数据库服务器成黑客最爱 7成攻击针对企业数据

【6月22日外电头条】如今顶尖的黑客一定都是顶尖的商人！因为他们的评估记录上会写着哪些目标最简单，哪些目标最有利可图。现在，可能没有比笨拙的企业数据库更好对付的目标了。

一般来说，企业的数据库中汇集着这家公司最重要的机密：客户名单、工资记录、以及其他许多按照良好结构储存的敏感信息，这些都是最容易卖出好价钱的。何况数据库的管理员们往往不会想在安全性上精益求精，而且数据库本身常常和网络应用联系在一起，这些都已经被证明是企业数据库屡遭破解的原因。

在Verizon Business的年度计算机破坏报告中，调查小组报告说，在2008年的数据丢失案中，数据库破坏占据了30％。更糟糕的是，在数据入侵的统计中，数据库入侵高达75％（参见下图）。由于敏感信息往往是储存在一个单独的数据库中，一次简单的入侵就可能导致企业遭受重大损失。

数据来源：Verizon 2009数据破坏调查报告，基于2008年2亿8500万次累计攻击数据
制图：.com安全频道

“认真研究一下，你会发现安全威胁在很大比例上都来自于数据库，”企业安全咨询公司Securosis创始人兼分析师Rich Mogull说。还有大多数的信息安全管理员都是在IT网络背景下成长起来，对数据库技术并不了解太多，他另外说到。最近Forrester Research的研究也发现，大多数数据库管理员仅花费不到5％的时间来保证数据库的安全。

“我要说的是，在我就安全性问题开会的时候，三次里至少有两次数据库方面的人不来参加，”Gartner的信息安全和隐私研究主管Jeffrey Wheatman说。“我认为这是一个大问题，因为当你要对一个不太明白的东西进行监测或要保证它的安全，你需要请一位这方面的专家来帮助你。”

此前，.com也曾刊载专家分析文章称，由于企业数据库系统用户众多，涉及数据库管理员、内部员工及合作方人员等，网络管理非常复杂，数据库的审计已经成为燃眉之急。

许多数据库的安全漏洞仅仅是由简单的安全工作失误造成的。在2008年的调查中，IOUG（the Independent Oracle Users Group，独立Oracle用户组织）发现，有26％的企业安装Oracle数据库的安全补丁的时间超过了6个月，而有11％的企业竟然从来没有给它们打补丁。“生产数据库（production database）往往不能在第一时间得到最新的补丁，因为这些数据库服务器的访问非常繁忙，人们会说‘只要不出大问题，就不要去修补它’！”漏洞评估公司QuietMove的合伙人Adam Muntner说。

企业经常会犯一些错误，这使数据库变得更加脆弱，比如将测试数据库留在生产服务器上，或者把敏感数据链接到网络应用中，这就有可能被黑客轻松窃取。“我认为数据库面临的最大威胁就是与网络应用相链接和其中的业务逻辑漏洞，”Muntner说。

与网络应用密切联系会使数据库容易遭受SQL注入攻击——这个问题.com安全频道曾专门讨论过，指攻击者输入SQL代码形式的字符串到网络应用的薄弱区域。他们可以袭击连接到特定网络应用的数据库，也可以使用网络应用和数据库之间的链接，对整个数据库服务器发起更广泛的攻击。跟据IBM的ISS X-Force安全研究团队报告，SQL注入攻击在去年成为因特网最常见的针对基于数据库的网站漏洞的攻击方式，比起2007年增长了134％。相应地，应对SQL注入攻击，也需要进行全面防御。

【编辑推荐】