第一届数据库攻防大赛（欢迎大家共同讨论，发表自己的见解）

安华金和第一届数据库安防大赛竞赛题目和规则：

1、竞赛题目：

内网工作人员非法获得敏感信息的攻与防

2、场景设计

AB公司是一个同时承担涉密行业和电信行业系统软件和应用软件开发的软件公司。

该公司，以TD为测试管理软件，该软件的后台数据库存储在Oracle 10g上

TD的使用权限分为管理员、测试人员和开发人员

对于公司的项目，处于保密的原因，不同项目组的人员不可以看到不参与项目的信息

管理员可以看到所有项目的信息

公司当前有项目A和项目B在同时运转；项目A是一个保密项目，项目B是一个普通项目，A和B都在同一个TD服务器上进行管理

工作人员：Richard和Jobs是项目B的开发人员，Lemond是测试管理员兼数据库安全维护人员，Hellen是项目A的测试人员

工作任务：

Richard被工业间谍收买，需要获得项目A中遗留Bug的描述信息

Lemond负责保证所有工作人员的正常工作和数据库内信息的保密工作，并不知晓谁会对数据库造成威胁

 

3、竞赛规则

（1）角色分配

防守组：负责承担Lemond的工作

攻击组：负责模拟Richard的工作

裁判：模拟Hellen

（2）场景部署

从8月6日到8月11日，防守组负责搭建TD和Oracle测试环境，生成项目A和项目B的测试数据信息，分配项目组的工作人员权限信息；对所设计的网络进行保护

8月12日上午9：00，防守组向攻击组，公布Richard访问TD的网址和用户名、口令

8月15日上午10：00，攻击组负责展示成果；防守组提交网络部署和安全设计方案

（3）裁判

确定双方胜负

（4）约束

对数据库的安全加固，不得使用安华金和数据库保险箱

在攻击组进行攻击期间，防守组需要保证TD访问的畅通，不得进行网络阻断等行为

在攻击组攻击期间，防守组不得再施加新的数据库和应用防护措施