www.tmsmall666.cn

 　　1、　　錯誤配置的網(wǎng)絡(luò)分段

　　安全最佳做法和法規(guī)都大肆吹捧網(wǎng)絡(luò)分段是控制風(fēng)險范圍以保護高價值數(shù)據(jù)庫資產(chǎn)的重要方式。但是如果配置不當(dāng)?shù)脑?，尤其是在防火墻的?guī)則集中，這些網(wǎng)絡(luò)分段的安全漏洞都可能讓數(shù)據(jù)庫泄露。安全咨詢公司Principle Logic公司的創(chuàng)始人Kevin Beaver花了大部分時間在為客戶執(zhí)行網(wǎng)絡(luò)安全和web應(yīng)用程序安全評估的工作上。他的評估結(jié)果經(jīng)常顯示企業(yè)在分段網(wǎng)絡(luò)時糟糕的工作情況。

　　2、泛濫的數(shù)據(jù)庫系統(tǒng)特權(quán)賬戶

　　即使是在整個IT基礎(chǔ)設(shè)施部署了高效身份和訪問管理工具和程序的企業(yè)，數(shù)據(jù)庫往往都處于無人看管的狀況。“企業(yè)經(jīng)常忘記將數(shù)據(jù)庫用戶的身份生命周期管理綁定到他們的IAM核心中，尤其是共享賬戶和服務(wù)賬戶，”Identropy首席架構(gòu)師Nishant Kaushik表示，“數(shù)據(jù)庫訪問必須與配置、強大的身份驗證和特權(quán)賬戶管理工具配合工作。”

　　但事實上，IT部門往往允許開發(fā)人員和其他IT系統(tǒng)管理員通過幾乎無限制權(quán)限的系統(tǒng)賬戶來進入數(shù)據(jù)庫。這些賬戶經(jīng)常在訪問控制或監(jiān)控系統(tǒng)的控制之外被使用，并且很容易被內(nèi)部人員濫用或者被外部攻擊人員用于發(fā)動數(shù)據(jù)庫攻擊。

　　3、　　不安全的Web應(yīng)用程序

　　盡管OWASP等組織在過去幾年中積極傳播最佳的安全編程方法，但事實是互聯(lián)網(wǎng)中仍然存在數(shù)百萬存在漏洞的Web應(yīng)用程序，這些應(yīng)用程序?qū)⒂脩粢龑?dǎo)到哪里?當(dāng)然是到后端數(shù)據(jù)庫。Accuvant LABS首席安全架構(gòu)師，同時也是著名數(shù)據(jù)庫安全研究人員David Litchfield表示，縮小漏洞差距的進展非常緩慢。

　　Litchfield表示：“這相當(dāng)令人沮喪，尤其是看到幾年前開始使用的相同工具包到現(xiàn)在仍然能夠很好地用于滲透測試時。最糟糕的部分就是開發(fā)人員仍然開發(fā)出存在以前相同錯誤的新應(yīng)用程序，例如，無法驗證輸入。”他表示，高等教育機構(gòu)仍然沒有教授學(xué)生多年前開發(fā)出來的安全編程原則，你以為這些從大學(xué)畢業(yè)的開發(fā)人員會知道這些基本知識，但是其實他們并沒有學(xué)過。

　　如果有企業(yè)把自己的數(shù)據(jù)庫放在互聯(lián)網(wǎng)上，卻又沒有對它進行管理，沒有按時進行監(jiān)測，等到發(fā)生了數(shù)據(jù)泄露才意識到事態(tài)的嚴(yán)重性，這樣就已經(jīng)太晚了，所以中技特意從這三大點來給大家講講數(shù)據(jù)庫的安全問題如何處理。

重慶中技互聯(lián)網(wǎng)信息咨詢有限公司 www.tmsmall666.cn