復雜的后端系統(tǒng)中，企業(yè)數(shù)據(jù)庫中的關(guān)鍵信息極易受到網(wǎng)絡威脅。以下方法可以幫助企業(yè)在很大程度上保護數(shù)據(jù)庫：
• 隔離Web服務器和數(shù)據(jù)庫
• 設置Web應用程序防火墻(WAF)和反惡意軟件解決方案
• 實施數(shù)據(jù)加密和備份
• 用戶帳戶管理
• 定期更新和實施補丁
1、隔離Web服務器和數(shù)據(jù)庫
在同一臺機器上部署應用程序和數(shù)據(jù)庫會導致攻擊者更容易進入系統(tǒng)，因為只需破解一臺服務器的管理員帳戶就能訪問整個數(shù)據(jù)庫，這是一個巨大的安全漏洞。
為了保護企業(yè)的敏感信息不受未經(jīng)授權(quán)的訪問，IT管理員應該將服務器(應用程序和數(shù)據(jù)庫)保存在不同的物理機上。應用程序的高性能主機服務器可能最好，但為了存儲客戶的有價值數(shù)據(jù)，企業(yè)必須選擇單獨的數(shù)據(jù)庫服務器，該服務器需支持高級安全特性(如多因素身份驗證)和適當?shù)脑L問權(quán)限。
2、設置Web應用程序防火墻(WAF)和反惡意軟件解決方案
設置防火墻是阻止攻擊者的另一種有效方法。防火墻通過拒絕未經(jīng)授權(quán)的訪問來確保數(shù)據(jù)庫安全，但如果需要，它可以監(jiān)控公司員工訪問服務器的行為。例如，SQL注入是攻擊者為入侵系統(tǒng)而進行的最常見的攻擊，但這可以通過適當?shù)姆阑饓ε渲脕頇z查并防范。
一旦企業(yè)建立了數(shù)據(jù)庫，就應該確保計算機被防火墻完全保護，防火墻能夠過濾任何出站連接和任何想要訪問有用信息的請求(除了必要的請求)。此外，企業(yè)應該確保數(shù)據(jù)庫服務器也可以通過安裝反惡意軟件和反勒索軟件來防范惡意攻擊，或者只允許來自可信源或特定web服務器的訪問，定期檢查數(shù)據(jù)庫服務器上的防火墻規(guī)則，并定期通過網(wǎng)絡掃描或允許ISP掃描進行測試。另外，應該關(guān)閉數(shù)據(jù)庫服務器上從未使用或不必要的服務。
3、實施數(shù)據(jù)加密和備份
意外時刻都會發(fā)生，企業(yè)應該時刻準備好額外的保護層，以防止數(shù)據(jù)受到損害。這個額外的保護層可以通過加密實現(xiàn)，這樣攻擊者即使可以訪問數(shù)據(jù)庫，也需要再去破解密碼。
第一階段的加密需要使用應用程序服務器或數(shù)據(jù)庫服務器上的私鑰來實現(xiàn)。因此，即使攻擊者獲得對數(shù)據(jù)庫的訪問權(quán)限，他們也無法輕松解密或讀取數(shù)據(jù)。第二階段需要對傳輸中的數(shù)據(jù)進行加密，這意味著數(shù)據(jù)在通過網(wǎng)絡從應用服務器移動到數(shù)據(jù)庫服務器之前就被加密，反之亦然。
4、用戶帳戶管理
除了犯罪分子，企業(yè)的員工也可能會對有價值的數(shù)據(jù)構(gòu)成重大威脅。很多具有不同角色的用戶可能經(jīng)常訪問數(shù)據(jù)庫，他們可能沒有惡意，但仍有可能大規(guī)模泄露機密信息。這就是為什么管理用戶帳戶變得至關(guān)重要的原因。
企業(yè)應該盡量使訪問數(shù)據(jù)庫的用戶最少。只有在需要時，才應向授權(quán)用戶提供使用一次性密碼(OTP)技術(shù)訪問數(shù)據(jù)庫的權(quán)限，以避免用戶在其他時間進行任何未經(jīng)授權(quán)的訪問。應強制使用強密碼來訪問數(shù)據(jù)庫，數(shù)據(jù)庫憑據(jù)應以哈希加鹽法存儲，這樣它們就不可讀了。另外，應定期維護活動日志，以監(jiān)控與查詢和請求相關(guān)的所有活動。如果企業(yè)遇到數(shù)據(jù)泄露，審計和日志記錄可以幫助調(diào)查可疑活動。
5、定期更新和實施補丁
許多后端系統(tǒng)在其應用程序中使用第三方api、應用程序和插件，這可能是網(wǎng)絡罪犯的目標。為了解決這個問題，企業(yè)應該建立健全的應用更新系統(tǒng)，以避免網(wǎng)絡罪犯利用任何已知的漏洞對系統(tǒng)進行破壞。
保持所有第三方軟件、api和插件更新到最新版本，這些更新應該定期進行或者在API和插件供應商發(fā)布新補丁時進行，這確保了最新的版本能夠用最新的網(wǎng)絡威脅免疫系統(tǒng)。不僅如此，應用程序中不使用的插件、api或服務應該完全從系統(tǒng)中刪除或停用。
關(guān)于數(shù)據(jù)庫保護的其他建議
無論數(shù)據(jù)庫服務器受到多大程度的保護，攻擊者總有可能滲入系統(tǒng)，所以要經(jīng)常備份數(shù)據(jù)庫的加密副本，這就保證了即使數(shù)據(jù)庫被破壞時也可以恢復數(shù)據(jù)。
設置數(shù)據(jù)庫代理也可能是一個很好的解決方案，因為它位于應用程序和數(shù)據(jù)庫之間。它能解析查詢，只接受來自應用程序服務器的請求，并阻止任何其他未通過可信源生成的請求。
數(shù)據(jù)庫安全對企業(yè)來說至關(guān)重要，企業(yè)有義務保護客戶的數(shù)據(jù)安全，以免造成任何法律后果并失去客戶信任。以上方法，不僅有助于保護數(shù)據(jù)庫，降低數(shù)據(jù)泄露處理不當?shù)娘L險，而且還可確保企業(yè)做好面對不可控攻擊的準備。
京公網(wǎng)安備 11010502049343號