澳门赌场官方下载数据库对安全和审计专业人员提出了几个独特的挑战. 它们是矛盾的, 因为它们必须在广泛访问的同时安全地存储大量敏感数据, 对于一个典型的数据库，每秒处理数千个连接的事务.1 从几十个或, 在某些情况下, 数百个数据库并发操作, 识别有效数据库流量的能力. 恶意数据泄露或其他攻击模式很快就会成为一个挑战.
保护旗舰数据库产品(如MySQL)的方法, Microsoft SQL Server和Oracle数据库可能晦涩难懂，难以理解.
澳门赌场官方下载面临的最坏情况是公开暴露数据库，其中包含大量敏感或受监管的数据. 恶意行为者使用Shodan等工具进行网络扫描, 用于定位易受攻击的互联网可访问设备的搜索引擎. 研究表明，在公开访问的数据库首次暴露于互联网后的几个小时内，将发生数百次连接.2
从网络安全的角度来看, 针对澳门赌场官方下载数据的勒索软件攻击每11秒就会成功一次, 澳门赌场官方下载平均损失283美元,从2020年起，每起违规行为将达到5000万美元.3 对数据库的成功攻击是最麻烦的攻击媒介之一，因为IT管理人员会保留默认凭证, 忽略不安全的网络配置, 并留下未加密的备份或日志文件，以供滥用或盗窃.4
澳门赌场官方下载必须考虑数据库安全性的许多方面, 但最初的努力应该集中在物理上保护操作环境, 包括数据中心或网络机柜. 他们必须通过验证现有的漏洞修补程序，确保网络流量通过web应用程序防火墙(WAF)或专门配置用于检查发送到web应用程序及其后端数据库的互联网流量的类似技术进行正确检查和过滤，从而确保托管澳门赌场官方下载数据库的物理服务器的适当安全性. 图1 展示了每个澳门赌场官方下载数据库部署应该努力实现和保持的基本安全级别.5 一旦打下坚实的基础, 应评估其他控制措施, 选择和实施以增强安全性.
来源:改编自Linster, M.; “Creating a Multi-Layered Security Architecture for Your Databases,” IT运维时代2019年10月22日
http://www.itopstimes.com/itsec/creating-a-multi-layered-security-architecture-for-your-databases/.
澳门赌场官方下载可以利用一些简单的保证活动来评估数据库安全体系结构中的一些元素 图1. 虽然并不详尽, 通过链接数据库审计程序的高级审计指导对于评估数据库是否实现了安全的默认配置非常有用, 如果对静态和传输中的数据使用了足够的加密功能，是否执行了适当的用户访问管理程序, 如果启用了足够的日志记录设施, 以及支持恢复所需的数据库复制或备份机制是否到位. 其他主题，如评估数据混淆, 评估变更管理的有效性和审核参数化报表的使用也应该包括在审核程序中.
安全的默认数据库配置
可以在安装期间或安装后应用安全的默认数据库配置概念, 但是安全和IT审计部门应该设法确保澳门赌场官方下载已经建立了适当的网络配置, 默认数据库配置, 扩大审计范围, 适当地配置用户或系统帐户以优化安全性. 安全默认配置的初始审计重点应确保数据库需要, 或者是结构化的, 输入清理，以减少结构化查询语言(SQL)注入攻击成功的机会. 然后，审计重点应明确考虑数据库类型的特定安全主题:
- MySQL数据库- mysql_secure_default命令行实用程序允许管理员在部署的数据库上默认执行安全设置, 要求root用户使用密码，删除不安全的默认数据库.
- Microsoft SQL server-可以使用供应商提供的工具或第三方解决方案建立基线配置, 但是应该进行验证以确保默认的系统管理员帐户, 连接数据库实例和SQL server服务(如SQL server Browser)的默认端口配置正确. 在很多情况下, 这意味着默认服务被适当地禁用，默认端口被更改为不常见的值，这增加了跟踪或容易识别在网络端口上运行的关键数据库服务的难度.
- Oracle 19c数据库-A安全默认配置旨在确保不安装未使用的产品和服务, 默认用户帐户(如果未使用)使用非默认密码禁用, 当发出数据操作语言(DML)语句时，数据库表和索引需要记录日志, 并且数据库没有配置为在数据库本身中以明文形式存储凭据.
仅次于数据管理，用户访问 管理是最复杂的方面 由于数据库内部的安全数量 以及需要访问或 必须设置访问限制.
审计重点还应该集中在如何在相关数据库技术允许的范围内自动化安全默认配置.g.(MySQL, Oracle数据库)以及它如何在整个数据库生命周期中延续. 然后，审计重点应该集中在单个数据库服务上, 网络配置, 客户端配置, 以及是否执行了最严格的设置和配置，同时允许业务在数据库中有效地操作.
用户访问管理
所有现代版本的MySQL, Microsoft SQL和Oracle数据库提供基于角色的访问特性，以简化需要访问数据库的用户和应用程序的权限分配和授予. 仅次于数据管理, 用户访问管理是数据库安全中最复杂的方面，因为需要访问或必须设置访问限制的内部和外部用户数量众多, 可以存在的单个权限和访问组合, 以及出于法律和监管目的的跟踪要求. 图2 显示澳门赌场官方下载安全体系结构必须考虑的典型用户类别，以及必须对其设置适当的访问控制.6
来源:改编自Oracle，“什么是数据安全”?” http://www.oracle.com/security/database-security/what-is-data-security/.
数据库安全优化时, 访问权限应该限制在受信任的内部人员, 业务合作伙伴, 需要访问澳门赌场官方下载数据库中存储的个人数据的客户和员工. 访问控制应有效地设计，以保留不适当的用户，如竞争对手, 网络罪犯或潜在的有问题的好奇者被排除在系统之外. 最好的实现和简化方法是建立基于角色的访问模式，这些模式由管理层根据工作职责定义，然后在每个数据库中进行逻辑控制. 所有访问数据库的权限都应正式提出请求, 审核和批准, 进行例行访问审查，以确定是否继续需要访问. 数据库访问的初始审计重点应集中在:
- MySQL数据库-MySQL提供代理用户功能, 哪一个。, 当启用, 允许外部主体, 例如用户或系统, 假定在MySQL数据库级别定义的访问标识. root用户的状态, 谁可以执行数据库上的所有操作, 是否应确定确保严格限制和监测在有必要使用的情况下使用该帐户. 除了审核标准, 命名用户, 代理用户, 应该定期审查Root用户和特权数据库用户的访问是否适当.
- Microsoft SQL Server—系统管理员帐户是系统默认的超级管理员帐户，属于固定服务器角色sysadmin的一部分. 应该检查固定服务器和固定数据库角色中的用户, 因为这些角色提供了对数据库实例和定义角色成员关系的单个数据库的广泛管理访问. 应该重命名系统管理员帐户以使其更加模糊，并将其设置为“禁用”.”
- Oracle 19c数据库通过创建Oracle家庭用户来限制非特权帐户的数据库操作是默认数据库访问安全的一个重要方面. 运行在Microsoft Windows机器上的Oracle数据库可以在主机上或Active Directory中定义一个非管理本地用户帐户来管理Oracle数据库服务. 从Windows任务管理器中查看正在运行的Oracle服务，会发现分配这些特权的用户帐户. 进一步检查分配给该帐户的组成员关系和权限将确定其权限在数据库操作方面是否过多或不必要. 例如，该帐户不需要域管理员权限即可操作Oracle数据库.
大多数密码材料, 例如对称加密密钥, 在被旋转和销毁之前，是否有一个不超过两个日历年的固定生命周期.
用户访问管理的审计重点应该确定进行数据库连接的用户是否需要多因素身份验证(MFA)，以及是否在整个澳门赌场官方下载数据库资产中强制执行强密码和锁定策略.
加密
数据库加密的目标是确保澳门赌场官方下载已经配置了数据库，以便对静态数据强制加密, 传输中的数据加密, 以及列级加密和流程，以确保密钥或数字证书等加密材料的轮换. 图3 说明澳门赌场官方下载数据库加密密钥的典型生命周期, 数字证书, 秘密或其他密码材料.7
资料来源:Townsend Security，“加密密钥管理基础的权威指南”， http://info.townsendsecurity.com/definitive-guide-to-encryption-key-management-fundamentals. 经许可转载.
大多数密码材料, 例如对称加密密钥, 在被旋转和销毁之前，是否有一个不超过两个日历年的固定生命周期. 最初的审计重点应该确定在数据库生命周期的哪个点将加密保护应用于数据库或数据库表，以及如何在整个生命周期中有效地管理加密保护. 应该对每个密钥进行广泛的验证, 保护数据库及其存储内容的证书或密钥. 针对数据库的特定于产品的审计考虑包括:
- MySQL数据库—支持多个存储引擎，如innodb，可以部署在每个数据库上. 通过检查“show engines”命令, 审计员应该了解哪些引擎是活动的，用于什么目的, 存储在引擎中的数据是如何加密的, 如果机制的强度足够(AES-128 vs. aes -256位加密)，满足澳门赌场官方下载需求.
- Microsoft SQL Server-始终加密功能提供列级加密，以限制不适当的用户, 包括数据库管理员, 避免看到敏感数据, 比如信用卡号, 可以存储在数据库表中. 审计过程应该对澳门赌场官方下载需要加密的数据库表列进行采样，并确定是否返回了加密的数据值，或者从SQL Server Configuration Management工具中的Always encrypted Setup向导获取并检查屏幕截图，以确定当前哪些列是加密的，哪些列不符合澳门赌场官方下载需求.
- Oracle 19c数据库-提供透明数据加密(TDE)机制来加密数据库表和存储在其中的驻留数据. TDE与一个名为Oracle Wallet的加密密钥存储库一起工作，以安全地存储和管理加密材料, 例如表空间加密密钥, 证书和用户登录信息. 验证数据库及其表的TDE加密状态, 命令“SELECT * FROM DBA_ENCRYPTED_COLUMNS;”可以从SQL Plus中运行并进一步检查.
日志记录
数据库日志记录对于理解数据库中发生的操作和安全事件至关重要. 在某些情况下, 为了有效地执行数据库恢复或复制活动，还需要日志的可用性和完整性. 职责隔离(SoD)也是数据库日志的一个重要审计考虑因素, 因为不应该向负责数据库管理的用户提供修改或销毁数据库日志的访问权限——这些权限应该提供给安全管理员或存储管理员. 初始审计重点应考虑是否生成了支持事后调查的详细审计日志, 包括记录事件的日期和时间, 记录事件的源和目标, 行动的成功或失败, 以及对数据库执行操作的主体. 特定于产品的数据库日志审计注意事项包括:
- MySQL数据库-确保二进制日志通过检查“SHOW VARIABLES LIKE ' bin_log ';”命令启用，并确保二进制日志使用安全连接适当地复制到预期的数据库, 启用静态加密, 是必不可少的.
- Microsoft SQL Server-提供的Log Ship功能允许将关键数据库日志文件安全卸载到备用存储库. 日志船将日志船配置中的数据库之间的关系定义为发布者(源数据库)和分发者(目标数据库)。. Log Ship配置的审计步骤应设法确定访问目标数据库的适当性，并确保对存储的日志数据在传输和静止时使用强加密.
- Oracle 19c数据库-提供的NOLOGGING子句可以针对单个语句发出，例如CREATE TABLE, 修改表或修改索引. 提供这些命令是为了降低潜在的数据库性能场景, 而且它们的使用不能有效地加以限制. 除了没有正确记录感兴趣的事件的明显风险之外, 当CREATE或ALTER语句发出时, Oracle重做日志中缺少某些日志可能会对有效的数据库恢复工作产生负面影响. 使用NOLOGGING可能导致恢复失败和错误. 审计的重点是仔细使用NOLOGGING，围绕评估用户培训，以确定NOLOGGING是可接受的良好场景或语句，并监控执行的活动，以识别对该日志记录条款的不当使用.
不安全的日志文件应该卸载到冷存储中，并在达到数据保留到期时间表时立即删除.
Additional logging controls should be assessed to determine if the enterprise achieves database log integrity via inspection of access control lists; whether immutable replication to a secondary, secure data repository is occurring; 和 if the log files themselves are leveraging strong encryption at rest 和 in transit. 日志记录的审计重点还应该关注在可能影响日志记录的已定义场景下是否生成了适当数量的日志文件, 包括如果Oracle数据库崩溃和重启，或者在启用或禁用加密的情况下. 对于后一个例子, 有必要确保包含敏感信息(如密码)的未加密日志文件不会保留在包含加密数据的日志中. 不安全的日志文件应该卸载到冷存储中，并在达到数据保留到期时间表时立即删除.
结论
安全风险普遍存在于澳门赌场官方下载数据库部署和评估控制状态的潜在审计方法中. 需要一种深入和系统的审计方法来评估数据库安全体系结构的每一层，以确保澳门赌场官方下载安全, 客户和业务合作伙伴的数据保持安全，同时还为用户提供了执行有效数据事务的能力. IT审计部门可以通过更加熟悉其组织中的数据库技术并使用安全最佳实践和控制来评估这些部署，从而实现其作为值得信赖的顾问的承诺. 恶意活动正在增加, 数据库成为黑客攻击和高级持续性威胁的主要目标. IT审计部门可以通过采用新的审计程序来保护有价值的应用程序及其核心数据库，从而帮助澳门赌场官方下载扭转威胁形势.
IT审计部门可以通过采用新的审计程序来保护有价值的应用程序及其核心数据库，从而帮助澳门赌场官方下载扭转威胁形势.
尾注
1 杰克逊·希金斯，K.; “Hacker’s Choice: Top Six Database Attacks,” 黑暗的阅读， 2008年5月8日 http://www.darkreading.com/risk/hacker-s-choice-top-six-database-attacks
2 Zorz Z.; “With Database Attacks on the Rise, How Can Companies Protect Themselves?” 帮助网络安全2020年10月14日 http://www.helpnetsecurity.com/2020/10/14/securing-exposed-databases/
3 爱尔兰,年代.; “Revealed: The True Cost of Rising Cyber Attacks,” CEOWORLD杂志2022年2月2日 http://ceoworld.biz/2022/02/02/revealed-the-true-cost-of-rising-cyber-attacks/
4 Op cit 杰克逊希金斯
5 Linster, M.; “Creating a Multi-Layered Security Architecture for Your Databases,” IT运维时代2019年10月22日 http://www.itopstimes.com/itsec/creating-a-multi-layered-security-architecture-for-your-databases/
6 甲骨文，“什么是数据安全??” http://www.oracle.com/security/database-security/what-is-data-security/
7 汤森安全，“加密密钥管理基础的权威指南”， http://info.townsendsecurity.com/definitive-guide-to-encryption-key-management-fundamentals
Adam kohnke | cisa, csp, giac, gpen
是XL安全咨询公司的所有者，还是一家领先的可持续塑料制造商的网络安全架构师. 拥有15年的IT和网络安全经验, 在他的职业生涯中，Kohnke领导了大型安全团队，并进行了许多内部和外部渗透测试. 他是《澳门赌场官方下载》的定期撰稿人 ISACA® 杂志 和 Infosecurity杂志，文章涵盖IT审计和网络安全主题. 当不构建网络安全解决方案时, 他喜欢和家人一起旅行, 野营, 园艺和玩龙与地下城的真人游戏.