近50%企業(yè)的數(shù)據(jù)庫(kù)存在漏洞，法國(guó)位列漏洞數(shù)量排行榜第一
網(wǎng)絡(luò)妥協(xié)對(duì)企業(yè)數(shù)據(jù)而言，不應(yīng)該意味著“游戲結(jié)束”，但調(diào)查數(shù)據(jù)顯示許多公司未能妥善保護(hù)他們“皇冠上的寶石”。
根據(jù)互聯(lián)網(wǎng)安全公司Imperva過(guò)去五年收集的數(shù)據(jù)顯示，幾乎一半公司的內(nèi)部數(shù)據(jù)庫(kù)存在已知漏洞，而平均每個(gè)脆弱的數(shù)據(jù)庫(kù)都有26個(gè)公開(kāi)披露的漏洞，其中一半以上是關(guān)鍵或高危漏洞。
雖然易受攻擊的本地?cái)?shù)據(jù)庫(kù)可以從企業(yè)防火墻中獲得一定的保護(hù)，但那些留有已知/未修補(bǔ)漏洞的數(shù)據(jù)庫(kù)的公司會(huì)將自身暴露給攻擊者，這些攻擊者可以通過(guò)漏洞訪(fǎng)問(wèn)公司的網(wǎng)絡(luò)，或者能夠使用公共應(yīng)用程序向后端系統(tǒng)提供有效負(fù)載。該公司在一篇博文中表示，許多未修補(bǔ)的漏洞至少存在3年，超過(guò)一半(56%)是嚴(yán)重漏洞。
Imperva首席創(chuàng)新官EladErez表示，
| “這種級(jí)別的漏洞代表著一個(gè)巨大的攻擊面。從攻擊者的角度來(lái)看，一旦他們進(jìn)入網(wǎng)絡(luò)，就可以?huà)呙钄?shù)據(jù)庫(kù)，并且很可能會(huì)發(fā)現(xiàn)一個(gè)存在20多個(gè)漏洞的脆弱數(shù)據(jù)庫(kù)。正如我們所知，查找已知漏洞的漏洞利用就像谷歌搜索一樣簡(jiǎn)單。” |
多年來(lái)，數(shù)據(jù)一直是網(wǎng)絡(luò)犯罪分子和民族國(guó)家攻擊者的關(guān)注重點(diǎn)。過(guò)去，攻擊者可以訪(fǎng)問(wèn)內(nèi)部網(wǎng)絡(luò)并滲漏大量數(shù)據(jù)，從而導(dǎo)致大規(guī)模數(shù)據(jù)泄露。對(duì)零售巨頭Target的攻擊、對(duì)美國(guó)人事管理辦公室的間諜攻擊，以及最近曝光的米高梅酒店數(shù)千萬(wàn)條客戶(hù)記錄泄露，都是攻擊者獲取內(nèi)部網(wǎng)絡(luò)訪(fǎng)問(wèn)權(quán)限后發(fā)生的。
Imperva強(qiáng)調(diào)，向基于云的數(shù)據(jù)存儲(chǔ)的轉(zhuǎn)移同樣轉(zhuǎn)移了攻擊者的注意力，但大多數(shù)組織仍在繼續(xù)依賴(lài)本地?cái)?shù)據(jù)庫(kù)，尤其是內(nèi)部業(yè)務(wù)數(shù)據(jù)和其他敏感信息。
該公司在其研究博客中表示，
| “多年來(lái)，企業(yè)組織一直在優(yōu)先考慮并投資周邊和端點(diǎn)安全工具，并想當(dāng)然地以為對(duì)數(shù)據(jù)周?chē)南到y(tǒng)或網(wǎng)絡(luò)進(jìn)行保護(hù)就足夠了。然而，這種方法根本行不通，因?yàn)檫@是一個(gè)廣泛的全球性問(wèn)題。企業(yè)組織需要重新考慮如何真正保護(hù)數(shù)據(jù)。” |
據(jù)悉，這些研究數(shù)據(jù)是來(lái)自Imperva創(chuàng)新實(shí)驗(yàn)室在四年多前發(fā)布的一款數(shù)據(jù)庫(kù)掃描工具，旨在更深入地了解內(nèi)部數(shù)據(jù)庫(kù)。該工具已經(jīng)掃描了2.9萬(wàn)余個(gè)內(nèi)部數(shù)據(jù)庫(kù)，并為Imperva提供了匿名數(shù)據(jù)。
該工具發(fā)現(xiàn)，公司未能定期修補(bǔ)他們的數(shù)據(jù)庫(kù)系統(tǒng)，但某些國(guó)家的公司做得比其他國(guó)家更好。
- 法國(guó)公司面臨的風(fēng)險(xiǎn)最大，84%的數(shù)據(jù)庫(kù)至少存在一個(gè)漏洞，脆弱數(shù)據(jù)庫(kù)平均存在多達(dá)72個(gè)安全問(wèn)題。
- 新加坡和澳大利亞分列第二和第三，分別有65%和64%的數(shù)據(jù)庫(kù)存在漏洞，但兩國(guó)的漏洞水平截然不同：澳大利亞的脆弱數(shù)據(jù)庫(kù)平均只有20個(gè)漏洞，而新加坡的平均漏洞數(shù)為62個(gè)。
- 美國(guó)的企業(yè)做得好于平均水平，39%的數(shù)據(jù)庫(kù)至少有一個(gè)漏洞，而脆弱數(shù)據(jù)庫(kù)平均有25個(gè)漏洞。
EladErez認(rèn)為，其中最重要的問(wèn)題是身份驗(yàn)證繞過(guò)漏洞，該漏洞允許攻擊者無(wú)需登錄即可訪(fǎng)問(wèn)數(shù)據(jù)庫(kù)。將數(shù)據(jù)移至云端將更一致地提供更高級(jí)別的安全性，但錯(cuò)誤配置也會(huì)成為一個(gè)重大問(wèn)題。在極少數(shù)情況下，當(dāng)發(fā)現(xiàn)漏洞時(shí)，可能會(huì)產(chǎn)生可怕的后果。最近在微軟Azure公共云中發(fā)現(xiàn)的兩個(gè)漏洞可能導(dǎo)致其他公司的云基礎(chǔ)設(shè)施和數(shù)據(jù)遭到大規(guī)模入侵。
EladErez表示，雖然有樂(lè)觀(guān)的結(jié)論，但其中也存在一些令人擔(dān)憂(yōu)的問(wèn)題。由于云數(shù)據(jù)庫(kù)的管理和更新更加容易，我們發(fā)現(xiàn)暴露的數(shù)據(jù)庫(kù)數(shù)量有所減少。但似乎太多人忘記了數(shù)據(jù)安全和基礎(chǔ)網(wǎng)絡(luò)安全。企業(yè)組織應(yīng)該定期掃描數(shù)據(jù)庫(kù)，掃描并獲得結(jié)果只需不到兩分鐘，卻可以幫助企業(yè)更好地了解自身的安全狀態(tài)。此外，市場(chǎng)上也有多種工具可用于檢查數(shù)據(jù)庫(kù)的修補(bǔ)程序級(jí)別。
參考鏈接：
https://www.darkreading.com/database-security/nearly-50-of-on-premise-databases-have-vulnerabilities
