4个企业数据库安全最佳做法

日期: 2020-02-16 作者:Mike Chapple翻译:邹铮 来源:TechTarget中国 英文

我们都知道,保护敏感信息至关重要。幸运的是,现在大多数企业都拥有可靠的网络安全程序,这些程序利用多种控件来实现深度防御安全性。通过这些程序,企业服务器得到加固,企业端点得到保护,监控工具也得以部署。企业还能够消除来自端点设备的高度敏感信息,并整合企业系统中最关键的企业数据以及支持它们的数据库。

但是,围绕这些集中存储的控制有多强大呢?

毫无疑问,信息存储在安全的集中式数据库比在笔记本电脑和文件共享中更为安全。但是,如果企业没有确保数据库安全性,他们可能会不知不觉地在为攻击者建立敏感信息宝库。

很多企业数据库很容易由于配置错误或部署不当而导致漏洞。从低密码强度到SQL注入攻击再到跨站点脚本漏洞,企业必须解决这些与数据库相关的威胁。

除这些漏洞外,每个企业还应遵循并定期审视数据库安全最佳做法,以维护其宝贵财产的安全性:数据库中存储的机密数据。对于任何攻击者来说,这都是诱人的目标。因此,确保数据的安全至关重要。

企业应遵循以下四项最佳做法,以提高其数据库及其中存储数据的安全性。

1. 最小权限原则

通常情况下,在任何网络安全书籍中,第一章都会介绍最小权限原则,即确保仅为用户提供完成其工作所需的最小权限。这个理论目标与企业数据库的现实情况之间的差距是很重要的问题。为了对此进行评估,企业应该问自己几个问题,其中包括:

  • 开发人员是否拥有对生产数据库的完全访问权限?
  • 系统工程师是否可以访问他们所管理系统中的数据库?
  • 数据库管理员是否具有对所有数据库的完全访问权限?还是仅对其职责范围的数据库具有访问权限?尽可能限制访问权限是防范内部威胁的重要方法。

2. 定期审核访问权限

大家都知道,特权提升实际上会影响每个技术企业。随着技术人员和非技术人员在工作角色和项目分配之间转换,每次职责更改时,他们都会积累新的权限。由于缺少权限会阻碍工作,因此他们会迅速寻求并批准新的权限。但是,旧的和不必要的权限可能会持续数月或数年,因为这不会对员工的日常工作造成操作问题。但其实这会带来严重影响,如果用户变成恶意内部人员或沦为账户被盗的受害者,这些权限会帮助攻击者扩大攻击范围。

企业应定期对数据库访问权限进行定期审查,以确保执行最小特权原则。请特别注意直接访问数据库的用户,因为这种访问可能会绕过应用程序级安全控制。

3. 监控数据库活动

数据库审核曾经会带来巨大的性能负担,这导致企业为了运营效率而牺牲日志记录。幸运的是,那些日子已经过去了,因为现在所有主要的数据库平台提供商都提供可扩展的监视和日志记录功能。

企业应确保已在其系统上启用数据库监视,并将日志发送到安全的存储库。另外,请确保实施基于行为的监视规则,以监视异常的用户活动,特别是具有管理访问权限的用户。

4. 加密敏感数据

加密无疑是数据库安全最佳做法。企业应遵循以下三种方式利用强加密来保护其数据库:

  1. 要求所有数据库使用传输层安全加密来保护传输中的数据;
  2. 加密包含数据存储的磁盘,以防止其丢失、被盗或处理不当;
  3. 用列级加密功能来保护你最敏感的数据以防被监听

现在企业应该加强其数据库安全做法。为了更好地抵御现代复杂威胁,企业应该遵循上述数据库安全最佳做法:执行最小权限原则、定期审查账户访问权限、监控数据库活动和加密敏感数据。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

作者

Mike Chapple
Mike Chapple

Mike Chapple, CISSP,University of Notre Dame的IT安全专家。他曾担任国家安全局和美国空军的信息安全研究员。Mike经常为SearchSecurity.com撰稿,是《信息安全》杂志的技术编辑。

翻译

邹铮
邹铮

相关推荐

  • 安全运营中心的8大优势

    安全运营中心(SOC)是抵御攻击和数据泄露事故的第一道防线之一。在此命令中心内工作的信息安全员工可以创建、部署 […]

  • Sophos:“重量级”勒索软件索要高额赎金

    顶级勒索软件团伙正在变得越来越复杂,他们采用新的逃避技术,也在索要更多的赎金。 根据最新发布的《Sophos […]

  • 5个安全运营中心最佳做法

    研究数据表明,安全运营中心(SOC)可以显著推动企业的网络安全计划,这使SOC成为有效企业网络安全计划的基石。 […]

  • 了解零信任-SDP关系

    对于零信任,你需要了解的第一件事情是,对于一个强大的概念来说,这个名称并不是很好。这里的重点不是:没有什么可信 […]