DBA經驗談：3個最嚴重的數據庫安全問題

數據庫的安全問題一直以來就是DBA的噩夢，那些不安全的Web應用程序、沒有有效的認證管理以及管理配置不當的分段都可能讓數據庫處於危險之中。當然，如果你的數據庫系統沒有部署流量監控或加密技術，數據庫安全也可以說是不完整的。但是大多數安全從業人員都知道往往數據庫安全的有效性在數據庫環境外部和內部差不多。

　　而實際上在數據的存儲過程中通常因為IT基礎架構層的安全性較差而導致了更多的數據洩漏。因而產生了三個嚴重的安全問題：

　　1、不安全的Web應用程序

　　盡管OWASP等組織在過去幾年中積極傳播最佳的安全編程方法，但事實是互聯網中仍然存在數百萬存在漏洞的Web應用程序，這些應用程序將用戶引導到哪裡？當然是到後端數據庫。Accuvant LABS首席安全架構師，同時也是著名數據庫安全研究人員David Litchfield表示，縮小漏洞差距的進展非常緩慢。

　　Litchfield表示：“這相當令人沮喪，尤其是看到幾年前開始使用的相同工具包到現在仍然能夠很好地用於滲透測試時。最糟糕的部分就是開發人員仍然開發出存在以前相同錯誤的新應用程序，例如，無法驗證輸入。”他表示，高等教育機構仍然沒有教授學生多年前開發出來的安全編程原則，你以為這些從大學畢業的開發人員會知道這些基本知識，但是其實他們並沒有學過。

　　2、泛濫的數據庫系統特權賬戶

　　即使是在整個IT基礎設施部署了高效身份和訪問管理工具和程序的企業，數據庫往往都處於無人看管的狀況。“企業經常忘記將數據庫用戶的身份生命周期管理綁定到他們的IAM核心中，尤其是共享賬戶和服務賬戶，”Identropy首席架構師Nishant Kaushik表示，“數據庫訪問必須與配置、強大的身份驗證和特權賬戶管理工具配合工作。”

　　但事實上，IT部門往往允許開發人員和其他IT系統管理員通過幾乎無限制權限的系統賬戶來進入數據庫。這些賬戶經常在訪問控制或監控系統的控制之外被使用，並且很容易被內部人員濫用或者被外部攻擊人員用於發動數據庫攻擊。

　　3、錯誤配置的網絡分段

　　安全最佳做法和法規都大肆吹捧網絡分段是控制風險范圍以保護高價值數據庫資產的重要方式。但是如果配置不當的話，尤其是在防火牆的規則集中，這些網絡分段的安全漏洞都可能讓數據庫洩露。安全咨詢公司Principle Logic公司的創始人Kevin Beaver花了大部分時間在為客戶執行網絡安全和web應用程序安全評估的工作上。他的評估結果經常顯示企業在分段網絡時糟糕的工作情況。