企業數據庫安全失效的五大緣由

雖然數據庫安全最佳作法已經討論了幾年，而且現有的數據庫安全工具也已經成熟，但如今企業仍然沒法確保最機密數據的存儲安全。近日獨立Oracle用戶集團發佈的數據安全調查結果就揭露了企業最多見的數據庫安全錯誤。

從這些結果來看，很明顯，如今大多數企業都是憑感受在運行數據庫安全。絕大多數企業根本沒有監控他們的數據庫，或者說以特設的方式來監控。更使人不安的是，大多數企業甚至不知道他們的重要數據的位置，不少管理員在調查中認可他們並不能確定數據庫中包含着重要信息。

從調查結果中，咱們已經肯定了泄漏事故發生率居高不下的最主要緣由，除非企業對這些作法進行適當控制，不然數據泄漏事故還將繼續製造新聞。

1. 企業仍然不知道重要數據的位置

在企業能夠保護他們的重要數據以前，他們必須知道重要數據的位置。不幸的是，在當今快節奏的IT環境，不少管理員發現很難在衆多數據庫中追蹤重要信息。

事實上，他們只是不知道哪些數據庫包含或者不包含諸如我的身份信息等數據。調查發現，48%的受訪者認可他們不清楚企業中哪些數據庫包含機密信息。

部分緣由在於如今企業運行着大量的數據庫。大約35%的企業運行11到100個數據庫，將近40%的企業運行超過100個數據庫，而13%的企業運行1000多個數據庫。

更復雜的問題是，很是多的重要信息位於生產數據庫外部。大約有37%的企業認可他們在非生產數據庫使用生產數據，在這些受訪者中，39%表示這些數據包含我的身份信息或者他們並不肯定是否包含。

2. 安全監控力度不足

有這麼多的數據庫須要追蹤，若是企業真的想清楚知道哪些人訪問了重要數據，他們必須明確如何監測這些數據的活動。然而，只有四分之一的企業部署了自動化工具來按期監測數據庫行爲，這個數據自IOUG從2008年開始訪問數據庫管理員以來就大體保持不變。

IOUG還發現，雖然72%的企業表示至少在一些數據庫上使用本地審計工具，不多的管理員會真正查看這些工具生成的數據。大約有11%的企業表示他們會按期手動監測數據庫。

25%的企業表示他們沒有辦法肯定數據庫是否發生了未經受權更改。只有30%的企業表示他們可以在大多數數據庫中檢查出這種更改。約有46%的受訪者表示他們只可以檢測中某些數據庫中的未經受權更改。

然而，在那些能夠發現未經受權更改的受訪者中，響應時間都很慢。只有12%的受訪者表示他們可以在一個小時內檢測出未經受權更改，而約有33%的受訪者表示他們最多一天內能夠察覺。大約16%的受訪者表示須要一天或者更長事件，40%表示他們不肯定何時可以察覺未經受權更改。

3. 特權用戶運行不受制止

IOUG調查的一名受訪者表示，「咱們最大的風險多是員工肆意運行，咱們能夠很快察覺，可是可能仍是沒法避免嚴重損害。」

這是不少管理員共同的心聲，約有22%受訪者將內部***者列爲他們最大的數據庫安全風險，而另外12%受訪者表示濫用特權是最大的威脅。

儘管你們都知道這個威脅，可是卻不多有企業採起行動來減輕這些風險。高達四分之三的企業並有或者不肯定他們是否有辦法制止特權用戶濫用或者***數據庫信息。只有23%的企業有辦法阻止特權用戶的意外更高。四分之一的企業，即便是普通用戶均可以繞過應用程序獲取對重要數據的直接訪問。

也許更使人擔憂的是，面對未經受權訪問和惡意篡改數據，不少公司沒法保護審計數據。大約有57%的受訪者並無將數據庫審計數據放到中央安全位置，從而使特權用戶能夠在未經受權訪問或者篡改信息後更改審計數據來掩藏他們的蹤影。

4. 數據庫補丁修復緩慢

如今不少數據泄漏事故都出自利用數據庫和web應用程序漏洞攻入重要數據存儲位置的***之手。根據最新Verizon2010數據泄漏調查報告顯示，去年的數據泄漏事故中有90%涉及SQL注入***。

雖然企業徹底能夠經過保持更新數據庫和以安全的方式配置來避免這些***，可是他們根本沒有抓住這個機會來減輕風險。IOUG調查發現63%的管理員認可他們的關鍵補丁更新至少有一個週期時間的延誤。最使人關注的是，17%的管理員表示他們歷來沒有修復補丁或者並不肯定是否修復了補丁。

5. 加密不足

雖然HIPAA和PCI DSS等法規要求企業加密或者肯定數據庫內的我的身份信息，但企業內對我的身份信息的數據庫加密仍然遠遠不夠。少於三分之一的管理員表示，他們會對全部數
據庫內的我的身份信息進行加密，而38%則表示，他們沒有加密我的身份信息或者不肯定是否加密。對進出數據庫的網絡流量的加密也是一樣如此，大約23%的企業表示他們加密全部流量，而35%認可他們沒有加密流量或者不肯定是否加密。

數據庫加密真正的致命弱點就是數據庫備份和數據庫副本如何被髮送到公司外合做夥伴的方式。不到一半的企業能夠明確的表示，他們沒有發送未加密數據庫信息到公司外部。只有16%的企業表示他們對全部數據庫備份和數據庫副本進行了加密。

 

[注]本文轉載自：http://www.cnw.com.cn/securitywebsecurity/htm2011/20110407_220964.shtml