数据防火墙串联部署在数据库服务器之前，解决数据库应用侧和运维侧两方面的问题，是一款基于数据库协议分析与控制技术的数据库安全防护系统。基于主动防御机制，实现数据库的访问行为控制、危险 *** 作阻断、可疑行为审计。之前跟安华金和接触过，他家是国内最早做数据库防火墙的厂家，做的也很专业。希望采纳~可百度了解更多。
当今社会，信息化、互联网技术高速发展，数据成为政府、金融、教育、医疗等各行业的核心资产，一旦数据被泄漏，会造成严重经济损失和不良的社会影响，因此数据库安全尤为重要。对于SQL注入攻击而言，已经有了Web防火墙，为何还需要数据库防火墙？两者之间的区别在哪？什么是数据库防火墙？
数据库防火墙是一款抵御并消除由于应用程序业务逻辑漏洞或者缺陷所导致的数据（库）安全问题的安全设备或者产品。
数据库防火墙一般情况下部署在应用程序服务器和数据库服务器之间，采用数据库协议解析的方式完成。但这并不是唯一的实现方式，你可以部署在数据库外部，可以不采用协议解析。从这个定义可以看出，数据库防火墙其本质目标是给业务应用程序打补丁，避免由于应用程序业务逻辑漏洞或者缺陷影响数据（库）安全。
常见的应用程序业务逻辑漏洞和缺陷：SQL注入攻击、CC攻击、非预期的大量数据返回、敏感数据未脱敏、频繁的同类 *** 作、超级敏感 *** 作控制、身份盗用和撞库攻击、验证绕行和会话劫持、业务逻辑混乱。
Web防火墙也能够防御SQL注入攻击，为什么还要部署数据库防火墙？
Web防火墙可以抵御的漏洞与缺陷：SQL注入攻击、XSS攻击、CSRF攻击、SSRF攻击、Webshell后门、弱口令、反序列化攻击、命令/代码执行、命令/代码注入、本地/远程文件包含攻击、文件上传攻击、敏感信息泄露、XML实体注入、XPATH注入、LDAP注入、其他。
从抵御范围来看，Web防火墙和数据库防火墙所承载的目标区别较大，SQL注入攻击攻只是两种不同防火墙的为数不多的交叉点。
数据库防火墙是SQL注入防御的终极解决方案
数据库防火墙和Web防火墙部署位置的不同，决定了两种不同产品对于SQL注入攻击的防御策略和效果会大不相同。
部署位置：Web防火墙作用在浏览器和应用程序之间，数据库防火墙作用在应用服务器和数据库服务器之间。
作用协议：Web防火墙作用在Http协议上，数据库防火墙一般作用在数据库协议上，比如Oracle SQL*Net，MSSQL TDS等。
更多的访问通道
通过http服务应用访问数据库只是数据库访问中的一种通道和业务，还有大量的业务访问和http无关，这些http无关的业务自然就无法部署web防火墙，只能依赖于数据库防火墙来完成。
总结
1. 数据库防火墙主要用来防御外部入侵风险，需要和内部安全管控适当分开。
2. 数据库防火墙主要聚焦点是通过修复应用程序业务逻辑漏洞和缺陷来降低或者消除数据（库）安全风险。SQL注入攻击是其核心防御风险，而 数据库漏洞攻击检测和防御则并不是必须的。
3. 由于SQL注入攻击和数据库漏洞攻击的伴生性，数据库防火墙往往具备数据库漏洞检测和防御功能。
4. Web防火墙不能替代数据库防火墙，Web防火墙是SQL注入攻击的第一道防线，数据库防火墙则是SQL注入攻击的终极解决方案。
我认为数据库防火墙不同于大家更为熟悉的数据库审计，根本区别在于两者防护原理有本质区别，数据库审计更像是摄像头，旁路监控数据库访问，发现威胁进行告警，但不做实质上的防御，实际上更偏向事后的追溯。而防火墙则更为直接，可以通过直接串联或旁路部署的方式，对应用与数据库之间的访问进行阻断拦截等 *** 作 ，拦截阻断安全威胁，起到事中防护的作用。数据库防火墙是串联部署，串联模式部署在应用系统与数据库之间，所有SQL语句必须经过数据库防火墙的审核后才能到达数据库，发起访问、 *** 作。基于漏洞特征库、SQL注入特征库、黑白名单等的细粒度安全策略制定，结合访问源、访问对象、访问行为、影响行数等准确解析结果，识别恶意数据库指令，及时采取中断会话或准确拦截语句的防御行为，串联部署最大的风险在于不能出现误判断，影响正常语句通过，这就要求数据库防火墙的语句解析能力足够精准，并且能够建立非常完善的行为模型，在发现危险语句时，能够在不中断会话的基础上，准确拦截风险语句，放行正常访问。因此，要想真正发挥防护效果，数据库防火墙必须串联在数据库的前端，可以是物理的（透明串接）或逻辑的（代理）串联。
数据库审计是旁路部署，是一款面向数据库可提供安全、审计、监控能力的一体化工具。能对数据库遭受到的风险行为进行告警，如：数据库漏洞攻击、SQL注入攻击、高危风险 *** 作等，旁路分析识别后再发出阻断请求。两者的区别还是很大的，安华金和专注数据安全行业，推荐你找他们了解下。更多内容可以百度一下。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）