标签： 数据库安全

Oracle数据库防火墙技术是甲骨文探索出的一种先进的数据库纵深防御体系，提供的系列数据库安全产品能够在数据加密和屏蔽的基础上，实行访问控制，并实时监控整个数据环境里的活动，实现立体化的数据保护。 Oracle数据库防火墙基于网络的安全软件监控信息流，使Oracle和非Oracle数据库免于攻击。它围绕数据库建立了一个外围防御圈，实时监控应用的各种活动，允许正常的应用活动，同时帮助防止SQL注入式...

前面游侠给大家介绍了数据库漏洞扫描的一些知识，并发起了一次针对Oracle数据库的“授权扫描”，现在我们进行一次“弱口令扫描”，弱口令是数据库几乎最大的威胁，软件专列了“弱口令扫描”。

授权扫描的意思是：在对数据库进行漏洞扫描的过程中，要输入帐号、口令等信息，属于“数据库管理员授权”进行的“正规”扫描。因为会输入帐号信息，因此可扫描的项目比其它方式更多。

10多家电子充值卡批发商遭遇“失效卡”；联通称可能是个人泄露所致；多地警方立案调查从中国联通网上营业厅(www.10010.com)购买的电子充值卡，还没充值就已失效？专门从事联通电子充值卡批发业务的安徽人王奎反映，今年9月底，他从联通网上营业厅购买了额度200万元的电子充值卡，其中有50多万元的充值卡还没充值，发现已被使用。 王奎提供的资料显示，9月29日他从联通官网购买卡号为“98120142...

企业必须对数据库进行评估来确定某些功能是否真的必要，以及禁用那些不需要的功能来减少攻击面。此外，企业必须对默认设置或者较弱的登录凭证时刻保持警惕，必须部署完善的特权和身份验证措施，最重要的是，企业需要定期修复补丁。 在所发现的漏洞中，有将近一半的漏洞或直接或间接地与数据库环境内不适当的补丁修复管理有关。这是很恐怖的概念：在前三个月补丁修复周期内，只有38%的管理员修复企业的Oracle数据库，并且...

数据库的出厂设置和薄弱的配置让攻击者更容易攻入数据存储，让IT更难以快速检测数据泄露。尽管企业花了很多钱在IT基础设施的各个层次部署数据防御措施，但最终这些努力可能在配置不当的数据库中毁于一旦。无论是因为方便管理员还是数据库管理员缺乏安全意识，企业内经常可以看到数据库仍然采用出厂设置。 这些默认的配置很容易被消息灵通的数据窃贼获取。当攻击者访问到登录屏幕时，他们首先会尝试使用默认账户登录信息。当他...

与数据库类型无关；不采用加密技术；不需要管控USB设备；未经授权，就不能以任何方式导出查询数据到任何地方；经过授权，导出的查询数据只允许存储在安全的位置，不可以被带走和非法非授权的访问；不能截屏、不能录屏；用手机拍照的话会有包含当前计算机IP、时间、用户名的水印显示。

美国Verizon在最近就“核心数据是如何丢失的”做了一次全面的市场调查，结果发现，92%的数据丢失情况是由于数据库漏洞造成的，这说明数据库的安全非常重要。 企业核心信息的80%是以结构化信息，即数据形式存在的。数据作为企业核心资产，一旦发生非法访问、数据篡改、数据盗取，将给企业在信誉和经济上带来巨大损失。 常见的数据库安全风险扫描软件主要是检测数据库系统配置风险和数据库软件本身的安全漏洞，无法检...

近日，多家网络安全机构纷纷发出警示：一些拥有大量用户的网站仍然存在致命漏洞。 前一段时间国内几家知名网站的用户数据库被黑客盗窃拖走，并将用户信息放在网络上展示，这一事件被称作“拖库门”事件。国内知名网络安全防护机构启明星辰检测发现“拖库门”带来的伤害已经从个人扩散到企业，“拖库门”事件中许多受害者都是技术工程师，他们登陆工作邮箱的用户名和密码与被盗的用户名和密码是一样的，借此黑客也入侵了一些企业的...

安全研究人员已披露了MySQL服务器上一个漏洞的细节，该漏洞有可能会让潜在的攻击者不必输入正确的身份证书便可访问MySQL数据库。 该漏洞被确认为CVE-2012-2122，号漏洞，已经在五月发布的MySQL 5.1.63和5.5.25版本中得以修复。但是很多服务器管理员或许尚未意识到这个漏洞可能带来的影响，因为上述两个新版本中的变更日志关于这一安全漏洞的信息非常之少。 这个漏洞只有在MySQL所...

Security vulnerability in MySQL/MariaDB 在知道用户名的情况下（如root），直接反复重试（平均大约256次）即可登入。 受影响的版本： All MariaDB and MySQL versions up to 5.1.61, 5.2.11, 5.3.5, 5.5.22 are vulnerable. MariaDB versions from 5.1.62,...

游侠点评：由于APT的增多，而此类攻击多数针对数据库，因此数据库成了防护重点，包括数据库扫描评估、数据库加固、数据库审计、数据库权限分配、数据库加密等，开始日益盛行；同样的，针对APT攻击，普通的单设备防护很难及时发现。因此SIEM的“联动”方案，成为发现APT攻击的首选解决方案。还好，游侠公司就做这个，是不是以后会更忙？哈。 迈克菲最新发布的《2012年风险与合规展望》报告 (Risk and ...

腾讯游戏频道讯，6月11日消息 Riot Games日前发布官方声明称，《英雄联盟》的部分服务器遭到入侵，导致一些玩家的身份信息泄露。 此次入侵主要针对欧洲西部和欧洲东北地区的数据库，遭到破解的是一些密码设置过于简单的用户，泄露的信息包括电子邮件地址、角色名称、出生日期和密保问题等，所幸涉及支付等资金安全的信息没有遭窃。 Riot Games表示他们已经聘请网络安全方面的专家，彻查此次事故的原因，...

我前后一共参加过十多次RSA大会。有几届非常有技术内容，但是也有几届除了炒作什么都没有，不过上一周的大会我个人感觉还是很有价值的。尽管会场上到处都听得到推销的词藻，但仍然不时有真知灼见冒出来。 在我的这第一篇关于RSA的观察文章中，我想列出以下几项观察结果： 1. 安全回归本质。 除了每次展会必不可少的炒作之外，RSA上的大量讨论都是围绕真实而普遍存在的安全问题的。例如，大企业如何应对各种新的威胁...

正规医科大学毕业的陈某，经常装模作样地走进医院，但却从来不看病。找到医院的公用查询电脑后，他会悄悄拔下网络插头，通过无线路由器等设备，让自己携带的笔记本电脑，连上医院的“内网”。 之后，他再利用黑客程序，侵入医院的计算机信息系统。这一切，都是为了窃取医院的医药信息，转手高价卖给上家。昨天，温州鹿城区检察院透露，陈某因涉嫌非法获取计算机信息系统数据罪，已被依法批准逮捕。 窃取医药信息，每笔数据赚两万...