互聯網解決方案
互聯網行業數據庫安全解決方案
行業痛點及需求

今年6月AcFun彈幕視頻(pín)網(俗稱:A站)發布消息稱網站受到黑客攻擊,近千萬條用戶數據外(wài)洩,包含用戶ID、用戶昵稱、加密存儲的密碼等信息。根據A站官網發布的《關于AcFun受黑客攻擊緻用戶數據外(wài)洩的公告》,A站曾在2017年7月7日升級了用戶賬号系統,但如果用戶在這個時間之後未登錄過網站,或者密碼加密強度不夠,則賬号仍然會存在洩露的風險。

近幾年的數據洩露事件層出不窮,從2017年雅虎30億用戶信息洩露、Uber 5700萬用戶賬号被竊取,到2018年新年伊始就爆出的美國國土安全部雇員(yuán)信息洩密事件,可謂一(yī)波又(yòu)一(yī)波,這次連二次元世界也不能幸免。縱觀這些數據洩露事件,大(dà)部分(fēn)都指向了信息安全中(zhōng)一(yī)個高對抗性的領域:Web應用安全以及背後的數據庫安全。

在今年5月份,Verizon公司剛剛發布了《2018 年數據洩露調查報告》,這也是Verizon連續發布的第11份數據洩露調查報告。在今年的報告中(zhōng),Verizon團隊一(yī)共分(fēn)析了53,000起事件和2,216起确認的數據洩露事件,詳細分(fēn)析了數據洩露事件中(zhōng)常用的攻擊方式。報告指出,在這些洩露事件中(zhōng),大(dà)部分(fēn)的攻擊都指向了Web應用程序:比如在信息行業,49起洩露事件中(zhōng)有45起通過針對Web應用程序的攻擊而達成,占比超過90%。由此可見,Web應用安全已經是數據洩露事件的最前線,大(dà)量的滲透注入、探測、撞庫、信息竊取都發生(shēng)在Web服務器和數據庫之間。互金類、社交類、遊戲類、娛樂出行類互聯網已經涉足到了我(wǒ)(wǒ)們日常的生(shēng)活中(zhōng)每一(yī)個角落,對于這些企業來講,注冊用戶數據作為網站所有者的核心信息資(zī)産,涉及到網站及關聯信息系統的實質業務,一(yī)旦洩露,不僅會造成經濟利益上的損失,還會産生(shēng)巨大(dà)的聲讨和信任危機。

首先數據庫的應用相當複雜(zá),掌握起來非常困難。許多數據庫管理員(yuán)都忙于管理複雜(zá)的系統,疏忽了安全隐患和不當配置的檢查,例如數據庫訪問權限的控制,共用賬号,使用特權賬号sa、system訪問、命令執行的控制。這是由于傳統的安全體(tǐ)系在很大(dà)程度上忽略了數據庫安全這一(yī)主題,數據庫管理員(yuán)也通常沒有把安全問題當作他們的首要任務。

其次,數據的重要性日益劇增,也招緻一(yī)些非法人員(yuán)對數據庫的攻擊,攻擊者一(yī)般會通過sql注入、APT等攻擊方法對其進行攻擊,這些漏洞往往不存在數據庫層面上,而在中(zhōng)間件上,傳統的WAF、數據清洗在應對這類靈活的攻擊手段時,由于其本身的局限性,不能做到百分(fēn)百的安全。


我(wǒ)(wǒ)們的方案


目前世界上主流的關系型數據庫,諸如Oracle、Sybase、Microsoft SQL Server、IBM DB2/Informix等數據庫數據庫都具有以下(xià)特征:用戶帳号及密碼、校驗系統、優先級模型和控制數據庫的特别許可、内置命令(存儲過程、觸發器等)、唯一(yī)的腳本和編程語言(例如PL/SQL、Transaction-SQL、OEMC等)、中(zhōng)間件、網絡協議、強有力的數據庫管理實用程序和開(kāi)發工(gōng)具。 數據庫領域的安全措施通常包括:身份識别和身份驗證、自主訪問控制和強制訪問控制、安全傳輸、系統審計、數據庫存儲加密等。隻有通過綜合有關安全的各個環節,才能确保高度安全的系統。

帕拉迪下(xià)一(yī)代數據庫應用安全防禦系統(簡稱NGDAP)是杭州瑞禅網絡科技有限公司自行研制開(kāi)發的新一(yī)代數據防護系統。NGDAP通過對訪問數據庫的數據流進行采集、分(fēn)析和識别。實時監視數據庫的運行狀态,記錄多種訪問數據庫行為,發現對數據庫的異常訪問,并進行及時的阻斷。

網絡防火(huǒ)牆

數據庫網絡防火(huǒ)牆主要基于網絡行為的控制,基于TCP五元組來實現,根據五元組内的源地址,目标地址,源端口,目标端口,傳輸層協議進行策略控制。

準入防火(huǒ)牆

通過白(bái)名單自學習進行訪問準入規則的固化(自動學習到數據庫訪問行為的五元素—訪問源地址異常,訪問源主機名稱異常,訪問源用戶名稱異常,訪問工(gōng)具名稱異常,登錄帳号名稱異常,固化安全規則),未被匹配到的數據庫接入行為都會進行實時的預警和阻斷會話(huà),在不影響性能和修改數據庫的情況下(xià),通過持續跟蹤所有數據庫操作來識别未授權的活動或可疑的活動,并及時阻斷,避免數據庫遭受網絡攻擊,從根本上解決數據庫惡意訪問威脅。

行為防火(huǒ)牆

可以精準的追蹤到用戶的SQL語句命令,可以對來源、目标庫、目标表和指定行為進行控制,防止高危違規操作和誤操作。

業務防火(huǒ)牆

學習階段,它會記錄分(fēn)析并統計所有的應用程序發來的查詢請求,将其自動添加到白(bái)名單中(zhōng)來,用戶可以确認并調整白(bái)名單的内容。切換到主動防禦模式後,數據庫防火(huǒ)牆首先會對發來的請求數據進行标準化處理,然後将處理後的數據送往模式匹配引擎中(zhōng),跟白(bái)名單中(zhōng)的數據進行比較,如果匹配到相關規則,則認為是合法請求,該數據會被傳遞到真實的數據庫中(zhōng)進行查詢,并最後返回給應用程序;如果不匹配相關規則,則做出告警或者阻斷響應,徹底解決SQL注入、APT等攻擊。


部署方式


客戶收益


1. 在不影響性能、不修改數據庫的情況下(xià),通過持續跟蹤所有數據庫操作來識别未授權的活動或可疑的活動,并及時阻斷,避免數據庫遭受網絡攻擊;

2. 增進用戶對數據庫安全管理的便捷性,還能提升用戶的風險管控和法規遵從能力;

3. 保障企業業務系統數據的安全性和完整性;

4. 在數據庫外(wài)圍搭設一(yī)道防線,從而實現“禦敵于國門之外(wài)”,為企業業務安全撐起“保護傘”。

經典案例
  • 鬥魚科技
  • 一(yī)嗨租車(chē)
  • 途家網
  • 連連支付
  • 東方有線
Copyright © 2019 All Rights Reserved Designed
杭州瑞禅網絡科技有限公司