数据库及其包含的信息仍是黑客试图攻击的目标。黑客希望利用在数据库驱动的应用程序中的许多广泛传播的安全漏洞。这些漏洞许多是由不良设置或者实施造成的。下面是最常见的五个与数据库相关的安全漏洞: ·弱的密码策略 ·SQL注入 ·交叉站点脚本 ·数据泄漏 ·不适当的错误处理 令人难以置信的是,企业仍经常使用默认的或者软弱的口令来保护像数据库一样重要的在线资产。
但是,这是一个很容易解决的问题。补救措施是强制执行强大的口令政策。也就是说,口令要定期变换,口令长度最少为10位数并且包含字母和符号。采用这种政策,你将关闭攻击者同向你的数据的方便之门。
SQL注入也依靠软弱的数据库实……
我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。
我原创,你原创,我们的内容世界才会更加精彩!
【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】
微信公众号
![TechTarget微信公众号二维码](/wp-content/uploads/res/images/spriteimg/ttweixin.jpg)
TechTarget
官方微博
![TechTarget中国官方微博二维码](/wp-content/uploads/res/images/spriteimg/ttweibo.jpg)
TechTarget中国
数据库及其包含的信息仍是黑客试图攻击的目标。黑客希望利用在数据库驱动的应用程序中的许多广泛传播的安全漏洞。这些漏洞许多是由不良设置或者实施造成的。下面是最常见的五个与数据库相关的安全漏洞:
·弱的密码策略
·SQL注入
·交叉站点脚本
·数据泄漏
·不适当的错误处理
令人难以置信的是,企业仍经常使用默认的或者软弱的口令来保护像数据库一样重要的在线资产。但是,这是一个很容易解决的问题。补救措施是强制执行强大的口令政策。也就是说,口令要定期变换,口令长度最少为10位数并且包含字母和符号。采用这种政策,你将关闭攻击者同向你的数据的方便之门。
SQL注入也依靠软弱的数据库实施,特别是在如何向数据库发送SQL请求方面的实施。如果这个数据库接受了用户提供的不干净的或者没有经过验证的数据产生的SQL请求,这就会为SQL注入攻击敞开大门。例如,通过修改从基于网络的格式受到的信息,攻击者能够提供恶意的SQL请求并且把指令直接发送到数据库。
要防止这种类型的攻击,在让这些数据接近你的脚本、数据访问程序和SQL查询之前,保证所有用户提供的数据是合法的是非常重要的。验证和清洁从用户那里收到的数据的另一个理由是防止交叉站点脚本攻击。这种攻击能够用来攻破连接到一个Web服务器的数据库。黑客通过一个网络蠕虫把JavaScript等客户方面的脚本注入到一个网络应用程序的输出中。这些脚本用于收集cookie数据。这些数据经常被错误地用来存储用户账户登录信息等资料。
一个经常被忽略的问题是什么时候建立一个数据库应用程序是泄漏数据。这是敏感的数据要发送的地方或者是非故意踢敏感数据的地方。这个错误将导致不能保证访问数据库备份磁带的安全和控制这种访问。通常,更敏感的数据产生于有关数据的合法查询的答案,就像从医疗处方判断疾病一样。常用的解决方案是监视查询方式以检测这种行动。
与数据泄漏密切相关的是在数据库出现错误时不适当地处理这些错误。许多应用程序显示了详细的信息。这些错误信息能够泄漏有关数据库结构的信息。这些信息能够用来实施攻击。要尽一切手段把这个错误登记在你自己的记录中,保证你的应用程序不向用户或者攻击者返回任何有关这个错误的详细信息。
要完全保证你的数据库的安全,你要把这个任务分为以下四个方面以确保进行全面的检查:
·服务器安全
·应用程序安全
·数据库连接
·数据库和表格访问控制
数据库服务器需要与其它任何服务器一样加强以保证任何恶意黑客都不能通过操作系统的安全漏洞攻击数据库。更适宜的方法是数据库应该位于其自己的应用层防火墙之后。
要帮助保证数据库连接的安全的过程和定义访问控制,你应该创建一个数据流动图表,跟踪数据如何流过应用程序的过程。接下来,找到数据进入或者退出另一个应用程序的地方,并且检查为这些进入点和退出点分配的信赖等级。还要定义需要访问这个系统的外部用户或者处理要求的最低权限。把安全作为关键的推动因素来设置和建立你的数据库将保证你的数据库处于安全状态。
作者
相关推荐
-
不安全的Firebase数据库使关键数据面临风险
当开发人员无法对支持其移动应用程序的数据库或云实例执行身份验证时,这里会发生一种最简单且最具破坏性的安全事件。 […]
-
如何处理仍未解决的MongoDB安全问题?
有关MongoDB尚未解决的安全隐患是什么?在补丁可用之前,企业可以采取哪些措施以缓解这些威胁?
-
MongoDB勒索攻击蔓延原因:不安全配置
攻击者已经发现很多MongoDB配置存在缺陷,而这为勒索攻击打开了大门……与勒索软件攻击不同,其中数据被加密,在这种攻击中,攻击者可访问数据库、复制文件、删除所有内容并留下勒索字条——承诺在收到赎金后归还数据。
-
中小企业的数据库安全:三大方面要牢记
随着日益复杂的攻击和不断上升的内部数据盗窃,数据库安全成为中小企业信息安全团队重点关注的焦点,超越了传统的认证、授权和访问控制。