數(shù)據(jù)庫(kù)中儲(chǔ)存這大量的數(shù)據(jù)信息，這是的節(jié)哀啊都知道的，因此，保護(hù)數(shù)據(jù)庫(kù)就成為了保護(hù)數(shù)據(jù)的重要環(huán)節(jié)。如今數(shù)據(jù)庫(kù)的威脅是越來(lái)越多，威脅著數(shù)據(jù)庫(kù)的安全，數(shù)據(jù)庫(kù)中的數(shù)據(jù)隨時(shí)都有被且取得威脅，所以，數(shù)據(jù)庫(kù)安全工作必須要重視。其實(shí)，在考慮購(gòu)買(mǎi)第三方的專(zhuān)業(yè)數(shù)據(jù)庫(kù)保護(hù)產(chǎn)品之前，有很多工作是可以現(xiàn)在就開(kāi)始做的，尤其是對(duì)于那些數(shù)據(jù)管理員（DBA）而言。學(xué)習(xí)一些基本的數(shù)據(jù)庫(kù)安全知識(shí)對(duì)他們很有幫助。這篇文章就講述了其中一些要點(diǎn)。

當(dāng)前數(shù)據(jù)庫(kù)主要存在十類(lèi)安全威脅：

威脅1:濫用過(guò)高權(quán)限

威脅2:濫用合法權(quán)

威脅3:權(quán)限提升

威脅4:平臺(tái)漏洞

威脅5:SQL注入

威脅6:審計(jì)記錄不足

威脅7:拒絕服務(wù)

威脅8:數(shù)據(jù)庫(kù)通信協(xié)議漏洞

威脅9:身份驗(yàn)證不足

威脅10:備份數(shù)據(jù)暴露

下文中就為大家解讀數(shù)據(jù)庫(kù)威脅：

威脅1:濫用過(guò)高權(quán)限

當(dāng)用戶(hù)（或應(yīng)用程序）被授予超出了其工作職能所需的數(shù)據(jù)庫(kù)訪(fǎng)問(wèn)權(quán)限時(shí)，這些權(quán)限可能會(huì)被惡意濫用。例如，一個(gè)大學(xué)管理員在工作中只需要能夠更改學(xué)生的聯(lián)系信息，不過(guò)他可能會(huì)利用過(guò)高的數(shù)據(jù)庫(kù)更新權(quán)限來(lái)更改分?jǐn)?shù)。

威脅2:濫用合法權(quán)

用戶(hù)還可能將合法的數(shù)據(jù)庫(kù)權(quán)限用于未經(jīng)授權(quán)的目的。假設(shè)一個(gè)惡意的醫(yī)務(wù)人員擁有可以通過(guò)自定義Web應(yīng)用程序查看單個(gè)患者病歷的權(quán)限。通常情況下，該Web應(yīng)用程序的結(jié)構(gòu)限制用戶(hù)只能查看單個(gè)患者的病史，即無(wú)法同時(shí)查看多個(gè)患者的病歷并且不允許復(fù)制電子副本。但是，惡意的醫(yī)務(wù)人員可以通過(guò)使用其他客戶(hù)端（如MS:Excel）連接到數(shù)據(jù)庫(kù)，來(lái)規(guī)避這些限制。通過(guò)使用MS:Excel以及合法的登錄憑據(jù)，該醫(yī)務(wù)人員就可以檢索和保存所有患者的病歷。

這種私自復(fù)制患者病歷數(shù)據(jù)庫(kù)的副本的做法不可能符合任何醫(yī)療組織的患者數(shù)據(jù)保護(hù)策略。要考慮兩點(diǎn)風(fēng)險(xiǎn)。第一點(diǎn)是惡意的醫(yī)務(wù)人員會(huì)將患者病歷用于金錢(qián)交易。第二點(diǎn)可能更為常見(jiàn)，即員工由于疏忽將檢索到的大量信息存儲(chǔ)在自己的客戶(hù)端計(jì)算機(jī)上，用于合法工作目的。一旦數(shù)據(jù)存在于終端計(jì)算機(jī)上，就可能成為特洛伊木馬程序以及筆記本電腦盜竊等的攻擊目標(biāo)。

威脅3:權(quán)限提升

攻擊者可以利用數(shù)據(jù)庫(kù)平臺(tái)軟件的漏洞將普通用戶(hù)的權(quán)限轉(zhuǎn)換為管理員權(quán)限。漏洞可以在存儲(chǔ)過(guò)程、內(nèi)置函數(shù)、協(xié)議實(shí)現(xiàn)甚至是SQL語(yǔ)句中找到。例如，一個(gè)金融機(jī)構(gòu)的軟件開(kāi)發(fā)人員可以利用有漏洞的函數(shù)來(lái)獲得數(shù)據(jù)庫(kù)管理權(quán)限。使用管理權(quán)限，惡意的開(kāi)發(fā)人員可以禁用審計(jì)機(jī)制、開(kāi)設(shè)偽造的帳戶(hù)以及轉(zhuǎn)帳等。

威脅4:平臺(tái)漏洞

底層操作系統(tǒng)（Windows2000、UNIX等）中的漏洞和安裝在數(shù)據(jù)庫(kù)服務(wù)器上的其他服務(wù)中的漏洞可能導(dǎo)致未經(jīng)授權(quán)的訪(fǎng)問(wèn)、數(shù)據(jù)破壞或拒絕服務(wù)。例如，“沖擊波病毒”就是利用了Windows2000的漏洞為拒絕服務(wù)攻擊創(chuàng)造條件。

威脅5:SQL注入

在SQL注入攻擊中，入侵者通常將未經(jīng)授權(quán)的數(shù)據(jù)庫(kù)語(yǔ)句插入（或“注入”）到有漏洞的SQL數(shù)據(jù)信道中。通常情況下，攻擊所針對(duì)的數(shù)據(jù)信道包括存儲(chǔ)過(guò)程和Web應(yīng)用程序輸入?yún)?shù)。然后，這些注入的語(yǔ)句被傳遞到數(shù)據(jù)庫(kù)中并在數(shù)據(jù)庫(kù)中執(zhí)行。使用SQL注入，攻擊者可以不受限制地訪(fǎng)問(wèn)整個(gè)數(shù)據(jù)庫(kù)。防止SQL注入將以下三個(gè)技術(shù)結(jié)合使用可以有效地抵御SQL注入：入侵防御系統(tǒng)(IPS)、查詢(xún)級(jí)別訪(fǎng)問(wèn)控制（請(qǐng)參閱“濫用過(guò)高權(quán)限”）和事件相關(guān)。IPS可以識(shí)別有漏洞的存儲(chǔ)過(guò)程或SQL注入字符串。但是，單獨(dú)使用IPS并不可靠，因?yàn)镾QL注入字符串很容易發(fā)生誤報(bào)。如果只依賴(lài)IPS，安全管理人員會(huì)發(fā)現(xiàn)大量“可能的”SQL注入警報(bào)，被搞得焦頭爛額。

威脅6:審計(jì)記錄不足

自動(dòng)記錄所有敏感的和/或異常的數(shù)據(jù)庫(kù)事務(wù)應(yīng)該是所有數(shù)據(jù)庫(kù)部署基礎(chǔ)的一部分。如果數(shù)據(jù)庫(kù)審計(jì)策略不足，則組織將在很多級(jí)別上面臨嚴(yán)重風(fēng)險(xiǎn)。

威脅7:拒絕服務(wù)

拒絕服務(wù)(DOS)是一個(gè)寬泛的攻擊類(lèi)別，在此攻擊中正常用戶(hù)對(duì)網(wǎng)絡(luò)應(yīng)用程序或數(shù)據(jù)的訪(fǎng)問(wèn)被拒絕?？梢酝ㄟ^(guò)多種技巧為拒絕服務(wù)(DOS)攻擊創(chuàng)造條件，其中很多都與上文提到的漏洞有關(guān)。例如，可以利用數(shù)據(jù)庫(kù)平臺(tái)漏洞來(lái)制造拒絕服務(wù)攻擊，從而使服務(wù)器崩潰。其他常見(jiàn)的拒絕服務(wù)攻擊技巧包括數(shù)據(jù)破壞、網(wǎng)絡(luò)泛洪和服務(wù)器資源過(guò)載（內(nèi)存、CPU等）。資源過(guò)載在數(shù)據(jù)庫(kù)環(huán)境中尤為普遍。

威脅8:數(shù)據(jù)庫(kù)通信協(xié)議漏洞

在所有數(shù)據(jù)庫(kù)供應(yīng)商的數(shù)據(jù)庫(kù)通信協(xié)議中，發(fā)現(xiàn)了越來(lái)越多的安全漏洞。在兩個(gè)最新的IBMDB2FixPack中，七個(gè)安全修復(fù)程序中有四個(gè)是針對(duì)協(xié)議漏洞1。同樣地，最新的Oracle季度補(bǔ)丁程序所修復(fù)的23個(gè)數(shù)據(jù)庫(kù)漏洞中有11個(gè)與協(xié)議有關(guān)。針對(duì)這些漏洞的欺騙性活動(dòng)包括未經(jīng)授權(quán)的數(shù)據(jù)訪(fǎng)問(wèn)、數(shù)據(jù)破壞以及拒絕服務(wù)。例如，SQLSlammer2蠕蟲(chóng)就是利用了MicrosoftSQLServer協(xié)議中的漏洞實(shí)施拒絕服務(wù)攻擊。更糟糕的是，由于自身數(shù)據(jù)庫(kù)審計(jì)機(jī)制不審計(jì)協(xié)議操作，所以在自身審計(jì)記錄中不存在這些欺騙性活動(dòng)的記錄。

威脅9:身份驗(yàn)證不足

薄弱的身份驗(yàn)證方案可以使攻擊者竊取或以其他方法獲得登錄憑據(jù)，從而獲取合法的數(shù)據(jù)庫(kù)用戶(hù)的身份。攻擊者可以采取很多策略來(lái)獲取憑據(jù)。

·暴力:攻擊者不斷地輸入用戶(hù)名/密碼組合，直到找到可以登錄的一組。暴力過(guò)程可能是靠猜測(cè)，也可能是系統(tǒng)地枚舉可能的用戶(hù)名/密碼組合。通常，攻擊者會(huì)使用自動(dòng)化程序來(lái)加快暴力過(guò)程的速度。

·社會(huì)工程–在這個(gè)方案中，攻擊者利用人天生容易相信別人的傾向來(lái)獲取他人的信任，從而獲得其登錄憑據(jù)。例如，攻擊者可能在電話(huà)中偽裝成一名IT經(jīng)理，以“系統(tǒng)維護(hù)”為由要求提供登錄憑據(jù)。

·直接竊取憑據(jù)–攻擊者可能通過(guò)抄寫(xiě)即時(shí)貼上的內(nèi)容或復(fù)制密碼文件來(lái)竊取登錄憑據(jù)。

威脅10:備份數(shù)據(jù)暴露

經(jīng)常情況下，備份數(shù)據(jù)庫(kù)存儲(chǔ)介質(zhì)對(duì)于攻擊者是毫無(wú)防護(hù)措施的。因此，在若干起著名的安全破壞活動(dòng)中，都是數(shù)據(jù)庫(kù)備份磁帶和硬盤(pán)被盜。防止備份數(shù)據(jù)暴露所有數(shù)據(jù)庫(kù)備份都應(yīng)加密。實(shí)際上，某些供應(yīng)商已經(jīng)建議在未來(lái)的DBMS產(chǎn)品中不應(yīng)支持創(chuàng)建未加密的備份。建議經(jīng)常對(duì)聯(lián)機(jī)的生產(chǎn)數(shù)據(jù)庫(kù)信息進(jìn)行加密，但是由于性能問(wèn)題和密鑰管理不善問(wèn)題，這一加密方法通常是不現(xiàn)實(shí)的，并且一般被公認(rèn)為是上文介紹的細(xì)化的權(quán)限控制的不理想的替代方法。

至于對(duì)策，有的其實(shí)由DBA通過(guò)一些配置和加固就可以DIY，當(dāng)然，有的還需要考慮引入第三方的產(chǎn)品，例如對(duì)于提權(quán)行為、濫用合法權(quán)限行為、SQL注入行為的判定。在以后，我還會(huì)更多地談及數(shù)據(jù)庫(kù)審計(jì)的話(huà)題。

關(guān)于數(shù)據(jù)庫(kù)的十大威脅的講解就為大家介紹到這里，相信大家通過(guò)上文的學(xué)習(xí)，現(xiàn)在對(duì)數(shù)據(jù)庫(kù)的安全威脅有所了解，希望大家在掌握了上文中講解的數(shù)據(jù)庫(kù)十大威脅之后，能夠很好的開(kāi)展數(shù)據(jù)庫(kù)的安全防護(hù)工作。