数据库保姆“DbXpert”之“数据库访问安全”解决办法

jwqqiqi

“在应用软件使用和访问数据库时，要正确设置权限，控制可靠的访问来源，保证数据库的访问安全，唯有保证访问安全才能够确保数据不被越权使用、不被误操作所损害，通常最基本的访问安全要实现程序控制、网络隔离、来源约束等”——转自北京云和恩墨

数据库访问安全，对于数据库数据安全来说，显得尤为重要。那么，什么是数据库访问安全？做到那些算是增强了数据库访问安全？云和恩墨在其网站上列举了几条，如：

1、区分直接访问与间接访问方式
2、评估数据库的内部访问、外部访问与库间访问
3、分析用户访问频率与访问频度
4、进行错误检测、分析与排查
5、甄别恶意和非授权的访问来源等

帕拉迪认为，如果你能逼迫恶意攻击者或者说不良企图者，只有通过不懈的SQL注入或者程序注射等通道复用攻击方式，才能达到其部分攻击目的，那么，你算做到了初级的数据库访问安全。通道复用等攻击方式有其对应的防御办法，这些攻击方式如果能产生攻击结果，事实上所依赖的，还是其所服用的通道本身出现的访问安全问题。

数据库访问安全如此重要，那么，用户需要具体做些什么，落实什么，才能增强数据库访问安全呢？现实世界中，有什么产品，有什么工具，能够不折不扣的替用户履行访问安全增强使命，或者说，为用户数据库访问安全增强使命，提供帮助呢？

在回答上述问题之前，我们先看几个数据库访问安全场景，希望有利于帮助管理员提炼访问安全控制要素：

1、（医疗系统）有人在医生的电脑上，使用SQLPLUS工具，利用医生或者DBA账号，进入后台数据库系统，提取开单记录。（访问工具、访问账号异常）
2、（医疗系统）有人在医疗HIS系统服务器（中间件）上，利用PLSQL工具，进入数据库服务器，篡改数据库记录。（访问工具异常）
3、（金融系统）某天某时，运维服务区几台电脑，都在用SYSTEM账号对数据库系统进行维护，原来，某系统发生严重故障，需要紧急故障响应。（账号共享）
4、（电力系统）某天，数据库管理员突然发现，电力计费数据被莫名其妙删除，经查，是某某集成商员工，在实施某新系统上线时，误操作导致。（权限过大）
5、（电信系统）某系统集成商离职员工，利用工作时掌握的某电信运营商账号，从家里远程VPN进入运营商内部网络，盗取充值卡账号。（访问异常）数据库保姆“DbXpert”之“数据库访问安全”解决办法
http://bbs.pldsec.com/forum.php?mod=viewthread&tid=23&fromuid=113


类似的场景，类似的案子，每天都在发生，各个行业，各个用户，各位管理员，每天都上演着这样的故事。但，总的来说，有如下几个访问安全要素因子，需要管理员多加注意：

1、访问源网络地址、访问源主机名称、访问源用户名称
2、访问工具名称
3、登录账号名称
4、账号权限范围，注意权限整改
5、访问时间等

另外还有一个因子需要注意，就是有的生产系统，使用过大权限的数据库账号访问数据库系统，此类数据库访问，属于隐性访问安全范畴，SQL注入和程序注射方式，就是利用此访问安全漏洞，达到恶意企图目的。

jwqqiqi

如果再深入分析，结合真实发生的数据库数据安全案子，和恶意攻击者、不良企图者所作所为见不得天的“特性”，你会发现，有一个魔影，总是处处闪现。这个魔鬼就是“复用”。访问安全的复用，往往被大多数管理员所忽视，甚至没有这方面的安全概念，这就是为什么数据库数据安全这么难以防范的真实原因。恶意攻击者、不良企图者会利用现有合法通道或者业务通道，复用进恶意企图，达到非法目的。他们会利用能连接数据库的电脑，连接数据库；如果该电脑上没有连接工具，他们可以上载一个客户端工具上去；他们可以通过社会工程或者非法攻击，获取自己不该持有的账号；当然，如果该电脑上的现有数据库权限较大，那你算帮他一把了；寻找能连接数据库的电脑的过程，就是他们的攻击过程，就是他们的犯罪历程；如果他不用努力寻找，随便一连就成，那你就是晚上睡觉不关门，现代版的“活”雷锋。

也许，你会说，我们的业务系统，我们的服务器系统，繁忙而重要，不敢擅自乱动；也许，你会说，我们部署了流量监控系统，我们可以监控TCP/IP访问流量。但是，在帕拉迪看来，有一个组合，你需要特别看清，而且，特别重要，或者说，才有助于你实现，数据库访问安全的宏伟目标。他们是：“访问源+访问工具（特别重要）+访问账号+权限整改+SQL语句监控”。如果你将此组合，同上述场景印证，你会发现什么？异常，访问异常，严重的访问异常。至此，“复用”企图，还可怕么？为什么说访问工具特别重要呢？因为，一个业务工具（如医生的开单程序，中间件），对应一个业务，就是一个模态化的业务SQL指令集和，是不方便或者说，不能更改的，除非，给这个程序打一针，注射进去；或者，给这个程序吃错点药，SQL注入攻击；攻击者也是人，也是有耐心和能力限制的，如果他们突破了这个限制，你可能也防不住啊。要对此类“超人”作出响应，“权限整改”、“SQL语句监控”，就应该上场了，如果结合“堡垒”，可能，更加方便实施和达到目的。http://bbs.pldsec.com

前面谈到“需要特别看清”，但，浮躁的现实是，中国近十年来，在这个专业领域内，还没有出现一个“火眼金睛”，倒是出现了不少“白内障”。他们给用户“带眼镜”，而且是，“有意遮阳的”，关键的阳光无法享受到，非蒙蒙的SQL语句，到像雪花一样，成片成片的。为什么这样呢？协议解码，数据库协议解码未完成，或者说，根本没有进行。用户知道什么呢？眼睛已经被遮住了，甚至，某些情况下，看得清也装看不清了。

jwqqiqi

如果再深入分析，结合真实发生的数据库数据安全案子，和恶意攻击者、不良企图者所作所为见不得天的“特性”，你会发现，有一个魔影，总是处处闪现。这个魔鬼就是“复用”。访问安全的复用，往往被大多数管理员所忽视，甚至没有这方面的安全概念，这就是为什么数据库数据安全这么难以防范的真实原因。恶意攻击者、不良企图者会利用现有合法通道或者业务通道，复用进恶意企图，达到非法目的。他们会利用能连接数据库的电脑，连接数据库；如果该电脑上没有连接工具，他们可以上载一个客户端工具上去；他们可以通过社会工程或者非法攻击，获取自己不该持有的账号；当然，如果该电脑上的现有数据库权限较大，那你算帮他一把了；寻找能连接数据库的电脑的过程，就是他们的攻击过程，就是他们的犯罪历程；如果他不用努力寻找，随便一连就成，那你就是晚上睡觉不关门，现代版的“活”雷锋。

也许，你会说，我们的业务系统，我们的服务器系统，繁忙而重要，不敢擅自乱动；也许，你会说，我们部署了流量监控系统，我们可以监控TCP/IP访问流量。但是，在帕拉迪看来，有一个组合，你需要特别看清，而且，特别重要，或者说，才有助于你实现，数据库访问安全的宏伟目标。他们是：“访问源+访问工具（特别重要）+访问账号+权限整改+SQL语句监控”。如果你将此组合，同上述场景印证，你会发现什么？异常，访问异常，严重的访问异常。至此，“复用”企图，还可怕么？为什么说访问工具特别重要呢？因为，一个业务工具（如医生的开单程序，中间件），对应一个业务，就是一个模态化的业务SQL指令集和，是不方便或者说，不能更改的，除非，给这个程序打一针，注射进去；或者，给这个程序吃错点药，SQL注入攻击；攻击者也是人，也是有耐心和能力限制的，如果他们突破了这个限制，你可能也防不住啊。要对此类“超人”作出响应，“权限整改”、“SQL语句监控”，就应该上场了，如果结合“堡垒”，可能，更加方便实施和达到目的。关注微博：帕拉迪网络科技

前面谈到“需要特别看清”，但，浮躁的现实是，中国近十年来，在这个专业领域内，还没有出现一个“火眼金睛”，倒是出现了不少“白内障”。他们给用户“带眼镜”，而且是，“有意遮阳的”，关键的阳光无法享受到，非蒙蒙的SQL语句，到像雪花一样，成片成片的。为什么这样呢？协议解码，数据库协议解码未完成，或者说，根本没有进行。用户知道什么呢？眼睛已经被遮住了，甚至，某些情况下，看得清也装看不清了。

jwqqiqi

如果再深入分析，结合真实发生的数据库数据安全案子，和恶意攻击者、不良企图者所作所为见不得天的“特性”，你会发现，有一个魔影，总是处处闪现。这个魔鬼就是“复用”。访问安全的复用，往往被大多数管理员所忽视，甚至没有这方面的安全概念，这就是为什么数据库数据安全这么难以防范的真实原因。恶意攻击者、不良企图者会利用现有合法通道或者业务通道，复用进恶意企图，达到非法目的。他们会利用能连接数据库的电脑，连接数据库；如果该电脑上没有连接工具，他们可以上载一个客户端工具上去；他们可以通过社会工程或者非法攻击，获取自己不该持有的账号；当然，如果该电脑上的现有数据库权限较大，那你算帮他一把了；寻找能连接数据库的电脑的过程，就是他们的攻击过程，就是他们的犯罪历程；如果他不用努力寻找，随便一连就成，那你就是晚上睡觉不关门，现代版的“活”雷锋。

也许，你会说，我们的业务系统，我们的服务器系统，繁忙而重要，不敢擅自乱动；也许，你会说，我们部署了流量监控系统，我们可以监控TCP/IP访问流量。但是，在帕拉迪看来，有一个组合，你需要特别看清，而且，特别重要，或者说，才有助于你实现，数据库访问安全的宏伟目标。他们是：“访问源+访问工具（特别重要）+访问账号+权限整改+SQL语句监控”。如果你将此组合，同上述场景印证，你会发现什么？异常，访问异常，严重的访问异常。至此，“复用”企图，还可怕么？为什么说访问工具特别重要呢？因为，一个业务工具（如医生的开单程序，中间件），对应一个业务，就是一个模态化的业务SQL指令集和，是不方便或者说，不能更改的，除非，给这个程序打一针，注射进去；或者，给这个程序吃错点药，SQL注入攻击；攻击者也是人，也是有耐心和能力限制的，如果他们突破了这个限制，你可能也防不住啊。要对此类“超人”作出响应，“权限整改”、“SQL语句监控”，就应该上场了，如果结合“堡垒”，可能，更加方便实施和达到目的。关注微博：帕拉迪网络科技

前面谈到“需要特别看清”，但，浮躁的现实是，中国近十年来，在这个专业领域内，还没有出现一个“火眼金睛”，倒是出现了不少“白内障”。他们给用户“带眼镜”，而且是，“有意遮阳的”，关键的阳光无法享受到，非蒙蒙的SQL语句，到像雪花一样，成片成片的。为什么这样呢？协议解码，数据库协议解码未完成，或者说，根本没有进行。用户知道什么呢？眼睛已经被遮住了，甚至，某些情况下，看得清也装看不清了。