如何確認(rèn)數(shù)據(jù)庫(kù)是否處在一個(gè)安全平臺(tái)上

問:作為一個(gè)信息安全審計(jì)員，要確認(rèn)一個(gè)數(shù)據(jù)庫(kù)是否由處在一個(gè)安全平臺(tái)上，應(yīng)該檢查什么重要問題?

答:在審查數(shù)據(jù)庫(kù)安全時(shí)，最重要的檢查是集中在兩個(gè)方面:系統(tǒng)增強(qiáng)的程度如何以及數(shù)據(jù)和數(shù)據(jù)庫(kù)的訪問是如何控制的。大多數(shù)黑客都把目標(biāo)定在數(shù)據(jù)庫(kù)存儲(chǔ)的數(shù)據(jù)上，因此安裝數(shù)據(jù)庫(kù)的服務(wù)器需要加強(qiáng)安全和保護(hù)，無論在物理上和在邏輯上都要如此。理想的情況是數(shù)據(jù)庫(kù)安裝自自己專用的服務(wù)器上，永遠(yuǎn)不要安裝在面向公眾的服務(wù)器上，如Web服務(wù)器上。所有的系統(tǒng)和數(shù)據(jù)庫(kù)程序的補(bǔ)丁都應(yīng)該安裝，不必要的功能需要?jiǎng)h除或者關(guān)閉。大多數(shù)數(shù)據(jù)庫(kù)程序都有一些默認(rèn)的賬戶和口令。所有這些賬戶和口令都需要修改。確認(rèn)這些增強(qiáng)措施采取得是否足夠好地一個(gè)方法是采用適當(dāng)?shù)幕ヂ?lián)網(wǎng)安全中心(CIS)基準(zhǔn)檢驗(yàn)和得分工具對(duì)服務(wù)器操作系統(tǒng)和數(shù)據(jù)庫(kù)進(jìn)行測(cè)試。這個(gè)基準(zhǔn)檢驗(yàn)是安全設(shè)置的最佳做法標(biāo)準(zhǔn)，有助于確定你的系統(tǒng)是否符合標(biāo)準(zhǔn)。這些基準(zhǔn)檢驗(yàn)和得分工具可用于檢查多種操作系統(tǒng)、甲骨文和微軟的SQL數(shù)據(jù)庫(kù)，并且可以免費(fèi)從網(wǎng)站下載，網(wǎng)址是:http://www.cisecurity.org/bench.html。這個(gè)基準(zhǔn)檢驗(yàn)被美國(guó)政府機(jī)構(gòu)接受為遵守聯(lián)邦信息安全管理?xiàng)l例(FISMA)的標(biāo)準(zhǔn)，被審計(jì)人員接受為遵守ISO 17799標(biāo)準(zhǔn)、GLB、SOX、HIPAA、FIRPA以及其它信息安全管理要求的標(biāo)準(zhǔn)。

在評(píng)估了服務(wù)器的安全之后，檢查數(shù)據(jù)庫(kù)連接、訪問控制和表訪問控制，因?yàn)槿魏芜@些弱點(diǎn)都將使服務(wù)器的增強(qiáng)安全措施失效。此外，任何連接到數(shù)據(jù)庫(kù)的連接都應(yīng)該使用加密的連接，即使數(shù)據(jù)庫(kù)位于控制的網(wǎng)絡(luò)中也要如此，因?yàn)榭紤]到大量惡意軟件流行的狀況，臺(tái)式工作站實(shí)際上必須被認(rèn)為是不可信賴的。如果信息安全政策要求對(duì)信息加密，那么，數(shù)據(jù)庫(kù)連接不得允許任何不加密的文本訪問數(shù)據(jù)庫(kù)中的數(shù)據(jù)。包括鏈接字符串在內(nèi)的全部數(shù)據(jù)在傳輸過程中都應(yīng)該使用SSL或者SSH進(jìn)行加密，以保護(hù)其安全。此外，加密的數(shù)據(jù)的密鑰不得存儲(chǔ)在數(shù)據(jù)庫(kù)服務(wù)器中。連接到數(shù)據(jù)庫(kù)的應(yīng)用程序和用戶只能擁有完成其任務(wù)所需要的最小權(quán)限。訪問系統(tǒng)級(jí)資源應(yīng)該用訪問控制表進(jìn)行控制。檢查用戶用于應(yīng)用程序管理的不同的數(shù)據(jù)庫(kù)連接和正常的用戶活動(dòng)也是非常重要的。數(shù)據(jù)只能通過存儲(chǔ)的程序進(jìn)行訪問，因?yàn)檫@些程序提供了另一層數(shù)據(jù)訪問控制。

至于說保護(hù)你的服務(wù)器避免遭到入侵，應(yīng)該使用一個(gè)防火墻保護(hù)對(duì)數(shù)據(jù)庫(kù)的訪問。如果可能的話，服務(wù)器提供的數(shù)據(jù)不應(yīng)該是真正的生產(chǎn)數(shù)據(jù)。生產(chǎn)數(shù)據(jù)庫(kù)可以鏡像到單獨(dú)的服務(wù)器中，這樣Web服務(wù)器提供的數(shù)據(jù)訪問威脅到生產(chǎn)數(shù)據(jù)。如果這種方法不可行，你的防火墻和其它訪問控制就更加重要了，這就像生產(chǎn)數(shù)據(jù)如果被修改時(shí)rollback(回卷當(dāng)前事務(wù)并取消當(dāng)前事務(wù)中的所有更新)和恢復(fù)機(jī)制一樣重要。在服務(wù)器方面，你可以使用IP安全協(xié)議政策提供主機(jī)限制，限制服務(wù)器之間的通信。(techtarget)