数据库安全机制

这些安全机制用于保障数据库的安全运行、数据资源安全以及系统容灾备份

数据库加密

数据库加密是指对数据库存储或传输的数据进行加密处理，以密文形式存储或传输，防止数据泄密，保护敏感数据的安全性。

数据库加密方式主要分为两种类型:

• 与数据库网上传输的数据，通常利用 SSL 协议来实现
• 数据库存储的数据，通过数据库存储加密来实现。

按照加密组件与数据库管理系统的关系，数据库存储加密可以分成两种加密方式

• 库内加密：指在 DBMS 内部实现支持加密的模块
• 库外加密：指在 DBMS 范围之外，由专门的加密部件完成加密/解密操作

数据库存储加密的常用技术方法

• 基于文件的数据库加密技术：将数据库文件作为整体，对整个数据库文件进行加密, 形成密文来保证数据的机密性
• 基于记录的数据库加密技术：将数据库的每一个记录加密成密文并存放于数据库文件中
• 基于字段的数据库加密技术：加密数据库的字段，以不同记录的不同字段为基本加密单元进行加密

数据库防火墙

数据库防火墙通过 SQL 协议分析，根据预定义的禁止和许可策略让合法的 SQL 操作通过，阻断非法违规操作，形成数据库的外围防御圈，实现 SQL 危险操作的主动预防、实时审计。

面对来自外部的入侵行为，数据库防火墙提供 SQL 注入禁止和数据库虚拟补丁包功能。通过虚拟补丁包，数据库系统不用升级、打补丁，即可完成对主要数据库漏洞的防控。

数据库防火墙的安全作用

(1)屏蔽直接访问数据库的通道。数据库防火墙部署介于数据库服务器和应用服务器之间，屏蔽直接访问的通道，防止数据库隐通道对数据库的攻击。

(2)增强认证。应用程序对数据库的访问，必须经过数据库防火墙和数据库自身两层身份证。

(3)攻击检测。可实时检测用户对数据库进行的 SQL 注入和缓冲区溢出攻击，并报警或阻止攻击行为，记录攻击操作发生的时间、来源 IP、登录数据库的用户名、攻击代码等详细信息。

(4)防止漏洞利用。捕获和阻断数据库漏洞攻击行为， 如利用 SQL注入特征库可以捕获和阻断数据库SQL注入行为，实现虚拟化补丁，保护有漏洞的数据库系统。

(5)防止内部高危操作。系统维护人员、外包人员、开发人员等具有直接访问数据库的权限，可能有意无意地进行高危操作对数据造成破坏。通过数据库防火墙可以限定更新和删除影响行,限定无where的更新和删除操作，限定 drop，truncate 等高危操作避免大规模损失。

(6)防止敏感数据泄露。黑客、开发人员可以通过应用批量下载敏感数据， 内部维护人员可以远程或本地批量导出敏感数据。通过数据库防火墙可以限定数据查询和下载数量，限定敏感数据访问的用户、地点和时间。

(7)数据库安全审计。对数据库服务器的访问情况进行独立审计，审计信息可以包括用户名、程序名、IP 地址、请求的数据库、连接建立的时间、连接断开的时间、通信量大小、执行结果等信息。

数据库脱敏

数据库脱敏是指利用数据脱敏技术将数据库中的数据进行变换处理，在保持数据按需使用目标的同时，又能避免敏感数据外泄

数据脱敏指按照脱敏规则对敏感数据进行的变换，去除标识数据，数据实现匿名化处理，从而实现敏感数据的保护。

常见的数据脱敏技术方法

• 屏蔽
• 变形
• 替换
• 随机
• 加密

数据库漏洞扫描

数据库漏洞扫描模拟黑客使用的漏洞发现技术，对目标数据库的安全性尝试进行安全探测分析，收集数据库漏洞的详细信息，分析数据库系统的不安全配置，检查有弱口令的数据库用户。

通过数据库漏洞扫描，跟踪监控数据库安全危险状态变化，建立数据库安全基线，防止数据库安全危险恶化。

数据库漏洞扫描的商业产品

• NGSQurrel for Oracle
• XSecur-DBScam

学习参考资料：

信息安全工程师教程（第二版）

建群网培信息安全工程师系列视频教程

信息安全工程师5天修炼