《中小企業(yè)的數(shù)據(jù)庫(kù)安全：三大方面要牢記》要點(diǎn)：
本文介紹了中小企業(yè)的數(shù)據(jù)庫(kù)安全：三大方面要牢記，希望對(duì)您有用。如果有疑問(wèn)，可以聯(lián)系我們。

隨著日益復(fù)雜的攻擊和不斷上升的內(nèi)部數(shù)據(jù)盜竊,數(shù)據(jù)庫(kù)平安成為中小企業(yè)信息平安團(tuán)隊(duì)重點(diǎn)關(guān)注的焦點(diǎn),超越了傳統(tǒng)的認(rèn)證、授權(quán)和訪問(wèn)控制.

一個(gè)私人數(shù)據(jù)入侵,如信用卡號(hào)或財(cái)務(wù)數(shù)據(jù),可以給機(jī)構(gòu)造成巨大的損失,更不用說(shuō)訴訟和違規(guī)罰款等可能會(huì)帶來(lái)的持久影響.中小企業(yè)需要重新制定數(shù)據(jù)庫(kù)平安策略,在新平安特性的應(yīng)用和功能上尋找差距,這有助于幫助數(shù)據(jù)庫(kù)應(yīng)對(duì)新的威脅.

制定一個(gè)成功的數(shù)據(jù)庫(kù)平安策略的關(guān)鍵在于你要了解為什么要保護(hù)數(shù)據(jù)庫(kù),保護(hù)哪個(gè)數(shù)據(jù)庫(kù),以及如何最好的保護(hù)數(shù)據(jù)以應(yīng)對(duì)所有類(lèi)型的威脅.建議企業(yè)按照以下三點(diǎn)來(lái)建立完整的數(shù)據(jù)庫(kù)平安策略：

一、建立一個(gè)集身份驗(yàn)證、授權(quán)、訪問(wèn)控制、發(fā)現(xiàn)、分類(lèi),以及補(bǔ)丁管理于一體的堅(jiān)實(shí)基礎(chǔ).

了解哪些數(shù)據(jù)庫(kù)包含敏感數(shù)據(jù)是數(shù)據(jù)庫(kù)平安戰(zhàn)略的基本要求.企業(yè)應(yīng)對(duì)所有的數(shù)據(jù)庫(kù)采取一個(gè)全面的庫(kù)存管理,包括生產(chǎn)和非生產(chǎn)的,并且遵循相同的平安政策給它們劃分類(lèi)別.所有的數(shù)據(jù)庫(kù),尤其是那些存有私人數(shù)據(jù)的數(shù)據(jù)庫(kù),應(yīng)該有強(qiáng)的認(rèn)證、授權(quán)和訪問(wèn)控制,即使應(yīng)用層已經(jīng)完成了認(rèn)證和授權(quán).缺乏這些堅(jiān)實(shí)基礎(chǔ)會(huì)削弱審計(jì)、監(jiān)察和加密等其他的平安措施.

此外,如果不能每季度給所有的關(guān)鍵數(shù)據(jù)庫(kù)打補(bǔ)丁,那么至少半年一次,以消除已知的漏洞.使用滾動(dòng)補(bǔ)丁或從數(shù)據(jù)庫(kù)管理系統(tǒng)(DBMS)的供應(yīng)商和其他廠商那里收集信息,以盡量減少應(yīng)用補(bǔ)丁的停機(jī)時(shí)間.始終在測(cè)試環(huán)境下測(cè)試平安補(bǔ)丁,定期運(yùn)行測(cè)試腳本,以確保修補(bǔ)程序不影響應(yīng)用程序的功能或性能.

二、使用具有數(shù)據(jù)屏蔽、加密和變更管理等功能的預(yù)防措施

在建立了一個(gè)堅(jiān)實(shí)和基本的數(shù)據(jù)庫(kù)平安策略后,就應(yīng)該開(kāi)始采取預(yù)防措施,以保護(hù)重要的數(shù)據(jù)庫(kù).這樣就為生產(chǎn)和非生產(chǎn)數(shù)據(jù)庫(kù)提供了一個(gè)保護(hù)層.數(shù)據(jù)隱私不隨著生產(chǎn)系統(tǒng)而停止,它也需要擴(kuò)展到非生產(chǎn)環(huán)境,包括測(cè)試、開(kāi)發(fā)、質(zhì)量保證(QA)、分階段和訓(xùn)練,基本上所有的私有數(shù)據(jù)都可以駐留.數(shù)據(jù)庫(kù)平安專(zhuān)業(yè)人士應(yīng)該評(píng)估在測(cè)試環(huán)境中或外包應(yīng)用開(kāi)發(fā)中用數(shù)據(jù)屏蔽和測(cè)試數(shù)據(jù)生成來(lái)保護(hù)私有數(shù)據(jù)的效果.

使用網(wǎng)絡(luò)加密以防止數(shù)據(jù)暴露給在監(jiān)聽(tīng)網(wǎng)絡(luò)流量或數(shù)據(jù)靜止加密的窺視者(他們關(guān)注存儲(chǔ)在數(shù)據(jù)庫(kù)中的數(shù)據(jù)).當(dāng)數(shù)據(jù)針對(duì)不同的威脅,這些加密方法可以實(shí)現(xiàn)相互獨(dú)立.通常情況下,也不會(huì)對(duì)應(yīng)用程序的功能有影響.

保護(hù)關(guān)鍵數(shù)據(jù)庫(kù)的結(jié)構(gòu)要按照標(biāo)準(zhǔn)化的變更管理程序來(lái)進(jìn)行.在過(guò)去,對(duì)生產(chǎn)環(huán)境中的計(jì)劃或其它數(shù)據(jù)庫(kù)進(jìn)行變更時(shí)需要關(guān)閉數(shù)據(jù)庫(kù),但新版本的數(shù)據(jù)庫(kù)管理系統(tǒng)允許在聯(lián)機(jī)時(shí)進(jìn)行這些更改,這就帶來(lái)了新的平安風(fēng)險(xiǎn).一個(gè)標(biāo)準(zhǔn)化的變更管理程序能確保只有管理員在得到管理部門(mén)批準(zhǔn)后才能改變生產(chǎn)數(shù)據(jù)庫(kù)并且跟蹤所有數(shù)據(jù)庫(kù)的變更.機(jī)構(gòu)還應(yīng)該更新自己的備份和可行性計(jì)劃,以處理數(shù)據(jù)或元數(shù)據(jù)因這些變更而發(fā)生的改變.

三、建立具有審計(jì)、監(jiān)測(cè)和漏洞評(píng)估功能的數(shù)據(jù)庫(kù)入侵檢測(cè)系統(tǒng)

當(dāng)重要數(shù)據(jù)發(fā)生意外變化或者檢測(cè)到可疑數(shù)據(jù)時(shí),有必要進(jìn)行一個(gè)快速的調(diào)查來(lái)查看發(fā)生了什么事情.數(shù)據(jù)庫(kù)里的數(shù)據(jù)和元數(shù)據(jù)可以被訪問(wèn)、更改甚至是刪除,而且這些都可以在幾秒鐘的時(shí)間內(nèi)完成.通過(guò)數(shù)據(jù)庫(kù)審計(jì),我們能夠發(fā)現(xiàn)“是誰(shuí)改變了數(shù)據(jù)”和“這些數(shù)據(jù)是什么時(shí)候被改變的”等問(wèn)題.為了支持之前提到的管理?xiàng)l例標(biāo)準(zhǔn),平安和風(fēng)險(xiǎn)管理的專(zhuān)業(yè)人士應(yīng)該追蹤私人數(shù)據(jù)的所有訪問(wèn)途徑和變化情況,這些私人數(shù)據(jù)包括：信用卡卡號(hào)、社會(huì)平安卡卡號(hào)以及重要的數(shù)據(jù)庫(kù)的名稱(chēng)和地址等信息.如果私人數(shù)據(jù)在沒(méi)有授權(quán)的情況下被更改或者被訪問(wèn),機(jī)構(gòu)應(yīng)該追究負(fù)責(zé)人的責(zé)任.最后,可以使用漏洞評(píng)估報(bào)告來(lái)確定數(shù)據(jù)庫(kù)的平安空白地帶,諸如弱效密碼、過(guò)多的優(yōu)先訪問(wèn)權(quán)、增加數(shù)據(jù)庫(kù)管理員以及平安群組監(jiān)測(cè).

此外,要牢記平安政策、平安標(biāo)準(zhǔn)、角色分離和可用性

數(shù)據(jù)庫(kù)平安策略不僅關(guān)注審計(jì)和監(jiān)測(cè),它也是一個(gè)端到端的過(guò)程,致力于減少風(fēng)險(xiǎn)、達(dá)到管理?xiàng)l例的要求以及防御來(lái)自?xún)?nèi)部和外部的各種攻擊.數(shù)據(jù)庫(kù)平安需要把注意力更多地放在填補(bǔ)平安空白、與其他平安政策協(xié)作以及使平安方式正式化上.在草擬你的平安策略時(shí),要使你的數(shù)據(jù)庫(kù)平安政策與信息平安政策一致；要注意行業(yè)平安標(biāo)準(zhǔn)；要強(qiáng)調(diào)角色分離；要清楚描述出數(shù)據(jù)恢復(fù)和數(shù)據(jù)使用的步驟.

歡迎參與《中小企業(yè)的數(shù)據(jù)庫(kù)安全：三大方面要牢記》討論，分享您的想法，維易PHP學(xué)院為您提供專(zhuān)業(yè)教程。

轉(zhuǎn)載請(qǐng)注明本頁(yè)網(wǎng)址：
http://www.fzlkiss.com/jiaocheng/14466.html