为细节，为日后法律责任追究建立有效的证据，防止事态扩大化。一般来讲，数据库审计能够起到如下的作用：

　　满足合规性要求，顺利通过IT审计

　　目前，越来越多的单位面临一种或者几种合规性要求。比如，在美上市的中国移动集团公司及其下属分子公司就面临SOX法案的合规性要求;而商业银行则面临Basel协议的合规性要求;政府的行政事业单位或者国有企业则要遵循等级保护的合规性要求。

　　有效减少核心信息资产的破坏和泄露

　　对单位的业务系统来说，真正重要的核心信息资产往往存放在少数几个关键系统和关键服务器上，能够加强对这些关键系统的访问控制与审计，从而有效地减少核心信息资产的破坏和泄露。

　　有效控制运维操作风险，便于事后追查原因与界定责任

　　一个单位里负责运维的部门通常拥有目标系统或者网络设备的最高权限，因而也承担着很高的风险(误操作或者是个别人员的恶意破坏)。基于角色的访问控制与审计，有效地控制运维操作风险，还能够有效地区分不同维护人员的身份，便于事后追查原因与界定责任。

　　有效控制业务运行风险，直观掌握业务系统运行的安全状况

　　业务系统的正常运行需要一个安全、稳定的网络环境。提供审计事件及会话的统计分析功能，能够直观地反映网络环境的安全状况。

　　实现独立审计与三权分立，完善IT内控机制

　　从内控的角度来看，IT系统的使用权、管理权与监督权必须三权分立。实现独立的审计与三权分立，在三权分立的基础上实施内控与审计，有效地控制操作风险(包括业务操作风险与运维操作风险)，完善IT内控机制。