十大数据库安全威胁

十大数据库安全威胁十大数据库安全威胁如何减轻重大数据库漏洞的危害企业的数据库体系结构会受到各种各样的威胁。

本文档的目的是通过提供由Imperva 的应用防御中心界定的十大威胁的列表，来帮助各个组织处理最严峻的威胁。

并且介绍了每种威胁的背景信息、减轻风险的一般策略以及Imperva 的SecureSphere 数据库安全网关保护的概况。

简介企业的数据库体系结构会受到各种各样的威胁。

本文档的目的是通过提供由Imperva 的应用防御中心界定的十大数据库漏洞的列表，来帮助各个组织处理最严峻的威胁。

并且介绍了每种威胁的背景信息、减轻风险的一般策略以及Imperva 的SecureSphere 数据库安全网关保护。

十大数据库安全威胁1. 滥用过高权限2. 滥用合法权限3. 权限提升4. 数据库平台漏洞5. SQL 注入6. 审计记录不足7. 拒绝服务8. 数据库通信协议漏洞9. 身份验证不足10. 备份数据暴露通过解决这十大威胁，各个组织将可以满足世界上监管最严格的行业的规范要求和减轻风险的要求。

威胁 1 - 滥用过高权限当用户（或应用程序）被授予超出了其工作职能所需的数据库访问权限时，这些权限可能会被恶意滥用。

例如，一个大学管理员在工作中只需要能够更改学生的联系信息，不过他可能会利用过高的数据库更新权限来更改分数。

原因很简单，数据库管理员没有时间为每个用户定义并更新细化的访问权限控制机制，从而使给定的用户拥有了过高的权限。

因此，所有用户或多组用户都被授予了远远超出其特定工作需要的通用默认访问权限。

防止滥用过高权限- 查询级别访问控制应对过高权限的解决方案是查询级别访问控制。

查询级别访问控制是这样一种机制，它将数据库权限限制到最低要求的SQL 操作（SELECT、UPDATE 等）和数据。

数据访问控制不只细化到表，而是必须细化到表中特定的行和列。

使用这种充分细化的查询级别访问控制机制，上文提到的恶意大学管理员虽然可以更新联系信息，但是如果他试图更改分数则将发出警报。

查询级别访问控制不但可以帮助检测恶意员工是否滥用过高权限，还可以防止本文中介绍的其他重大威胁中的大多数。

大部分数据库软件实现时都集成了某种程度的查询级别访问控制（触发器、行级安全性等），但是这些“内置”功能的手动操作本质使其对于几乎所有部署来说是不现实的，除非是功能非常有限的部署。

若要针对整个数据库中所有行和列以及操作来为所有用户手动定义查询级别访问控制策略，需要花费相当长的时间。

更糟糕的是，由于用户角色随时间而发生变化，必须更新查询策略以反映这些新的角色。

对大部分数据库管理员来说，为某一时刻的数个用户定义有用的查询策略已经很困难，更不用说为不同时间的几百名用户定义策略。

因此，大部分组织为用户提供了很多用户都可以使用的一组过高的通用访问权限。

需要使用自动化的工具来使真正的查询级别访问控制变为现实。

SecureSphere 动态建模–自动化的查询级别访问控制SecureSphere 数据库安全网关提供了自动化机制来定义和实施查询级别访问控制策略。

SecureSphere 的动态建模技术应用了自动化的学习算法，为访问数据库的每个用户和应用程序创建查询级别使用模型。

每个模型都从一般使用模式扩展到每个单独的查询和存储过程。

SecureSphere 的学习算法可以不断更新该模型，因此当用户角色更改时不需要进行手动优化。

如果任何用户启动了不符合模型的操作，则SecureSphere 将记录该事件、发出警报，并可以根据严重度阻止该操作。

使用“动态建模”，上文提到的更改分数的大学管理员将会很容易被检测到。

该管理员的模型将包括一组反映对特定学生联系信息进行正常修改的查询，还可能包括反映对分数的只读访问的查询。

但是，如果突然试图更改分数，则将触发警报。

威胁 2 - 滥用合法权限用户还可能将合法的数据库权限用于未经授权的目的。

假设一个恶意的医务人员拥有可以通过自定义Web 应用程序查看单个患者病历的权限。

通常情况下，该Web 应用程序的结构限制用户只能查看单个患者的病史，即无法同时查看多个患者的病历并且不允许复制电子副本。

但是，恶意的医务人员可以通过使用其他客户端（如MS-Excel）连接到数据库，来规避这些限制。

通过使用MS-Excel 以及合法的登录凭据，该医务人员就可以检索和保存所有患者的病历。

这种私自复制患者病历数据库的副本的做法不可能符合任何医疗组织的患者数据保护策略。

要考虑两点风险。

第一点是恶意的医务人员会将患者病历用于金钱交易。

第二点可能更为常见，即员工由于疏忽将检索到的大量信息存储在自己的客户端计算机上，用于合法工作目的。

一旦数据存在于终端计算机上，就可能成为特洛伊木马程序以及笔记本电脑盗窃等的攻击目标。

防止滥用合法权限–了解数据库访问的上下文应对滥用合法权限的解决方案是不但要将数据库访问控制应用到上文介绍的特定查询，而且还要应用到数据库访问的上下文。

通过实施客户端应用程序、时间、位置等的策略，可以识别以可疑方式使用合法数据库访问权限的用户。

SecureSphere 动态建模–基于上下文的访问控制除了查询信息外（请参阅上文的“过高权限”），SecureSphere 的动态建模技术还可以自动创建正常数据库交互的上下文的模型。

存储在模型中的特定上下文信息包括时间、源IP 地址、检索的数据量以及应用程序客户端等。

如果任何连接的上下文与存储在用户的模型中的信息不匹配，则将触发警报。

例如，SecureSphere 检测到上文提到的恶意医务人员，不仅是由于他使用MS-Excel 不规范，而且还由于在单个会话中检索了大量的数据。

在此特定情况下，如果非标准MS-Excel 查询的结构不规范，也将触发查询级别冲突（请参阅上文的“滥用过高权限”）。

威胁 3 权限提升攻击者可以利用数据库平台软件的漏洞将普通用户的权限转换为管理员权限。

漏洞可以在存储过程、内置函数、协议实现甚至是SQL 语句中找到。

例如，一个金融机构的软件开发人员可以利用有漏洞的函数来获得数据库管理权限。

使用管理权限，恶意的开发人员可以禁用审计机制、开设伪造的帐户以及转帐等。

防止权限提升– IPS 和查询级别访问控制通过将传统的入侵防御系统(IPS) 与查询级别访问控制（请参阅上文的“过高权限”）一起使用，可以防止权限提升漏洞被利用。

IPS 可以检查数据库通信，以识别与已知漏洞相对应的模式。

例如，如果已经知道给定的函数有漏洞，则IPS 可以阻止对有漏洞的过程的所有访问，或只阻止包含嵌入的攻击的过程（如果可行）。

但是，要单独使用IPS 来仅准确定位包含攻击的数据库请求是很困难的。

通常情况下，很多有漏洞的数据库函数都用于合法的目的。

因此，阻止所有这类函数出现是不可取的。

IPS 必须准确地将合法函数与包含嵌入的攻击的函数区分开来。

在很多情况下，攻击方式千变万化，因此是不可行的。

在这些情况下，IPS 系统可以只在警报模式中使用（即不阻止），因为存在误报的可能。

为了提高准确性，IPS 可以与其他攻击指示器（如查询访问控制）一起使用。

IPS 用于检查数据库请求是否访问了有漏洞的函数，而查询访问控制用于检测该请求是否与正常的用户行为相匹配。

如果单个请求访问了有漏洞的函数并且有异常的行为，则几乎可以肯定有攻击正在进行。

SecureSphere 权限提升–集成的IPS 和动态建模SecureSphere 将高级的IPS 与用于查询访问控制的动态建模（请参阅上文的“过高权限”）集成在一起。

这些技术结合在一起，可以极其准确地防止权限提升。

SecureSphere IPS使用可用于所有协议并与Snort® 兼容的病毒特征词典，提供了针对已知漏洞的攻击的保护。

此外，应用程序防御中心（即Imperva 的国际安全研究组织）提供了专有的特定于SQL 的保护，从而确保SecureSphere 提供了世界领先的数据库IPS 安全解决方案。

SecureSphere 安全更新服务可自动更新所有病毒特征词典，以确保所实施的保护始终基于最新的信息。

SecureSphere IPS能够以内联模式阻止某些容易识别的攻击，而不需要任何其他攻击确认。

但是，如果给定的请求被归类为仅可疑，则SecureSphere 可以将该请求与相关的动态模型冲突进行关联以验证攻击活动。

为了举例说明SecureSphere 如何将IPS 和动态建模相集成，我们回过头来再看上文提到的恶意金融服务软件开发人员。

假设该开发人员试图利用数据库函数中已知的缓冲区溢出漏洞来插入恶意代码，以将其权限提升为数据库管理员权限。

在此情况下，SecureSphere 可识别两个同时发生的冲突。

第一，任何试图访问已知有漏洞的函数的查询都将触发IPS 冲突。

第二，异常的查询将触发模型冲突。

通过将同一用户发出的单个数据库请求中的两个冲突相关联，就可以准确地验证此攻击活动，然后发出高优先级警报或阻止该操作。

威胁 4 - 平台漏洞底层操作系统（Windows 2000、UNIX 等）中的漏洞和安装在数据库服务器上的其他服务中的漏洞可能导致未经授权的访问、数据破坏或拒绝服务。

例如，“冲击波病毒”就是利用了Windows 2000 的漏洞为拒绝服务攻击创造条件。

防止平台攻击- 软件更新和入侵防御若要防止数据库资产受到平台攻击，需要将定期软件更新程序（修复程序）和入侵防御系统(IPS) 结合使用。

供应商提供的更新程序可以消除在数据库平台中逐渐发现的漏洞。

但是，软件更新程序是按一定周期提供的，企业也是按一定周期实现这些更新的。

在两次更新之间，数据库得不到保护。

此外，由于兼容问题，有时根本无法进行软件更新。

若要解决这些问题，应该实现IPS。

如前所述，IPS 可检查数据库通信并识别针对已知漏洞的攻击。

SecureSphere 平台保护- IPS如前所述（请参阅上文的“权限提升”），SecureSphere 集成了高级的IPS 来提供针对数据库蠕虫和其他平台攻击的保护。

Imperva 的应用防御中心研究组织提供独特的特定于数据库的攻击保护，从而确保提供世界上最强大的数据库IPS 安全解决方案。

实际上，SecureSphere IPS 甚至可以提供针对数据库平台供应商尚未公布的漏洞以及修补程序尚不可用的漏洞的保护。

威胁 5 - SQL 注入在SQL 注入攻击中，入侵者通常将未经授权的数据库语句插入（或“注入”）到有漏洞的SQL 数据信道中。

通常情况下，攻击所针对的数据信道包括存储过程和Web 应用程序输入参数。

然后，这些注入的语句被传递到数据库中并在数据库中执行。

使用SQL 注入，攻击者可以不受限制地访问整个数据库。

防止SQL 注入将以下三个技术结合使用可以有效地抵御SQL 注入：入侵防御系统(IPS)、查询级别访问控制（请参阅“滥用过高权限”）和事件相关。