数字时代的数据库安全威胁与应对措施

数字时代的数据库安全威胁与应对措施

安华金和高级资源顾问谭峻楠

大多数用户对于传统IT架构的需求以稳健性为主，业务系统运转正常最为重要，安全性则为次要考虑。通过与用户接触，我们发现大多数用户对于数据库安全普遍存在误区。

误区一：数据库自身的安全保障体系已经很完备，具有足够的安全控制手段。

事实上，要做到完备的数据库安全防护难度很大。据统计，从2007年至今，CVE漏洞库一共公布数据库漏洞2000余个，其中核心系统中应用最广泛的ORACLE数据库漏洞即占了一半的比例。如此数量的安全漏洞，将直接引发数据泄露风险。《Verzion2015年数据泄露调查报告》同样印证了这个观点，报告中显示“数据泄漏事件发生的主要原因中，90%来自数据库威胁。” 事实证明，用户对于数据库的安全防护远远不够。

误区二：内部人员是可信的。

从数据库系统的开发到运维，过程中牵涉的开发人员、第三方运维人员、内部人员等可以通过不同途径直接访问数据库。当发现篡改商业数据、窃取国家机密，可以带来丰厚的利益，这时，传统可信的人也成为风险源。

针对隐私泄露高危行业，网上公布一系列的事件证明与程序员、第三方运维人员、内部人员有关系。首先是运营商信息泄露，像银行、电商企业、保险行业，以及银行的漏洞触目惊心。其实收集这些泄露信息很简单，短时间从20多家的保险公司、推销的电话、房管信息、医疗行业、教育行业等就可以收集到。2015年社保行业个人的隐私发生422起，涉及超过30个省市。一旦信息泄露，就是几百万条，甚至更多。另外，数据篡改获得了巨大的商业价值，篡改可能很简单，改了一两条记录，但它的经济价值却很大。

误区三：当前我们在网络层的数据库防护手段已经足够保证数据库不被非法访问。

当下，大多数用户已意识到信息安全的重要性，并进行网络安全产品的部署，但用户常常陷入误区：认为只要部署了堡垒机、网络防火墙、IPS/IDS等传统网安产品，就可以保障内部的核心数据库不受威胁。事实上，黑客们曾多次公开表示：绕过WAF访问数据库“轻而易举“。网络防火墙不对数据库通讯协议进行控制，IPS/IDS也无法准确防御针对数据库的攻击，即使避过了所有外部攻击，开发时种植在应用系统中的后门程序如何监管？

由于人们在意识上的误区，数据库系统常常直接暴露在网络中而不设防。针对数据库潜在安全风险，我们提出构建数据库安全纵深防御体系：

巡检梳理：数据库漏洞扫描。

对数据库中的业务系统、IP地址、管理人员、安全策略等进行梳理，找到数据库安全弱点，对漏洞、弱口令，低策略，权限宽泛等内容提出加固建议，增强数据库自身免疫力。

主动防御：数据库防火墙。

利用虚拟补丁技术，防止外部漏洞攻击；通过内部人员访问权限的控制，防止误操作和非授权行为；通过阈值控制，防止数据批量大面积泄密。

底线防守：数据库加密、数据库脱敏。

通过对数据库核心数据加密，防止敏感数据明文泄露；通过静态、动态脱敏技术，对核心数据进行脱敏处理，使敏感数据自由应用于开发、测试、培训、数据分析等各类场景需求。

事后追查：数据库审计。

实时记录数据库操作，进行细粒度审计，对数据库遭受到的风险行为进行警告。通过对用户访问行为的记录、分析，帮助用户生成合规报告、事故追根溯源，提高数据资产安全性。

对于传统IT架构中的数据库安全问题，用户尚且存在诸多误区，那么随着近年来大数据、云计算技术的迅猛发展，当用户逐步将业务向云平台转移之前，是否会着重考虑云端数据安全问题？

IT架构的变化让用户的关注点从稳定性向安全性转变。

当云平台逐渐成为互联网时代的IT基础设施，用户的需求也正在发生转变。据统计，云计算所面临的挑战中，75%的用户在安全性上犹豫不决，而在这75%的用户中，对于数据安全问题抱有疑虑的用户又占到74%。

对于传统IT架构的需求，稳定性排在首位，而现在，当核心数据资产转移至云环境中，用户最为担心的一定是安全性。