安全實驗室
安華金和數(shù)據(jù)庫安全實驗室(DBSec Labs)于2010年11月成立,是我國一支獨立的、持久的針對數(shù)據(jù)庫安全漏洞、數(shù)據(jù)庫攻擊技術(shù)模擬和數(shù)據(jù)庫安全防護技術(shù)進行研究的專業(yè)隊伍。安華金和數(shù)據(jù)庫安全實驗室。通過對數(shù)據(jù)庫自身、數(shù)據(jù)庫使用環(huán)節(jié)存在的安全漏洞及黑客如何利用數(shù)據(jù)庫漏洞對客戶信息資產(chǎn)進行侵害的研究,團隊人員研究有效防御手段,降低數(shù)據(jù)庫安全風險,以實現(xiàn)對數(shù)據(jù)資產(chǎn)的保護。
DBSec Labs采用開放的心態(tài)積極與學(xué)院和社會數(shù)據(jù)庫安全研究組織團體進行溝通,積極參與CVE組織(Common Vulnerabilities and Exposures,國際漏洞公布組織)、CNNVD(China National Vulnerability Database of Information Security,中國國家信息安全漏洞庫)組織的活動,以及國家等級保護和分級保護的技術(shù)研究中。
DBSec Labs研究職責
1、對數(shù)據(jù)庫安全漏洞進行研究,是DBSec Labs的首要職責。
當前我國廣泛地使用Oracle、SQL Server和DB2等國外數(shù)據(jù)庫產(chǎn)品,隨著我國安全產(chǎn)品自主化的基本國策,確定了對國外數(shù)據(jù)庫產(chǎn)品的漏洞和后門研究,關(guān)系著國家安全需求。
DBSec Labs同時將投入力量對廣泛使用的MySQL、Postgre等開源數(shù)據(jù)庫進行安全漏洞研究;投入力量對武漢達夢、人大金倉、神舟通用、南大通用的數(shù)據(jù)庫產(chǎn)品進行安全漏洞研究。
2、黑客數(shù)據(jù)庫入侵手段研究
黑客入侵數(shù)據(jù)庫不僅利用數(shù)據(jù)庫的自身漏洞,還會利用合法應(yīng)用系統(tǒng)提供的漏洞途徑(如SQL注入),操作系統(tǒng)漏洞(文件層攻擊),網(wǎng)絡(luò)漏洞(網(wǎng)絡(luò)通訊捕獲)等手段獲得數(shù)據(jù)庫內(nèi)的儲存信息。DBSec Labs針對這些黑客攻擊手段進行研究。
3、數(shù)據(jù)庫防護手段研究
DBSec Labs將對數(shù)據(jù)庫漏洞掃描、Web SQL注入掃描、網(wǎng)絡(luò)監(jiān)控與分析、數(shù)據(jù)庫加密、增強認證、增強權(quán)限、數(shù)據(jù)庫應(yīng)用安全、數(shù)據(jù)庫審計等數(shù)據(jù)庫防護手段進行追蹤和研究。
DBSec Labs部分成果
1、數(shù)據(jù)庫漏洞提交
DBSec Labs將發(fā)現(xiàn)的數(shù)據(jù)庫漏洞提交給CVE組織,以及我國的CNNVD、CNVD等漏洞平臺,以利于安全廠商和安全用戶共享。
具體漏洞認證證書請?zhí)D(zhuǎn)至數(shù)據(jù)庫漏洞挖掘頁面。
2、研究成果公開
DBSec Labs把大部分研究成果轉(zhuǎn)化成專業(yè)論文在專業(yè)雜志和網(wǎng)絡(luò)期刊進行公開發(fā)表,將相關(guān)的數(shù)據(jù)庫攻擊手段和防御措施錄制成視頻在網(wǎng)上發(fā)布,對典型數(shù)據(jù)庫安全事件進行分析幫助用戶了解數(shù)據(jù)庫安全威脅,制作《數(shù)據(jù)庫安全威脅與防護》企業(yè)內(nèi)部雜志免費提供給用戶,參與編寫第三方機構(gòu)的數(shù)據(jù)庫安全研究報告,分享數(shù)據(jù)庫安全態(tài)勢及攻防技術(shù)研究成果。
DBSec Labs根據(jù)多年以來對數(shù)據(jù)庫安全風險分析與防護實踐的經(jīng)驗總結(jié),陸續(xù)編寫并發(fā)布專門針對Oracle、MySQL、SQL Server、DB2、MongoDB、PostgreSQL六大國際主流數(shù)據(jù)庫以及GBase、Kingbase、達夢三大國產(chǎn)主流數(shù)據(jù)庫的《安全配置指導(dǎo)手冊》。
3、數(shù)據(jù)庫安全產(chǎn)品研發(fā)
DBSec Labs的研究成果融入到安華金和的數(shù)據(jù)庫安全產(chǎn)品系列中。數(shù)據(jù)庫漏洞研究成果不斷融入到安華金和現(xiàn)有系列產(chǎn)品中,升級完善產(chǎn)品,持續(xù)提升客戶交付能力。DBSec Labs通過整合自身對數(shù)據(jù)庫漏洞及數(shù)據(jù)庫攻擊技術(shù)的全部研究成果,獨家設(shè)計研發(fā)出一套專業(yè)、高效、可靠的數(shù)據(jù)庫漏洞驗證工具——支持多種主流數(shù)據(jù)庫類型、數(shù)據(jù)庫版本以及漏洞的驗證;漏洞類型更涵蓋算法破解、監(jiān)聽劫持、緩沖區(qū)溢出、sql注入、靜態(tài)注入、符號鏈接、反序列化等;并支持滲透模塊與腳本免殺。