如何確認數(shù)據(jù)庫是否處在一個安全平臺上

問:作為一個信息安全審計員，要確認一個數(shù)據(jù)庫是否由處在一個安全平臺上，應該檢查什么重要問題?

答:在審查數(shù)據(jù)庫安全時，最重要的檢查是集中在兩個方面:系統(tǒng)增強的程度如何以及數(shù)據(jù)和數(shù)據(jù)庫的訪問是如何控制的。大多數(shù)黑客都把目標定在數(shù)據(jù)庫存儲的數(shù)據(jù)上，因此安裝數(shù)據(jù)庫的服務器需要加強安全和保護，無論在物理上和在邏輯上都要如此。理想的情況是數(shù)據(jù)庫安裝自自己專用的服務器上，永遠不要安裝在面向公眾的服務器上，如Web服務器上。所有的系統(tǒng)和數(shù)據(jù)庫程序的補丁都應該安裝，不必要的功能需要刪除或者關(guān)閉。大多數(shù)數(shù)據(jù)庫程序都有一些默認的賬戶和口令。所有這些賬戶和口令都需要修改。確認這些增強措施采取得是否足夠好地一個方法是采用適當?shù)幕ヂ?lián)網(wǎng)安全中心(CIS)基準檢驗和得分工具對服務器操作系統(tǒng)和數(shù)據(jù)庫進行測試。這個基準檢驗是安全設(shè)置的最佳做法標準，有助于確定你的系統(tǒng)是否符合標準。這些基準檢驗和得分工具可用于檢查多種操作系統(tǒng)、甲骨文和微軟的SQL數(shù)據(jù)庫，并且可以免費從網(wǎng)站下載，網(wǎng)址是:http://www.cisecurity.org/bench.html。這個基準檢驗被美國政府機構(gòu)接受為遵守聯(lián)邦信息安全管理條例(FISMA)的標準，被審計人員接受為遵守ISO 17799標準、GLB、SOX、HIPAA、FIRPA以及其它信息安全管理要求的標準。

在評估了服務器的安全之后，檢查數(shù)據(jù)庫連接、訪問控制和表訪問控制，因為任何這些弱點都將使服務器的增強安全措施失效。此外，任何連接到數(shù)據(jù)庫的連接都應該使用加密的連接，即使數(shù)據(jù)庫位于控制的網(wǎng)絡(luò)中也要如此，因為考慮到大量惡意軟件流行的狀況，臺式工作站實際上必須被認為是不可信賴的。如果信息安全政策要求對信息加密，那么，數(shù)據(jù)庫連接不得允許任何不加密的文本訪問數(shù)據(jù)庫中的數(shù)據(jù)。包括鏈接字符串在內(nèi)的全部數(shù)據(jù)在傳輸過程中都應該使用SSL或者SSH進行加密，以保護其安全。此外，加密的數(shù)據(jù)的密鑰不得存儲在數(shù)據(jù)庫服務器中。連接到數(shù)據(jù)庫的應用程序和用戶只能擁有完成其任務所需要的最小權(quán)限。訪問系統(tǒng)級資源應該用訪問控制表進行控制。檢查用戶用于應用程序管理的不同的數(shù)據(jù)庫連接和正常的用戶活動也是非常重要的。數(shù)據(jù)只能通過存儲的程序進行訪問，因為這些程序提供了另一層數(shù)據(jù)訪問控制。

至于說保護你的服務器避免遭到入侵，應該使用一個防火墻保護對數(shù)據(jù)庫的訪問。如果可能的話，服務器提供的數(shù)據(jù)不應該是真正的生產(chǎn)數(shù)據(jù)。生產(chǎn)數(shù)據(jù)庫可以鏡像到單獨的服務器中，這樣Web服務器提供的數(shù)據(jù)訪問威脅到生產(chǎn)數(shù)據(jù)。如果這種方法不可行，你的防火墻和其它訪問控制就更加重要了，這就像生產(chǎn)數(shù)據(jù)如果被修改時rollback(回卷當前事務并取消當前事務中的所有更新)和恢復機制一樣重要。在服務器方面，你可以使用IP安全協(xié)議政策提供主機限制，限制服務器之間的通信。(techtarget)