采集安全數(shù)據(jù)前要確認的十個問題
大型安全解決方案供應商、政府機構(gòu)以及一些巨型科技公司的信息中心通常會采集和安全漏洞、威脅以及事故相關(guān)的大量數(shù)據(jù)并進行分析。為什么這么做的原因其實很容易理解。畢竟，對環(huán)境面臨的威脅了解得越多越容易進行相關(guān)的處理，以避免或阻止事件的發(fā)生，或者在事件發(fā)生后盡快進行有效處理。
但，如果操作不謹慎的話，建立并維護一個和安全漏洞、威脅以及事故相關(guān)的數(shù)據(jù)庫可能會給系統(tǒng)在安全方面帶來更大的風險。因此，在選擇創(chuàng)建并管理信息安全數(shù)據(jù)庫前，請考慮下面提出的十個問題，確認你已經(jīng)作好了準備：
1. 該數(shù)據(jù)庫的設計重點是否放在了數(shù)據(jù)格式上，確保其內(nèi)容可以獲得最有效的利用。
為什么要對采集到數(shù)據(jù)庫中的數(shù)據(jù)格式進行關(guān)注，是有很多方面的原因。太多的數(shù)據(jù)可能導致難以進行篩選和分析，無法得到有實際意義的結(jié)果。還會降低整個處理過程的速度。在確認需要的數(shù)據(jù)類型之前，首先要做的工作是對面臨的威脅進行分析，只有這樣才能找到實際需要的數(shù)據(jù)，而不會出現(xiàn)采集的數(shù)據(jù)過于廣泛，無法獲得真正結(jié)果這樣的情況。只有建立了有效的數(shù)據(jù)采集策略，才能保證整個計劃的有效運行，從而達到需要的目的。
2. 數(shù)據(jù)庫在運行時，是否復制了不需要在數(shù)據(jù)庫中出現(xiàn)的機密數(shù)據(jù)?
對于機密數(shù)據(jù)，不應該進行不必要的復制操作。在這里說的機密數(shù)據(jù)不僅僅包含了大家在通常情況下明確認識到的公司專門保護的機密信息，而且也包含了在數(shù)據(jù)采集過程中可能產(chǎn)生的和機密有關(guān)的數(shù)據(jù)，它們的泄露都可能為不法分子的破壞帶來幫助。在沒有獲得許可的時間，不應該進行和機密數(shù)據(jù)相關(guān)的任何操作。
3. 在數(shù)據(jù)采集策略和現(xiàn)有網(wǎng)絡環(huán)境下的安全策略之間是否存在潛在的沖突?
如果對安全策略進行了調(diào)整，可能導致數(shù)據(jù)采集策略在調(diào)整的部分進行工作時產(chǎn)生沖突。即使沒有進行過調(diào)整，但在現(xiàn)實中存在也是這樣一種可能性的：數(shù)據(jù)采集過程本身就給企業(yè)網(wǎng)絡環(huán)境帶來了更多的漏洞。因此，在實施數(shù)據(jù)采集策略前，對整個項目進行全面檢查，確保沒有潛在漏洞出現(xiàn)的跡象。不僅在為了采集數(shù)據(jù)導致新的漏洞出現(xiàn)或者現(xiàn)有的安全策略可能遭到削弱這種情況的時間，要考慮是否調(diào)整或者放棄數(shù)據(jù)采集工具，而且也要考慮到進行數(shù)據(jù)采集也不一定要調(diào)整安全策略，畢竟安全策略才是真正的重中之重。
4. 是否采取了措施保證采集的數(shù)據(jù)不會被濫用?
事情是眾所周知的，數(shù)據(jù)庫會有人訪問，也需要人來建立和維護。如果這些人獲取了里面的數(shù)據(jù)，并用于不恰當甚至錯誤惡意的地方，應該怎么辦?為了解決這個問題，就需要設立專門的負責人，并對他們的活動進行監(jiān)控。在這里需要注意的時間，不要在未經(jīng)授權(quán)的情況下進行監(jiān)控，以防止機密數(shù)據(jù)泄露。如果發(fā)現(xiàn)了違規(guī)行為，負責人應該馬上進行處理。
5. 數(shù)據(jù)庫本身是否應該支持未經(jīng)授權(quán)的訪問?
數(shù)據(jù)庫的安全解決方案從運行開始的第一天就應該到位，這是不用說的。如果威脅數(shù)據(jù)庫在建立的過程中沒有安全措施的話，就會出現(xiàn)未經(jīng)授權(quán)的訪問連接到數(shù)據(jù)庫上，在沒有得到容許的情況下獲取相關(guān)的數(shù)據(jù)。實際上，后果可能會變得更糟糕(這取決于數(shù)據(jù)庫數(shù)據(jù)的實際存儲量)，未經(jīng)授權(quán)的人可以改變數(shù)據(jù)，影響分析的結(jié)果，導致安全策略的改善和威脅應對措施變得沒有預計的那么有效。
實際上，認識到這點是非常重要的，并不是將所有的數(shù)據(jù)都牢牢地進行保護才是最安全的做法。對于非機密數(shù)據(jù)進行保護是一件非常困難的事情，我們應該做的是確保真正需要保密數(shù)據(jù)的安全，對非機密數(shù)據(jù)進行公開可以為安全分析帶來更好的效果。數(shù)據(jù)庫管理和分析工作團隊都可利用它們進行分析，獲得安全方面的額外改善。發(fā)布非機密信息被證明是一件非常有用的事情。在這里，需要注意的是，確定該數(shù)據(jù)確實是非機密的，并且通過這些已經(jīng)獲準公布的數(shù)據(jù)無法獲得更多的機密數(shù)據(jù)。
6. 是否應該為數(shù)據(jù)庫建立經(jīng)過詳細分析和認證的訪問控制列表，以最大限度保證其中數(shù)據(jù)的安全?
如果過多甚至錯誤的訪問者都可以查看威脅數(shù)據(jù)庫中信息的話，就有可能給數(shù)據(jù)庫本身和包含在里面的數(shù)據(jù)帶來危害。對于沒有實際需求或者類似情況的訪問要求應該予以阻止，以保證數(shù)據(jù)庫的安全;對于確實存在實際用途的訪問，應該保證訪問過程的安全，以防止數(shù)據(jù)庫遇到伴隨而來的直接威脅。此外，設定訪問標準的時間應該保持嚴謹?shù)膽B(tài)度，盡量減少進入數(shù)據(jù)庫的時間帶來的風險，并且確保存在明確的管理權(quán)限，不是所有人都可以批準連接。采用默認否定的授權(quán)模式;只有在外部人員存在確實需求的時間，才給予相應的授權(quán)，并且只有確認不會給數(shù)據(jù)庫帶來風險的時間，才對數(shù)據(jù)和相關(guān)的其它業(yè)務信息進行保存。
7. 應該對獲得訪問數(shù)據(jù)庫授權(quán)的使用者進行怎樣的培訓，以避免出現(xiàn)錯誤導致數(shù)據(jù)庫安全受到影響?
為了保證數(shù)據(jù)庫的安全，僅僅采用授權(quán)模式是遠遠不夠的。你不僅僅應該考慮到人們是否存在獲得數(shù)據(jù)進行工作的需求，或者他們的目的是否是無害的;而且也應該確保他們已經(jīng)了解安全策略和不遵循的話會帶來的危險后果，防止他們由于無意識的操作而給系統(tǒng)帶來更大的漏洞。如果有必要的話，就需要確保獲得訪問數(shù)據(jù)庫授權(quán)的使用者進行了適當?shù)呐嘤枺屗麄兞私膺@樣操作的原因，以及不恰當?shù)牟僮鲿硎裁礃拥暮蠊?，避免給數(shù)據(jù)庫安全造成損害，
8. 管理數(shù)據(jù)庫的時間是否應該采用可以區(qū)分授權(quán)和未經(jīng)授權(quán)更改的日志審計模式?
對于這個問題來說，答案永遠都是“應該”，除非你有一個經(jīng)過深思熟慮內(nèi)容非常具體的安全理由可以證明不這樣做更安全。
9. 在設計威脅數(shù)據(jù)庫的時間是否可以對沒有實際需求的功能進行簡化?
安東尼·德·圣?？颂K佩里這樣說過：“對于設計師來說，一個不能多，一個也不能少，才是最佳的設計”。阿爾伯特·愛因斯坦則認為：“一切設計都應該簡單簡單再簡單，直到不能更簡單為止”。而查爾斯·安東尼·理查德·霍爾的觀點是：“進行軟件設計有兩種方法：一種是讓軟件變得簡單并且沒有明顯的漏洞，而另一種則是盡可能復雜一些以消除明顯的漏洞”。實際上，上面的三種說法都是正確的，特別是對于安全來說。
簡單是安全最好的朋友。而復雜則是其最大的敵人。為了最大限度地提高安全性，我們總是應該對新安全項目設計進行簡化，而最佳的狀態(tài)就是讓該項目帶來的安全效果大于可能被帶入的潛在安全漏洞帶來的損失。
10. 如果數(shù)據(jù)庫本身成為安全方面的缺陷的話，這時間應該怎么辦?
正如在剛才討論設計簡化的時間我指出的，如果數(shù)據(jù)庫本身為安全帶來了新的潛在漏洞，你要做的當然不是盡快地部署它?？偟膩碚f，這時間我們就需要對數(shù)據(jù)庫進行調(diào)整，直到潛在的漏洞被清除。在這種嚴峻的情況發(fā)生的時間，請務必做好充分的準備。
當然，對公共數(shù)據(jù)進行匯總和分析的時間，不要關(guān)注所有這些問題，但如果你建設的是涉及到少量公共數(shù)據(jù)的威脅數(shù)據(jù)庫項目的話，請確保已經(jīng)對上述列表中的這些問題有了明確的答案。就目前而言，由于整個政府機構(gòu)的普遍無能，官方的數(shù)據(jù)采集和分析工具，是不可避免的出現(xiàn)低級錯誤的。即使現(xiàn)在沒有發(fā)生，下屆選舉的時間也有可能發(fā)生，或者是在該項目預算進行調(diào)整的時間。
對于這個問題，企業(yè)和項目緊急反應小組不應該認為他們是置身事外的，僅僅因為政府不會參與它們的事務。任何情況下，在決定采集和安全相關(guān)的數(shù)據(jù)并進行分析的時間，必須首先對這樣做會導致的后果進行分析，確保所有的人都受到了足夠的保護，不會受到濫用、連累以及疏忽等情況帶來的損害。
【編輯推薦】
