安全實(shí)驗(yàn)室
安華金和數(shù)據(jù)庫安全實(shí)驗(yàn)室(DBSec Labs)于2010年11月成立,是我國一支獨(dú)立的、持久的針對(duì)數(shù)據(jù)庫安全漏洞、數(shù)據(jù)庫攻擊技術(shù)模擬和數(shù)據(jù)庫安全防護(hù)技術(shù)進(jìn)行研究的專業(yè)隊(duì)伍。安華金和數(shù)據(jù)庫安全實(shí)驗(yàn)室。通過對(duì)數(shù)據(jù)庫自身、數(shù)據(jù)庫使用環(huán)節(jié)存在的安全漏洞及黑客如何利用數(shù)據(jù)庫漏洞對(duì)客戶信息資產(chǎn)進(jìn)行侵害的研究,團(tuán)隊(duì)人員研究有效防御手段,降低數(shù)據(jù)庫安全風(fēng)險(xiǎn),以實(shí)現(xiàn)對(duì)數(shù)據(jù)資產(chǎn)的保護(hù)。
DBSec Labs采用開放的心態(tài)積極與學(xué)院和社會(huì)數(shù)據(jù)庫安全研究組織團(tuán)體進(jìn)行溝通,積極參與CVE組織(Common Vulnerabilities and Exposures,國際漏洞公布組織)、CNNVD(China National Vulnerability Database of Information Security,中國國家信息安全漏洞庫)組織的活動(dòng),以及國家等級(jí)保護(hù)和分級(jí)保護(hù)的技術(shù)研究中。
DBSec Labs研究職責(zé)
1、對(duì)數(shù)據(jù)庫安全漏洞進(jìn)行研究,是DBSec Labs的首要職責(zé)。
當(dāng)前我國廣泛地使用Oracle、SQL Server和DB2等國外數(shù)據(jù)庫產(chǎn)品,隨著我國安全產(chǎn)品自主化的基本國策,確定了對(duì)國外數(shù)據(jù)庫產(chǎn)品的漏洞和后門研究,關(guān)系著國家安全需求。
DBSec Labs同時(shí)將投入力量對(duì)廣泛使用的MySQL、Postgre等開源數(shù)據(jù)庫進(jìn)行安全漏洞研究;投入力量對(duì)武漢達(dá)夢(mèng)、人大金倉、神舟通用、南大通用的數(shù)據(jù)庫產(chǎn)品進(jìn)行安全漏洞研究。
2、黑客數(shù)據(jù)庫入侵手段研究
黑客入侵?jǐn)?shù)據(jù)庫不僅利用數(shù)據(jù)庫的自身漏洞,還會(huì)利用合法應(yīng)用系統(tǒng)提供的漏洞途徑(如SQL注入),操作系統(tǒng)漏洞(文件層攻擊),網(wǎng)絡(luò)漏洞(網(wǎng)絡(luò)通訊捕獲)等手段獲得數(shù)據(jù)庫內(nèi)的儲(chǔ)存信息。DBSec Labs針對(duì)這些黑客攻擊手段進(jìn)行研究。
3、數(shù)據(jù)庫防護(hù)手段研究
DBSec Labs將對(duì)數(shù)據(jù)庫漏洞掃描、Web SQL注入掃描、網(wǎng)絡(luò)監(jiān)控與分析、數(shù)據(jù)庫加密、增強(qiáng)認(rèn)證、增強(qiáng)權(quán)限、數(shù)據(jù)庫應(yīng)用安全、數(shù)據(jù)庫審計(jì)等數(shù)據(jù)庫防護(hù)手段進(jìn)行追蹤和研究。
DBSec Labs部分成果
1、數(shù)據(jù)庫漏洞提交
DBSec Labs將發(fā)現(xiàn)的數(shù)據(jù)庫漏洞提交給CVE組織,以及我國的CNNVD、CNVD等漏洞平臺(tái),以利于安全廠商和安全用戶共享。
具體漏洞認(rèn)證證書請(qǐng)?zhí)D(zhuǎn)至數(shù)據(jù)庫漏洞挖掘頁面。
2、研究成果公開
DBSec Labs把大部分研究成果轉(zhuǎn)化成專業(yè)論文在專業(yè)雜志和網(wǎng)絡(luò)期刊進(jìn)行公開發(fā)表,將相關(guān)的數(shù)據(jù)庫攻擊手段和防御措施錄制成視頻在網(wǎng)上發(fā)布,對(duì)典型數(shù)據(jù)庫安全事件進(jìn)行分析幫助用戶了解數(shù)據(jù)庫安全威脅,制作《數(shù)據(jù)庫安全威脅與防護(hù)》企業(yè)內(nèi)部雜志免費(fèi)提供給用戶,參與編寫第三方機(jī)構(gòu)的數(shù)據(jù)庫安全研究報(bào)告,分享數(shù)據(jù)庫安全態(tài)勢(shì)及攻防技術(shù)研究成果。
DBSec Labs根據(jù)多年以來對(duì)數(shù)據(jù)庫安全風(fēng)險(xiǎn)分析與防護(hù)實(shí)踐的經(jīng)驗(yàn)總結(jié),陸續(xù)編寫并發(fā)布專門針對(duì)Oracle、MySQL、SQL Server、DB2、MongoDB、PostgreSQL六大國際主流數(shù)據(jù)庫以及GBase、Kingbase、達(dá)夢(mèng)三大國產(chǎn)主流數(shù)據(jù)庫的《安全配置指導(dǎo)手冊(cè)》。
3、數(shù)據(jù)庫安全產(chǎn)品研發(fā)
DBSec Labs的研究成果融入到安華金和的數(shù)據(jù)庫安全產(chǎn)品系列中。數(shù)據(jù)庫漏洞研究成果不斷融入到安華金和現(xiàn)有系列產(chǎn)品中,升級(jí)完善產(chǎn)品,持續(xù)提升客戶交付能力。DBSec Labs通過整合自身對(duì)數(shù)據(jù)庫漏洞及數(shù)據(jù)庫攻擊技術(shù)的全部研究成果,獨(dú)家設(shè)計(jì)研發(fā)出一套專業(yè)、高效、可靠的數(shù)據(jù)庫漏洞驗(yàn)證工具——支持多種主流數(shù)據(jù)庫類型、數(shù)據(jù)庫版本以及漏洞的驗(yàn)證;漏洞類型更涵蓋算法破解、監(jiān)聽劫持、緩沖區(qū)溢出、sql注入、靜態(tài)注入、符號(hào)鏈接、反序列化等;并支持滲透模塊與腳本免殺。