账户密码保护秘笈 解析数据库威胁保护(1)
近两年，拖库现象频发，黑客盗取数据库的技术在不断提升。虽然数据库的防护能力也在提升，但相比黑客的手段来说，单纯的数据库防护还是心有余而力不足。数据库审计已经不是一种新兴的技术手段，但是却在数据库安全事件频发的今天给我们以新的启示。数据库受到的威胁大致有这么几种：
一、内部人员错误
数据库安全的一个潜在风险就是“非故意的授权用户攻击”和内部人员错误。这种安全事件类型的最常见表现包括：由于不慎而造成意外删除或泄漏，非故意的规避安全策略。在授权用户无意访问敏感数据并错误地修改或删除信息时，就会发生第一种风险。在用户为了备份或“将工作带回家”而作了非授权的备份时，就会发生第二种风险。虽然这并不是一种恶意行为，但很明显，它违反了公司的安全策略，并会造成数据存放到存储设备上，在该设备遭到恶意攻击时，就会导致非故意的安全事件。例如，笔记本电脑就能造成这种风险。
二、社交工程
由于攻击者使用的高级钓鱼技术，在合法用户不知不觉地将安全机密提供给攻击者时，就会发生大量的严重攻击。这些新型攻击的成功，意味着此趋势在 2012年继续。在这种情况下，用户会通过一个受到损害的网站或通过一个电子邮件响应将信息提供给看似合法的请求。应当通知雇员这种非法的请求，并教育他们不要做出响应。此外，企业还可以通过适时地检测可疑活动，来减轻成功的钓鱼攻击的影响。数据库活动监视和审计可以使这种攻击的影响最小化。
三、内部人员攻击
很多数据库攻击源自企业内部。当前的经济环境和有关的裁员方法都有可能引起雇员的不满，从而导致内部人员攻击的增加。这些内部人员受到贪欲或报复欲的驱使，且不受防火墙及入侵防御系统等的影响，容易给企业带来风险。
四、错误配置
黑客可以使用数据库的错误配置控制“肉机”访问点，借以绕过认证方法并访问敏感信息。这种配置缺陷成为攻击者借助特权提升发动某些攻击的主要手段。如果没有正确的重新设置数据库的默认配置，非特权用户就有可能访问未加密的文件，未打补丁的漏洞就有可能导致非授权用户访问敏感数据。
五、未打补丁的漏洞
如今攻击已经从公开的漏洞利用发展到更精细的方法，并敢于挑战传统的入侵检测机制。漏洞利用的脚本在数据库补丁发布的几小时内就可以被发到网上。当即就可以使用的漏洞利用代码，再加上几十天的补丁周期在多数企业中如此），实质上几乎把数据库的大门完全打开了。
六、高级持续性威胁
之所以称其为高级持续性威胁，是因为实施这种威胁的是有组织的专业公司或政府机构，它们掌握了威胁数据库安全的大量技术和技巧，而且是“咬定青山不放松”“立根原在"金钱有资金支持）"中”，“千磨万击还坚劲，任尔东西南北风”。这是一种正甚嚣尘上的风险：热衷于窃取数据的公司甚至外国政府专门窃取存储在数据库中的大量关键数据，不再满足于获得一些简单的数据。特别是一些个人的私密及金融信息，一旦失窃，这些数据记录就可以在信息黑市上销售或使用，并被其它政府机构操纵。鉴于数据库攻击涉及到成千上万甚至上百万的记录，所以其日益增长和普遍。通过锁定数据库漏洞并密切监视对关键数据存储的访问，数据库的专家们可以及时发现并阻止这些攻击。