何靜

數(shù)據(jù)庫加固是一項紛繁復(fù)雜的工作，不但需要解決數(shù)據(jù)庫存在的安全問題，更要針對每種安全問題、多種安全加固方案權(quán)衡利弊，保證業(yè)務(wù)系統(tǒng)的正常和穩(wěn)定。以下針對數(shù)據(jù)庫漏洞、數(shù)據(jù)庫弱口令、數(shù)據(jù)庫身份認證、數(shù)據(jù)庫網(wǎng)絡(luò)安全、數(shù)據(jù)庫審計、日志安全、數(shù)據(jù)庫權(quán)限配置和數(shù)據(jù)庫安全策略的數(shù)據(jù)后門木馬等問題，提出加固建議和方案。

1.數(shù)據(jù)庫漏洞加固

數(shù)據(jù)庫漏洞是數(shù)據(jù)庫安全加固的核心，也是各種檢查和滲透測試的關(guān)鍵點。如何消除數(shù)據(jù)庫漏洞、保證系統(tǒng)穩(wěn)定是擺在使用者面前的難題。

（1）數(shù)據(jù)庫版本升級加固辦法

通過數(shù)據(jù)庫漏洞掃描工具對數(shù)據(jù)庫進行檢測，通過識別數(shù)據(jù)庫組件、版本和補丁號等關(guān)鍵信息過濾出數(shù)據(jù)庫存在的安全漏洞列表，形成《數(shù)據(jù)庫安全檢測報告》。報告中，針對數(shù)據(jù)庫存在的漏洞，提供每一個漏洞的補丁鏈接。用戶可以選擇通過下載數(shù)據(jù)庫補丁升級，解決存在的數(shù)據(jù)庫漏洞。但補丁升級的方式需要做一系列的應(yīng)用穩(wěn)定性測試，避免數(shù)據(jù)庫升級后，應(yīng)用出現(xiàn)不穩(wěn)定或無法使用的問題。一次完整的應(yīng)用穩(wěn)定性測試需要比較長的時間，這種比較適合在有穩(wěn)定計劃按部就班的情況下使用。

（2）第三方工具加固辦法

對于比較緊急的情況，不建議通過升級數(shù)據(jù)庫漏洞解決安全問題，建議采用有虛擬補丁功能的數(shù)據(jù)庫防火墻產(chǎn)品，以串聯(lián)方式部署于數(shù)據(jù)庫之前。虛擬補丁會幫助數(shù)據(jù)庫阻止針對數(shù)據(jù)庫的漏洞發(fā)現(xiàn)和漏洞滲透攻擊，杜絕攻擊者利用漏洞對數(shù)據(jù)庫發(fā)起的直接攻擊。

2.數(shù)據(jù)庫弱口令加固辦法

（1）修改弱口令加固辦法

弱口令加固最直接的辦法就是把弱口令修改成強口令。直接修改數(shù)據(jù)庫賬號的密碼并不復(fù)雜，復(fù)雜的是衍生問題。如果同時有多個業(yè)務(wù)系統(tǒng)使用同一數(shù)據(jù)庫賬號，需要求多個業(yè)務(wù)系統(tǒng)一起修改訪問數(shù)據(jù)庫的密碼，過程中可能會出現(xiàn)遺忘而導(dǎo)致業(yè)務(wù)中斷等問題。

（2）第三方工具加固辦法

除了直接修改弱口令密碼，也可以使用帶有數(shù)據(jù)庫密碼橋功能的第三方軟件解決弱密碼問題。密碼橋是用來做數(shù)據(jù)庫和應(yīng)用系統(tǒng)密碼映射的軟件，串聯(lián)在應(yīng)用和數(shù)據(jù)庫之間。應(yīng)用使用密碼訪問數(shù)據(jù)庫，密碼橋通過改登陸包的方式把應(yīng)用的錯誤密碼映射成數(shù)據(jù)庫的正確密碼，幫助應(yīng)用連上數(shù)據(jù)庫。

數(shù)據(jù)庫修改密碼后，不需要調(diào)整所有應(yīng)用訪問數(shù)據(jù)庫的密碼，只需要修改中間密碼橋的映射表即可，使用密碼橋可以有效地降低修改弱口令帶來的潛在業(yè)務(wù)宕機風(fēng)險。

3.數(shù)據(jù)庫身份認證加固辦法

（1）提高數(shù)據(jù)庫身份認證能力

數(shù)據(jù)庫身份認證的加固需要按照不同的情況進行，如果是數(shù)據(jù)庫缺乏身份認證能力，需要通過升級到有身份認證功能的數(shù)據(jù)庫版本。如果只是數(shù)據(jù)庫身份驗證功能未開啟，只需要通過調(diào)整參數(shù)開啟數(shù)據(jù)庫身份認證功能即可。

（2）第三方工具加固辦法

如果數(shù)據(jù)庫升級遇到困難，數(shù)據(jù)庫又缺乏身份認證能力，也可以退而求其次利用數(shù)據(jù)庫防火墻的IP/Mac綁定，鎖定允許訪問數(shù)據(jù)庫的固定機器，在一定程度上彌補了缺乏數(shù)據(jù)庫身份驗證的問題。

4.數(shù)據(jù)庫網(wǎng)絡(luò)安全加固辦法

（1）提高數(shù)據(jù)庫自身網(wǎng)絡(luò)加密功能力

數(shù)據(jù)庫網(wǎng)絡(luò)安全加固需要按照不同的情況進行。如果是缺乏數(shù)據(jù)庫網(wǎng)絡(luò)加密功能，需要通過升級到有網(wǎng)絡(luò)加密功能的數(shù)據(jù)庫版本。如果只是數(shù)據(jù)庫網(wǎng)絡(luò)加密功能未開啟，只需要通過調(diào)整參數(shù)開啟網(wǎng)絡(luò)加密功能即可。

請注意數(shù)據(jù)庫網(wǎng)絡(luò)通信協(xié)議加密后會導(dǎo)致很多數(shù)據(jù)庫監(jiān)控、審計軟件無法正常工作。

（2）第三方工具加固辦法

網(wǎng)絡(luò)加密的目標是防止中間人攻擊。退而求其次利用數(shù)據(jù)庫防火墻的IP/Mac綁定，鎖定允許訪問數(shù)據(jù)庫的固定機器，在一定程度上彌補了網(wǎng)絡(luò)明文引起的安全威脅。

5.數(shù)據(jù)庫審計和日志安全加固辦法

（1）開啟數(shù)據(jù)庫審計和日志加固辦法

數(shù)據(jù)庫審計和日志有助于幫助客戶對攻擊進行溯源，加固的主要方式是開啟審計和日志，設(shè)置嚴格的策略。

（2）第三方工具加固辦法

審計日志開啟會對數(shù)據(jù)庫性能造成影響，除了開啟數(shù)據(jù)庫自身的審計和日志外，還可以通過第三方數(shù)據(jù)庫審計工具完成數(shù)據(jù)庫審計日志的安全加固任務(wù)。

6.數(shù)據(jù)庫權(quán)限配置安全加固辦法

（1）數(shù)據(jù)庫自身權(quán)限配置加固辦法

基于數(shù)據(jù)庫賬號/角色權(quán)限配置清單和客戶數(shù)據(jù)庫管理員進行溝通，按照最小化權(quán)限原則削減數(shù)據(jù)庫賬號的權(quán)限。

（2）第三方工具加固辦法

由于數(shù)據(jù)庫賬號和角色之間關(guān)系錯綜復(fù)雜，很容易越調(diào)越亂，甚至產(chǎn)生新的權(quán)限問題，可以通過有細粒度控制能力的數(shù)據(jù)庫防火墻產(chǎn)品，在數(shù)據(jù)庫外再做一層數(shù)據(jù)庫權(quán)限設(shè)置。這樣既避免了數(shù)據(jù)庫自身權(quán)限的混亂，又解決了數(shù)據(jù)庫權(quán)限不符合最小化原則的問題。

7.數(shù)據(jù)庫安全策略加固辦法

在不影響業(yè)務(wù)的前提下，通過對數(shù)據(jù)庫安全策略配置，完成數(shù)據(jù)庫安全策略加固。

8.數(shù)據(jù)庫后門/木馬清理辦法

發(fā)現(xiàn)疑似數(shù)據(jù)庫后門或木馬的觸發(fā)器或存儲過程，在DBA確認和業(yè)務(wù)無關(guān)后，需要進行清理和追蹤。