萬豪酒店數據庫遭入侵 5億顧客信息或泄露

新聞播報

11月30日晚萬豪國際集團官方微博發佈聲明稱，喜達屋旗下酒店的客房預訂數據庫中的賓客信息曾在未經受權的狀況下被訪問。該數據庫包含最多約5億名客人的信息，這些信息包括顧客的姓名、通訊地址、電話號碼、電子郵箱、護照號碼、喜達屋VIP客戶信息、出生日期、性別和其餘一些我的信息，對於部分客戶可能還包括支付卡號和支付卡有效期。

萬豪國際聲明稱，已向相關執法部門報告此事件，並將繼續配合執法部門的調查，並已開始通知相關監管機構。該事件已發酵6天，目前萬豪酒店並未再發布任何官方消息。

 其實早在消息泄露了數個小時以後，酒店就遭到了住客的集體投訴，住客認爲，酒店最大的特殊性就是會掌握大量的我的基本信息，若是酒店自身的信息管理不當，住客們的隱私就會存在很大的安全隱患，因此酒店在信息安全管理方面是要負責任的。

在互聯網發展迅猛的今天，不管是企業仍是我的，信息安全問題一直處在風口浪尖，頗受爭議，同時也是網絡安全從業者關注的重中之重。那麼針對企業網絡安全人員，如何構建數據庫安全體系，進行數據庫安全檢查，從而有效的下降被入侵的安全隱患問題？

針對上述問題，i春秋社區的神褲衩給出了以下建議：

檢查服務器對外開放端口不要只看3306，最好能把默認數據庫鏈接端口改下，關注下防火牆的包過濾，能不能作到外部惡意命令阻斷。

控制信息的出入，保護內部網絡免遭某些基於路由的攻擊，對網絡存取和訪問進行監控審計，防止內部網絡信息的泄漏。

防火牆做用發揮好，能大大的增長入侵的時間，端口的檢查必定不要只注意數據庫的端口，看看服務器上是否還開啓其餘沒必要要的服務，www，ftp等，有時候一些沒必要要的服務會形成服務器淪陷。

應用審計方面，最好不一樣項目不一樣的用戶，着重檢查弱口令和用戶權限配置等問題，權限不要是root權限，這樣很危險，最好用戶的權限可以限制在相應的表中，若是有數據庫選擇的是mysql，需進行安全配置。

Web端的程序最好就使用低權限的用戶，密碼不要通用一個，好比tcl以前thinkphp任意命令執行，config密碼泄露致使一個域管理程序被人入侵。

將危害影響降到最低，這和短板效應相對，記得有個說法是：Pt> Dt + Rt，防禦時間大於檢測時間加上響應時間，那麼系統是安全的。

接下來聊聊安全審計，根據審計對象，能夠分紅三個層次：

一、網絡安全審計

二、系統安全審計

三、信息內容安全審計，屬於高層審計

安全審計的主要功能有：

一、經過安全審計來檢測和調查安全策略執行的狀況以及資產遭到破壞的狀況。

二、監督可疑用戶，取消可疑用戶的權限，調用更強的保護機制，去掉或修復故障網絡以及系統的某些失效部件。

其餘補充

一、還有就是說DBMS的補丁，系統其餘服務是否有漏洞啊（這也是爲何要最好關閉其餘服務的緣由）；

二、硬件方面是否有備份服務器進行按期備份；

三、說到接口，若是是內網的數據服務器最好和外網有着物理隔離，不要同時開放對內外網鏈接；

四、查看數據庫的服務，對數據庫進行安全配置，包括用戶權限配置、弱口令，保證沒有通過受權的用戶，進程沒法竊取信息；

五、中止並卸載沒必要要的服務和應用，防止其餘應用形成「短板」；

六、按期進行數據備份，有應急響應方案；

七、對應用網絡進行安全審計，特別是Web端的程序；

八、防火牆對惡意代碼和不安全的訪問進行限制或阻斷；

九、日誌系統開啓。