数据库信息屡次泄露安全短板究竟在何处

1、山丽网安：数据库信息屡次泄露安全短板究竟在何处步入 2015年，信息化的程度逐渐加深，而信息安全方面却屡屡爆出不和谐的声音。传统的信息安全解决方案主要是通过网络传输通道加密、PKI 或增强身份认证、防火墙、IPS 、堡垒机等技术构成综合的信息安全应对策略，但随着时代的发展，这些传统的信息安全解决方案已经渐渐不能满足需要， 大量信息泄露事件频繁爆发。 现在的防护措施有哪些不足， 保护信息安全现在应该怎么做？下面就让内网安全方面的专家山丽网安为你指点迷津。根据 2014年数据泄漏调查分析报告和对近期发生的信息安全事件技术分析，归纳出信息泄露呈现两个趋势：首先是黑客通过B/S 应用，以Web服务器为

2、跳板，窃取数据库中数据; 传统解决方案对应用访问和数据库访问协议没有任何控制能力，比如:SQL 注入就是一个典型的数据库黑客攻击手段。其次内部人员的滥用数据库存储的有价值信息导致数据资产丢失数据泄露常常发生在内部，大量的运维人员直接接触敏感数据， 传统以防外为主的网络安全解决方案失去了用武之地。数据库在这些泄露事件成为了主角，这与我们在传统的安全建设中忽略了数据库安全问题有关，在传统的信息安全防护体系中数据库处于被保护的核心位置， 不易被外部黑客攻击，同时数据库自身已经具备强大安全措施，表面上看足够安全，但这种传统安全防御的思路，存在致命的缺陷。数据库本身存在重大安全缺陷传统观念认为数据库系统

3、本身已具备完整的安全保障机制， 存储在数据库中的数据足够安全， Oracle 总裁 Larry Ellison 曾宣称 Oracle 数据库是世界上最为安全的数据库系统，但事实上以 Oracle 为首的数据库系统存在重大安全缺陷，主要体现为如下三个方面：存储文件解析后为明文数据库的数据是存储在物理文件里，这些数据按照数据库自定义的格式组织在数据库中，但这些数据本质上都是明文存储 ; 主流的大型数据库数据文件的组织结构主动或被动公开化，只要得到这些数据文件，存储的数据其实就是透明的。这些存储文件包括数据库的数据文件、备份文件、日志文件等 ; 这样只要能够访问或得到数据库存储文件， 就可以获得数据

4、库中的信息。 比如： 在互联网上公开的 MyDUL软件就是可以成功解析 Oracle 数据文件获得明文信息的开源工具。数据库的明文存储也会因为磁盘、 备份磁带的丢失引起泄密， 如香港花旗银行在装修期间丢失了服务器引起的客户资料泄密。 同时，明文存储使只要能够访问到数据库文件的人员，都可以看到数据库中的存储内容，如网络管理员或者攻入到内网当中的黑客。数据库自身存在诸多可攻击安全漏洞数据库往往被认为具备较为完备的安全机制， 从身份认证、访问控制、 到通讯加密，但事实上数据库也存在诸多的安全漏洞，当前在国际漏洞库 CVE 上公布了 2000多个数据库漏洞，号称最为安全的Oracle 数据库就占了10

5、00多个 ; 这些漏洞大多是国际上的安全专家对数据库安全状况进行研究后发现的，包括提权漏洞( 如从普通用户提权到DBA用户 ) 、缓冲区溢出漏洞 ( 通过该漏洞可以使数据库执行非法代码或瘫痪 ) 、系统注入漏洞 ( 通过该漏洞在调用系统函数时执行任意非法 SQL代码 ) 。黑客已经利用这些漏洞，对数据库进行了多次侵入; 虽然数据库厂商据此提供了大量补丁包，但这些补丁包所修复的漏洞数量也是有限的， 同时大量的应用系统出于系统稳定性和兼容性的原因也无法实现补丁升级 ; 因此这些漏洞依然是黑客入侵数据库的常用通道，同时随着这些安全问题的广泛传播， 数据库维护人员和程序人员也使用这些技术手段进行越权工

6、作，对数据库造成了巨大威胁。数据库自身的访问控制存在缺陷数据库采用的访问控制机制，依然是典型的三元组，也就是主体、客体和操作，其中主体主要是数据库用户或角色，客体是数据库对象，操作是典型的DDL、DML、ACL语句和某些维护操作 ; 但对这些操作的具体内容和影响不再做控制，如是否采用了欺骗性的SQL语句、是否返回了大量数据无法控制。当前广为流传的 SQL注入就是大量地利用这些控制缺陷， 在 SQL语句中构造永真表达式、执行外部调用、非法登录应用系统进行批量数据导出。同时某些程序人员也恶意利用这些控制缺陷， 在应用程序中埋下后门程序， 对有价值的信息进行非法下载等等。数据库的应用环境变得日趋复杂

7、数据库安全事件频频发生的原因也是由于当前数据库的应用环境和应用模式日趋复杂，与数据库应用环境相关的安全隐患主要有三个方面：B/S 架构使数据库间接暴露在互联网上大量 Web应用的兴起， 面向公众的政府、 金融单位提供服务的动态网站和应用系统快速增加 ; 大企业的各分支机构分布地域广阔，在企业内部也通过互联网实现财务、办公、商务等信息化管理。这些系统采用 B/S 为主要技术架构，用户通过浏览器访问 WEB服务器， WEB 服务器再访问数据库服务器， 形成了从用户到数据库的合法访问通道， 从而将数据库间接暴露在互联网上。 甚至在某些企业， 数据库就直接安装在对外提供 WEB服务的计算机上， 通过攻

8、击 web 服务器即可实现数据库的敏感数据访问。数据库维护模式改变为服务外包模式传统的数据库维护主要是企业内部的DBA完成，但随着业务系统复杂度的增加和累积数据规模的增大， 大型企业和政府单位的数据库采用服务外包给IT 企业的方式进行维护管理，同时各关键行业处于信息化快速发展和建设中，往往是一边开发新系统一边正常使用完成的系统，就导致存在大量的驻场程序开发人员; 这样使数据库的直接接触人员，不仅限于企业的内部维护人员，同时包含大量的服务外包人员、程序开发人员和系统测试人员，这些人员直接接触数据库系统的真实数据， 使传统基于人工内部管理模式为主的数据库安全机制面临巨大挑战。访问数据库系统的应用形

9、式多样化当前数据库内的数据被大量共享访问，数据库的访问形式不仅限于传统的模式， B/S 架构的应用逐渐成为主流。 数据查询类、分析类应用迅速增加， 数据仓库、数据同步系统的建设以促进共享。 数据的定期备份、 异地备份大量增加以加强数据的可靠性， 访问形式的多样化，决定了数据库安全问题的多样化，需要综合性的安全解决方案。传统网络安全解决方案存在致命缺陷我国经过十多年的信息安全建设， 已经建立起相对完善的网络信息安全体系， 包括网络安全设备、 终端安全、认证安全、主机安全、 防病毒等系列化的安全产品和整体的安全解决方案 ; 特别是以防火墙、IPS/IDS 、UTM等产品为代表的网络安全产品，更是成

10、为了当前安全建设的标配。 但这些产品都无法防止数据库服务的安全缺陷。在如下致命缺陷：传统的网络安全解决方案中存网络防火墙不对数据库通讯协议进行控制传统的网络防火墙产品主要是基于：源IP +源端口 +目的 IP +目的端口+协议类型进行访问控制，传统的防火墙不对协议的内容进行解析和控制。由于应用要访问数据库，因此数据库的通讯端口总是开放的，本质来说传统防火墙对于数据库网络通讯无任何的安全防护能力。IPS/IDS 对数据库通讯协议的控制很弱IPS/IDS( 入侵防护系统/ 入侵侦测系统) 产品比起传统防火墙更进了一步，开始尝试对应用层的通讯协议进行解析，但这些协议都限于标准通讯协议，如 FTP、邮

11、件、 LDAP、 Telnet 等，对一些针对标准协议的攻击行为进行防范 ; 但对于数据库这样的非标准化通讯协议，协议的复杂度很高，当前市场上的主流 IPS/IDS 产品均未实现对数据库通讯协议的解析和防护。绕过 WAF系统的刷库行为屡见不鲜WAF(Web Application Firewall 网站应用防火墙 ) 产品主要是对 Http 协议的解析，通过对 Http 协议中的内容进行分析， 实现攻击防御 ; 通过 WAF可以实现对部分 SQL注入行为的阻止，但 WAF对于复杂的 SQL注入和攻击行为无能为力 ;2012 年的黑客大会宣布有 150多种方法可以绕开 WAF实现对 Web应用服

12、务器的攻击。 在 Web应用服务器上利用应用的数据库账户攻击数据库服务器是当前刷库的主要手段。内网管控的堡垒机解决方案存在重大缺陷针对来自于内部的数据安全问题， 当前比较流行的是以堡垒机为核心的集中运维管控解决方案， 通过这种方案可以将运维人员对主机设备和数据库的维护集中到堡垒机上完成，堡垒机上完成统一的认证、授权和审计。在但堡垒机的解决方案存在以下安全缺陷：堡垒机无法对图形化工具的操作进行控制，只能通过录屏的方式进行录像记录 ; 备份的磁带不受堡垒机控制， DBA可以通过磁带获取明文数据 ; 网络管理员可以通过解析数据文件，获取数据库中明文数据 ; 程序开发人员通过在生产系统的服务器上驻留后

13、门程序访问数据库;测试和开发人员访问测试系统的数据库获得真实数据。企业内网数据库安全需加密防护企业的内网数据库安全现在如临大敌，每个企业都有着自己很多的隐私和敏感数据需要储存在数据库上， 而这些数据往往有着巨大的价值所以经常成为黑客和内鬼觊觎的对象。在传统防护手段存在缺陷，新技术又在发展摸索的过程中，采用防水墙数据防泄漏系统可以而说是必须的选择。山丽防水墙数据防泄漏系统以国际先进的多模加密技术为核心， 用独有的 AUF监控内核为核心和国际先进的加密算法， 纳入了成熟的计算机终端管理模式， 通过设备资产管理、 端口管理、介质管理、外联管理、桌面管理、远程管理，在系统实施后可以达到技术手段的管理效

14、果。透明加密解密模块为防水墙数据防泄漏系统的基本模块。 该模块采用内核层透明动态加解密技术对指定类型、指定目录、指定硬盘等其他形式文件进行实时、强制、透明加解密。该模块是以用户需求为导向、 以数据加密为基础、 以使用者为对象的综合性管理模块。 同时可以提供多种不同加密模式，灵活加密可供企业用户根据业务需要进行选择。针对企业员工私自将工作文件外发等以造成数据泄露的行为，山丽防水墙中还有文件外发控制模块用以授权控制。当文件需要外发使用时，将由该模块特殊算法进行特殊加密处理，加密时可设置使用授权，有效防止文件内容非法复制和传播。而它还有与众不同的一点，它是国内外唯一一款可以精确限制时间的文件外发控制软件，即用户不管如何修改系统时间、不管将收到的密文明送文件复制为多