数字时代的数据库安全威胁与应对措施

安华金和高级资源顾问谭峻楠

大多数用户对于传统IT架构的需求以稳健性为主，业务系统运转正常最为重要，安全性则为次要考虑。通过与用户接触，我们发现大多数用户对于数据库安全普遍存在误区。

误区一：数据库自身的安全保障体系已经很完备，具有足够的安全控制手段。

事实上，要做到完备的数据库安全防护难度很大。据统计，从2007年至今，CVE漏洞库一共公布数据库漏洞2000余个，其中核心系统中应用最广泛的ORACLE数据库漏洞即占了一半的比例。如此数量的安全漏洞，将直接引发数据泄露风险。《Verzion2015年数据泄露调查报告》同样印证了这个观点，报告中显示“数据泄漏事件发生的主要原因中，90%来自数据库威胁。” 事实证明，用户对于数据库的安全防护远远不够。

误区二：内部人员是可信的。

从数据库系统的开发到运维，过程中牵涉的开发人员、第三方运维人员、内部人员等可以通过不同途径直接访问数据库。当发现篡改商业数据、窃取国家机密，可以带来丰厚的利益，这时，传统可信的人也成为风险源。

针对隐私泄露高危行业，网上公布一系列的事件证明与程序员、第三方运维人员、内部人员有关系。首先是运营商信息泄露，像银行、电商企业、保险行业，以及银行的漏洞触目惊心。其实收集这些泄露信息很简单，短时间从20多家的保险公司、推销的电话、房管信息、医疗行业、教育行业等就可以收集到。……