数据库安全的十个“段位”

数据已成为企业最重要的资产之一。我们通常将数据存储在数据库中，因此了解如何保护这些数据至关重要。

本文提供的十个“段位”可以帮助您为数据库安全定级。CISO和数据库管理员(DBA)可以使用”段位“来确定他们的安全成熟度级别并确定进一步改进的步骤。

01没有任何安全保护

等级1 适用于不安全的数据库。所有数据库都自带一定的安全级别，即使您没有采取任何措施来保护它们。

02标准安全和最低特权

等级2 适用于数据库和操作系统均按照行业标准和最佳实践进行配置的数据库。

此评级还要求所有数据库帐户的权限最低，这意味着授予帐户的权限是履行其职责所需的最低权限。

作为评级2要求的一部分，应该努力消除共享帐户。如果存在共享帐户，则不应经常使用它们，并且它们的凭据应保密。

对于内置于数据库中的特权共享帐户，尤其需要限制使用。Oracle中的SYS和SYSTEM或SQL-Server中的SA等数据库帐户不应经常使用，它们的密码应安全保存并限制访问。

例如，当应用程序使用特权帐户或共享帐户是我们运营方式的一部分时，此要求可能具有挑战性。但是，减少和控制这些帐户的使用对于安全至关重要。

03变更控制和元数据快照

等级3 适用于受变更控制的数据库。这意味着对元数据（例如用户、权限、配置和对象）的任何更改都应经过更改控制批准流程。

作为评级3要求的一部分，需要制作配置、用户、权限和对象元数据的每日快照。应及时调查和批准快照之间的更改。

本级别安全要求还建议将快照与类似数据库进行交叉比较，以确保一致和统一的配置、用户、权限等。

变更控制的挑战在于它可能很麻烦，而且往往被视为无用的繁文缛节。然而，缺乏对元数据更改的控制很快就会变成对数据的缺乏控制。

04会话监控和审查

等级4 适用于所有登录都受到监控和定期审查的数据库。应及时调查来自意外用户、程序或机器的登录。

破坏数据库安全的最简单方法之一是窃取凭证。例如，窃取DBA用户名和密码将授予攻击者对数据的无限制访问权限。监控登录可以降低这种风险。

大多数数据库允许以最小的开销审计登录和失败的登录。实施挑战是通过报告提供对信息的有效审查。

05基本的SQL审计（DDL&DML）

等级5 适用于定期记录、报告和审查高风险SQL活动的数据库。

高风险SQL活动包括：

• 所有DDL（包括DCL）——修改数据库配置、对象、用户、权限等的SQL；
• 来自意外来源的DML，例如特权用户和特定程序。

该要求的目的是对不频繁和高风险的活动实施控制。审核异常活动通常不会产生性能开销，并且需要投入的时间也很少。实施方面的挑战主要如何对活动进行及时有效的审查。

06完整的SQL审计和网络加密

等级6 适用于在全面SQL审计下的数据库，其中所有潜在风险的SQL活动都会定期记录、报告和审查。

这转化为审计大量活动，包括查询。例如：

• 使用查询和DML访问敏感表；
• 所有DBA和特权用户活动；
• 来自高风险程序的所有活动，如SQL Plus、Management Studio等；
• 不是来自应用程序服务器的应用程序帐户的活动；
• 即使在数据库内部由存储过程或触发器执行的敏感活动。

等级6还要求所有数据库网络活动完全加密，以防止网络嗅探和欺骗。

此要求的目标是开始对SQL活动应用严格的安全措施并防止许多网络攻击。

网络活动加密在大多数数据库中都是免费内置的，而且很容易开启。此要求中的主要实施挑战是在没有适当解决方案的情况下审计过多活动可能会对数据库性能产生重大影响。第二个挑战是实现有效的报告，以最少的时间投入及时审查信息。

在寻找审计解决方案时，请注意一些产品没有避免数据库性能开销，而另一些产品不支持网络加密。

07会话异常检测和告警

评级7 适用于对异常活动源进行自动检测和警报的数据库。与评级4中执行的手动会话审查不同，此评级需要能够检测活动源配置文件变化并实现告警的自动化。

包括：

• 对连接到数据库的新用户、程序、机器或它们的组合发出警报；
• 检测共享帐户（多个个人使用的帐户）以及使用多个帐户的个人。

此要求的目的是通过自动化来补充人工审查，以注意到并突出异常活动。这有助于避免意外疏忽，并确保快速检测和响应。实施需要适当的解决方案来执行分析。

08SQL异常检测与告警

评级8 适用于对异常SQL活动进行自动检测和警报的数据库。与评级5和6中的手动SQL审查不同，此评级需要能够分析数据库中所有SQL活动（包括应用程序活动）的自动化。

包括：

• 不寻常的应用程序行为，如潜在的SQL注入；
• 异常活动水平。例如，执行的SQL数或访问的行数异常多；
• 在一天中的奇怪时间活动；
• 涉及敏感表的新SQL。

此要求的目标远不止避免意外疏忽和缩短检测时间。其目的是对无法进行人工审查的数据库中的大量活动进行控制。

即使是低活跃数据库每天也可能执行数百万次SQL查询，如果没有自动化，就不可能对它们应用任何级别的控制。该级别安全的实施需要能够以低开销捕获所有活动并执行分析的软件。

09主动取证审查

评级9 适用于定期进行主动活动审查的数据库。这意味着熟悉数据库活动概况的人员会定期检查活动（例如每月一次）。

审查的目的是确定可能未被发现的行为，包括内部滥用和外部攻击。检查还可以突出控制、风险做法等方面的差距。

该级别实施需要一个解决方案，能够以最小的开销捕获所有活动，精简并将其存储在合理容量的磁盘空间中，并提供取证工具来分析和审查它。

10限制对DBA和应用程序的访问

等级10 适用于限制访问帐户的数据库，例如DBA帐户、特权帐户和应用程序帐户，否则对数据的访问将不受限制。

此类限制通常不是本机数据库功能的一部分，可能包括：

• 防止特权帐户访问他们不应访问的模式、表或对象。例如，DBA帐户通常不应访问数据；
• 阻止不应访问它的程序或机器访问该帐户。例如，只有应用程序和应用服务器才能访问应用帐号；
• 阻止在不应该使用数据库的时间访问帐户；
• 防止帐户访问比预期更多的数据（速率限制）；
• 通过要求安全人员预先授权某些特权活动来强制分离职责。

该级别安全控制需要一个单独的特权访问控制解决方案来实施，因为它超出了本地数据库的预防控制。对数据库应用预防控制会带来阻止合法活动的操作风险。因此，必须按照适当的最佳实践谨慎部署此类措施，以最大程度地减少中断的可能性。