如何解决数据库安全问题？请相信这是一条不走心的产品预告（干货满满） – 作者:南京聚铭网络

我们都知道，下至个人上到企业，保护敏感信息至关重要。对于企业，现在大多数企业都拥有可靠的网络安全程序，这些程序利用多种控件来实现深度防御安全性。通过这些程序，企业服务器得到加固，企业端点得到保护，监控工具也得以部署。企业还能够消除来自端点设备的高度敏感信息，并整合企业系统中最关键的企业数据以及支持它们的数据库。

但是，围绕这些集中存储的控制有多强大呢？

毫无疑问，信息存储在安全的集中式数据库比在笔记本电脑和文件共享中更为安全。但是，如果企业没有确保数据库安全性，他们可能会不知不觉地在为攻击者建立敏感信息宝库。

含有各种有价值的敏感信息，包括金融或知识产权信息、公司数据、个人用户数据等的数据库，一直都是黑客攻击的目标，黑客企图通过破坏服务器、数据库来获利。

现实中，很多企业数据库很容易由于配置错误或部署不当而导致漏洞。从低密码强度到SQL注入攻击再到跨站点脚本漏洞，企业必须解决这些与数据库相关的威胁。

导致数据库安全问题的常见“漏洞”

• 部署前无安全测试

数据库被攻击最常见的原因之一就是在开发过程中部署阶段的疏忽。虽然为了确保高性能，企业可能进行了功能测试，但是这种类型的测试无法显示数据库是否正在执行不应该执行的操作。

• 糟糕的加密与数据泄露密不可分

很多人都会把数据库视为后端部分，因此更多的是在关注 Internet 传播的威胁，但其实他们都忽略了数据库也是有网络接口的，如果软件安全性很差，黑客同样可以轻松跟踪这些接口。

• 虚弱的网络安全软件=破碎的数据库

近年来频频发生的数据泄露事件都造成了严重的后果，这些案例都证明了网络安全软件对于保护数据库的重要性。不过，大多数企业因为缺乏资源或时间原因不愿意进行用户数据安全测试，甚至也不为系统提供定期补丁，因此容易导致数据泄露。

• 数据库被盗

数据库一般有两种威胁：外部威胁和内部威胁。在某些情况下，内部威胁的严重程度甚至会超过外部威胁，因为无论企业使用什么样的安全软件都无法保证员工的忠诚度，任何有权访问敏感数据的人都有机会窃取它并将其出售给第三方组织以获取利润。

• 功能中的缺陷问题

基于数据库功能固有的缺陷，黑客可以利用这些缺陷进行攻击，通过破解合法凭据并强制系统运行任意代码。

• 弱而复杂的数据库基础架构

黑客通常不会一次控制整个数据库，他们会利用基础设施中存在的特殊弱点并将其用于自己的优势，安全软件无法完全保护系统免受此类操作。即使想要避免功能缺陷，就不要让整个数据库基础结构过于复杂。

• 密钥管理不足

对敏感数据进行加密是很重要的，但同样重要的是要注意谁可以访问密钥。由于密钥通常存储在硬盘上，因此对于想要窃取的人来说，这显然是一个容易攻击的目标。

针对数据库安全问题，企业应遵循并定期审视数据库安全最佳做法，以维护其宝贵财产的安全性：数据库中存储的机密数据，对于任何攻击者来说，这都是诱人的目标。因此，确保数据的安全至关重要。企业应遵循以下四项最佳做法，以提高其数据库及其中存储数据的安全性。

1、最小权限原则

通常情况下，在任何网络安全书籍中，第一章都会介绍最小权限原则，即确保仅为用户提供完成其工作所需的最小权限。这个理论目标与企业数据库的现实情况之间的差距是很重要的问题。为了对此进行评估，企业应该问自己几个问题，其中包括：

• 开发人员是否拥有对生产数据库的完全访问权限？

• 系统工程师是否可以访问他们所管理系统中的数据库？

• 数据库管理员是否具有对所有数据库的完全访问权限？还是仅对其职责范围的数据库具有访问权限？尽可能限制访问权限是防范内部威胁的重要方法。

2、定期审核访问权限

大家都知道，特权提升实际上会影响每个技术企业。随着技术人员和非技术人员在工作角色和项目分配之间转换，每次职责更改时，他们都会积累新的权限。由于缺少权限会阻碍工作，因此他们会迅速寻求并批准新的权限。但是，旧的和不必要的权限可能会持续数月或数年，这不会对员工的日常工作造成操作问题，但其实会带来严重影响。如果用户变成恶意内部人员或沦为账户被盗的受害者，这些权限会帮助攻击者扩大攻击范围。

企业应定期对数据库访问权限进行定期审查，以确保执行最小特权原则。请特别注意直接访问数据库的用户，因为这种访问可能会绕过应用程序级安全控制。

3、监控数据库活动

数据库审核曾经会带来巨大的性能负担，这导致企业为了运营效率而牺牲日志记录。幸运的是，那些日子已经过去了，因为现在所有主要的数据库平台提供商都提供可扩展的监视和日志记录功能。

企业应确保已在其系统上启用数据库监视，并将日志发送到安全的存储库。另外，请确保实施基于行为的监视规则，以监视异常的用户活动，特别是具有管理访问权限的用户。

4、加密敏感数据

加密无疑是数据库安全最佳做法。企业应遵循以下三种方式利用强加密来保护其数据库：

• 要求所有数据库使用传输层安全加密来保护传输中的数据；

• 加密包含数据存储的磁盘，以防止其丢失、被盗或处理不当;

• 用列级加密功能来保护你最敏感的数据以防被监听。

现在企业应该加强其数据库安全做法。为了更好地抵御现代复杂威胁，企业应该遵循上述数据库安全最佳做法：执行最小权限原则、定期审查账户访问权限、监控数据库活动和加密敏感数据。

针对数据库安全问题，为系统解决企业数据库信息安全领域的深层次、应用及业务逻辑层面的安全问题及审计等相关需求，聚铭网络即将推出全新专业数据库防护方案——聚铭数据库安全审计系统。

具体产品信息将于本周五（2021.03.26）公布，敬请期待！

—- END —-

来源：freebuf.com 2021-03-24 17:31:26 by: 南京聚铭网络