李桑榆

(江西省信息中心，江西 南昌 330046）

數(shù)據(jù)庫應用越來越多，而用戶數(shù)據(jù)作為網(wǎng)站所有者的信息資產(chǎn)，涉及到網(wǎng)站及關(guān)聯(lián)信息系統(tǒng)的實質(zhì)業(yè)務(wù)，對安全的要求也越來越高。本文將從信息安全防御的角度，就WEB應用的數(shù)據(jù)庫的防泄密策略提出解決建議。并通過介紹一系列管理和風險降低方面的策略，做好應用安全和數(shù)據(jù)安全的兩位一體，保護好重要數(shù)據(jù)。

1 數(shù)據(jù)庫安全事件頻發(fā)發(fā)生

如今，許多行業(yè)用戶將大最有價值的客戶數(shù)據(jù)存儲于在線數(shù)據(jù)庫，通過網(wǎng)絡(luò)應用與外界交互。不論是通信、金融、電子政務(wù)、電子商務(wù)或是小小的個人博客，前端應用程序和后臺數(shù)據(jù)庫都不可避免地結(jié)合在現(xiàn)在的模型中。但是由于應用程序在設(shè)計時是允許任何人、從任何地方登陸進入訪問，因而也成為通往隱藏在深處的重要數(shù)據(jù)的橋梁。

如何才能使這個模型更安全呢？使模型更安全的解決方法是讓應用程序作為人與數(shù)據(jù)互動的唯一接口，應用程序界面是機器與數(shù)據(jù)互動的唯一接口。如果不是這樣，那么數(shù)據(jù)交互就有可能不能被充分控制好，這將會是一個非?；镜臐撛诼┒础＜词乖L問方式定義明確，實際上應用程序依然有無數(shù)種方式令防護數(shù)據(jù)庫失敗，最終導致整個系統(tǒng)被黑客竊取或破壞。

2 數(shù)據(jù)庫面臨越來越多的網(wǎng)絡(luò)威脅

數(shù)據(jù)庫除了有與生俱來的安全隱患以外，當應用程序訪問數(shù)據(jù)庫時，還要考慮到更多的威脅。數(shù)裾庫打補丁、權(quán)限管理和連接管理都是典型的數(shù)據(jù)庫安全防范措施，常見的由網(wǎng)絡(luò)應用程序引發(fā)的安全威脅有SQL注入式攻擊、XSS跨站攻擊、不安全的會話處理和權(quán)限升級、目錄遍歷漏洞和敏感信息泄露等漏洞。深入挖掘每一種模型時，考慮到這些風險的存在,最重要的是盡可能少的給予特權(quán)，通過監(jiān)控輸入數(shù)據(jù)和建立安全連接來加強讀取方式的安全性，同時還要限制數(shù)據(jù)庫服務(wù)器對外暴露的機率。

3 共同協(xié)作是解決數(shù)據(jù)安全的關(guān)鍵手段

安全問題不是某個個人的職責，關(guān)鍵需要團隊的協(xié)作。這對于應用程序的安全問題來說更是如此，信息安全人員、開發(fā)人員、系統(tǒng)和數(shù)據(jù)庫管理員都包括在內(nèi)，這就是團隊協(xié)作。通過共同協(xié)作，所有人都可以了解到這些安全威脅，隨后可以共同想出更好的解決方案來應對。所有參與網(wǎng)絡(luò)應用和數(shù)據(jù)庫開發(fā)維護管理的人員都應該對目前存在的安全威脅有一個充分的認識和理解，這是非常重要的。必須要確保所有人員都理解應用程序的所有技術(shù)通信原理和數(shù)據(jù)流，了解數(shù)據(jù)從哪里來，如何到那里去的，以及數(shù)據(jù)是否和多個應用程序進行通信。這是關(guān)于數(shù)據(jù)庫保護的第一層措施。

數(shù)據(jù)庫保護的第二層措施是安全架構(gòu)。安全設(shè)計的基礎(chǔ)有時候也被稱作為安全架構(gòu)，以安全的方式設(shè)計數(shù)據(jù)庫環(huán)境時，應減少安全威脅。如果攻擊者無法直接訪問數(shù)據(jù)庫，這樣就降低了攻擊的靈活性。保證網(wǎng)絡(luò)和系統(tǒng)設(shè)計的安全將會對保護數(shù)據(jù)庫大有幫助，添加了數(shù)據(jù)庫訪問路徑的限制能夠大大地降低風險。

數(shù)據(jù)庫保護的第三層措施是威脅建模。威脅建模包括將那些了解此應用程序的人以及相關(guān)領(lǐng)域的專家召集在一起，大家共同理解應用程序的不同部分、功能性和固有的威脅。威脅建模對于安全人員來說可以提供一種很好的手段來掌握全局、分解風險區(qū)域并與各小組單獨協(xié)作,確保保護措施落到實處。

4 保護最重要的數(shù)據(jù)

數(shù)據(jù)庫對于IT行業(yè)來說就好像是保管金銀珠寶的保險庫。如果保險庫不安全，財寶就很容易失竊，那主人就不會開心。保護數(shù)據(jù)庫服務(wù)器的方式有網(wǎng)絡(luò)分段、系統(tǒng)分離，并將數(shù)據(jù)庫服務(wù)器放置在一層或多層保護網(wǎng)的后面。有許多新的技術(shù)，包括數(shù)據(jù)庫活動監(jiān)控軟件、數(shù)據(jù)丟失防護（DLP）、將數(shù)據(jù)庫分割，放到依據(jù)數(shù)據(jù)分類或風險模型的系統(tǒng)中，還有確保低安全性的應用程序無法訪問到高安全程度的數(shù)據(jù)庫等。

5 重視WEB安全防御

最小權(quán)限原則、保護數(shù)據(jù)庫連接、分段服務(wù)器和網(wǎng)絡(luò)、安全驗證、安全邊界和數(shù)據(jù)庫安全配置對保護數(shù)據(jù)很有用處，但是這些不會解決攻擊者所有的攻擊企圖。從廣義上講，數(shù)據(jù)庫的安全首先依賴于網(wǎng)絡(luò)系統(tǒng)。網(wǎng)絡(luò)系統(tǒng)的安全是數(shù)據(jù)庫安全的第一道屏障，外部入侵首先就是從入侵網(wǎng)絡(luò)系統(tǒng)開始的。所以現(xiàn)在需要關(guān)注最普遍存在的威脅：WEB應用安全。必須接受已經(jīng)存在的應用缺陷和漏洞。通過發(fā)揮數(shù)據(jù)庫管理員的安全職責去阻止因為應用缺陷和漏洞所造成的不良后果。

6 運用數(shù)據(jù)庫防火墻保障數(shù)據(jù)安全

防火墻用于應用程序或者監(jiān)控流量的運行監(jiān)控，也可以在執(zhí)行運行時進行分析。防火墻可以找出攻擊，并阻止嘗試或修改的要求，來確保WEB服務(wù)器和數(shù)據(jù)庫服務(wù)器的安全運行。目前不光有WEB應用防火墻和網(wǎng)絡(luò)防火墻能防范攻擊者透過應用層和網(wǎng)絡(luò)層的攻擊；“數(shù)據(jù)庫防火墻”也于這兩年在不斷的數(shù)據(jù)庫泄密事件中出現(xiàn)在公眾的視線里，國內(nèi)稱之為“數(shù)據(jù)庫審計”產(chǎn)品，這些產(chǎn)品能給數(shù)據(jù)庫提供實時的網(wǎng)絡(luò)存儲與訪問的安全。

數(shù)據(jù)庫的應用越來越普遍，其安全問題變得越來越復雜，只有科學規(guī)劃，利用最新技術(shù)手段，謹慎操作，實施保障防范措施，多位一體下手，才能構(gòu)筑最強大的數(shù)據(jù)安全防線。

[1]宋志敏，南相浩，唐禮勇，余嘉寧.數(shù)據(jù)庫安全的研究與進展[J].計算機工程與應用，2001，27（1）.

[2]周海剛.網(wǎng)絡(luò)安全技術(shù)基礎(chǔ)[M].清華大學出版社，2004，1.