認識數據庫安全威脅 保護數據安全（1）
數據庫安全威脅 1 - 審計記錄不足
自動記錄所有敏感的和/或異常的數據庫事務應該是所有數據庫部署基礎的一部分。如果數據庫審計策略不足，則組織將在很多級別上面臨嚴重風險。
數據庫安全威脅 2 - 拒絕服務
拒絕服務 (DOS)是一個寬泛的攻擊類別，在此攻擊中正常用戶對網絡應用程序或數據的訪問被拒絕。可以通過多種技巧為拒絕服務 (DOS)攻擊創造條件，其中很多都與上文提到的漏洞有關。例如，可以利用數據庫平臺漏洞來制造拒絕服務攻擊，從而使服務器崩潰。其他常見的拒絕服務攻擊技巧包括數據破壞、網絡泛洪和服務器資源過載（內存、CPU 等）。資源過載在數據庫環境中尤為普遍。
數據庫安全威脅 3 - 數據庫通信協議漏洞
在所有數據庫供應商的數據庫通信協議中，發現了越來越多的安全漏洞。在兩個最新的 IBMDB2 Fix Pack 中，七個安全修復程序中有四個是針對協議漏洞1。同樣地，最新的 Oracle 季度補丁程序所修復的 23個數據庫漏洞中有 11 個與協議有關。針對這些漏洞的欺騙性活動包括未經授權的數據訪問、數據破壞以及拒絕服務。例如， SQL Slammer2蠕蟲就是利用了 Microsoft SQL Server協議中的漏洞實施拒絕服務攻擊。更糟糕的是，由于自身數據庫審計機制不審計協議操作，所以在自身審計記錄中不存在這些欺騙性活動的記錄。
數據庫安全威脅 4- 身份驗證不足
薄弱的身份驗證方案可以使攻擊者竊取或以其他方法獲得登錄憑據，從而獲取合法的數據庫用戶的身份。攻擊者可以采取很多策略來獲取憑據。
暴力- 攻擊者不斷地輸入用戶名/密碼組合，直到找到可以登錄的一組。暴力過程可能是靠猜測，也可能是系統地枚舉可能的用戶名/密碼組合。通常，攻擊者會使用自動化程序來加快暴力過程的速度。
社會工程– 在這個方案中，攻擊者利用人天生容易相信別人的傾向來獲取他人的信任，從而獲得其登錄憑據。例如，攻擊者可能在電話中偽裝成一名 IT 經理，以“系統維護”為由要求提供登錄憑據。
直接竊取憑據– 攻擊者可能通過抄寫即時貼上的內容或復制密碼文件來竊取登錄憑據。
數據庫安全威脅 5 - 備份數據暴露
經常情況下，備份數據庫存儲介質對于攻擊者是毫無防護措施的。因此，在若干起著名的安全破壞活動中，都是數據庫備份磁帶和硬盤被盜。防止備份數據暴露所有數據庫備份都應加密。實際上，某些供應商已經建議在未來的 DBMS產品中不應支持創建未加密的備份。建議經常對聯機的生產數據庫信息進行加密，但是由于性能問題和密鑰管理不善問題，這一加密方法通常是不現實的，并且一般被公認為是上文介紹的細化的權限控制的不理想的替代方法。
至于對策，有的其實由DBA通過一些配置和加固就可以DIY，當然，有的還需要考慮引入第三方的產品，例如對于提權行為、濫用合法權限行為、SQL注入行為的判定。在以后，我還會更多地談及數據庫審計的話題。
數據庫的安全問題是個很嚴重的話題，需要每一位學者認真對待。
【編輯推薦】
