分类： 安全

　　本文使用的是从某数据库安全厂家获取的数据库扫描系统，版本不是最新的，不过应该可以代表产品的设计思路和其在相关领域的技术实力。
　　数据库扫描的初期，一般都是确认评估范围，本产品也不例外。添加任务有两种方法：一是直接输入数据库的详细信息，二是对网络进行扫描，确认网内数据库的总量。

　　相对于网上Nessus、NMAP等评估工具，本款数据库扫描产品更像是一款安全测试工具，因为在对数据库进行安全评估的时候，不但要输入通用的IP、端口，更要输入数据库系统的账号，甚至操作系统的账号（这样就可以审核用系统账号登录数据库系统情况下的安全性）。
　　扫描速度理所当然的相当快，因为就技术而言，数据库的漏洞并不像主机那么多，检测项目也没有那么多，因此速度较快。下面是评估报告，当然这仅仅是主要描述部分，并不是细节描写。

　　下图是数据库扫描系统的一些检测项，应该说基本覆盖了数据库安全检查项的绝大多数。

　　下面是一个细节的描述，描述名称为“审计级别设置”：

漏洞描述：
    检查审计级别是否符合安全策略。你可以设置Microsoft SQL Server提供登录成功或失败的审计跟踪记录。审计日志提供哪个登录ID尝试登录，成功还是失败，连接是标准的还是信任的，时间和日期等信息。正确设置审计级别可以用来严格检测过期登录，登录攻击，违反登录时间。
漏洞来源：
    审计是数据库管理系统安全性重要的一部分，通过审计，凡是与数据库安全性相关的操作可被记录下来，只要检测审计记录，系统安全员就可以掌握数据库被使用状况。如何设置审计的级别：不审计、成功审计、失败审计、全部审计。
修复建议：
    更改审计级别。 对于SQL Server 6.x（使用企业管理器）： 1.右击服务 2.从弹出菜单中选择设置 3.选择安全选项页 对于SQL Server7.0和2000（使用企业管理器）： 1.右击服务 2.选择属性选项 3.选择安全页更改审计级别 对于SQL Server 2005（使用SQL Server Management Studio）： 1.右击服务 2.选择属性选项 3.选择安全页更改审计级别


　　漏洞描述、漏洞来源、修复建议，都比较的详细，可以指导数据库管理员对数据库进行有效的检查、审核数据库系统的安全性。
　　当然，相对于某些数据库扫描系统不支持MySQL（为什么不支持MySQL？因为多数人用的是免费版？），本软件支持Microsoft SQL Server、Oracle、MySQL、Sybase数据库，我手头的这版本没有DB/2和Infomix的支持，不知道新版本是否支持？
　　总的来说，产品是不错的，特别是在市场上数据库漏洞扫描产品很少，等级保护和分级保护又明确了数据库安全的情况下，本产品应该很有市场。

作者：网路游侠 https://www.youxia.org
　　　转载请注明来源！谢谢合作。

　　其实很早想整理一点等级保护的东西，但是一直没时间，一来没时间仔细读等级保护的相关文件，二来也没时间整理这样的东西。抽点时间，复制了一个目录出来，虽然很少，但是可以表达等级保护的思路和方法，没有原创，全部拷贝！

　　点击下面下载：信息系统安全等级保护基本要求.pdf

　　国家保密局是政府的职能部门，各级政府都有，到了区县一级，一般改称为“机要保密局”，但承担着国家保密局的职责。
　　国家保密局的职责是：
　　根据保密法的规定，负责本行政区域内的保密工作，其主要职责是：
　　一、贯彻执行党中央、国务院关于保密工作的方针、政策，落实本行政区域内有关保密工作的决定、指示，组织和监督检查《保密法》及其他保密法规、制度在全市的实施。
　　二、调查、掌握本行政区域内保密工作的情况，制定本行政区域内保密工作的计划和规章制度，并组织实施；提出改进和加强本行政区域内保密工作的意见和建议。
...

检察院计算机保密自查报告：根据市委2008[105]号文件《关于开展计算机保密专项检查的通知》的通知要求，我们院领导十分重视，及时召集相关人员，对照文件要求，逐条落实，周密安排，对院机关和下属执法大队配备的各台计算机进行了排查。

　　圈里有这样一则真实的故事：某银行软件开发中心的一位工程师费劲心血开发出一套网银安全认证程序。之后，他恰好调到网络银行业务部门，于是他决定体验一下用自己开发产品的感觉。结果，耗费了一天的时间，他都没能安装利索自己开发的软件。

　　这则故事告诉我们：一方面，软件开发者和应用者的思维逻辑和关注重点是不一样的；另一方面，易用性其实是目前网银安全技术产品的应用瓶颈。而后者正是“2009中国国际电子银行发展论坛”上，与会者讨论的焦点话题。

　　其实，从数字证书到USBkey再到动态口令卡，业界对网银安全工具的技术问题的争议已经很少了，大家更关注的网银安全工具的易用性和厂商的行业经验。目前，国内市场应用的主流是USBkey，而国外银行大多是应用动态口令卡，采用双因子认证（一是认证网银用户的用户名和密码，二是通过动态口令卡等身份认证方式来认证用户信息）。论坛上，来自英国渣打银行、瑞士邮政银行、美国花旗银行、意大利BNL银行的四位网银专家分别从各自所在银行的应用实践角度出发，分享了其网上银行应用安全保障的经验。
...

...

...

   ...

　　当前，保密工作人员在进行互联网保密检查时，由于检查方法不当或因存储防护措施不到位、查办过程措施不严等原因，造成了一些新的泄密隐患，这一问题应当引起我们的高度重视，并在技术上探索解决途径，在制度上建立保障措施。

　　科学选择搜索关键词。互联网保密检查效果如何，关键词的选择十分重要。对经常使用的关键词，每过一段时间，都要认真分析、反复筛选、科学选定，尽可能通过关键词把网上涉密信息的共性和特征