盡管一些研究數(shù)據(jù)顯示，與其他網(wǎng)絡(luò)犯罪方式相比，SQL注入攻擊有所下降，但是本周發(fā)布的最新調(diào)查顯示，對(duì)于關(guān)注數(shù)據(jù)庫安全的中小企業(yè)而言，阻止SQL注入攻擊仍然是他們最重要的工作。

[[65575]]

Securosis公司分析師Adrian Lane表示，“盡管SQL注入這種攻擊形式已經(jīng)出現(xiàn)十年之久，但仍是最大的安全威脅，雖然根據(jù)數(shù)據(jù)泄露事故的分析顯示，SQL注入攻擊有所下降，但是這仍然是中小企業(yè)和擁有web應(yīng)用程序的企業(yè)面臨的主要問題。”

數(shù)據(jù)庫安全公司Green SQL對(duì)6000多名中小企業(yè)技術(shù)決策者進(jìn)行了調(diào)查，詢問讓他們夜不能寐的數(shù)據(jù)庫安全問題。雖然，只有18%的中小企業(yè)受訪者表示他們擔(dān)心合規(guī)問題，并且只有不到三分之一的受訪者擔(dān)心內(nèi)部威脅(例如惡意內(nèi)部人員)，51%的受訪者表示SQL注入攻擊是最令他們頭痛的問題。Green SQL首席技術(shù)官David Maman表示，SQL注入攻擊當(dāng)之無愧地成為最受關(guān)注的問題。他表示，“說實(shí)話，這讓我們很震驚，因?yàn)楝F(xiàn)在討論的所有研究結(jié)果都是有關(guān)SQL注入攻擊已經(jīng)下降，但這卻是中小企業(yè)社區(qū)面臨的最大威脅，很多人都擔(dān)心Anonymous，很多人擔(dān)心暴露敏感信息和客戶信息。”

面對(duì)尋找SQL注入漏洞的自動(dòng)蠕蟲病毒和大規(guī)模SQL注入攻擊，很多中小企業(yè)往往無法不具備相關(guān)洞察力或者方法來阻止它們。他們經(jīng)常不知道他們已經(jīng)被“圍困”，Maman舉了一個(gè)實(shí)例，一位新的Green SQL中小企業(yè)客戶找到他，想知道其軟件有什么問題，結(jié)果后來發(fā)現(xiàn)他的基礎(chǔ)設(shè)施每天遭受2000次SQL注入攻擊嘗試。

在幫助該名管理員進(jìn)行調(diào)查后，Maman不僅發(fā)現(xiàn)這個(gè)數(shù)字準(zhǔn)確無誤，而且發(fā)動(dòng)這種攻擊的IP地址之一位于該中小企業(yè)自己的網(wǎng)絡(luò)內(nèi)部。

“他告訴我，‘看，這是一個(gè)誤報(bào)，因?yàn)檫@是我的網(wǎng)絡(luò)IP地址，’”Maman表示，“我告訴他，‘聽著，這是一個(gè)真正的SQL注入攻擊’，原來他的一臺(tái)電腦被惡意軟件感染了。”

根據(jù)Verizon公司RISK團(tuán)隊(duì)負(fù)責(zé)人Chris Porter表示，Verizon最近發(fā)布的數(shù)據(jù)泄露調(diào)查統(tǒng)計(jì)數(shù)據(jù)的優(yōu)先級(jí)可能要比其他攻擊要低，但是這仍然是中小企業(yè)需要認(rèn)真對(duì)待的事情。

“這是一個(gè)很大的問題，”他表示，“你可以看到在我們過去兩年的調(diào)查數(shù)據(jù)中，SQL注入攻擊已經(jīng)下降，相對(duì)于其他攻擊來說，這種下降確實(shí)是在發(fā)生。”

在SQL注入攻擊方面，他認(rèn)為影響中小企業(yè)最大的因素之一是他們更加頻繁地使用現(xiàn)成的電子商務(wù)解決方案。他表示，中小企業(yè)往往不會(huì)修復(fù)這些軟件，或者進(jìn)行正確地配置，這讓中小企業(yè)很容易成為自動(dòng)攻擊的目標(biāo)。即使沒有部署任何數(shù)據(jù)庫安全或者web應(yīng)用程序防火墻解決方案，很多企業(yè)都可以通過及時(shí)修復(fù)這些電子商務(wù)和第三方web應(yīng)用程序來降低他們的風(fēng)險(xiǎn)面。

“我認(rèn)為很多小型企業(yè)并沒有認(rèn)真對(duì)待，他們經(jīng)常沒有修復(fù)漏洞，”Porter表示，“這樣就可能存在SQL注入漏洞，攻擊者就能夠利用這些漏洞發(fā)動(dòng)攻擊，然后自動(dòng)注入腳本。”