數(shù)據(jù)庫中儲存這大量的數(shù)據(jù)信息，這是的節(jié)哀啊都知道的，因此，保護數(shù)據(jù)庫就成為了保護數(shù)據(jù)的重要環(huán)節(jié)。如今數(shù)據(jù)庫的威脅是越來越多，威脅著數(shù)據(jù)庫的安全，數(shù)據(jù)庫中的數(shù)據(jù)隨時都有被且取得威脅，所以，數(shù)據(jù)庫安全工作必須要重視。其實，在考慮購買第三方的專業(yè)數(shù)據(jù)庫保護產(chǎn)品之前，有很多工作是可以現(xiàn)在就開始做的，尤其是對于那些數(shù)據(jù)管理員（DBA）而言。學(xué)習(xí)一些基本的數(shù)據(jù)庫安全知識對他們很有幫助。這篇文章就講述了其中一些要點。

當(dāng)前數(shù)據(jù)庫主要存在十類安全威脅：

威脅1:濫用過高權(quán)限

威脅2:濫用合法權(quán)

威脅3:權(quán)限提升

威脅4:平臺漏洞

威脅5:SQL注入

威脅6:審計記錄不足

威脅7:拒絕服務(wù)

威脅8:數(shù)據(jù)庫通信協(xié)議漏洞

威脅9:身份驗證不足

威脅10:備份數(shù)據(jù)暴露

下文中就為大家解讀數(shù)據(jù)庫威脅：

威脅1:濫用過高權(quán)限

當(dāng)用戶（或應(yīng)用程序）被授予超出了其工作職能所需的數(shù)據(jù)庫訪問權(quán)限時，這些權(quán)限可能會被惡意濫用。例如，一個大學(xué)管理員在工作中只需要能夠更改學(xué)生的聯(lián)系信息，不過他可能會利用過高的數(shù)據(jù)庫更新權(quán)限來更改分?jǐn)?shù)。

威脅2:濫用合法權(quán)

用戶還可能將合法的數(shù)據(jù)庫權(quán)限用于未經(jīng)授權(quán)的目的。假設(shè)一個惡意的醫(yī)務(wù)人員擁有可以通過自定義Web應(yīng)用程序查看單個患者病歷的權(quán)限。通常情況下，該Web應(yīng)用程序的結(jié)構(gòu)限制用戶只能查看單個患者的病史，即無法同時查看多個患者的病歷并且不允許復(fù)制電子副本。但是，惡意的醫(yī)務(wù)人員可以通過使用其他客戶端（如MS:Excel）連接到數(shù)據(jù)庫，來規(guī)避這些限制。通過使用MS:Excel以及合法的登錄憑據(jù)，該醫(yī)務(wù)人員就可以檢索和保存所有患者的病歷。

這種私自復(fù)制患者病歷數(shù)據(jù)庫的副本的做法不可能符合任何醫(yī)療組織的患者數(shù)據(jù)保護策略。要考慮兩點風(fēng)險。第一點是惡意的醫(yī)務(wù)人員會將患者病歷用于金錢交易。第二點可能更為常見，即員工由于疏忽將檢索到的大量信息存儲在自己的客戶端計算機上，用于合法工作目的。一旦數(shù)據(jù)存在于終端計算機上，就可能成為特洛伊木馬程序以及筆記本電腦盜竊等的攻擊目標(biāo)。

威脅3:權(quán)限提升

攻擊者可以利用數(shù)據(jù)庫平臺軟件的漏洞將普通用戶的權(quán)限轉(zhuǎn)換為管理員權(quán)限。漏洞可以在存儲過程、內(nèi)置函數(shù)、協(xié)議實現(xiàn)甚至是SQL語句中找到。例如，一個金融機構(gòu)的軟件開發(fā)人員可以利用有漏洞的函數(shù)來獲得數(shù)據(jù)庫管理權(quán)限。使用管理權(quán)限，惡意的開發(fā)人員可以禁用審計機制、開設(shè)偽造的帳戶以及轉(zhuǎn)帳等。

威脅4:平臺漏洞

底層操作系統(tǒng)（Windows2000、UNIX等）中的漏洞和安裝在數(shù)據(jù)庫服務(wù)器上的其他服務(wù)中的漏洞可能導(dǎo)致未經(jīng)授權(quán)的訪問、數(shù)據(jù)破壞或拒絕服務(wù)。例如，“沖擊波病毒”就是利用了Windows2000的漏洞為拒絕服務(wù)攻擊創(chuàng)造條件。

威脅5:SQL注入

在SQL注入攻擊中，入侵者通常將未經(jīng)授權(quán)的數(shù)據(jù)庫語句插入（或“注入”）到有漏洞的SQL數(shù)據(jù)信道中。通常情況下，攻擊所針對的數(shù)據(jù)信道包括存儲過程和Web應(yīng)用程序輸入?yún)?shù)。然后，這些注入的語句被傳遞到數(shù)據(jù)庫中并在數(shù)據(jù)庫中執(zhí)行。使用SQL注入，攻擊者可以不受限制地訪問整個數(shù)據(jù)庫。防止SQL注入將以下三個技術(shù)結(jié)合使用可以有效地抵御SQL注入：入侵防御系統(tǒng)(IPS)、查詢級別訪問控制（請參閱“濫用過高權(quán)限”）和事件相關(guān)。IPS可以識別有漏洞的存儲過程或SQL注入字符串。但是，單獨使用IPS并不可靠，因為SQL注入字符串很容易發(fā)生誤報。如果只依賴IPS，安全管理人員會發(fā)現(xiàn)大量“可能的”SQL注入警報，被搞得焦頭爛額。

威脅6:審計記錄不足

自動記錄所有敏感的和/或異常的數(shù)據(jù)庫事務(wù)應(yīng)該是所有數(shù)據(jù)庫部署基礎(chǔ)的一部分。如果數(shù)據(jù)庫審計策略不足，則組織將在很多級別上面臨嚴(yán)重風(fēng)險。

威脅7:拒絕服務(wù)

拒絕服務(wù)(DOS)是一個寬泛的攻擊類別，在此攻擊中正常用戶對網(wǎng)絡(luò)應(yīng)用程序或數(shù)據(jù)的訪問被拒絕?？梢酝ㄟ^多種技巧為拒絕服務(wù)(DOS)攻擊創(chuàng)造條件，其中很多都與上文提到的漏洞有關(guān)。例如，可以利用數(shù)據(jù)庫平臺漏洞來制造拒絕服務(wù)攻擊，從而使服務(wù)器崩潰。其他常見的拒絕服務(wù)攻擊技巧包括數(shù)據(jù)破壞、網(wǎng)絡(luò)泛洪和服務(wù)器資源過載（內(nèi)存、CPU等）。資源過載在數(shù)據(jù)庫環(huán)境中尤為普遍。

威脅8:數(shù)據(jù)庫通信協(xié)議漏洞

在所有數(shù)據(jù)庫供應(yīng)商的數(shù)據(jù)庫通信協(xié)議中，發(fā)現(xiàn)了越來越多的安全漏洞。在兩個最新的IBMDB2FixPack中，七個安全修復(fù)程序中有四個是針對協(xié)議漏洞1。同樣地，最新的Oracle季度補丁程序所修復(fù)的23個數(shù)據(jù)庫漏洞中有11個與協(xié)議有關(guān)。針對這些漏洞的欺騙性活動包括未經(jīng)授權(quán)的數(shù)據(jù)訪問、數(shù)據(jù)破壞以及拒絕服務(wù)。例如，SQLSlammer2蠕蟲就是利用了MicrosoftSQLServer協(xié)議中的漏洞實施拒絕服務(wù)攻擊。更糟糕的是，由于自身數(shù)據(jù)庫審計機制不審計協(xié)議操作，所以在自身審計記錄中不存在這些欺騙性活動的記錄。

威脅9:身份驗證不足

薄弱的身份驗證方案可以使攻擊者竊取或以其他方法獲得登錄憑據(jù)，從而獲取合法的數(shù)據(jù)庫用戶的身份。攻擊者可以采取很多策略來獲取憑據(jù)。

·暴力:攻擊者不斷地輸入用戶名/密碼組合，直到找到可以登錄的一組。暴力過程可能是靠猜測，也可能是系統(tǒng)地枚舉可能的用戶名/密碼組合。通常，攻擊者會使用自動化程序來加快暴力過程的速度。

·社會工程–在這個方案中，攻擊者利用人天生容易相信別人的傾向來獲取他人的信任，從而獲得其登錄憑據(jù)。例如，攻擊者可能在電話中偽裝成一名IT經(jīng)理，以“系統(tǒng)維護”為由要求提供登錄憑據(jù)。

·直接竊取憑據(jù)–攻擊者可能通過抄寫即時貼上的內(nèi)容或復(fù)制密碼文件來竊取登錄憑據(jù)。

威脅10:備份數(shù)據(jù)暴露

經(jīng)常情況下，備份數(shù)據(jù)庫存儲介質(zhì)對于攻擊者是毫無防護措施的。因此，在若干起著名的安全破壞活動中，都是數(shù)據(jù)庫備份磁帶和硬盤被盜。防止備份數(shù)據(jù)暴露所有數(shù)據(jù)庫備份都應(yīng)加密。實際上，某些供應(yīng)商已經(jīng)建議在未來的DBMS產(chǎn)品中不應(yīng)支持創(chuàng)建未加密的備份。建議經(jīng)常對聯(lián)機的生產(chǎn)數(shù)據(jù)庫信息進行加密，但是由于性能問題和密鑰管理不善問題，這一加密方法通常是不現(xiàn)實的，并且一般被公認(rèn)為是上文介紹的細(xì)化的權(quán)限控制的不理想的替代方法。

至于對策，有的其實由DBA通過一些配置和加固就可以DIY，當(dāng)然，有的還需要考慮引入第三方的產(chǎn)品，例如對于提權(quán)行為、濫用合法權(quán)限行為、SQL注入行為的判定。在以后，我還會更多地談及數(shù)據(jù)庫審計的話題。

關(guān)于數(shù)據(jù)庫的十大威脅的講解就為大家介紹到這里，相信大家通過上文的學(xué)習(xí)，現(xiàn)在對數(shù)據(jù)庫的安全威脅有所了解，希望大家在掌握了上文中講解的數(shù)據(jù)庫十大威脅之后，能夠很好的開展數(shù)據(jù)庫的安全防護工作。