在數(shù)據(jù)庫(kù)的安全問(wèn)題已躍至CSO的工作內(nèi)容象限榜首的今天，對(duì)數(shù)據(jù)庫(kù)安全的防御是艱苦的旅程，如何讓針對(duì)業(yè)務(wù)安全和數(shù)據(jù)安全的攻擊成為一場(chǎng)廢鞋底的馬拉松，防止惡意行為者利用漏洞威脅這個(gè)“線(xiàn)頭”并最終扯下數(shù)據(jù)這條“線(xiàn)褲”的全部，讓我們一起來(lái)關(guān)注在數(shù)據(jù)庫(kù)安全能力建設(shè)中識(shí)別數(shù)據(jù)庫(kù)的安全威脅。

安全威脅簡(jiǎn)介數(shù)據(jù)泄露對(duì)每個(gè)企業(yè)都構(gòu)成威脅，其損失不僅超出了敏感數(shù)據(jù)、機(jī)密數(shù)據(jù)和品牌損害帶來(lái)的實(shí)際損失或披露范圍，公司還承擔(dān)了與補(bǔ)救和多年法律責(zé)任索賠相關(guān)的重大財(cái)務(wù)成本。

風(fēng)險(xiǎn)敏感的企業(yè)組織必須在數(shù)據(jù)庫(kù)安全性方面保持領(lǐng)先地位，以保護(hù)和防御其數(shù)據(jù)免受各種外部和內(nèi)部威脅。

是什么使您的數(shù)據(jù)成為主要目標(biāo)?根據(jù)Verizon2019DBIR報(bào)告，黑客的動(dòng)機(jī)可能是受到經(jīng)濟(jì)利益、間諜活動(dòng)、意識(shí)形態(tài)或怨恨甚至娛樂(lè)的鼓動(dòng)，71%的泄露事件是出于經(jīng)濟(jì)動(dòng)機(jī)發(fā)生的，大多數(shù)掠食者通過(guò)阻力最小的路徑攻擊最弱的獵物。

好消息是，這意味著您的安全性雖然并不一定是完美的，但它已經(jīng)足以阻止惡意攻擊者–讓他們?nèi)テ渌胤綄ふ腋菀椎墨C物。

“You don’thave to runfaster than thebear to getaway. You just haveto run fasterthan the guynext to you.”JIM BUTCHER“你不必跑得比熊還快才能逃脫。

你只要比你旁邊的人跑得快就行了。

”–吉姆•巴特壞消息是許多公司都難以實(shí)現(xiàn)一種多重安全防御方法，該方法可以檢測(cè)、監(jiān)視、預(yù)防和緩解威脅。

在本文中，我們將討論關(guān)系型數(shù)據(jù)庫(kù)面臨的五大數(shù)據(jù)庫(kù)安全威脅。

我們還將探討確保大數(shù)據(jù)安全的需求，大數(shù)據(jù)通常是依賴(lài)敏感數(shù)據(jù)的業(yè)務(wù)分析和客戶(hù)體驗(yàn)應(yīng)用程序的首選存儲(chǔ)庫(kù)。

什么是5大數(shù)據(jù)庫(kù)安全威脅?過(guò)多的、不適當(dāng)?shù)暮臀词褂玫奶貦?quán)權(quán)限濫用Web應(yīng)用程序安全性不足審計(jì)線(xiàn)索不足不安全的存儲(chǔ)介質(zhì)前兩大威脅可以直接歸因于內(nèi)部威脅的增加。

通常，企業(yè)網(wǎng)絡(luò)被認(rèn)為受到可保護(hù)邊界的下一代防火墻的保護(hù)。

但是，一旦惡意行為者越過(guò)防火墻，大多數(shù)企業(yè)中就沒(méi)有可以檢測(cè)到橫向移動(dòng)并防止重大數(shù)據(jù)泄露的保護(hù)機(jī)制，這對(duì)數(shù)據(jù)構(gòu)成了重大威脅。

此外，外部威脅是持續(xù)不斷的，內(nèi)部流程不足會(huì)留下管理漏洞，因此，當(dāng)今的安全最佳實(shí)踐要求組織必須采取多層次、多方面的方法來(lái)有效保護(hù)數(shù)據(jù)并防止數(shù)據(jù)泄露。

讓我們一起來(lái)詳細(xì)探討這五種數(shù)據(jù)庫(kù)安全威脅。

1. 過(guò)多的、不適當(dāng)?shù)暮臀词褂玫奶貦?quán)當(dāng)您授予某人超出其工作職能的數(shù)據(jù)庫(kù)特權(quán)時(shí)，這些特權(quán)可能會(huì)被濫用。

例如，其工作能力是需要更新員工休假信息的HR，可能會(huì)利用過(guò)多的數(shù)據(jù)庫(kù)特權(quán)，對(duì)同事或高管的薪資數(shù)據(jù)進(jìn)行未經(jīng)授權(quán)的查詢(xún)。

此外，當(dāng)某人在組織內(nèi)的角色更改時(shí)，通常不會(huì)更新他對(duì)敏感數(shù)據(jù)的訪(fǎng)問(wèn)權(quán)限，以刪除其新角色不再需要的權(quán)限。

統(tǒng)計(jì)稱(chēng)47%的公司用戶(hù)擁有過(guò)多的權(quán)利應(yīng)用程序的復(fù)雜性和使用的相應(yīng)數(shù)據(jù)結(jié)構(gòu)意味著，管理員傾向于默認(rèn)情況下授予過(guò)多的特權(quán)，只是為了避免由于缺少訪(fǎng)問(wèn)特權(quán)而導(dǎo)致應(yīng)用程序失敗的風(fēng)險(xiǎn)。

因此，用戶(hù)可能被授予遠(yuǎn)遠(yuǎn)超出其特定工作要求的通用或默認(rèn)訪(fǎng)問(wèn)特權(quán)，或者他們可能隨時(shí)間推移累積這些特權(quán)。

通常，企業(yè)可以保護(hù)或“強(qiáng)化”處于高級(jí)職位(例如CEO、CFO等)的員工的設(shè)備免受外部(和內(nèi)部)攻擊者的侵害，以保護(hù)對(duì)這些用戶(hù)所需敏感數(shù)據(jù)的廣泛訪(fǎng)問(wèn)，這種加強(qiáng)有助于發(fā)現(xiàn)威脅情況，終止訪(fǎng)問(wèn)以及本地存儲(chǔ)數(shù)據(jù)的潛在破壞。

但是，BYOD情況下這不是可行的解決方案。

當(dāng)普通用戶(hù)的設(shè)備受到攻擊時(shí)，很可能更難以檢測(cè)到，如果該用戶(hù)擁有過(guò)多特權(quán)，則可能會(huì)造成破壞，從而導(dǎo)致大規(guī)模數(shù)據(jù)丟失事件。

2. 權(quán)限濫用在一項(xiàng)來(lái)自多個(gè)企業(yè)數(shù)據(jù)的長(zhǎng)達(dá)兩年的研究中表明，在每個(gè)企業(yè)中人們都使用數(shù)據(jù)庫(kù)服務(wù)帳戶(hù)來(lái)訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)，并且這些用戶(hù)濫用這些特權(quán)服務(wù)帳戶(hù)來(lái)直接訪(fǎng)問(wèn)敏感數(shù)據(jù)，從而繞過(guò)了應(yīng)用程序界面。

此外，某些“特權(quán)用戶(hù)”可能會(huì)出于未經(jīng)授權(quán)的目的濫用合法的數(shù)據(jù)庫(kù)特權(quán)。

組織中的某些用戶(hù)組由于其職業(yè)和活動(dòng)而有權(quán)訪(fǎng)問(wèn)整個(gè)數(shù)據(jù)庫(kù)。

特權(quán)用戶(hù)的兩個(gè)主要類(lèi)別是數(shù)據(jù)庫(kù)系統(tǒng)管理員和開(kāi)發(fā)人員：數(shù)據(jù)庫(kù)系統(tǒng)管理員(DBA)可以無(wú)限制地訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)中的所有數(shù)據(jù)。

為了獲得最佳安全性，DBA在管理數(shù)據(jù)庫(kù)時(shí)不應(yīng)直接訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)中的應(yīng)用程序數(shù)據(jù)(應(yīng)用程序數(shù)據(jù)/表)。

當(dāng)DBA直接通過(guò)數(shù)據(jù)庫(kù)而不是應(yīng)用程序界面訪(fǎng)問(wèn)應(yīng)用程序數(shù)據(jù)時(shí)，他繞過(guò)了應(yīng)用程序日志記錄和檢索限制，并避免了應(yīng)用程序權(quán)限和安全性機(jī)制。

當(dāng)某個(gè)使用防泄露方案的客戶(hù)端收到以下警告：受信任的DBA已直接通過(guò)數(shù)據(jù)庫(kù)而不是通過(guò)某應(yīng)用程序入口訪(fǎng)問(wèn)了此應(yīng)用程序表中的敏感數(shù)據(jù)，這些表包含DBA不應(yīng)訪(fǎng)問(wèn)的財(cái)務(wù)信息。

這一發(fā)現(xiàn)清楚地說(shuō)明了內(nèi)部威脅的風(fēng)險(xiǎn)。

開(kāi)發(fā)人員通常可以完全訪(fǎng)問(wèn)生產(chǎn)數(shù)據(jù)庫(kù)，質(zhì)量團(tuán)隊(duì)可以快照數(shù)據(jù)庫(kù)以進(jìn)行測(cè)試，而工程師可以調(diào)試實(shí)時(shí)生產(chǎn)系統(tǒng)。

在這些情況下，敏感數(shù)據(jù)都容易受到特權(quán)濫用的影響。

什么是內(nèi)部威脅?內(nèi)部威脅可以分為三類(lèi)：惡意、疏忽和受到威脅：惡意內(nèi)部人威脅來(lái)自企業(yè)內(nèi)部或與企業(yè)直接相關(guān)的人員(如員工、前雇員、供應(yīng)商、合作伙伴)，他們掌握有關(guān)企業(yè)的安全實(shí)踐、數(shù)據(jù)和計(jì)算機(jī)系統(tǒng)的內(nèi)部信息。

Palerra曾提交的Insider Threat Spotpght報(bào)告指出，平均每50位用戶(hù)中就有一位是惡意用戶(hù)。

疏忽大意的內(nèi)部人員是沒(méi)有惡意企圖的企業(yè)內(nèi)部人員或與企業(yè)直接相關(guān)的人員，但是由于粗心大意的行為，他們會(huì)將敏感數(shù)據(jù)暴露，導(dǎo)致于數(shù)據(jù)泄露。

受威脅的用戶(hù)成為利用或接管組織系統(tǒng)的“外部”惡意攻擊者的受害者。

外部攻擊者可以使用多種技術(shù)來(lái)攻擊組織，包括使用直接攻擊、計(jì)算機(jī)病毒、社會(huì)工程學(xué)、網(wǎng)絡(luò)釣魚(yú)和其他不斷發(fā)展的技術(shù)。

Verizon DBIR表示六分之一的用戶(hù)會(huì)濫用或公開(kāi)數(shù)據(jù)。

3. Web應(yīng)用程序安全性不足大多數(shù)企業(yè)組織嚴(yán)重依賴(lài)應(yīng)用程序與客戶(hù)進(jìn)行交互，對(duì)可公開(kāi)訪(fǎng)問(wèn)的應(yīng)用程序的攻擊有很多類(lèi)型，可以暴露數(shù)據(jù)。

針對(duì)數(shù)據(jù)庫(kù)的兩種常見(jiàn)的Web應(yīng)用程序攻擊是SQL注入和WebShell。

多年來(lái)，SQL注入(SQLi)攻擊一直是Verizon DBIR報(bào)告中的頭號(hào)威脅。

SQLi攻擊是輸入驗(yàn)證不完整或不充分的結(jié)果，它使不良行為者以從未曾預(yù)料到的方式通過(guò)Web應(yīng)用程序?qū)QL命令傳遞給數(shù)據(jù)庫(kù)。

Web Shell攻擊是一種隱蔽方法，用于獲得對(duì)服務(wù)器的未經(jīng)授權(quán)的遠(yuǎn)程訪(fǎng)問(wèn)。

Web Shell是利用Web服務(wù)器核心功能(為遠(yuǎn)程客戶(hù)端提供服務(wù))獲得持久遠(yuǎn)程訪(fǎng)問(wèn)并通過(guò)與服務(wù)器Shell的接口獲得對(duì)服務(wù)器的完全或有限控制的后門(mén)程序。

根據(jù)Verizon DBIR由Web Shell后門(mén)造成的Web應(yīng)用程序攻擊破壞數(shù)量?jī)H次于憑據(jù)被盜。

WebShell可以使用Shell的功能來(lái)破壞企業(yè)組織數(shù)據(jù)庫(kù)并泄露數(shù)據(jù)而不被檢測(cè)到。

攻擊者使用Shell程序的文件瀏覽功能從應(yīng)用程序的配置文件中查找和竊取合法應(yīng)用程序使用的數(shù)據(jù)庫(kù)憑據(jù)。

Shell固有地?fù)碛蟹?wù)器應(yīng)用程序/守護(hù)進(jìn)程本身的OS特權(quán)，從而使之成為可能。

此外，在某些應(yīng)用程序中，數(shù)據(jù)庫(kù)憑證(用戶(hù)名和密碼)以明文形式存儲(chǔ)在配置文件中。

4. 審計(jì)線(xiàn)索不足接下來(lái)，我們將討論由內(nèi)部流程不足或漏洞引起的威脅。

監(jiān)控整個(gè)企業(yè)中的數(shù)據(jù)訪(fǎng)問(wèn)應(yīng)該是任何生產(chǎn)數(shù)據(jù)庫(kù)的一部分。

無(wú)法同時(shí)監(jiān)視安全性和合規(guī)性異常以及無(wú)法收集數(shù)據(jù)庫(kù)活動(dòng)的適當(dāng)審計(jì)詳細(xì)信息，這在許多層面上都構(gòu)成了嚴(yán)重的組織風(fēng)險(xiǎn)。

此外，具有薄弱的(或有時(shí)不存在)數(shù)據(jù)庫(kù)審計(jì)機(jī)制的組織還發(fā)現(xiàn)，它們與行業(yè)和政府法規(guī)要求不符。

旨在防止會(huì)計(jì)錯(cuò)誤和欺詐行為的薩班斯-奧克斯利法案(SOX)，以及醫(yī)療保健領(lǐng)域的《醫(yī)療保健信息攜帶和責(zé)任法案》(HIPAA)，都是具有明確數(shù)據(jù)庫(kù)審計(jì)要求的法規(guī)示例。

歐盟新頒布的通用數(shù)據(jù)保護(hù)條例(GDPR)是第一個(gè)對(duì)未能滿(mǎn)足嚴(yán)格的數(shù)據(jù)保護(hù)措施(包括足以滿(mǎn)足所有個(gè)人數(shù)據(jù)的審計(jì)和違規(guī)通知要求的數(shù)據(jù)庫(kù)監(jiān)控功能)的企業(yè)處以令人沮喪的罰款數(shù)額的條例。

(1) 為何審計(jì)跟蹤具有挑戰(zhàn)性第一個(gè)原因是，許多企業(yè)轉(zhuǎn)向其數(shù)據(jù)庫(kù)供應(yīng)商提供的數(shù)據(jù)庫(kù)本地審計(jì)功能，或者依賴(lài)臨時(shí)和手動(dòng)解決方法，并認(rèn)為這些方法已足夠。

本地審計(jì)不會(huì)記錄支持安全性和合規(guī)性審計(jì)或檢測(cè)攻擊所需的上下文詳細(xì)信息，也不提供事件取證。

此外，本地?cái)?shù)據(jù)庫(kù)審計(jì)機(jī)制由于數(shù)據(jù)庫(kù)服務(wù)器的CPU和磁盤(pán)資源的不穩(wěn)定和過(guò)度消耗而臭名昭著，這迫使許多企業(yè)縮減或完全取消本機(jī)審計(jì)。

最后，大多數(shù)本地審計(jì)機(jī)制是此類(lèi)數(shù)據(jù)庫(kù)服務(wù)器平臺(tái)所獨(dú)有的。

例如，Oracle日志與MSSQL不同，并且MSSQL日志與DB2不同。

對(duì)于具有異構(gòu)數(shù)據(jù)庫(kù)環(huán)境的企業(yè)，這對(duì)實(shí)施統(tǒng)一、可擴(kuò)展的審計(jì)流程和報(bào)告構(gòu)成了重大障礙。

報(bào)告稱(chēng)只有19%的公司監(jiān)控?cái)?shù)據(jù)庫(kù)的活動(dòng)。

具有對(duì)數(shù)據(jù)庫(kù)(合法或惡意獲得)的管理訪(fǎng)問(wèn)權(quán)的用戶(hù)可以關(guān)閉本機(jī)數(shù)據(jù)庫(kù)審計(jì)以隱藏欺詐性活動(dòng)。

審計(jì)功能和職責(zé)應(yīng)與數(shù)據(jù)庫(kù)管理員和數(shù)據(jù)庫(kù)服務(wù)器平臺(tái)分開(kāi)，以確保職責(zé)之間的強(qiáng)烈隔離。

(2) 第二個(gè)挑戰(zhàn)：審計(jì)處理?yè)碛姓_的審計(jì)記錄只是保護(hù)數(shù)據(jù)的第一步。

第二步是了解數(shù)據(jù)活動(dòng)和訪(fǎng)問(wèn)嘗試記錄，以處理該數(shù)據(jù)并確定可信威脅。

如果您沒(méi)有為該任務(wù)構(gòu)建工具，則很難識(shí)別訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)的實(shí)體并區(qū)分DBA、應(yīng)用程序、用戶(hù)和作業(yè)進(jìn)程。

您需要了解對(duì)數(shù)據(jù)庫(kù)的哪些訪(fǎng)問(wèn)是可疑的，例如，登錄失敗嘗試是數(shù)據(jù)庫(kù)訪(fǎng)問(wèn)中的常見(jiàn)現(xiàn)象。

用戶(hù)由于忘記或鍵入錯(cuò)誤的憑據(jù)或更改密碼而無(wú)法登錄數(shù)據(jù)庫(kù)。

但是，當(dāng)用戶(hù)多次未能成功登錄數(shù)據(jù)庫(kù)而從未嘗試過(guò)再次登錄時(shí)，或者當(dāng)用戶(hù)試圖成功訪(fǎng)問(wèn)企業(yè)中的多個(gè)數(shù)據(jù)庫(kù)而未成功時(shí)，則是可疑的，可能表明用戶(hù)沒(méi)有獲得訪(fǎng)問(wèn)應(yīng)用程序的授權(quán)。

在一些帳戶(hù)安全研究中，發(fā)現(xiàn)確定了一個(gè)用戶(hù)，該用戶(hù)嘗試訪(fǎng)問(wèn)一個(gè)他從未訪(fǎng)問(wèn)過(guò)的數(shù)據(jù)庫(kù)，然后在不到一個(gè)小時(shí)的時(shí)間內(nèi)使用四個(gè)不同的帳戶(hù)而沒(méi)有成功，他使用第五個(gè)帳戶(hù)成功登錄了數(shù)據(jù)庫(kù)，但是該帳戶(hù)沒(méi)有足夠的特權(quán)來(lái)對(duì)該數(shù)據(jù)庫(kù)執(zhí)行任何操作。

此活動(dòng)有多個(gè)危險(xiǎn)信號(hào)：用戶(hù)突然對(duì)從未嘗試訪(fǎng)問(wèn)過(guò)的數(shù)據(jù)庫(kù)產(chǎn)生興趣單個(gè)用戶(hù)使用多個(gè)帳戶(hù)訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)的帳戶(hù)沒(méi)有權(quán)限，這可能會(huì)導(dǎo)致一個(gè)結(jié)論即該帳戶(hù)根本不應(yīng)該能夠訪(fǎng)問(wèn)此數(shù)據(jù)庫(kù)曾數(shù)據(jù)泄露報(bào)告稱(chēng)超過(guò)3500萬(wàn)條記錄丟失或被盜，其中44%與醫(yī)療或醫(yī)療保健相關(guān)。

此事件中將該活動(dòng)標(biāo)記為高風(fēng)險(xiǎn)，并提供了一項(xiàng)分析，指出此事件是由受威脅的內(nèi)部人員實(shí)施的。

為了識(shí)別此類(lèi)事件，您需要了解哪些用戶(hù)是人類(lèi)用戶(hù)(而不是作業(yè)進(jìn)程和應(yīng)用程序)。

不幸的是，當(dāng)今使用的許多安全系統(tǒng)工具無(wú)法識(shí)別數(shù)據(jù)泄露，因?yàn)樗鼈儫o(wú)法區(qū)分對(duì)數(shù)據(jù)庫(kù)的可疑訪(fǎng)問(wèn)和正常訪(fǎng)問(wèn)。

這些工具產(chǎn)生了太多模糊的告警，這些告警需要進(jìn)行大量調(diào)查分析才能具有可視化，從而造成了過(guò)度消耗。

通用告警的這種過(guò)載是為什么只研究了不到百分之一的關(guān)鍵安全警告的原因。

對(duì)等組異常的一個(gè)例子是，一個(gè)開(kāi)發(fā)人員在其開(kāi)發(fā)工作中訪(fǎng)問(wèn)一個(gè)應(yīng)用程序表，而另一名開(kāi)發(fā)人員訪(fǎng)問(wèn)該表以查看同事的個(gè)人數(shù)據(jù)。

確定風(fēng)險(xiǎn)級(jí)別的關(guān)鍵是上下文，特別是要了解用戶(hù)和對(duì)等用戶(hù)的正常表訪(fǎng)問(wèn)權(quán)限。

由于惡意內(nèi)部人員會(huì)利用其特權(quán)從企業(yè)組織中竊取數(shù)據(jù)，因此無(wú)法區(qū)分上下文非常危險(xiǎn)(請(qǐng)參閱“特權(quán)濫用”部分)。

本地審計(jì)工具無(wú)法區(qū)分不正常的用戶(hù)訪(fǎng)問(wèn)和正常的內(nèi)容，并經(jīng)常導(dǎo)致過(guò)多的告警，所有這些都必須由專(zhuān)業(yè)安全人員進(jìn)行篩選。

SIEM工具可以減小此范圍并使其更易于可視化，但是它們?nèi)狈Υ祟I(lǐng)域?qū)I(yè)知識(shí)，并且僅是從源數(shù)據(jù)中提取出來(lái)，并且只為直接調(diào)查提供了有限的可操作選項(xiàng)。

需要具有反入侵行為分析以及自動(dòng)化的數(shù)據(jù)庫(kù)監(jiān)視和檢測(cè)功能系統(tǒng)，可以提供關(guān)注實(shí)際威脅所需的情報(bào)，以一種上下文關(guān)聯(lián)和可操作的方式關(guān)注真正的威脅。

5. 不安全的存儲(chǔ)介質(zhì)您上次關(guān)注存儲(chǔ)介質(zhì)備份的威脅是什么時(shí)候?通常，它是完全不受保護(hù)的。

許多管理漏洞涉及數(shù)據(jù)庫(kù)備份磁盤(pán)和磁帶的被盜或意外暴露。

采取適當(dāng)措施保護(hù)敏感數(shù)據(jù)的備份副本不僅是數(shù)據(jù)安全的最佳實(shí)踐，而且是許多法規(guī)的強(qiáng)制性要求。

此外，特權(quán)較高的用戶(hù)通常將具有直接訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)服務(wù)器的權(quán)限。

這種物理上的接觸意味著他們可以插入類(lèi)似拇指大小的USB驅(qū)動(dòng)器，并直接對(duì)數(shù)據(jù)庫(kù)執(zhí)行SQL命令，這可以關(guān)閉本地審計(jì)功能并繞過(guò)除數(shù)據(jù)庫(kù)服務(wù)器內(nèi)核級(jí)別部署的保護(hù)機(jī)制之外的所有保護(hù)機(jī)制。

我們需要健壯的數(shù)據(jù)庫(kù)監(jiān)控和防御工具，不允許這些類(lèi)型的違規(guī)行為的工具。

(1) 威脅組合到目前為止，討論的每種數(shù)據(jù)庫(kù)威脅肯定足以造成數(shù)據(jù)泄露，但是僥幸的惡意攻擊者會(huì)尋找阻力最小的途徑。

許多時(shí)候，我們看到了多種威脅的組合使用，這些威脅會(huì)加快攻擊者對(duì)數(shù)據(jù)的訪(fǎng)問(wèn)，并簡(jiǎn)化其在未被發(fā)現(xiàn)的情況下泄漏數(shù)據(jù)的能力。

這里有一些例子：當(dāng)應(yīng)用程序具有過(guò)多特權(quán)時(shí)，SQL注入或Web Shell會(huì)使數(shù)據(jù)庫(kù)受到破壞由于審計(jì)線(xiàn)索不足，難以發(fā)現(xiàn)特權(quán)濫用當(dāng)用戶(hù)或應(yīng)用程序擁有過(guò)多特權(quán)時(shí)，特權(quán)濫用會(huì)更加嚴(yán)重57%的公司認(rèn)為數(shù)據(jù)庫(kù)是內(nèi)部攻擊最脆弱的資產(chǎn)。

(2) 大數(shù)據(jù)應(yīng)用程序的安全威脅不可忽略大數(shù)據(jù)應(yīng)用程序仍處于起步階段，在不根據(jù)每個(gè)公司的特定需求進(jìn)行自定義的情況下進(jìn)行部署，幾乎沒(méi)有成熟的商業(yè)解決方案。

在市場(chǎng)發(fā)展的現(xiàn)階段，仍然缺少了解大數(shù)據(jù)技術(shù)并能跟上其快速發(fā)展的專(zhuān)家。

在大多數(shù)情況下，內(nèi)部開(kāi)發(fā)人員設(shè)計(jì)、編寫(xiě)代碼、測(cè)試和部署大數(shù)據(jù)應(yīng)用程序和硬件時(shí)，卻沒(méi)有得到足夠的培訓(xùn)、需求定義、時(shí)間或資源。

人們可能誤認(rèn)為，大數(shù)據(jù)“開(kāi)源”軟件包是一種快速成功的安裝方式，實(shí)際上這些系統(tǒng)要復(fù)雜得多。

構(gòu)建軟件時(shí)的第二個(gè)問(wèn)題是缺乏可行的本機(jī)安全性或?qū)徲?jì)框架，該框架不會(huì)妨礙定制解決方法。

缺少本地模型使安全性實(shí)現(xiàn)變得不容易，并且需要深入的設(shè)計(jì)和持續(xù)不斷的維護(hù)。

因此，需要考慮的安全和審計(jì)功能會(huì)被反復(fù)推遲，從而使您的數(shù)據(jù)容易受到攻擊。

(3) 大數(shù)據(jù)—安全不是重點(diǎn)大數(shù)據(jù)領(lǐng)域的某些人認(rèn)識(shí)到對(duì)原生安全性和治理能力的需求，有早期的Apache項(xiàng)目正在尋求解決這些需求。

不幸的是，這些項(xiàng)目經(jīng)常有自己的安全問(wèn)題，這些問(wèn)題可能直接影響到它們?cè)噲D保護(hù)的大數(shù)據(jù)系統(tǒng)的安全性。

這些問(wèn)題包括：向應(yīng)用程序添加身份驗(yàn)證過(guò)程。

這需要更多的安全考慮，會(huì)使應(yīng)用程序更加復(fù)雜。

例如，應(yīng)用程序需要定義用戶(hù)和角色。

基于此類(lèi)數(shù)據(jù)，應(yīng)用程序可以決定是否授予用戶(hù)訪(fǎng)問(wèn)系統(tǒng)的權(quán)限。

輸入驗(yàn)證。

我們?cè)俅慰吹嚼_RDBMS應(yīng)用程序的問(wèn)題又回來(lái)了，同樣困擾著NoSQL數(shù)據(jù)庫(kù)。

OWASP現(xiàn)在建議測(cè)試NoSQL數(shù)據(jù)庫(kù)(例如MongoDB)是否受到SQL注入式攻擊。

應(yīng)用意識(shí)。

在每個(gè)應(yīng)用程序都需要管理安全性的情況下，它必須了解每個(gè)其他應(yīng)用程序。

這是禁用對(duì)任何非應(yīng)用程序數(shù)據(jù)的訪(fǎng)問(wèn)所必需的。

當(dāng)新的數(shù)據(jù)類(lèi)型添加到數(shù)據(jù)存儲(chǔ)時(shí)，數(shù)據(jù)存儲(chǔ)管理員必須弄清楚并確保哪些應(yīng)用程序無(wú)法訪(fǎng)問(wèn)該特定數(shù)據(jù)。

弱代碼。

有許多大數(shù)據(jù)項(xiàng)目和產(chǎn)品，是通過(guò)敏捷開(kāi)發(fā)方法實(shí)現(xiàn)的，沒(méi)有為安全性檢查和測(cè)試分配時(shí)間或資源。

惡意行為者將利用有缺陷的開(kāi)發(fā)方法，探索漏洞加以利用。

(4) 重復(fù)數(shù)據(jù)NoSQL的強(qiáng)大功能也是它的安全性致命弱點(diǎn)。

在這些系統(tǒng)中，數(shù)據(jù)并非嚴(yán)格保存在唯一表中。

而是，將數(shù)據(jù)復(fù)制到許多表以?xún)?yōu)化查詢(xún)處理。

因此，不可能根據(jù)特定的敏感表對(duì)***進(jìn)行分類(lèi)。

相反，可以在不同位置找到此類(lèi)數(shù)據(jù)：交易日志、個(gè)人帳戶(hù)詳細(xì)信息、代表所有***的特定表以及甚至可能沒(méi)有考慮到的其他位置。

(5) 隱私問(wèn)題盡管我們專(zhuān)注于安全性，但是隱私問(wèn)題也不容忽視。

以醫(yī)療大數(shù)據(jù)平臺(tái)為例，提供商可以共享患者數(shù)據(jù)。

患者可以訪(fǎng)問(wèn)系統(tǒng)獲取遺傳信息，然后再訪(fǎng)問(wèn)有關(guān)藥物信息的系統(tǒng)。

分析此數(shù)據(jù)的應(yīng)用程序可以將信息關(guān)聯(lián)起來(lái)，以找到與遺傳和健康有關(guān)的購(gòu)買(mǎi)趨勢(shì)。

問(wèn)題在于，最初插入數(shù)據(jù)時(shí)未考慮這種類(lèi)型的相關(guān)性。

因此，數(shù)據(jù)未被匿名化脫敏，從而可以從更大的趨勢(shì)圖中查明特定的個(gè)人。

這將違反包括HIPAA和GDPR在內(nèi)的多項(xiàng)法規(guī)。

如何創(chuàng)建全面的數(shù)據(jù)安全解決方案數(shù)據(jù)安全性需要對(duì)數(shù)據(jù)和用戶(hù)活動(dòng)進(jìn)行統(tǒng)計(jì)。

此過(guò)程從指紋識(shí)別，發(fā)現(xiàn)數(shù)據(jù)庫(kù)服務(wù)器，然后分域管理進(jìn)行準(zhǔn)入訪(fǎng)問(wèn)/活動(dòng)監(jiān)控，還需要連續(xù)的用戶(hù)權(quán)限管理來(lái)阻止特權(quán)濫用。

最佳實(shí)踐的解決方法會(huì)考慮到數(shù)據(jù)訪(fǎng)問(wèn)的每個(gè)實(shí)例(包括特權(quán)用戶(hù)的實(shí)例)，敏感數(shù)據(jù)的匿名化脫敏，為用戶(hù)和應(yīng)用程序構(gòu)建完整的安全配置策略。

在異構(gòu)環(huán)境下的數(shù)據(jù)庫(kù)審計(jì)日志方面，及日常行為中關(guān)注上下文使用機(jī)器自學(xué)習(xí)，可以準(zhǔn)確地識(shí)別內(nèi)部威脅并防止數(shù)據(jù)泄露。

而加強(qiáng)訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)的應(yīng)用程序安全也很重要。

SQLi和Web Shell只是Web應(yīng)用程序面臨的兩種威脅，同時(shí)也需要能夠阻止SQLi、Web Shell事件并防止復(fù)雜的業(yè)務(wù)邏輯攻擊的類(lèi)似高級(jí)Web應(yīng)用防火墻的數(shù)據(jù)庫(kù)業(yè)務(wù)防火墻，為防止未經(jīng)授權(quán)的數(shù)據(jù)訪(fǎng)問(wèn)提供重要的保護(hù)。

如您所見(jiàn)對(duì)數(shù)據(jù)庫(kù)的此五種威脅需要多重安全防御機(jī)制，僅僅依靠本機(jī)工具或忽略外部和內(nèi)部攻擊者能夠利用并且將會(huì)利用的安全漏洞已不再足夠。

保護(hù)數(shù)據(jù)庫(kù)中的數(shù)據(jù)對(duì)于保護(hù)客戶(hù)、聲譽(yù)和企業(yè)業(yè)務(wù)生存能力至關(guān)重要。