數(shù)據(jù)庫(kù)的安全問(wèn)題一直以來(lái)就是DBA的噩夢(mèng)，那些不安全的Web應(yīng)用程序、沒(méi)有有效的認(rèn)證管理以及管理配置不當(dāng)?shù)姆侄味伎赡茏寯?shù)據(jù)庫(kù)處于危險(xiǎn)之中。當(dāng)然，如果你的數(shù)據(jù)庫(kù)系統(tǒng)沒(méi)有部署流量監(jiān)控或加密技術(shù)，數(shù)據(jù)庫(kù)安全也可以說(shuō)是不完整的。

數(shù)據(jù)庫(kù)的安全問(wèn)題一直以來(lái)就是DBA的噩夢(mèng)，那些不安全的Web應(yīng)用程序、沒(méi)有有效的認(rèn)證管理以及管理配置不當(dāng)?shù)姆侄味伎赡茏寯?shù)據(jù)庫(kù)處于危險(xiǎn)之中。當(dāng)然，如果你的數(shù)據(jù)庫(kù)系統(tǒng)沒(méi)有部署流量監(jiān)控或加密技術(shù)，數(shù)據(jù)庫(kù)安全也可以說(shuō)是不完整的。但是大多數(shù)安全從業(yè)人員都知道往往數(shù)據(jù)庫(kù)安全的有效性在數(shù)據(jù)庫(kù)環(huán)境外部和內(nèi)部差不多。

而實(shí)際上在數(shù)據(jù)的存儲(chǔ)過(guò)程中通常因?yàn)镮T基礎(chǔ)架構(gòu)層的安全性較差而導(dǎo)致了更多的數(shù)據(jù)泄漏。因而產(chǎn)生了三個(gè)嚴(yán)重的安全問(wèn)題：

1、不安全的Web應(yīng)用程序

盡管OWASP等組織在過(guò)去幾年中積極傳播最佳的安全編程方法，但事實(shí)是互聯(lián)網(wǎng)中仍然存在數(shù)百萬(wàn)存在漏洞的Web應(yīng)用程序，這些應(yīng)用程序?qū)⒂脩?hù)引導(dǎo)到哪里?當(dāng)然是到后端數(shù)據(jù)庫(kù)。Accuvant LABS首席安全架構(gòu)師，同時(shí)也是著名數(shù)據(jù)庫(kù)安全研究人員David Litchfield表示，縮小漏洞差距的進(jìn)展非常緩慢。

Litchfield表示：“這相當(dāng)令人沮喪，尤其是看到幾年前開(kāi)始使用的相同工具包到現(xiàn)在仍然能夠很好地用于滲透測(cè)試時(shí)。最糟糕的部分就是開(kāi)發(fā)人員仍然開(kāi)發(fā)出存在以前相同錯(cuò)誤的新應(yīng)用程序，例如，無(wú)法驗(yàn)證輸入?！彼硎?，高等教育機(jī)構(gòu)仍然沒(méi)有教授學(xué)生多年前開(kāi)發(fā)出來(lái)的安全編程原則，你以為這些從大學(xué)畢業(yè)的開(kāi)發(fā)人員會(huì)知道這些基本知識(shí)，但是其實(shí)他們并沒(méi)有學(xué)過(guò)。

2、泛濫的數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)賬戶(hù)

即使是在整個(gè)IT基礎(chǔ)設(shè)施部署了高效身份和訪問(wèn)管理工具和程序的企業(yè)，數(shù)據(jù)庫(kù)往往都處于無(wú)人看管的狀況。“企業(yè)經(jīng)常忘記將數(shù)據(jù)庫(kù)用戶(hù)的身份生命周期管理綁定到他們的IAM核心中，尤其是共享賬戶(hù)和服務(wù)賬戶(hù)，”Identropy首席架構(gòu)師Nishant Kaushik表示，“數(shù)據(jù)庫(kù)訪問(wèn)必須與配置、強(qiáng)大的身份驗(yàn)證和特權(quán)賬戶(hù)管理工具配合工作?！?/P>

但事實(shí)上，IT部門(mén)往往允許開(kāi)發(fā)人員和其他IT系統(tǒng)管理員通過(guò)幾乎無(wú)限制權(quán)限的系統(tǒng)賬戶(hù)來(lái)進(jìn)入數(shù)據(jù)庫(kù)。這些賬戶(hù)經(jīng)常在訪問(wèn)控制或監(jiān)控系統(tǒng)的控制之外被使用，并且很容易被內(nèi)部人員濫用或者被外部攻擊人員用于發(fā)動(dòng)數(shù)據(jù)庫(kù)攻擊。

3、錯(cuò)誤配置的網(wǎng)絡(luò)分段

安全最佳做法和法規(guī)都大肆吹捧網(wǎng)絡(luò)分段是控制風(fēng)險(xiǎn)范圍以保護(hù)高價(jià)值數(shù)據(jù)庫(kù)資產(chǎn)的重要方式。但是如果配置不當(dāng)?shù)脑?huà)，尤其是在防火墻的規(guī)則集中，這些網(wǎng)絡(luò)分段的安全漏洞都可能讓數(shù)據(jù)庫(kù)泄露。安全咨詢(xún)公司Principle Logic公司的創(chuàng)始人Kevin Beaver花了大部分時(shí)間在為客戶(hù)執(zhí)行網(wǎng)絡(luò)安全和web應(yīng)用程序安全評(píng)估的工作上。他的評(píng)估結(jié)果經(jīng)常顯示企業(yè)在分段網(wǎng)絡(luò)時(shí)糟糕的工作情況。

“我會(huì)看看企業(yè)的防火墻規(guī)則集，找到各種漏洞和錯(cuò)誤配置情況，并且有些網(wǎng)絡(luò)分段還無(wú)法互相通信，端口開(kāi)放等問(wèn)題。我經(jīng)常看到數(shù)據(jù)庫(kù)服務(wù)器位于公共互聯(lián)網(wǎng)中，很容易受到攻擊，”他表示，“在不久以前我還看到過(guò)這樣一個(gè)案例，因?yàn)闃I(yè)務(wù)合作伙伴的要求，一家公司將其SQL服務(wù)器數(shù)據(jù)庫(kù)放在互聯(lián)網(wǎng)上，而后又忘記了這件事，直到出現(xiàn)數(shù)據(jù)泄露事故他們才意識(shí)到問(wèn)題所在。”

更多信息請(qǐng)查看IT技術(shù)專(zhuān)欄