資料庫安全

來源：IT專家網
　防微杜漸 資料庫安全解析

　　資料庫安全現狀

　　資料庫是計算機應用系統中的一種專門管理資料庫資源的系統。資料具有多種形式，如文字/數碼/符號/圖形/圖象以及聲音。資料庫系統立足於資料本身的管理，將所有的資料儲存於資料庫中，進行科學地組織，藉助於資料庫管理系統，並以此為中介，與各種應用程式或應用系統介面，使之能方便地使用並管理資料庫中的資料，如資料查詢/新增/刪除/修改等。

　　資料庫無所不在。海量的資料資訊因為資料庫的產生而變得更加容易管理和使用。政府、金融、運營商、公安、能源、稅務、工商、社保、交通、衛生、教育、電子商務及企業等行業，紛紛建立起各自的資料庫應用系統，以便隨時對資料庫中海量的資料進行管理和使用，國家/社會的發展帶入資訊時代。同時，隨著網際網路的發展，資料庫作為網路的重要應用，在網站建設和網路營銷中發揮著重要的作用，包括資訊收集/資訊查詢及搜尋/產品或業務管理/新聞釋出/BBS論壇等等。

　　然而，資訊科技是一把雙刃劍，為社會的進步和發展帶來遍歷的同時，也帶來了許多的安全隱患。對資料庫而言，其存在的安全隱患存在更加難以估計的風險值，資料庫安全事件曾出不窮：

　　·某系統開發工程師透過網際網路入侵移動中心資料庫，盜取衝值卡

　　·某醫院資料庫系統遭到非法入侵，導致上萬名患者私隱資訊被盜取

　　·某網遊公司內部資料庫管理人員透過違規修改資料庫資料盜竊網遊點卡

　　·駭客利用SQL隱碼攻擊，入侵某防病毒軟體資料庫中心，竊取大量機密資訊，導致該防病毒軟體公司嚴重損失

　　·某證券交易所內部資料庫造駭客股民入侵，盜竊證券交易內部報告

　　……

　　資料庫安全面臨內部惡意操作以及外部惡意入侵兩大夾擊。如何有效保護資料庫資訊成為當前資訊保安界最為關注的課題。

　　資料庫安全分析

　　·三大安全風險

　　資料庫是任何商業和公共安全中最具有戰略性的資產，通常都儲存著重要的商業夥伴和客戶資訊，這些資訊需要被保護起來，以防止競爭者和其他非法者獲取。網際網路的急速發展使得企業資料庫資訊的價值及可訪問性得到了提升，同時，也致使資料庫資訊資產面臨嚴峻的挑戰，概括起來主要表現在以下三個層面：

　　管理層面：主要表現為人員的職責、流程有待完善，內部員工的日常操作有待規範，第三方維護人員的操作監控失效等等，致使安全事件發生時，無法追溯並定位真實的操作者。

　　技術層面：現有的資料庫內部操作不明，無法透過外部的任何安全工具(比如：防火牆、IDS、IPS等)來阻止內部使用者的惡意操作、濫用資源和洩露企業機密資訊等行為。

　　審計層面：現有的依賴於資料庫日誌檔案的審計方法，存在諸多的弊端,比如:資料庫審計功能的開啟會影響資料庫本身的效能、資料庫日誌檔案本身存在被篡改的風險，難於體現審計資訊的真實性。

　　伴隨著資料庫資訊價值以及可訪問性提升，使得資料庫面對來自內部和外部的安全風險大大增加，如違規越權操作、惡意入侵導致機密資訊竊取洩漏，但事後卻無法有效追溯和審計。

　　·傳統資料庫安全方案缺陷

　　傳統的審計方案，或多或少存在一些缺陷，主要表現在以下兩個方面。

　　傳統網路安全方案：依靠傳統的網路防火牆及入侵保護系統(IPS)，在網路中檢查並實施資料庫訪問控制策略。但 是網路防火牆只能實現對IP地址、埠及協議的訪問控制，無法識別特定使用者的具體資料庫活動(比如：某個使用者使用資料庫客戶端刪除某張資料庫表);而 IPS雖然可以依賴特徵庫有限阻止資料庫軟體已知漏洞的攻擊，但他同樣無法判別具體的資料庫使用者活動，更談不上細粒度的審計。因此，無論是防火牆，還是 IPS都不能解決資料庫特權濫用等問題。

　　基於日誌收集方案：需要資料庫軟體本身開啟審計功能，透過採集資料庫系統日誌資訊的方法形成審計報告，這樣的審計方案受限於資料庫的審計日誌功能和訪問控制功能，在審計深度、審計響應的實時性方面都難以獲得很好的審計效果。同時，開啟資料庫審計功能，一方面會增加資料庫伺服器的資源消耗，嚴重影響資料庫效能;另一方面審計資訊的真實性、完整性也無法保證。

　　其他諸如應用程式修改、資料來源觸發器、統一認證系統授權等等方式，均只能記錄有限的資訊，更加無法提供細料度的資料庫操作審計。

　　資料庫審計

　　審計概念最早用於財務系統，主要是獲取金融體系和金融記錄的公司或企業的財務報表的相關資訊。隨著科技資訊科技的發展，大部份的企業、機構和組織的財務系統都執行在資訊系統上面，所以資訊手段成為財務審計的一種技術的同時，財務審計也帶動了通用資訊系統的審計。審計已開始包括資訊科技審計。

　　資訊科技審計，是一個資訊科技( IT )基礎設施控制範圍內的檢查。資訊系統審計是一個透過收集和評價審計證據，對資訊系統是否能夠保護資產的安全、維護資料的完整、使被審計單位的目標得以有效地實現、使組織的資源得到高效地使用等方面做出判斷的過程。

　　資料庫審計作為資訊保安審計的重要組成部分，同時也是資料庫管理系統安全性重要的一部分。透過審計功能，凡是與資料庫安全性相關的操作均可被記錄下來。只要檢測審計記錄，系統安全員便可掌握資料庫被使用狀況。例如，檢查庫中實體的存取模式，監測指定使用者的行為。審計系統可以跟蹤使用者的全部操作，這也使審計系統具有一種威懾力，提醒使用者安全使用資料庫。

　　資料庫審計立法

　　《薩班斯-奧克斯利法案(2002 Sarbanes-Oxley Act)》的第302條款和第404條款中，強調透過內部控制加強公司治理，包括加強與財務報表相關的IT系統內部控制，其中，IT系統內部控制就是面向具體的業務，它是緊密圍繞資訊保安審計這一核心的。

　　《企業內部控制規範--基本規範的內部審計機制》，中國的薩班斯法案，提出健全內部審計機構、加強內部審計監督是營造守法、公平、正直的內部環境的重要保證。企業應當加強內部審計工作，在企業內部形成有權必有責、用權受監督的良好氛圍。

ISO7498《資訊處理系統開放系統互連——基本參考模型》第二部分安全體系結構在“安全服務與安全機制的一般描述”中指出安全審計跟蹤提供了一種不可忽視的安全機制，它的潛在價值在於經事後的安全審計得以檢測和調查安全的漏洞。安全審計就是對系統的記錄與行為進行獨立的品評考查, 目的是測試系統的控制是否恰當, 保證與既定策略和操作堆積的協調一致, 有助於作出損害評估, 以及對在控制、策略與規程中指明的改變作出評價.安全審計要求在安全審計跟蹤中記錄有關安全的資訊, 分析和報告從安全審計跟蹤中得來的資訊。這種日誌記錄或記錄被認為是一種安全機制並在本條中予以描述, 而把分析和報告視為一種安全管理功能。

　　《計算機資訊系統安全等級保護資料庫管理技術要求》是計算機資訊系統安全等級保護技術要求系列標準之一，詳細說明了計算機資訊系統為實現GB17859所提出的安全等級保護要求對資料庫管理系統的安全技術要求，以及確保這些安全技術所實現的安全功能達到其應有的安全性而採取的保證措施。其在 “資料庫安全審計”中明確要求：

　　資料庫管理系統的安全審計應建立獨立的安全審計系統;定義與資料庫安全相關的審計事件;設定專門的安全審計員;設定專門用於儲存資料庫系統審計資料的安全審計庫;提供適用於資料庫系統的安全審計設定、分析和查閱的工具。

[@more@]