《从安全攻击实例看数据库安全》由会员分享，可在线阅读，更多相关《从安全攻击实例看数据库安全（12页珍藏版）》请在金锄头文库上搜索。
1、从安全攻击实例看数据库安全之四：数据安全防护方法摘要：本文通过对信息安全攻击实例中的数据库安全风险进行分析，结合信息安全等级保护对数据库安全防护的指导思路，提高信息系统的数据库安全防护能力一. 数据库安全风险分析与很多业务快速发展而忽视了信息安全建设的公司类似，好运公司被黑客卡 尔窃取了大量客户和信用卡信息，而且自己也没有发现。一段时间后，监管机构 发现大量信用卡欺诈行为，涉案信用卡有一个共同点，曾在好运公司进行过信用 卡交易，由此监管机构发现好运公司出现了问题，并通知了好运公司。好运公司展开内部调查，按照有关法律，好运公司不得不告知信用卡持卡人， 并履行相应的赔偿。由于卡尔这次信用卡盗窃行为
2、，好运公司蒙受了惨痛的声誉 和经济损失。那么在实际的应用中，究竟都存在哪些数据库安全风险导致敏感信息的批量 泄漏？如下图所示：风险1:利用数据库漏洞对数据库进行攻击，批量导出数据或篡改数据； 风险2：外部黑客通过应用系统的SQL注入点越权查询数据库敏感信息； 风险3：绕过合法应用暴力破解登录数据库或获取明文存储数据库文件。那么好运公司如何在业务快速发展的同时做好信息安全建设呢？下面我们来 看下信息系统等级保护有哪些指导性的建议。等级保护制度是国家信息安全保障工作的基本制度、基本国策，是开展信息 安全工作的基本方法，是促进信息化维护国家信息安全的根本保障。信息安全 技术信息系统安全等级保护基本要
3、求对信息系统分等级进行安全保护和监管， 五个规定动作：信息系统定级、备案、安全建设整改、等级测评、监督检查，信息安全产品分等级使用管理，信息安全事件分等级响应、处置，按照“准确定级、 严格审批、及时备案、认真整改、科学测评”的要求开展工作。基本要求是阶段性目标，信息系统等级保护安全设计技术要求是实 现该目标的方法和途径之一，提出“一个中心三维防护”（安全管理中心和计算 环境安全、区域边界安全、通信网络安全）的安全保护设计技术要求。数据库安全在等级保护基本要求中的位置是主机安全的一个部分，数据库 的安全技术建设指标是从“主机安全”和“数据安全及备份恢复”中根据数据库 的特点映射得到的。主机安全中
4、的身份鉴别、访问控制、安全审计和资源控制，数据安全中的数据 保密性，都对数据库安全有具体要求。在等保定级为二级的系统，数据库安全审 计产品是必选设备，同时对三级及以上系统中的关键敏感数据安全防护，等保技 术指标要求如下：丄安全审计 要求“对用户行为、安全事件等进行记录”。丄访问控制 强调了最小授权原则，使得用户的权限最小化，同时要求对重要信息资源 设置敏感标记。丄数据保密性。要求“实现系统管理数据、鉴别信息和重要业务数据的存储保密性”。完全问题后里未设王密码豆杂度诵昭或设咼不完善.如设直了密码氏廈 策時r密码車复第晤、密玛舟殊字符策時等*未后臣口令豆杂度选项.吗加了攻违者逼过輕力弱 辑旳方式我
5、取用户口令旳可能*现场测评内容与方法身份鉴别|擁作系统和数据库垂统管理用户身伽识应具有不易被冒用的特点，令应 有疫杂度要求并定期更换。条款理解姜求柬舷具有一定时密码策晤r如设苣密码历史记录、设旨密碍晶快便用期限、设首密码勰便 用期限、谡肯最短密码长農，设肓密玛夏訣隹要求.肓巨密码可逆旧密。危害分析Oracle1) 查看是否启用口令复杂度函数： select limit from dba_profiles where profile=DEFAULT and resource_name=PASSWORD_VERIFY_FUNCTION;2) 检查 utlpwdmg.sql 中“- Check fo
6、r the minimum length of the password” 部分中“ length(password)”后的值。3)或者：查看口令管理制度以及执行 记录，并选择验证。c)应启用登录尖败处理功能可采取结束会话、限制非法登录次数和自动 退岀等措施条款理解要求系统应鼻肓一定的登录控攻能可以通过适当的配青“帐户號走第略”来对用户的登录 进行制*如帐户桢走阈伯.帐户锁左时间等.危害分析安全问题未餾登陆尖败处理功能.如采取皓束会话.限制非法 莹录次瓠和自动退出零惜瓯未启用莹录尖败处理功龍.可能存在攻击君通过 晟R破解旳方式荻取用户口令的凤险*Oracle执行命令：select limit
7、from dba_profiles where profile二DEFAULT and resource_name=FAILED_LOGIN_ATTEMPTS 。执行命令： select limit from dba_profiles where profile=DEFAULT and resource_name=PASSWORD_LOCK_TIME 。后果耒实现管雀用户的权限最小化现场测评内容与方法访问控制b）应1艮据管理用户的角色分配权限.实现管理用户的权限分离，仅授予管理用户所需的最条款11解根提管理用户的角色诩又限作出标准ffi致的划分,有于昔岗位细致协调的工很同时只垠权槓块逬彳干些授
8、权管理.并且系统的授权安全管理工作妾做到细致,仅授予萱理用户所需的最小权限，唾免出现权限的:朋同使一些高级用户拥苞过大的权限危害分折慕瓏岂理尽校限过犬.办可龍左于误挥卡.恶帝埠柞造成 妥全聡耳 同时不利于对拯作行为讲行安全审计.应严格限制默认账户的访问权限，重命名系统默认账户，并修改这些账户的默认 口令。Oracle 登录验证 sys 的口令是否为 CHANGE_ON_INSTALL登录验证system的口令是否为manager；登录验证 dbsnmp 的口令是否为 dbsnmp。现场测评内容与方i 全审计町安全审计应覆盖到服务器和重要客户端上的每个操作系统用户和数据阵用户。条款理解安全帚+走
9、义昱保嗟计育观系统本地去全和网络安全的玉姜拽龙.逼过对审计信邑的分析可段为计頁机系统的洗弱世泮估、责任认急損失评皓.蔡统恢豆農供关琏性倍赢因此茁羞过国必须靈I晦个擁炸危害分忻壬机柔统未启用审1十功能戎审计范風车定*不號记录月户对 操作系统ag擬作和对文件访何情呪。炭主窃全事忡时无济有效强左寺仕人及造咸爭件的原系统用户和教据库用户=Oracle1）检查是否启用了数据库自带安全审计功能： select value from v$parameter where name=audit_trail;2）或使用第三方的安全审计工具。3）检查审计策略，审计范围是否覆盖到所有用户。功能基本项身份鉴别b）数据库
10、系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度 要求并定期更换；c）应启用登录失败处理功能，可米取结束会话、限制非法登录次数和自动退 出等措施；e）应为数据库的不冋用户分配不冋的用户名，确保用户名具有唯性。访问控制a1）应启用访问控制功能，依据安全策略控制用户对资源的访问；b2）应实现数据库系统特权用户的权限分离；b3）应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管 理用户所需的最小权限；c）应限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；d）应及时删除多余的、过期的帐户，避免共享帐户的存在；f）应对重要信息资源设置敏感标记；g）应依据安全策略
11、严格控制用户对有敏感标记重要信息资源的操作；安全审计a）审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库 用户；b）申计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使 用等系统内重要的安全相关事件；C）审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；d）应能够根据记录数据进行分析，并生成审计报表；e）应保护审计进程，避免受到未预期的中断；f）应保护审计记录，避免受到未预期的删除、修改或覆盖等；资源控制a）应通过设定终端接入方式、网络地址范围等条件限制终端登录；d）应限制单个用户对系统资源的最大或最小使用限度；数据 保密 性b）应采用加密或其他保护措
12、施实现系统管理数据、鉴别信息和重要业务数据 存储保密性；三. 数据库安全产品防护效果数据库安全产品防护效果Mfcan烈1E阵溺洞打播丢坑DBFire?ll 数膽曲防火增乘堪BCCierDdAydiT 政归匡战揑与审计系坑保护效果检测叛据库的弱口令、连续登录夫败锁 定的次数等匚检直数据库系统的缺省账户，多余、过 期的共享账户一提供细粒度的访问控制、提供行数限制 的阀值担制等一实现唯一内网接入通道*同时通过IP访 问規制规则实现对网址等条件的安全 保i提供每乍用户对敏感数据的最大连接数 限制等，防止特权用户敏感数据访问；对重要信 息形成歌感标记、对数据库中敏感信息按列进厅加密保存;每个用户的行为、
13、各种叮疑操作并进行 吿警通知，能对操作记录进行全面的分 析吴供自9审计进程的监控，审计记 录防止恶意删除，同时具备自动归档能根据数据库安全防护的不同时机我们分为事前诊断（数据库漏扫）、事中控制数据库防火墙、数据库保险箱）和事后审计（数据库监控与审计）。数据库漏洞扫描可以通过事前的数据库安全风险评估，检测数据库的弱口令、 连续登录失败锁定的次数，检查数据库系统的缺省账户，多余、过期的共享账户， 应对等保中对身份鉴别和访问控制的要求。数据库防火墙从网络层实现数据库的外围防御，在发生非法批量导出的操作时， 提供细粒度的访问控制、提供行数限制的阀值控制，可以实现唯一内网接入通道， 同时通过 IP 访问
14、控制规则，实现对网址等条件的安全保证，有效解决数据库访问 控制的问题。在数据库资源访问控制方面，可以提供每个用户对数据库的最大连 接数等限制，防止数据库资源由于连接数过大导致服务器宕机。数据库保险箱从根本上对数据库进行安全加固，通过数据库加密让数据库文件 中存储的敏感信息为密文，即使数据库文件丢失了敏感数据也不会泄漏。通过独 立权控确保即使有数据库管理员权限，如果安全管理员不允许访问敏感信息，也能有效阻止非法查询和篡改，同时又不会影响DBA对数据库正常的运维访问和对 没有敏感标记明文数据的操作。数据库监控与审计是可以审计到每个用户的行为、各种可疑操作并进行告警通 知，能对操作记录进行全面的分析
15、，提供自身审计进程的监控，审计记录防止恶 意删除，同时具备自动归档能力，覆盖等保安全审计的要求。Z MD1D5/IP5/常售点A|艮务器卡尔攻击机ym建议防护部署200个销售点的所有顾 容倍息含有:LOO募万 抵信用卡信息（玉藏）R 二DBA re wail 数用库防火i#孫StDBC offer数据库漏扫系统，接入到可连通数据库服务器的交换机上，采用旁路部署即 可。实现等保要求的身份鉴别和访问控制能力：1）分析内部不安全配置，防止越权访问：通过只读账户，实现由内到外的检 测；提供现有数据的漏洞透视图和数据库配置安全评估；避免内外部的非授权访 问。2）发现外部黑客攻击漏洞，防止外部攻击：实现非授权的从外到内的检测； 模拟黑客使用的漏洞发现技术，在没有授权的情况下，对目标数据库的安全性作 深入的探测分析；收集外部人员可以利用的数据库漏洞的详细信息。3）监控数据库安全状况，防止数据库安全状况恶化：对于数据库建立安全基
