数据库安全威胁有哪些

数据库系统10个最常见的安全威胁及对应办法：

• 滥用过高权限

  当用户被授予超出了其工作职能所需的数据库访问权限时，这些权限可能会被恶意滥用。例如，在给业务系统分配数据库账号时，直接分配了DBA或者其他超级权限，导致知晓此账号密码的管理员或业务开发人员，可以通过此账号操作或查询本来不属于他使用的数据。原因很简单，数据库管理员没有为每个用户定义细化的访问权限控制机制，从而使给定的用户拥有了过高的权限。因此，此用户就被授予了远远超出其特定工作需要的访问权限。

  对应办法：防止滥用过高权限-细粒度访问控制

  应对过高权限的解决办法是进行细粒度的访问控制，将数据库的权限控制限制到细粒度的SQL操作和访问对象。大部分的数据库管理软件实现了某种程度的细粒度的访问控制，但是这对于大部分DBA来说，为大量的数据库用户定义细粒度的权限很困难，并且要随着业务的变化进行更新。因此，大部分的单位的情况是，数据库账号使用了一组过高的通用型访问权限。实际上，各单位客户都需要一种更加直观的细粒度权限控制方式。

• 滥用合法权限

  用户还可能将合法的数据库权限用户未经授权的目的。假设一个的医务人员拥有可以通过WEB应用查看药方使用统计信息的权限，正常情况下，他需要定期进行数据统计，从而掌握整个科室的用药信息。但是实际情况下，可能此医务人员的业务系统账号，其他同事也知道，那就存在数据被非法统方的可能。目前滥用合法权限是一种较难控制的行为。

  对应办法：防止滥用合法权限-了解数据库访问的场景

  应对滥用合法权限的解决办法是通过调查清楚客户端IP、时间、账号、统计对象等信息，可以识别以可疑方式使用合法数据库访问权限的情况。这种情况，一般通过数据库系统本身不易配置。

• 权限提升

  黑客可利用数据库软件的漏洞将普通账号的权限转换为管理员权限，从而给数据库数据带来泄漏的危险。

  对应办法：防止权限提示-高危操作控制

  只要将普通账号的操作权限限定其只能使用有限的数据、操作有限的命令，而不能操作系统表、不能操作系统对象、不能执行提权操作，就可以做到防止普通账号的权限被提权。

• 数据库漏洞

  目前，大部分常用的数据库都有成百上千的漏洞，数据库需要经常打补丁，才能防止漏洞被利用，但是由于业务系统历史性及重要程度，有大量的业务系统数据库并未进行正常打补丁工作。黑客就可能利用数据库软件的漏洞将普通账号的权限转换为管理员权限，从而给数据库数据带来泄漏的危险。

  对应办法：防止权限提示-数据库漏洞攻击防御

  很明显，对于数据库漏洞问题，如果DBA能够与数据库厂商同步，更新按照数据库补丁的话，数据库被攻击的可能性将降到最低。

• SQL注入

  在SQL注入攻击中，入侵者通常将未经授权的数据库语句注入到有漏洞的通信中。通常情况下，攻击所针对的数据通信是WEB应用程序输入参数或者是存储过程。然后这些注入的语句被传到数据库中并执行。利用SQL注入，黑客可以不受限制地访问数据库内容。

  对应办法：防止SQL注入-SQL注入防御和业务系统代码修复

  如果业务系统代码、存储过程经过严格代码安全检查，基本可避免SQL注入攻击。但是，大部分的应用由于开发人员技术水平不一，并未进行严格的代码检查，就会存在SQL注入的可能性。

• 审计记录不足

  自动记录对数据库操作行为是目前数据库安全管理不可分割的一部分。如果数据库审计不足，则单位在很多级别上面临严重风险：比如合规性风险、事后审计检查等。目前，通常情况下，都会采用第三方独立数据库审计设备，进行数据库操作行为全访问审计。

  对应办法：防止审计记录不足-采用第三方独立数据库审计设备

  使用第三方独立数据库审计设备均可防止数据库审计记录不足的问题。

• 拒绝服务

  拒绝服务攻击背后的动机是多种多样的。但是无论是由什么原因造成，拒绝服务攻击对于很多组织来说都是严峻的威胁。

  对应办法：防止拒绝服务-抗DDOS

  防止拒绝服务攻击需要在多个级别进行保护。网络、业务系统和数据库级别的保护都是很有必要的，最常见的防护手段是采用DDOS攻击防御类产品。

• 数据库通信协议漏洞

  在所有数据库供应商的数据库通信协议中，发现了越来越多的安全漏洞。针对这些漏洞的欺骗性活动包括未经授权的数据访问、数据破坏等。

  对应办法：防止数据库通信协议漏洞-数据库漏洞攻击防御

  对于数据库通信协议漏洞问题，如果DBA能够与数据库厂商同步，更新按照数据库补丁的话，数据库被攻击的可能性将降到最低。但实际情况是，绝大部分都不怎么打补丁。

• 身份验证不足

  如果身份验证机制薄弱，可以使攻击者通过暴力攻击或以其他方式获得登录验证信息，从而获得合法的数据库用户的身份。攻击手段多种多样，比如暴力破解、社会工程、直接窃取（抄写、偷看、键盘记录等）。

  对应办法：防止身份验证攻击-身份验证保护

  可通过较强实用的身份验证方式和策略进行保护，比如实施强密码策略(最小长度、字符多样化等)。也可以采用第三方墙身份验证手段，比如可以使用双因素认证、堡垒主机等。

• 备份数据暴露

  通常情况下，备份数据库存储介质对于攻击者是毫无防护措施的。因此，在若干起著名的安全破坏活动中，比如CSDN账号泄露、开房信息泄露等。都是由于备份的历史库被窃取。

  对应办法：防止备份数据暴露-备份服务器安全和数据库加密

  首先保证备份的数据是备份在受到严格保护（比如采用防火墙、IPS、防病毒等）的服务器上。另外如果要提高更进一步的安全性，即使授权管理员通过备份服务器获取到数据库备份，也不应该能够读取数据。那么数据库备份应该使用数据库透明加解密设备实施加密存储。