数据库安全能力：安全威胁TOP5

到目前为止，讨论的每种数据库威胁肯定足以造成数据泄露，但是侥幸的恶意攻击者会寻找阻力最小的途径。许多时候，我们看到了多种威胁的组合使用，这些威胁会加快攻击者对数据的访问，并简化其在未被发现的情况下泄漏数据的能力。这里有一些例子：

• 当应用程序具有过多特权时，SQL注入或Web Shell会使数据库受到破坏
• 由于审计线索不足，难以发现特权滥用
• 当用户或应用程序拥有过多特权时，特权滥用会更加严重

57%的公司认为数据库是内部攻击最脆弱的资产。

(2) 大数据应用程序的安全威胁不可忽略

大数据应用程序仍处于起步阶段，在不根据每个公司的特定需求进行自定义的情况下进行部署，几乎没有成熟的商业解决方案。在市场发展的现阶段，仍然缺少了解大数据技术并能跟上其快速发展的专家。

在大多数情况下，内部开发人员设计、编写代码、测试和部署大数据应用程序和硬件时，却没有得到足够的培训、需求定义、时间或资源。

人们可能误认为，大数据“开源”软件包是一种快速成功的安装方式，实际上这些系统要复杂得多。构建软件时的第二个问题是缺乏可行的本机安全性或审计框架，该框架不会妨碍定制解决方法。缺少本地模型使安全性实现变得不容易，并且需要深入的设计和持续不断的维护。因此，需要考虑的安全和审计功能会被反复推迟，从而使您的数据容易受到攻击。

(3) 大数据—安全不是重点

大数据领域的某些人认识到对原生安全性和治理能力的需求，有早期的Apache项目正在寻求解决这些需求。不幸的是，这些项目经常有自己的安全问题，这些问题可能直接影响到它们试图保护的大数据系统的安全性。这些问题包括：

向应用程序添加身份验证过程。这需要更多的安全考虑，会使应用程序更加复杂。例如，应用程序需要定义用户和角色。基于此类数据，应用程序可以决定是否授予用户访问系统的权限。

• 输入验证。我们再次看到困扰RDBMS应用程序的问题又回来了，同样困扰着NoSQL数据库。OWASP现在建议测试NoSQL数据库(例如MongoDB)是否受到SQL注入式攻击。
• 应用意识。在每个应用程序都需要管理安全性的情况下，它必须了解每个其他应用程序。这是禁用对任何非应用程序数据的访问所必需的。
• 当新的数据类型添加到数据存储时，数据存储管理员必须弄清楚并确保哪些应用程序无法访问该特定数据。
• 弱代码。有许多大数据项目和产品，是通过敏捷开发方法实现的，没有为安全性检查和测试分配时间或资源。恶意行为者将利用有缺陷的开发方法，探索漏洞加以利用。

(4) 重复数据

NoSQL的强大功能也是它的安全性致命弱点。在这些系统中，数据并非严格保存在唯一表中。而是，将数据复制到许多表以优化查询处理。因此，不可能根据特定的敏感表对***进行分类。相反，可以在不同位置找到此类数据：交易日志、个人帐户详细信息、代表所有***的特定表以及甚至可能没有考虑到的其他位置。

(5) 隐私问题

尽管我们专注于安全性，但是隐私问题也不容忽视。以医疗大数据平台为例，提供商可以共享患者数据。患者可以访问系统获取遗传信息，然后再访问有关药物信息的系统。分析此数据的应用程序可以将信息关联起来，以找到与遗传和健康有关的购买趋势。问题在于，最初插入数据时未考虑这种类型的相关性。因此，数据未被匿名化脱敏，从而可以从更大的趋势图中查明特定的个人。这将违反包括HIPAA和GDPR在内的多项法规。

如何创建全面的数据安全解决方案

数据安全性需要对数据和用户活动进行统计。此过程从指纹识别，发现数据库服务器，然后分域管理进行准入访问/活动监控，还需要连续的用户权限管理来阻止特权滥用。最佳实践的解决方法会考虑到数据访问的每个实例(包括特权用户的实例)，敏感数据的匿名化脱敏，为用户和应用程序构建完整的安全配置策略。在异构环境下的数据库审计日志方面，及日常行为中关注上下文使用机器自学习，可以准确地识别内部威胁并防止数据泄露。

而加强访问数据库的应用程序安全也很重要。SQLi和Web Shell只是Web应用程序面临的两种威胁，同时也需要能够阻止SQLi、Web Shell事件并防止复杂的业务逻辑攻击的类似高级Web应用防火墙的数据库业务防火墙，为防止未经授权的数据访问提供重要的保护。

如您所见对数据库的此五种威胁需要多重安全防御机制，仅仅依靠本机工具或忽略外部和内部攻击者能够利用并且将会利用的安全漏洞已不再足够。保护数据库中的数据对于保护客户、声誉和企业业务生存能力至关重要。

（编辑：核心网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!