这篇文章给出了一个国外厂商调查分析出来的十大数据库安全漏洞：
1.默认、空白及弱用户名/密码
2.SQL注入
3.广泛的用户和组权限
4.启用不必要的数据库功能
5.失效的配置管理
6.缓冲区溢出
7.特权升级
8.拒绝服务攻击
9.数据库未打补丁
10.敏感数据未加密
此前，另一个公司也给出过数据库安全十大威胁，两者基本一致。
威胁 1 - 滥用过高权限
威胁 2 - 滥用合法权
威胁 3 - 权限提升
威胁 4 - 平台漏洞
张百川（网路游侠）的博客
张百川（网路游侠，www.youxia.org）专注：网络安全、系统安全、应用安全、数据库安全、运维安全。
2010年4月20日
安全猎头：某安全公司招聘应用安全工程师
某安全公司招聘应用安全工程师，承担风险评估、渗透测试和应急响应工作
具体要求：
1 精通SQL注射、跨站脚本攻击等应用攻击手法；
2 熟悉常见脚本语言和数据库，能够进行WEB渗透测试，恶意代码检测和分析；
3 熟悉攻击的各类技术及方法，对各类操作系统、应用平台的弱点有较深入的理解；
4 分析问题和实际动手能力强，具有良好的团队合作精神；
5 具有良好的沟通能力和文档编写能力；
5 学历不限；
6 有相关工作经验者优先；
工作地点：杭州或上海
联系方式 QQ:19833355
具体要求：
1 精通SQL注射、跨站脚本攻击等应用攻击手法；
2 熟悉常见脚本语言和数据库，能够进行WEB渗透测试，恶意代码检测和分析；
3 熟悉攻击的各类技术及方法，对各类操作系统、应用平台的弱点有较深入的理解；
4 分析问题和实际动手能力强，具有良好的团队合作精神；
5 具有良好的沟通能力和文档编写能力；
5 学历不限；
6 有相关工作经验者优先；
工作地点：杭州或上海
联系方式 QQ:19833355
Tags: 安全猎头 应用安全 WEB安全 数据库安全
发布:网路游侠 | 分类:业界资讯 | 评论:0 | 引用:0 | 浏览:
2010年2月20日
Hedgehog数据库安全解决方案
挑战：数据库保护
近几年，许多公司为保护自己的IT基础设施所做的大部分努力主要集中在外部，即如何保护公司免遭外部入侵、黑客以及恶意攻击。目前，公司网络已经在安全上获得了一定的改善，获得了更深层次的保护。但是，数据层仍是公司IT基础设施的软肋。
数据库中包含很多敏感且宝贵的数据：例如有关客户、事务、财务业绩以及人力资源的信息。尽管如此，数据库仍是公司受保护最少的领域之一。虽然外部和网络安全措施对某些攻击类型起到了防御作用，但是仍有一些攻击类型能够利用数据库特有的漏洞进行攻击。
近几年，许多公司为保护自己的IT基础设施所做的大部分努力主要集中在外部，即如何保护公司免遭外部入侵、黑客以及恶意攻击。目前，公司网络已经在安全上获得了一定的改善，获得了更深层次的保护。但是，数据层仍是公司IT基础设施的软肋。
数据库中包含很多敏感且宝贵的数据：例如有关客户、事务、财务业绩以及人力资源的信息。尽管如此，数据库仍是公司受保护最少的领域之一。虽然外部和网络安全措施对某些攻击类型起到了防御作用，但是仍有一些攻击类型能够利用数据库特有的漏洞进行攻击。
Tags: 数据库防火墙 数据库审计 数据库防水墙 数据库防护 数据库安全 数据库防御 数据库实时监控 实时数据库监控 数据库监控 Hedgehog 数据库安全审计
发布:网路游侠 | 分类:信息安全 | 评论:0 | 引用:0 | 浏览:
2010年2月1日
Forti Database Security 飞塔数据库安全
FortiDB 系列产品提供集中管理、企业级、数据库自动坚固等功能，它具有快速实施、支持行业和政府的各种法规的特点，可以评估企业数据库的安全弱点，提高企业数据库的安全性。DBA可以快速掌握这些工具，安装容易，界面直观，满足各种法规（PCI-DSS, SOX, GLBA, HIPAA）的要求，可以直接生成报告。为FortiDB专门设计的硬件设备可以方便快速的部署在网络中，自动数据库发现功能可以跨过子网和广域网边界快速发现网络上的所有数据库，通过脚本的定时执行来发现数据库的漏洞和与法规相违背的部分。设备预先内置了几百条策略，这些策略涵盖了企业和政府的规范、数据库安全的最优方法、已知的数据库漏洞、与数据库安全相关的操作系统问题和数据库访问权限等。一套全面的基于标准的图形报告功能内置于系统中，可以迅速产生报告。
Tags: 飞塔数据库安全 FortiDB Forti 飞塔数据库审计 Forti数据库审计 数据库审计 数据库安全 数据库防火墙 数据库墙 Oracle审计 MySQL审计 Oracle数据库审计 MySQL数据库审计 数据库扫描 数据库评估 飞塔数据库产品 Forti数据库扫描
发布:网路游侠 | 分类:信息安全 | 评论:0 | 引用:0 | 浏览:
2009年12月23日
保护数据库安全 实时合规审计必不可少
目前数据库市场价值已经超过200亿美元，并且存储的敏感信息的数量也在迅速增长，这也难怪数据库成为当今安全攻击的最大目标。毕竟，数据库包含着客户信用卡信息、金融数据和知识产权等“诱饵”。有些强大而复杂的攻击者能够通过非法途径打开数据库以进行恶意操作，你甚至可以将数据库看作是公司的命脉。
在很多企业中，对数据库访问的特权都有管理不当的问题。开发者、移动员工和外部顾问经常能够在没有太多限制的情况下访问敏感信息。另外，人员流动和外包也可以让数据库活动很难锁定。
虽然数据库要求符合大多数合规要求，包括信用卡行业数据安全标准（PCI DSS）、Sarbanes-Oxley法案和HIPAA法案以及FISMA等，但是数据库往往很难满足所有合规要求，并且合规并不总是企业的最优先事项。
在很多企业中，对数据库访问的特权都有管理不当的问题。开发者、移动员工和外部顾问经常能够在没有太多限制的情况下访问敏感信息。另外，人员流动和外包也可以让数据库活动很难锁定。
虽然数据库要求符合大多数合规要求，包括信用卡行业数据安全标准（PCI DSS）、Sarbanes-Oxley法案和HIPAA法案以及FISMA等，但是数据库往往很难满足所有合规要求，并且合规并不总是企业的最优先事项。
Tags: 数据库安全 数据库审计 合规审计
发布:网路游侠 | 分类:程序数据 | 评论:0 | 引用:0 | 浏览:
2009年9月2日
网路游侠：使用数据库扫描系统评估数据库的安全性
本文使用的是从某数据库安全厂家获取的数据库扫描系统，版本不是最新的，不过应该可以代表产品的设计思路和其在相关领域的技术实力。
数据库扫描的初期，一般都是确认评估范围，本产品也不例外。添加任务有两种方法：一是直接输入数据库的详细信息，二是对网络进行扫描，确认网内数据库的总量。
相对于网上Nessus、NMAP等评估工具，本款数据库扫描产品更像是一款安全测试工具，因为在对数据库进行安全评估的时候，不但要输入通用的IP、端口，更要输入数据库系统的账号，甚至操作系统的账号（这样就可以审核用系统账号登录数据库系统情况下的安全性）。
扫描速度理所当然的相当快，因为就技术而言，数据库的漏洞并不像主机那么多，检测项目也没有那么多，因此速度较快。下面是评估报告，当然这仅仅是主要描述部分，并不是细节描写。
下图是数据库扫描系统的一些检测项，应该说基本覆盖了数据库安全检查项的绝大多数。
下面是一个细节的描述，描述名称为“审计级别设置”：
当然，相对于某些数据库扫描系统不支持MySQL（为什么不支持MySQL？因为多数人用的是免费版？），本软件支持Microsoft SQL Server、Oracle、MySQL、Sybase数据库，我手头的这版本没有DB/2和Infomix的支持，不知道新版本是否支持？
总的来说，产品是不错的，特别是在市场上数据库漏洞扫描产品很少，等级保护和分级保护又明确了数据库安全的情况下，本产品应该很有市场。
作者：网路游侠 http://www.youxia.org
转载请注明来源！谢谢合作。
数据库扫描的初期，一般都是确认评估范围，本产品也不例外。添加任务有两种方法：一是直接输入数据库的详细信息，二是对网络进行扫描，确认网内数据库的总量。
相对于网上Nessus、NMAP等评估工具，本款数据库扫描产品更像是一款安全测试工具，因为在对数据库进行安全评估的时候，不但要输入通用的IP、端口，更要输入数据库系统的账号，甚至操作系统的账号（这样就可以审核用系统账号登录数据库系统情况下的安全性）。
扫描速度理所当然的相当快，因为就技术而言，数据库的漏洞并不像主机那么多，检测项目也没有那么多，因此速度较快。下面是评估报告，当然这仅仅是主要描述部分，并不是细节描写。
下图是数据库扫描系统的一些检测项，应该说基本覆盖了数据库安全检查项的绝大多数。
下面是一个细节的描述，描述名称为“审计级别设置”：
漏洞描述：
检查审计级别是否符合安全策略。你可以设置Microsoft SQL Server提供登录成功或失败的审计跟踪记录。审计日志提供哪个登录ID尝试登录，成功还是失败，连接是标准的还是信任的，时间和日期等信息。正确设置审计级别可以用来严格检测过期登录，登录攻击，违反登录时间。
漏洞来源：
审计是数据库管理系统安全性重要的一部分，通过审计，凡是与数据库安全性相关的操作可被记录下来，只要检测审计记录，系统安全员就可以掌握数据库被使用状况。如何设置审计的级别：不审计、成功审计、失败审计、全部审计。
修复建议：
更改审计级别。 对于SQL Server 6.x（使用企业管理器）： 1.右击服务 2.从弹出菜单中选择设置 3.选择安全选项页 对于SQL Server7.0和2000（使用企业管理器）： 1.右击服务 2.选择属性选项 3.选择安全页更改审计级别 对于SQL Server 2005（使用SQL Server Management Studio）： 1.右击服务 2.选择属性选项 3.选择安全页更改审计级别
当然，相对于某些数据库扫描系统不支持MySQL（为什么不支持MySQL？因为多数人用的是免费版？），本软件支持Microsoft SQL Server、Oracle、MySQL、Sybase数据库，我手头的这版本没有DB/2和Infomix的支持，不知道新版本是否支持？
总的来说，产品是不错的，特别是在市场上数据库漏洞扫描产品很少，等级保护和分级保护又明确了数据库安全的情况下，本产品应该很有市场。
作者：网路游侠 http://www.youxia.org
转载请注明来源！谢谢合作。
Tags: 数据库扫描 数据库扫描系统 数据库漏洞扫描 数据库安全 数据库审核 数据库审计 数据库加固
发布:网路游侠 | 分类:信息安全 | 评论:0 | 引用:0 | 浏览:
2009年8月25日
“安鼎数据库安全访问中间件”简介
概述
安鼎数据库安全访问中间件是为增强普通关系数据库管理系统的安全性而设计开发的，旨在提供一个安全适用的数据库加密平台，对通信和数据库存储的内容实施有效保护。
该系统中通过通信加密、数据库存储加密等安全方法实现了数据库数据存储和通信的保密和完整性要求。具有自主知识产权的加密算法和密文查询算法在保证安全性的同时兼顾了系统的效率，使数据库的加密达到实用化水平。
系统采用开放的体系结构，支持标准SQL语句，提供了ODBC、OLEDB和JDBC支持，也提供调用级接口（CLI）。
系统已经运行的平台有AIX、Solaris、Sco Open Server、Linux、Windows NT/2000/XP，支持的数据库管理系统有DB2、Oracle、Sybase、Microsoft SQL Server。
安鼎数据库安全访问中间件是为增强普通关系数据库管理系统的安全性而设计开发的，旨在提供一个安全适用的数据库加密平台，对通信和数据库存储的内容实施有效保护。
该系统中通过通信加密、数据库存储加密等安全方法实现了数据库数据存储和通信的保密和完整性要求。具有自主知识产权的加密算法和密文查询算法在保证安全性的同时兼顾了系统的效率，使数据库的加密达到实用化水平。
系统采用开放的体系结构，支持标准SQL语句，提供了ODBC、OLEDB和JDBC支持，也提供调用级接口（CLI）。
系统已经运行的平台有AIX、Solaris、Sco Open Server、Linux、Windows NT/2000/XP，支持的数据库管理系统有DB2、Oracle、Sybase、Microsoft SQL Server。
Tags: 华工安鼎 安鼎数据库安全访问中间件 数据库安全 安全中间件
发布:网路游侠 | 分类:程序数据 | 评论:0 | 引用:0 | 浏览:
2009年7月23日
GUARDIUM数据库安全审计解决方案特点和优势
GUARDIUM数据库安全审计解决方案的突出特点和优势：
1.可以同时支持监控管理多种数据库（ORACLE/SYBASE/INFORMIX/DB2/SQL SERVER/TERADATA/MYSQL ）的各种版本；
2.同时支持多种企业级应用（ORACLE E-BUSINESS SUITE/PEOPLESOFT/SIEBEL/JD EDWARDS/SAP/BUSINESS OBJECTS）、应用服务器/中间件服务器（WEBSPHERE/WEBLOGIC/TUXEDO/ORACLE APPLICATION SERVER/JBOSS/.NET/APACHE/TOMCAT/MQ & etc）；
1.可以同时支持监控管理多种数据库（ORACLE/SYBASE/INFORMIX/DB2/SQL SERVER/TERADATA/MYSQL ）的各种版本；
2.同时支持多种企业级应用（ORACLE E-BUSINESS SUITE/PEOPLESOFT/SIEBEL/JD EDWARDS/SAP/BUSINESS OBJECTS）、应用服务器/中间件服务器（WEBSPHERE/WEBLOGIC/TUXEDO/ORACLE APPLICATION SERVER/JBOSS/.NET/APACHE/TOMCAT/MQ & etc）；
Tags: 数据库安全 数据库审计 数据库安全审计 数据库监控
发布:网路游侠 | 分类:程序数据 | 评论:0 | 引用:0 | 浏览:
2009年6月26日
数据库服务器成黑客最爱 7成攻击针对企业数据
【51CTO.com快译6月22日外电头条】如今顶尖的黑客一定都是顶尖的商人！因为他们的评估记录上会写着哪些目标最简单，哪些目标最有利可图。现在，可能没有比笨拙的企业数据库更好对付的目标了。
一般来说，企业的数据库中汇集着这家公司最重要的机密：客户名单、工资记录、以及其他许多按照良好结构储存的敏感信息，这些都是最容易卖出好价钱的。何况数据库的管理员们往往不会想在安全性上精益求精，而且数据
一般来说，企业的数据库中汇集着这家公司最重要的机密：客户名单、工资记录、以及其他许多按照良好结构储存的敏感信息，这些都是最容易卖出好价钱的。何况数据库的管理员们往往不会想在安全性上精益求精，而且数据
Tags: 数据库安全 数据库防护
发布:网路游侠 | 分类:程序数据 | 评论:0 | 引用:0 | 浏览:
Tags
- 数据库审计 (42)
- WEB应用防火墙 (32)
- WAF (32)
- 数据库安全 (27)
- 网路游侠 (25)
- 风险评估 (22)
- 信息安全 (21)
- 网络安全 (20)
- 等级保护 (19)
- 保密检查工具 (19)
- 介质管理 (18)
- 网页防篡改 (18)
- 移动存储介质管理系统 (17)
- 上网行为管理 (17)
- 移动存储介质管理 (16)
- WEB防火墙 (16)
- 张百川 (16)
- SEO (15)
- WEB安全 (15)
- 应用防火墙 (15)
- 内网安全 (14)
- 启明星辰 (14)
- 汉邦软科集团 (14)
- 网站安全 (14)
- 北京汉邦 (13)
- 上海汉邦 (13)
- 数据库审计系统 (13)
- 网站防篡改 (13)
- 安全猎头 (13)
- 数据库扫描 (12)
- 计算机保密检查工具 (12)
- 漏洞扫描 (11)
- 网络审计 (11)
- UTM (11)
- McAfee (11)
- 信息安全博客 (11)
- 网络安全博客 (11)
- SOC (10)
- 游侠博客 (10)
- 安全审计 (10)
- 文档加密 (10)
- 介质管理系统 (9)
- 保密检查 (9)
- MSSP (9)
- 服务器审计 (8)
- 磁碟机 (8)
- 计算机保密检查 (8)
- SSR (8)
- 上网行为管理系统 (8)
- 数据库评估 (8)
- 中航嘉信 (8)
- 云安全 (8)
- WEB安全网关 (8)
- U盘病毒 (7)
- IDS (7)
- 安全服务 (7)
- 绿盟科技 (7)
- 内网安全管理 (7)
- 移动介质管理 (7)
- 数据库监控 (7)
- 磁碟机病毒 (7)
- 服务器加固系统 (7)
- 服务器安全加固系统 (7)
- 网路游侠博客 (7)
- IPS (7)
- 终端安全 (7)
- 保密检查软件 (7)
- 数字证书 (7)
- XSS (7)
- 分级保护 (6)
- 信息安全风险评估 (6)
- 防火墙 (6)
- U盘管理系统 (6)
- U盘管理 (6)
- 搜索引擎优化 (6)
- VMWare (6)
- 智恒联盟 (6)
- 英语九百句 (6)
- 英语900句 (6)
- 山东中孚 (6)
站内搜索-Search
- 找不到需要的？搜下试试！
网站分类
文章归档
- 2010 September (6)
- 2010 August (29)
- 2010 July (36)
- 2010 June (40)
- 2010 May (30)
- 2010 April (33)
- 2010 March (40)
- 2010 February (19)
- 2010 January (42)
- 2009 December (31)
- 2009 November (21)
- 2009 October (14)
- 2009 September (17)
- 2009 August (25)
- 2009 July (56)
- 2009 June (78)
- 2009 May (21)
- 2009 April (30)
- 2009 March (26)
- 2009 February (31)
- 2009 January (17)
- 2008 December (23)
- 2008 November (33)
- 2008 October (53)
- 2008 September (27)
- 2008 August (42)
- 2008 July (32)
- 2008 June (44)
- 2008 May (71)
- 2008 April (168)
- 2008 March (227)
- 2008 February (119)
- 2008 January (24)