墨菲定律视角下的数据库入侵防御

作者：汉领信息 两块

企业对数据资产的安全防护存在多项工作，数据备份安全、数据存储安全、数据脱敏及加密……以可用性为主的业务安全观点人群中，大多还没有完全理解数据库安全的重要性，而据前瞻性统计发现，越来越多的企业信息安全负责人开始将数据库安全细分领域列入自己的备忘清单。业务连续性为企业组织的根本核心，而业务安全和数据安全是企业长久发展的安全保障，在以企业数据资产为核心竞争力的现下，数据库作为企业组织“核心竞争力”–数据资产–的容器，承载了企业核心数据，成为业务运行和数据保护的基础设施，数据库的安全防御问题已跃至CTO/CIO的工作内容象限的榜首。

企业组织的数据库体系，不仅仅是数据库软件平台本身，不会流动的数据没有意义，当我们考虑数据库安全的时候，显然我们需要合理评估数据库的受攻击面大小，数据库访问涉及的认证、授权和审计问题，由于开发人员疏忽带来的软件漏洞和运维人员的管理不善等。各种各样的风险都可能产生并带来可怕的后果，笔者实验室通过收集各漏洞平台及企业安全运营者的反馈数据库安全信息，参考OWASP TOP 10制定了数据库应用防御的十大数据库风险威胁列表。

十大数据库安全威胁（DB Vuln Top 10）

1 权限滥用

2 特权提升

3 数据库软件漏洞

4 SQL注入

5 审计记录缺失

6 拒绝服务

7 通信协议漏洞

8 身份验证不足

9 敏感数据泄露

10 安全配置不规范

答案就是墨菲定律，它阐述了一个事实：如果事情有变糟糕（发生）的可能，不管这种可能性有多小，它总会发生。

此后在技术界也不胫而走，并不是我要将其强加在数据库安全领域，因为它道出了一个法则，即安全风险必将由可能性变为突发性的事实。

从墨菲定律来观察数据库入侵防御，我们要持以积极的态度，既然数据库安全风险一定会发生，那我们一定要顺应必然性，积极应对，做好事件应急和处置。在数据库安全防御方面来说，要科学合理规划全面积极的应对方案，必须做到事前主动防御、事中及时阻断、事后完整审计。

根据墨菲定律可总结对数据库入侵防御的启示：

1 不能忽视数据库风险小概率事件

虽然数据库安全事件不断发生，但仍有一定数量的安全负责人认为，企业安全防护已经从物理层、网络层、计算主机层、应用层等进行了多重防御，网络边界严格准入控制，外部威胁情报和内部态势感知系统能完美配合，业务数据早已经过层层保护，安全威胁不可能被利用发生数据库安全事件。

由于小概率事件在一次实验或活动中发生的可能性很小，因此，就给人一种错误的理解，即在一次活动中不会发生。与事实相反，正是由于这种错觉，加大了事件发生的可能性，其结果是事故可能频繁发生。虽然事件原因是复杂的，但这却说明小概率事件也会常发生的客观事实。

墨菲定律正是从强调小概率事件的重要性的角度启示我们，虽然数据库安全风险事件发生的概率很小，但在入侵防御体系活动中，仍可能发生且必将发生，因此不能忽视。

2 在数据库安全中积极应用墨菲定律

1）强化数据库入侵防御的安全认知

数据库已经成为企业安全防护的核心，预防数据库不安全状态的意外性事件发生，认识数据库安全威胁事件可能发生的必然性，必须要采取事前预防措施，从网络层、应用层和数据库层，涵盖业务系统（中间件）和运维DBA，全面管控，提前谋划。既然数据库入侵事件无可避免，那一定要保证完整原始的数据库访问记录，以供审计取证留存证据，做到有据可查。

2）规范安全管理，正确认识数据库安全控制

安全管理的目标是杜绝事故的发生，而事故是一种不经常发生的意外事件，这些意外事件发生的概率一般比较小，由于这些小概率事件在大多数情况下不发生，所以，往往管理疏忽恰恰是事故发生的主观原因。墨菲定律告诫我们，数据库及业务数据的安全控制不能疏忽。要想保证数据库安全，必须从基础做起，对数据库的基本安全配置，要形成统一的安全基线，对数据库的访问行为要做到 “白名单化”，采取积极的预防方法和措施，消除意外的事件发生。

3）转变观念，数据库入侵防御变被动为主动

传统安全管理是被动的安全管理，是在安全管理活动中采取安全措施或事故发生后，通过总结教训，进行“亡羊补牢”式的管理。随着IT网络技术迅速发展，安全攻击方式不断变化，新的安全威胁不断涌现，发生数据库安全事件的诱因增多，而传统的网络型入侵防御系统模式已难于应付当前对数据库安全防御的需求。为此，不仅要重视已有的安全威胁，还要主动地去识别新的风险，主动学习，模态分析，及时而准确的阻断风险活动，变被动为主动，牢牢掌握数据库入侵防御的主动权。

1 数据库入侵防御系统串联与并联之争

数据库入侵防御系统，可以通过串联或旁路部署的方式，对业务系统与数据库之间的访问行为进行精确识别、精准阻断。不仅如此，合理使用还能具有事前主动防御和事后审计追溯的能力。

不过，部分用户认为旁路的阻断行为效果不佳，而串联进网络实现实时阻断，又担心影响业务访问时。

串联模式部署在业务系统与数据库中间，通过流量协议解码对所有SQL语句进行语法解析，审核基于TCP/IP五元组（来往地址、端口与协议）、准入控制因素和数据库 *** 作行为的安全策略，结合自主动态建模学习的白名单规则，能够准确识别恶意数据库指令，及时阻断会话或准确拦截恶意 *** 作语句。串联模式部署最大风险在于不能出现误判，否则影响正常语句通过，此必需要系统的SQL语句解析能力足够精确，并且能够建立非常完善的行为模型，在发现危险语句时，能够在不中断会话的情况下，精准拦截风险语句，且不影响正常访问请求。因此，若想数据库入侵防御系统发挥最佳效果，必须串联在数据库的前端，可以物理串联（透明桥接）或逻辑串联（反向代理）。

旁路部署模式，目前常用方式是通过发送RESET指令进行强行会话重置，此部署方式在较低流量情况下效果最佳。如在业务系统大并发情况下，每秒钟SQL交易量万条以上，这种旁路识别阻断有可能出现无法阻断情况，且会出现延迟。有可能因为延迟，阻断请求发送在SQL语句执行之后，那么反倒影响了正常业务请求。所以在高并发大流量场景下，如果要实现实时精准阻断拦截效果，就要求数据库入侵防御系统具有超高端的处理性能。

至于串联部署还是旁路部署更为合适，需要匹配相应的业务系统场景。数据库入侵防御系统最终奥义是它的防御效果，即对风险语句的精准阻断能力，从墨菲定律对比分析，旁路部署有阻断请求的可能性则必然会发生。而串联存在影响业务访问的担忧，那它始终都会发生，而正视这种风险，让我们对数据库入侵防御系统的精准阻断能力有更高要求，尽可能将这种风险降到最低。

2 数据库入侵防御系统串联实时同步阻断与异步阻断之争

相对数据库入侵防御系统的串并联之争来讲，串联实现同步阻断与异步阻断更为细分了，市面上存在两类串联的数据库入侵防御系统；

一类就是以IBM Guardium为代表的本地代理引擎在线监听异步阻断，当有危险语句通过代理到DBMS时，代理会将内容信息副本发至分析中心，由中心判断是否违法或触犯入侵防御规则，进而给代理程序发出阻断指令，很显然这种部署的好处是不局限与数据库的网络环境，ip可达即可，而坏处就更明显了，那就是agent与Center通信期间，sql访问是放行的，也就是如果在前面几个包就出现了致命攻击语句，那么这次攻击就会被有效执行，即防御体系被有效绕过。

另一类就是以国内厂商汉领信息为代表的串联实时同步阻断，当有危险语句通过串联数据库入侵防御系统时，入侵防御系统若监测到风险语句，立马阻断；无风险的语句放行，这种模式及立马分析立马判断。也很显然，这种部署模式的好处是小概率事件或预谋已久的直接攻击语句也会被实时阻断；而坏处也非常明显，那就是处理效率，如果数据库入侵防御系统处理效率不行，那就会出现排队等待的状态，业务的连续性就造成了影响。关键就是要把握这个平衡点，至少要达到无感知，这个点的取舍就取决于各个数据库安全厂商处理sql语句的算法能力了。

墨菲定律并不复杂，将它应用到数据库入侵防御领域，揭示了在数据库安全中不能忽视的小概率风险事件，要正视墨菲定律转为积极响应，应充分理解墨菲定律，抵制 “数据库层层保护不存在风险”、“别人都是这样做”、“数据库入侵防御系统并联不会误阻断” 等错误认识，牢记只要存在风险隐患，就有事件可能，事件迟早会发生，我们应当杜绝习惯性认知，积极主动应对数据库安全风险。

数据库审计的功能有很多以及为什么要审计功能，我说几点重要的：

1、合规性审计

数据库审计系统能否满足国家数据安全相关法律法规以及各行业监管的“合规性要求”，是各单位风控部门关注的重点。近几年，针对个人隐私和敏感数据保护的要求不断提高，包括金融、教育、医疗、政务等等以及互联网在内的各个行业纷纷加强了对个人信息保护的关注和投入力度，一系列面向个人信息保护的法律、规范和要求也相继推出。在此背景下，数据库审计系统需要根据“合规性要求”，形成具有针对性的监测与审计报告，帮助各单位全面了解合规风险与合规状况。

2、风险监控

数据库审计系统的“风险监控能力”，是各单位安全部门关注的重点，包括是否存在对数据资产的攻击、口令猜测、数据泄露、第三方违规 *** 作、不明访问来源等安全风险。因此，系统需要支持更加全面、灵活的策略规则配置，准确的规则触发与及时告警的能力，从而在第一时间发现并解决风险问题，避免事件规模及危害的进一步扩大。此外，数据库审计系统应具备自动化、智能化的学习能力，通过对重要数据资产访问来源和访问行为等的“学习”，建立起访问来源和访问行为的基线，并以此作为进一步发现异常访问和异常行为的基础。

3、系统检测

数据库审计系统的“系统监测能力”，是企业运维部门关注的重点，包括数据资产是否存在异常访问、失败访问或异常 *** 作，以及数据访问详情和系统性能等运维管理问题。因此，需要通过审计系统的监测告警能力，及时发现系统风险或异常运行状况，从而进一步规范运维过程、提升运维效率。

纯属个人意见，希望采纳~安华金和的数据库审计不错，推荐你咨询下他们。你可以采纳我的建议，不懂的可以继续追问哦

现在市面上做数据库审计的安全厂商对外说的功能都差不多，满足合规要求、风险监控与告警、对数据库性能监控、告警方式支持的类型多，生成的报表种类多，确实是，我说下我的观点：

1、合规性审计

数据库审计系统能否满足国家数据安全相关法律法规以及各行业监管的“合规性要求”，是各单位风控部门关注的重点。近几年，针对个人隐私和敏感数据保护的要求不断提高，包括金融、教育、医疗、政务等等以及互联网在内的各个行业纷纷加强了对个人信息保护的关注和投入力度，一系列面向个人信息保护的法律、规范和要求也相继推出。在此背景下，数据库审计系统需要根据“合规性要求”，形成具有针对性的监测与审计报告，帮助各单位全面了解合规风险与合规状况。

2、风险监控

数据库审计系统的“风险监控能力”，是各单位安全部门关注的重点，包括是否存在对数据资产的攻击、口令猜测、数据泄露、第三方违规 *** 作、不明访问来源等安全风险。因此，系统需要支持更加全面、灵活的策略规则配置，准确的规则触发与及时告警的能力，从而在第一时间发现并解决风险问题，避免事件规模及危害的进一步扩大。此外，数据库审计系统应具备自动化、智能化的学习能力，通过对重要数据资产访问来源和访问行为等的“学习”，建立起访问来源和访问行为的基线，并以此作为进一步发现异常访问和异常行为的基础。

3、系统检测

数据库审计系统的“系统监测能力”，是企业运维部门关注的重点，包括数据资产是否存在异常访问、失败访问或异常 *** 作，以及数据访问详情和系统性能等运维管理问题。因此，需要通过审计系统的监测告警能力，及时发现系统风险或异常运行状况，从而进一步规范运维过程、提升运维效率。

安华金和的数据库审计的口碑不错，性能稳、审计全、无漏审，推荐你咨询下他们。"

收缩数据库有一定的风险！！空间够得话备份一下吧！！以防万一！！

注意：

1：不要再系统繁忙的时候做！会造成系统繁忙！估计用户会有反应的

最好是在没人用的情况下收缩数据库，如吃饭时间，这样不会对系统造成太大的影响

2：频繁做收缩，那索引碎片会越来越多，查询会越来越慢

肯定是需要维护的，而且要根据网站的运营情况和公司的实际需求进行维护和优化。网站数据库的维护工作的内容如下:

确定网站程序、数据库类型

日常备份

*** 作维护备份

*** 作修改过程

一、网站基础维护

1、内容更新2、修改3、简单Flash修改4、简单Js效果

二、网站安全维护

1、病毒的防治

三、网站数据库维护

1、数据库备份2、数据库导入导出3、数据库的迁移4、数据库数据的恢复和还原5、数据库后台维护

四、故障恢复

1、数据库数据丢失找回

2、网站程序恢复

五、基础优化

1、进行w3c标准优化

一、确定网站程序类型和数据库类型，并取得一下信息

1、取得FTP账号信息，2、如果是大型数据库（例如sqlserver和mysql等），要取得数据库账号信息3、

域名管理信息

二、原始备份在取得网站信息后要对网站进行原始备份，包括数据库数据和网站程序，以下为备份过程：

i以汉语拼音或者英文的第一个字母为文件夹名称，对网站进行分类，便于查找

ii每个文件夹内再建立2-3个文件夹，分别存放，网站原始备份，修改备份，数据库文件以及备份（如果是aess数据库可以和程序放在同一个文件夹内，备份文件以文件名加日期命名）

三、网站修改

1、每次修改从ftp下载最新的文件进行修改，上传之前,需要在ftp备份原文件，以文件名加日期来命名，例如（indexasp命名为indexasp1022）,并及时更新原始备份

2、如果是从网站后台直接拷贝的代码模板进行修改，需要将原模板代码备份到本地文件夹，再将修改好的代码上传。

四、定期备份

1、程序文件每月一号进行一次备份，可采用覆盖原始备份的方式进行备份，如果有重要更新，随时进行一次单独备份，同时保留旧备份，数量为2

2、数据库文件

1）aess数据库可以通过手动的方式每周五备份一次，如果客户要求可以备份。备份保留数量为5份

2)大型数据库，例如sqlserver和mysql，每周五通过服务器控制面板备份，客户要求可以备份。并在本地电脑上通过数据导入导出每15天备份一次，不需要保留旧数据。

3）如果是独享主机可以通过软件在服务器是自动差异备份，设定时间为每周五备份。并在本地电脑上通过数据导入导出每15天备份一次，不需要保留旧数据。

4）若进行数据库结构修改 *** 作，需要对数据库进行完全备份。

网络数据库的重要性

数据库作为应用系统基础的组成部分，其重要性不言而喻。数据库一旦崩溃，将会给企业带来巨大的压力，面临的业务需求与挑战。随着IT技术的发展，企业的应用系统越来越复杂，数据库作为应用系统基础的组成部分，其重要性不言而喻。对于企业而言，一旦数据库崩溃或者数据库的性能降低，那么会直接导致依赖于数据库的应用系统运行速度缓慢或者根本无法使用，其最终结果不仅仅是会影响应用系统的使用效率，甚至会造成企业客户和利润的流失。更有甚者，对于某些企业来说，其日常的运营完全依赖于业务系统，那么一旦业务系统所使用的数据库崩溃，那么会对企业造成根本性的伤害，或者会影响到企业的正常运营。我们为客户带来什么提高管理员的工作效率，改善企业的数据库使用环境

数据库在使用中所出现的问题，可能由表空间、文件系统、数据文件、进程等组件当中的任意一个造成，甚至有可能是由于某一个SQL语句的性能太差造成。因此，当数据库出现问题，彻查问题的根本原因成为重复、繁杂的劳动，MochaBSM将管理员从重复劳动中脱离出来，以主动管理的方式，为管理员提供自动化的监控管理，一旦数据库出现问题，可以马上通知相关的管理员。提前识别可能伤害数据库性能的事件，并采取预防性措施，减少应用停用为企业带来的伤害系统提供了70多个重要的性能指标，一旦性能出现问题，立刻产生相应的事件和报警，并可通过短信、语音等形式主动将事件和报警推送给管理员，让管理员能够实时了解当前的系统运行数据与运行状况，及时解决数据库所存在的问题，防止问题进一步的严重。

监控颗粒度细化，为管理员提供更详尽的信息，便于管理员有依据的优化数据库性能除了监控数据库、表空间、数据文件等组件，系统还可以深入到SQL语句的监控，提供SQL语句排名，可检测性能欠佳的SQL语句，让管理员能够有依据、有针对性的优化数据库的性能，简化管理员的维护工作。

数据库可视化监控，一目了然，降低技术门槛

除了提供详尽、实时的数据，系统还可提供给使用者可视化的监控方式，使用者不必具有专业的数据库知识，也可以了解到数据库的当前状况。

保障业务不间断和连续性，降低运行风险

通过对数据库可用性和性能的监控，保证数据库的健康运行，确保依赖于数据库的业务系统的正常运

行，减少系统的停用时间。

关键功能与亮点

支持主流的数据库，包括

·MSSQLServer2000、2005

·OracleDB9i、10g

·MySQL

·DB2

自动发现被监控的数据库，并且可自动发现数据库上的数据库表和表空间，然后进行监控。

对以下关键组件进行针对性的监控

·数据库

从CPU、内存、连接、锁、事务等方面来监控数据库的性能。

·表空间

数据文件

进程

*** 作系统的文件系统

除了数据展现，更提供可视化的监控方式，可以对文件系统运行情况进行查看和检索。

提供数据库配置的监控，当数据库的配置发生变更，例如数据库内存配置方面的变更等，以不同的颜

色标记配置变更记录，并且系统可第一时间通知管理员所发生的变更。

监控粒度更加细化，提供对于SQL语句的排序，可查看性能较差的SQL语句，为管理员优化数据库提供依据，能够预防更严重问题的发生。

关于数据库的运行数据，系统提供了丰富的报表、报告，并可导出各种文件形式，应用于其他文档。

应用可视化管理，可直观的展现给用户数据库监控的各种数据，让用户对于应用运行的情况有更清晰、直接的感受。

整合ITM、Smarts等第三方软件，便于用户通过一个Portal，了解到全局的信息。

提供宕机的根本原因分析，帮助管理员更快解决问题，使最终用户得到更高品质的应用服务。

一旦系统发生故障，系统生成事件，通过短信，邮件和语音等方式通知关键管理人员。

保护敏感信息和数据资产大多数企业、组织以及政府部门的电子数据都保存在各种数据库中。他们用这些数据库保存一些个人资料,比如员工薪水、医疗记录、员工个人资料等等。数据库服务器还掌握着敏感的金融数据,包括交易记录、商业事务和帐号数据、战略上的或者专业的信息,比如专利和工程数据,甚至市场计划等等应该保护起来防止竞争者和其他非法者获取的资料。数据库服务器还保存着一些有关员工详细资料的东西比如银行帐号、xyk号码,以及一些商业伙伴的资料。

以安华金和数据库防火墙为例，主要功能与特点有：学习期行为建模，数据库防火墙可基于学习期完成语句、会话的建模分析，构建数据库安全防护模型。并且具备语法分析能力，可以对 SQL 语句进行抽象描述，将海量的 SQL 语句归类成 SQL 模板。基于 SQL 模板关联会话信息，可预定义数据库黑白名单和风险规则。

数据库入侵行为防护， 外部系统利用数据库漏洞进行数据库攻击时，数据库防火墙可以实时捕获到对应的 SQL 语句及相关会话信息，及时阻断风险会话并发送告警，帮助用户实时防护数据库漏洞攻击并有效追溯风险来源。

针对 SQL 注入和 XSS 攻击行为数据库防火墙基于精准的 SQL 语法分析，可以准确定位 SQL 语句中的 *** 作谓词及常量表达式，保障注入、攻击行为防护的准确性。

数据库违规行为防护，数据库防火墙提供丰富的规则类型，可以针对不同的数据库访问来源，提供对敏感表的访问权限、 *** 作权限和影响行数的实时有效管控，并结合对NO WHERE语句风险的判断，避免大规模数据泄露和篡改。

数据库异常行为监控，数据库防火墙可对数据库通讯协议进行完全解析，将 SQL 语句归类成模板，并结合会话信息、应用关联信息，实现学习期行为建模，并以学习期建立的模型为“蓝本”，对数据库访问行为进行周期性对比，以此绘制行为趋势图，快速定位“波动点”识别可能存在的异常行为并预定义风险规则，帮助用户准确定位异常行为。

阻断与拦截功能，数据库防火墙支持会话阻断，可准确定位风险来源并阻断会话请求。在会话阻断的基础上，提供“语句拦截”的处理机制，仅针对会话里产生风险的 SQL 语句进行拦截，保持会话内其他合规语句的正常 *** 作。

行为审计功能，数据库防火墙从风险、语句和会话的角度提供风险行为的审计功能，用户可以在此基础上进行关联查询，深入挖掘风险来源和风险行为模型，实现数据库风险行为分析和问题追溯。

提供多样化的风险分析报表，数据库防火墙可实现将报表划分为“风险综合分析报告”、“风险防护报告”、“数据库风险分析”、“客户端风险分析”等，帮助安全管理人员更加便捷、深入的剖析数据库运行风险。

在信息管理方面首先数据库管理优于文件管理

数据库管理阶段是继文件管理阶段之后出现的,他自然克服了文件管理的缺陷

从成本和风险方面来说,主要有几个方面:

1数据库管理系统已经全面针对信息管理和处理及安全方面进行了多年的持续开发,做的非常完善,但风险很小如大多数企业级数据库产品都支持SQL查询,网络并发访问和事务,以及很高的安全性(如:灾难恢复)等要求

2数据库管理系统做的非常完善,自然成本很高

3基于文件管理的信息系统,首先文件的管理得借助 *** 作系统的帮助,无法自成系统,等等,无法和数据库管理系统相提并论,且已经淘汰

以上就是关于墨菲定律视角下的数据库入侵防御全部的内容，包括:墨菲定律视角下的数据库入侵防御、什么是数据库的审计功能，为什么要提供审计功能、每个路过答答什么是数据库审计功能，为什么要提供审计功能等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！