李桑榆

(江西省信息中心，江西 南昌 330046）

數(shù)據(jù)庫應(yīng)用越來越多，而用戶數(shù)據(jù)作為網(wǎng)站所有者的信息資產(chǎn)，涉及到網(wǎng)站及關(guān)聯(lián)信息系統(tǒng)的實質(zhì)業(yè)務(wù)，對安全的要求也越來越高。本文將從信息安全防御的角度，就WEB應(yīng)用的數(shù)據(jù)庫的防泄密策略提出解決建議。并通過介紹一系列管理和風險降低方面的策略，做好應(yīng)用安全和數(shù)據(jù)安全的兩位一體，保護好重要數(shù)據(jù)。

1 數(shù)據(jù)庫安全事件頻發(fā)發(fā)生

如今，許多行業(yè)用戶將大最有價值的客戶數(shù)據(jù)存儲于在線數(shù)據(jù)庫，通過網(wǎng)絡(luò)應(yīng)用與外界交互。不論是通信、金融、電子政務(wù)、電子商務(wù)或是小小的個人博客，前端應(yīng)用程序和后臺數(shù)據(jù)庫都不可避免地結(jié)合在現(xiàn)在的模型中。但是由于應(yīng)用程序在設(shè)計時是允許任何人、從任何地方登陸進入訪問，因而也成為通往隱藏在深處的重要數(shù)據(jù)的橋梁。

如何才能使這個模型更安全呢？使模型更安全的解決方法是讓應(yīng)用程序作為人與數(shù)據(jù)互動的唯一接口，應(yīng)用程序界面是機器與數(shù)據(jù)互動的唯一接口。如果不是這樣，那么數(shù)據(jù)交互就有可能不能被充分控制好，這將會是一個非?；镜臐撛诼┒?。即使訪問方式定義明確，實際上應(yīng)用程序依然有無數(shù)種方式令防護數(shù)據(jù)庫失敗，最終導致整個系統(tǒng)被黑客竊取或破壞。

2 數(shù)據(jù)庫面臨越來越多的網(wǎng)絡(luò)威脅

數(shù)據(jù)庫除了有與生俱來的安全隱患以外，當應(yīng)用程序訪問數(shù)據(jù)庫時，還要考慮到更多的威脅。數(shù)裾庫打補丁、權(quán)限管理和連接管理都是典型的數(shù)據(jù)庫安全防范措施，常見的由網(wǎng)絡(luò)應(yīng)用程序引發(fā)的安全威脅有SQL注入式攻擊、XSS跨站攻擊、不安全的會話處理和權(quán)限升級、目錄遍歷漏洞和敏感信息泄露等漏洞。深入挖掘每一種模型時，考慮到這些風險的存在,最重要的是盡可能少的給予特權(quán)，通過監(jiān)控輸入數(shù)據(jù)和建立安全連接來加強讀取方式的安全性，同時還要限制數(shù)據(jù)庫服務(wù)器對外暴露的機率。

3 共同協(xié)作是解決數(shù)據(jù)安全的關(guān)鍵手段

安全問題不是某個個人的職責，關(guān)鍵需要團隊的協(xié)作。這對于應(yīng)用程序的安全問題來說更是如此，信息安全人員、開發(fā)人員、系統(tǒng)和數(shù)據(jù)庫管理員都包括在內(nèi)，這就是團隊協(xié)作。通過共同協(xié)作，所有人都可以了解到這些安全威脅，隨后可以共同想出更好的解決方案來應(yīng)對。所有參與網(wǎng)絡(luò)應(yīng)用和數(shù)據(jù)庫開發(fā)維護管理的人員都應(yīng)該對目前存在的安全威脅有一個充分的認識和理解，這是非常重要的。必須要確保所有人員都理解應(yīng)用程序的所有技術(shù)通信原理和數(shù)據(jù)流，了解數(shù)據(jù)從哪里來，如何到那里去的，以及數(shù)據(jù)是否和多個應(yīng)用程序進行通信。這是關(guān)于數(shù)據(jù)庫保護的第一層措施。

數(shù)據(jù)庫保護的第二層措施是安全架構(gòu)。安全設(shè)計的基礎(chǔ)有時候也被稱作為安全架構(gòu)，以安全的方式設(shè)計數(shù)據(jù)庫環(huán)境時，應(yīng)減少安全威脅。如果攻擊者無法直接訪問數(shù)據(jù)庫，這樣就降低了攻擊的靈活性。保證網(wǎng)絡(luò)和系統(tǒng)設(shè)計的安全將會對保護數(shù)據(jù)庫大有幫助，添加了數(shù)據(jù)庫訪問路徑的限制能夠大大地降低風險。

數(shù)據(jù)庫保護的第三層措施是威脅建模。威脅建模包括將那些了解此應(yīng)用程序的人以及相關(guān)領(lǐng)域的專家召集在一起，大家共同理解應(yīng)用程序的不同部分、功能性和固有的威脅。威脅建模對于安全人員來說可以提供一種很好的手段來掌握全局、分解風險區(qū)域并與各小組單獨協(xié)作,確保保護措施落到實處。

4 保護最重要的數(shù)據(jù)

數(shù)據(jù)庫對于IT行業(yè)來說就好像是保管金銀珠寶的保險庫。如果保險庫不安全，財寶就很容易失竊，那主人就不會開心。保護數(shù)據(jù)庫服務(wù)器的方式有網(wǎng)絡(luò)分段、系統(tǒng)分離，并將數(shù)據(jù)庫服務(wù)器放置在一層或多層保護網(wǎng)的后面。有許多新的技術(shù)，包括數(shù)據(jù)庫活動監(jiān)控軟件、數(shù)據(jù)丟失防護（DLP）、將數(shù)據(jù)庫分割，放到依據(jù)數(shù)據(jù)分類或風險模型的系統(tǒng)中，還有確保低安全性的應(yīng)用程序無法訪問到高安全程度的數(shù)據(jù)庫等。

5 重視WEB安全防御

最小權(quán)限原則、保護數(shù)據(jù)庫連接、分段服務(wù)器和網(wǎng)絡(luò)、安全驗證、安全邊界和數(shù)據(jù)庫安全配置對保護數(shù)據(jù)很有用處，但是這些不會解決攻擊者所有的攻擊企圖。從廣義上講，數(shù)據(jù)庫的安全首先依賴于網(wǎng)絡(luò)系統(tǒng)。網(wǎng)絡(luò)系統(tǒng)的安全是數(shù)據(jù)庫安全的第一道屏障，外部入侵首先就是從入侵網(wǎng)絡(luò)系統(tǒng)開始的。所以現(xiàn)在需要關(guān)注最普遍存在的威脅：WEB應(yīng)用安全。必須接受已經(jīng)存在的應(yīng)用缺陷和漏洞。通過發(fā)揮數(shù)據(jù)庫管理員的安全職責去阻止因為應(yīng)用缺陷和漏洞所造成的不良后果。

6 運用數(shù)據(jù)庫防火墻保障數(shù)據(jù)安全

防火墻用于應(yīng)用程序或者監(jiān)控流量的運行監(jiān)控，也可以在執(zhí)行運行時進行分析。防火墻可以找出攻擊，并阻止嘗試或修改的要求，來確保WEB服務(wù)器和數(shù)據(jù)庫服務(wù)器的安全運行。目前不光有WEB應(yīng)用防火墻和網(wǎng)絡(luò)防火墻能防范攻擊者透過應(yīng)用層和網(wǎng)絡(luò)層的攻擊；“數(shù)據(jù)庫防火墻”也于這兩年在不斷的數(shù)據(jù)庫泄密事件中出現(xiàn)在公眾的視線里，國內(nèi)稱之為“數(shù)據(jù)庫審計”產(chǎn)品，這些產(chǎn)品能給數(shù)據(jù)庫提供實時的網(wǎng)絡(luò)存儲與訪問的安全。

數(shù)據(jù)庫的應(yīng)用越來越普遍，其安全問題變得越來越復雜，只有科學規(guī)劃，利用最新技術(shù)手段，謹慎操作，實施保障防范措施，多位一體下手，才能構(gòu)筑最強大的數(shù)據(jù)安全防線。

[1]宋志敏，南相浩，唐禮勇，余嘉寧.數(shù)據(jù)庫安全的研究與進展[J].計算機工程與應(yīng)用，2001，27（1）.

[2]周海剛.網(wǎng)絡(luò)安全技術(shù)基礎(chǔ)[M].清華大學出版社，2004，1.