双剑合璧保障数据库安全

烽火台已经和大家接触了有段日子了，相信通过前面十几台的介绍，大家已经对它的功能、特点有了比较深的了解。今天的主题是数据库安全，借着这个机会给大家介绍下我们的烽火台和锐御WAF如何双剑合璧来保障数据库安全。

数据是Web应用的核心资源，存放数据的数据库也是一个非常重要的资产，而数据库是否真的安全呢，其实不然，根据调查2015年新发现的数据库漏洞统计众多，其中mysql新发现了47个漏洞占据了总数的62%、oracle新发现了14个漏洞占据了总数的18%，这两种数据库是业界使用最广泛的，每年仍能新发现这么多的漏洞信息，由此可见数据库安全隐患还是非常大的。

数据库存在如此严重的威胁，面对这些威胁盛邦安全对数据库的安全如何保障呢?

做好数据库安全的第一点是要做好日常的安全检查，可以使用烽火台对数据库资产进行定期的安全检查，能够有效的检查到数据库系统软件本身存在的已知漏洞、数据库系统的各项设置错误、数据库系统完整性等问题。最后根据检测结果对数据库系统的整体安全性做出专业评估，并给出相应的修复建议。

目前烽火台支持检测数据库类型众多，包含主流的数据库，如Oracle、MySQL、DB2、PostgreSQL、sybase、SQL Server等。

对于数据库的检测漏洞现在已经多达2600多条，并且对于漏洞的更新频率为一周一更新，我们的漏洞来源分成三方面：

1.高危紧急漏洞，我们研发自己写PoC，自研漏洞库。

2.针对第三方收费组织(如国外的qualys 四叶草)，购买合作。

3.第三方公开免费的漏洞库定期收集。

相信通过这些日常的安全检查可以有效帮助维护人员及时的发现数据库存在的各种问题，以便更好的处理存在的安全隐患。

做好数据库安全第二点是针对各种数据库的攻击以及拖库、暴库危险动作等进行有效的阻断防御。

黑客想要对数据库进行非法操作必然要寻找Web服务器上的SQL注入漏洞，把锐御WAF部署在Web服务器及数据库服务器的前端，通过WAF有效的分析经过的http数据包，过滤掉带有攻击参数的http数据，从而屏蔽掉黑客的SQL注入攻击。

以上是对于非常规手段的拖库防护，那么对于正常访问方式的装库等操作如何来防范呢。

WAF具有特征识别以及数据模糊混淆等技术。特征识别和数据模糊混淆匹配则是使用WAF的敏感信息检测规则来对正常的访问数据进行防范，它能够把数据包中的带有的敏感信息进行过滤屏蔽加密等处理，如手机号码、银行卡号、身份证号码等信息，让黑客即使拿到这些信息也不能为己所用，从而有效的防范拖库行为。

做好数据库安全第三点是排查锐御WAF的各种日志，对用户访问数据库行为的记录进行审计分析，帮助用户事后进行数据泄密行为的追根溯源，提高数据资产安全。

盛邦安全烽火台以及锐御WAF的双剑合璧保护，通过以上三点对数据库进行全面的安全检测及有效的数据过滤，以保证数据库的安全，也是现阶段解决网站安全问题的一个有效手段。