数据库存在十类安全威胁
我们都知道现在数据是核心资产，而数据基本上是存储在数据库中的。因此，保护数据库就成为了保护数据的重要环节。其实，在考虑购买第三方的专业数据库保护产品之前，有很多工作是可以现在就开始做的，尤其是对于那些数据管理员（DBA）而言。学习一些基本的数据库安全知识对他们很有帮助。这篇文章就讲述了其中一些要点。
当前数据库主要存在十类安全威胁：
威胁 1 - 滥用过高权限
威胁 2 - 滥用合法权
威胁 3 - 权限提升
威胁 4 - 平台漏洞
威胁 5 - SQL 注入
威胁 6 - 审计记录不足
威胁 7 - 拒绝服务
威胁 8 - 数据库通信协议漏洞
威胁 9 - 身份验证不足
威胁 10 - 备份数据暴露
下面将就这十类数据库安全威胁一一解读。
威胁 1 - 滥用过高权限
当用户（或应用程序）被授予超出了其工作职能所需的数据库访问权限时，这些权限可能会被恶意滥用。例如，一个大学管理员在工作中只需要能够更改学生的联系信息，不过他可能会利用过高的数据库更新权限来更改分数。
威胁 2 - 滥用合法权
用户还可能将合法的数据库权限用于未经授权的目的。假设一个恶意的医务人员拥有可以通过自定义 Web 应用程序查看单个患者病历的权限。通常情况下，该 Web应用程序的结构限制用户只能查看单个患者的病史，即无法同时查看多个患者的病历并且不允许复制电子副本。但是，恶意的医务人员可以通过使用其他客户端（如MS-Excel）连接到数据库，来规避这些限制。通过使用 MS-Excel 以及合法的登录凭据，该医务人员就可以检索和保存所有患者的病历。
这种私自复制患者病历数据库的副本的做法不可能符合任何医疗组织的患者数据保护策略。要考虑两点风险。第一点是恶意的医务人员会将患者病历用于金钱交易。第二点可能更为常见，即员工由于疏忽将检索到的大量信息存储在自己的客户端计算机上，用于合法工作目的。一旦数据存在于终端计算机上，就可能成为特洛伊木马程序以及笔记本电脑盗窃等的攻击目标。
网友评论