欧美精品一区二区,体育生GAY白袜调教VIDEO,私人影院播放器,色偷偷AV老熟女色欲涩爱

摘要：本文通過(guò)對(duì)信息安全攻擊實(shí)例中的數(shù)據(jù)庫(kù)安全風(fēng)險(xiǎn)進(jìn)行分析，結(jié)合信息安全等級(jí)保護(hù)對(duì)數(shù)據(jù)庫(kù)安全防護(hù)的指導(dǎo)思路，提高信息系統(tǒng)的數(shù)據(jù)庫(kù)安全防護(hù)能力。

數(shù)據(jù)庫(kù)安全風(fēng)險(xiǎn)分析

與很多業(yè)務(wù)快速發(fā)展而忽視了信息安全建設(shè)的公司類(lèi)似，好運(yùn)公司被黑客卡爾竊取了大量客戶(hù)和信用卡信息，而且自己也沒(méi)有發(fā)現(xiàn)。一段時(shí)間后，監(jiān)管機(jī)構(gòu)發(fā) 現(xiàn)大量信用卡欺詐行為，涉案信用卡有一個(gè)共同點(diǎn)，曾在好運(yùn)公司進(jìn)行過(guò)信用卡交易，由此監(jiān)管機(jī)構(gòu)發(fā)現(xiàn)好運(yùn)公司出現(xiàn)了問(wèn)題，并通知了好運(yùn)公司。

好運(yùn)公司展開(kāi)內(nèi)部調(diào)查，按照有關(guān)法律，好運(yùn)公司不得不告知信用卡持卡人，并履行相應(yīng)的賠償。由于卡爾這次信用卡盜竊行為，好運(yùn)公司蒙受了慘痛的聲譽(yù)和經(jīng)濟(jì)損失。

那么在實(shí)際的應(yīng)用中，究竟都存在哪些數(shù)據(jù)庫(kù)安全風(fēng)險(xiǎn)導(dǎo)致敏感信息的批量泄漏？如下圖所示：

風(fēng)險(xiǎn)1：利用數(shù)據(jù)庫(kù)漏洞對(duì)數(shù)據(jù)庫(kù)進(jìn)行攻擊，批量導(dǎo)出數(shù)據(jù)或篡改數(shù)據(jù)；

風(fēng)險(xiǎn)2：外部黑客通過(guò)應(yīng)用系統(tǒng)的SQL注入點(diǎn)越權(quán)查詢(xún)數(shù)據(jù)庫(kù)敏感信息；

風(fēng)險(xiǎn)3：繞過(guò)合法應(yīng)用暴力破解登錄數(shù)據(jù)庫(kù)或獲取明文存儲(chǔ)數(shù)據(jù)庫(kù)文件。

那么好運(yùn)公司如何在業(yè)務(wù)快速發(fā)展的同時(shí)做好信息安全建設(shè)呢？下面我們來(lái)看下信息系統(tǒng)等級(jí)保護(hù)有哪些指導(dǎo)性的建議。

信息安全政策要求

等級(jí)保護(hù)制度是國(guó)家信息安全保障工作的基本制度、基本國(guó)策，是開(kāi)展信息安全工作的基本方法，是促進(jìn)信息化維護(hù)國(guó)家信息安全的根本保障?！缎畔踩?術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)基本要求》對(duì)信息系統(tǒng)分等級(jí)進(jìn)行安全保護(hù)和監(jiān)管，五個(gè)規(guī)定動(dòng)作：信息系統(tǒng)定級(jí)、備案、安全建設(shè)整改、等級(jí)測(cè)評(píng)、監(jiān)督檢查，信息安全產(chǎn) 品分等級(jí)使用管理，信息安全事件分等級(jí)響應(yīng)、處置，按照“準(zhǔn)確定級(jí)、嚴(yán)格審批、及時(shí)備案、認(rèn)真整改、科學(xué)測(cè)評(píng)”的要求開(kāi)展工作。

《基本要求》是階段性目標(biāo)，《信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》是實(shí)現(xiàn)該目標(biāo)的方法和途徑之一，提出“一個(gè)中心三維防護(hù)”（安全管理中心和計(jì)算環(huán)境安全、區(qū)域邊界安全、通信網(wǎng)絡(luò)安全）的安全保護(hù)設(shè)計(jì)技術(shù)要求。

數(shù)據(jù)庫(kù)安全在等級(jí)保護(hù)《基本要求》中的位置是主機(jī)安全的一個(gè)部分，數(shù)據(jù)庫(kù)的安全技術(shù)建設(shè)指標(biāo)是從“主機(jī)安全”和“數(shù)據(jù)安全及備份恢復(fù)”中根據(jù)數(shù)據(jù)庫(kù)的特點(diǎn)映射得到的。

主機(jī)安全中的身份鑒別、訪(fǎng)問(wèn)控制、安全審計(jì)和資源控制，數(shù)據(jù)安全中的數(shù)據(jù)保密性，都對(duì)數(shù)據(jù)庫(kù)安全有具體要求。在等保定級(jí)為二級(jí)的系統(tǒng)，數(shù)據(jù)庫(kù)安全審計(jì)產(chǎn)品是必選設(shè)備，同時(shí)對(duì)三級(jí)及以上系統(tǒng)中的關(guān)鍵敏感數(shù)據(jù)安全防護(hù)，等保技術(shù)指標(biāo)要求如下：

安全審計(jì)

要求“對(duì)用戶(hù)行為、安全事件等進(jìn)行記錄”。

訪(fǎng)問(wèn)控制

強(qiáng)調(diào)了最小授權(quán)原則，使得用戶(hù)的權(quán)限最小化，同時(shí)要求對(duì)重要信息資源設(shè)置敏感標(biāo)記。

數(shù)據(jù)保密性

要求“實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)的存儲(chǔ)保密性”。

Oracle

查看是否啟用口令復(fù)雜度函數(shù)：select limit from dba_profiles where profile=‘DEFAULT’ and resource_name=‘PASSWORD_VERIFY_FUNCTION’;2)檢查utlpwdmg.sql中“-- Check for the minimum length of the password”部分中“l(fā)ength(password)<”后的值。3)或者：查看口令管理制度以及執(zhí)行記錄，并選擇驗(yàn)證。

Oracle

執(zhí)行命令：select limit from dba_profiles where profile='DEFAULT' and resource_name='FAILED_LOGIN_ATTEMPTS'。

執(zhí)行命令：select limit from dba_profiles where profile='DEFAULT' and resource_name='PASSWORD_LOCK_TIME' 。

應(yīng)嚴(yán)格限制默認(rèn)賬戶(hù)的訪(fǎng)問(wèn)權(quán)限，重命名系統(tǒng)默認(rèn)賬戶(hù)，并修改這些賬戶(hù)的默認(rèn)口令。

Oracle

登錄驗(yàn)證sys的口令是否為CHANGE_ON_INSTALL；

登錄驗(yàn)證system的口令是否為manager；

登錄驗(yàn)證dbsnmp的口令是否為dbsnmp。

Oracle

1）檢查是否啟用了數(shù)據(jù)庫(kù)自帶安全審計(jì)功能：select value from v$parameter where name='audit_trail';

2）或使用第三方的安全審計(jì)工具。

3）檢查審計(jì)策略，審計(jì)范圍是否覆蓋到所有用戶(hù)。

數(shù)據(jù)庫(kù)安全產(chǎn)品防護(hù)效果

根據(jù)數(shù)據(jù)庫(kù)安全防護(hù)的不同時(shí)機(jī)我們分為事前診斷（數(shù)據(jù)庫(kù)漏掃）、事中控制（數(shù)據(jù)庫(kù)防火墻、數(shù)據(jù)庫(kù)保險(xiǎn)箱）和事后審計(jì)（數(shù)據(jù)庫(kù)監(jiān)控與審計(jì)）。

數(shù)據(jù)庫(kù)漏洞掃描可以通過(guò)事前的數(shù)據(jù)庫(kù)安全風(fēng)險(xiǎn)評(píng)估，檢測(cè)數(shù)據(jù)庫(kù)的弱口令、連續(xù)登錄失敗鎖定的次數(shù)，檢查數(shù)據(jù)庫(kù)系統(tǒng)的缺省賬戶(hù)，多余、過(guò)期的共享賬戶(hù)，應(yīng)對(duì)等保中對(duì)身份鑒別和訪(fǎng)問(wèn)控制的要求。

數(shù)據(jù)庫(kù)防火墻從網(wǎng)絡(luò)層實(shí)現(xiàn)數(shù)據(jù)庫(kù)的外圍防御，在發(fā)生非法批量導(dǎo)出的操作時(shí)，提供細(xì)粒度的訪(fǎng)問(wèn)控制、提供行數(shù)限制的閥值控制，可以實(shí)現(xiàn)唯一內(nèi)網(wǎng)接入通 道，同時(shí)通過(guò)IP訪(fǎng)問(wèn)控制規(guī)則，實(shí)現(xiàn)對(duì)網(wǎng)址等條件的安全保證，有效解決數(shù)據(jù)庫(kù)訪(fǎng)問(wèn)控制的問(wèn)題。在數(shù)據(jù)庫(kù)資源訪(fǎng)問(wèn)控制方面，可以提供每個(gè)用戶(hù)對(duì)數(shù)據(jù)庫(kù)的最大 連接數(shù)等限制，防止數(shù)據(jù)庫(kù)資源由于連接數(shù)過(guò)大導(dǎo)致服務(wù)器宕機(jī)。

數(shù)據(jù)庫(kù)保險(xiǎn)箱從根本上對(duì)數(shù)據(jù)庫(kù)進(jìn)行安全加固，通過(guò)數(shù)據(jù)庫(kù)加密讓數(shù)據(jù)庫(kù)文件中存儲(chǔ)的敏感信息為密文，即使數(shù)據(jù)庫(kù)文件丟失了敏感數(shù)據(jù)也不會(huì)泄漏。通過(guò)獨(dú) 立權(quán)控確保即使有數(shù)據(jù)庫(kù)管理員權(quán)限，如果安全管理員不允許訪(fǎng)問(wèn)敏感信息，也能有效阻止非法查詢(xún)和篡改，同時(shí)又不會(huì)影響DBA對(duì)數(shù)據(jù)庫(kù)正常的運(yùn)維訪(fǎng)問(wèn)和對(duì)沒(méi) 有敏感標(biāo)記明文數(shù)據(jù)的操作。

數(shù)據(jù)庫(kù)監(jiān)控與審計(jì)是可以審計(jì)到每個(gè)用戶(hù)的行為、各種可疑操作并進(jìn)行告警通知，能對(duì)操作記錄進(jìn)行全面的分析，提供自身審計(jì)進(jìn)程的監(jiān)控，審計(jì)記錄防止惡意刪除，同時(shí)具備自動(dòng)歸檔能力，覆蓋等保安全審計(jì)的要求。

建議防護(hù)部署

數(shù)據(jù)庫(kù)漏掃系統(tǒng)，接入到可連通數(shù)據(jù)庫(kù)服務(wù)器的交換機(jī)上，采用旁路部署即可。 
 實(shí)現(xiàn)等保要求的身份鑒別和訪(fǎng)問(wèn)控制能力：

1）分析內(nèi)部不安全配置，防止越權(quán)訪(fǎng)問(wèn)：通過(guò)只讀賬戶(hù)，實(shí)現(xiàn)由內(nèi)到外的檢測(cè)；提供現(xiàn)有數(shù)據(jù)的漏洞透視圖和數(shù)據(jù)庫(kù)配置安全評(píng)估；避免內(nèi)外部的非授權(quán)訪(fǎng)問(wèn)。

2）發(fā)現(xiàn)外部黑客攻擊漏洞，防止外部攻擊：實(shí)現(xiàn)非授權(quán)的從外到內(nèi)的檢測(cè)；模擬黑客使用的漏洞發(fā)現(xiàn)技術(shù)，在沒(méi)有授權(quán)的情況下，對(duì)目標(biāo)數(shù)據(jù)庫(kù)的安全性作深入的探測(cè)分析；收集外部人員可以利用的數(shù)據(jù)庫(kù)漏洞的詳細(xì)信息。

3）監(jiān)控?cái)?shù)據(jù)庫(kù)安全狀況，防止數(shù)據(jù)庫(kù)安全狀況惡化：對(duì)于數(shù)據(jù)庫(kù)建立安全基線(xiàn)，對(duì)數(shù)據(jù)庫(kù)進(jìn)行定期掃描，對(duì)所有安全狀況發(fā)生的變化進(jìn)行報(bào)告和分析。

數(shù)據(jù)庫(kù)防火墻設(shè)備，數(shù)據(jù)庫(kù)防火墻以串接方式部署，串接的部署方式有透明網(wǎng)橋和本地代理兩種。透明網(wǎng)橋模式：在網(wǎng)絡(luò)上物理串聯(lián)接入數(shù)據(jù)庫(kù)防火墻設(shè)備， 所有用戶(hù)訪(fǎng)問(wèn)的網(wǎng)絡(luò)流量都串聯(lián)流經(jīng)設(shè)備，通過(guò)透明網(wǎng)橋技術(shù)，客戶(hù)端看到的數(shù)據(jù)庫(kù)地址不變。代理接入模式：網(wǎng)絡(luò)上并聯(lián)接入數(shù)據(jù)庫(kù)防火墻設(shè)備，客戶(hù)端邏輯連接 防火墻設(shè)備地址，防火墻設(shè)備轉(zhuǎn)發(fā)流量到數(shù)據(jù)庫(kù)服務(wù)器。

1）滿(mǎn)足等保中的訪(fǎng)問(wèn)控制增強(qiáng)要求

防止來(lái)自于內(nèi)部運(yùn)維側(cè)的高危操作，實(shí)現(xiàn)數(shù)據(jù)的訪(fǎng)問(wèn)控制增強(qiáng)。

防護(hù)：通過(guò)限定更新和刪除的影響行數(shù)、限定無(wú)Where的更新和刪除操作、限定drop、truncate等高危操作避免大規(guī)模損失。

2）滿(mǎn)足等保中的資源控制的要求

防護(hù)：通過(guò)虛擬補(bǔ)丁技術(shù)捕獲和阻斷漏洞攻擊行為，通過(guò)SQL注入特征庫(kù)捕獲和阻斷SQL注入行為。

防護(hù)：限定數(shù)據(jù)查詢(xún)和下載數(shù)量、限定敏感數(shù)據(jù)訪(fǎng)問(wèn)的用戶(hù)、地點(diǎn)和時(shí)間。

數(shù)據(jù)庫(kù)保險(xiǎn)箱設(shè)備包括三個(gè)子系統(tǒng)，安全代理子系統(tǒng)安裝在數(shù)據(jù)庫(kù)里，安全服務(wù)子系統(tǒng)一般使用兩臺(tái)設(shè)備，以主從的方式部署，安全管理子系統(tǒng)安裝在安全管理員使用的終端上。

如下部署圖所示。

1）實(shí)現(xiàn)等保中數(shù)據(jù)存儲(chǔ)保密性要求

防護(hù)：將信用卡信息和顧客信息按列加密存儲(chǔ)，防止數(shù)據(jù)庫(kù)文件丟失導(dǎo)致的明文數(shù)據(jù)泄漏。

2）實(shí)現(xiàn)等保中訪(fǎng)問(wèn)控制的要求

防護(hù)：通過(guò)獨(dú)立權(quán)控確保即使是數(shù)據(jù)庫(kù)管理員在沒(méi)有安全管理員的許可下也不能訪(fǎng)問(wèn)敏感數(shù)據(jù)。

防護(hù)：合法應(yīng)用程序綁定，有效識(shí)別前臺(tái)web應(yīng)用程序。

數(shù)據(jù)庫(kù)監(jiān)控與審計(jì)設(shè)備，在虛擬專(zhuān)用網(wǎng)上，通過(guò)交換機(jī)鏡像流量的方式旁路部署，對(duì)現(xiàn)有網(wǎng)絡(luò)性能零影響。

實(shí)現(xiàn)等保要求的安全審計(jì)能力，提供對(duì)所有數(shù)據(jù)訪(fǎng)問(wèn)行為的記錄，提供事后追蹤分析工具，對(duì)違規(guī)操作通過(guò)短信和郵件及時(shí)向安全管理員告警。

結(jié)論

等保實(shí)施的目的就是要提高信息系統(tǒng)的安全防護(hù)能力，好運(yùn)公司如果在業(yè)務(wù)快速發(fā)展的同時(shí)，也能按等保的要求注重信息安全建設(shè)，極有可能避免慘痛的聲譽(yù)和經(jīng)濟(jì)損失，信息安全建設(shè)與快速的經(jīng)濟(jì)發(fā)展之間是相輔相成的關(guān)系。