HW-2020 ｜ 数据库加固和安全防护建议 – 作者:datasecurity

护网行动作为国家层面促进各个行业重要信息系统、关键基信息基础设施的网络安全防护、应急响应水平的重要工作，以实战、对抗、迭代等方式促进网络安全保障能力提升，具有非常重要的意义。HW-2020在即，数据库作为业务系统数据的重要载体，若其安全防御不完善、防护强度不够，将可能成为攻击者的重要突破口，对此，我们建议各行业用户单位进行数据库加固建设，加大数据库的安全防护投入，避免核心业务数据库被SQL注入攻击或者越权访问。数据库加固与安全防护 

数据库作为承载关键数据的核心，普遍面临以下安全风险，如：

1. SQL注入

2. 数据库漏洞

3. 默认账号和弱口令

4. 越权访问···

对此，针对数据库面临的安全威胁，美创科技安全实验室建议用户在防守工作中做好自查，从漏洞排查、安全加固、监控响应三个维度，通过数据安全防护产品+安全服务形式进行加固和安全防护。

1、利用数据库漏洞扫描工具，对数据库中存在的各种漏洞问题，包括SQL注入漏洞、权限绕过漏洞、缓冲区溢出漏洞、访问控制漏洞、拒绝服务漏洞等进行检测，在数据库受到危害之前为管理员提供专业、有效的安全分析和修补建议，解决存在的数据库漏洞问题。

2、加强数据库准入管理，根据数据库账户、应用指纹、主机名、IP地址、时间、操作行为、CA认证等实现多要素身份管理，防止密码猜测和暴力破解。

3、在数据库与应用服务器间部署数据库防火墙，对流经的数据库访问和响应数据进行解析，实时检测并主动防御阻断针对数据库的各类攻击行为和安全隐患，包括利用数据库漏洞进行攻击、利用应用程序进行SQL输入攻击、数据库DDOS攻击、假冒应用入侵、拖库/撞库、高危操作等，保障数据库及核心数据安全。

4、利用数据安全管理中心，对各类风险行为、各类安全系统运行状态进行统一监控，以避免攻方利用未知手法进行攻击而影响服务状况，同时，一旦有各类风险行为、异常运行状态发生时，进行快速告警，针对风险源、目标、内容的分析统计，帮助应急小组在最短的时间内对告警行为进行研判，实现快速的响应处置。

对于个别行业关键业务系统，建议选择专业安全服务团队针对数据库应用系统进行渗透测试，对MS-SQL、Orcale、MySQL，DB2等数据库应用系统进行渗透测试，包括默认账号密码和弱口令攻击、存储漏洞过程攻击、数据库运行权限探测、提权漏洞攻击等，针对测试结果进行数据库防护加固。

文章来源：美创科技

来源：freebuf.com 2020-06-19 17:36:16 by: datasecurity