保證數(shù)據(jù)庫安全的幾個要點

2021-07-26 14:22 作者：admin 瀏覽量：

數(shù)據(jù)庫及其包含的信息仍是黑客試圖攻擊的目標。黑客希望利用在數(shù)據(jù)庫驅動的應用程序中的許多廣泛傳播的安全漏洞。這些漏洞許多是由不良設置或者實施造成的。下面是最常見的五個與數(shù)據(jù)庫相關的安全漏洞:

·不良的口令政策

·SQL注入

·交叉站點腳本

·數(shù)據(jù)泄漏

·不適當?shù)腻e誤處理

令人難以置信的是，企業(yè)仍常常使用默認的或者軟弱的口令來保護像數(shù)據(jù)庫一樣重要的在線資產。但是，這是一個很輕易解決的問題。補救措施是強制執(zhí)行強盛的口令政策。也就是說，口令要定期變換，口令長度最少為10位數(shù)并且包含字母和符號。采用這種政策，你將關閉攻擊者同向你的數(shù)據(jù)的方便之門。

SQL注入也依賴軟弱的數(shù)據(jù)庫實施，特殊是在如何向數(shù)據(jù)庫發(fā)送SQL哀求方面的實施。假如這個數(shù)據(jù)庫接受了用戶提供的不干凈的或者沒有經過驗證的數(shù)據(jù)產生的SQL請求，這就會為SQL注入攻擊敞開大門。例如，通過修改從基于網絡的格式受到的信息，攻擊者能夠提供惡意的SQL請求并且把指令直接發(fā)送到數(shù)據(jù)庫。

要防止這種類型的攻擊，在讓這些數(shù)據(jù)接近你的腳本、數(shù)據(jù)訪問程序和SQL查詢之前，保證所有用戶提供的數(shù)據(jù)是合法的是非常重要的。驗證和清潔從用戶那里收到的數(shù)據(jù)的另一個理由是防止交叉站點腳本攻擊。這種攻擊能夠用來攻破連接到一個Web服務器的數(shù)據(jù)庫。黑客通過一個網絡蠕蟲把javascript等客戶方面的腳本注入到一個網絡應用程序的輸出中。這些腳本用于收集cookie數(shù)據(jù)。這些數(shù)據(jù)經常被錯誤地用來存儲用戶賬戶登錄信息等資料。

一個經常被忽略的問題是什么時候建立一個數(shù)據(jù)庫應用程序是泄漏數(shù)據(jù)。這是敏感的數(shù)據(jù)要發(fā)送的地方或者是非故意踢敏感數(shù)據(jù)的地方。這個錯誤將導致不能保證訪問數(shù)據(jù)庫備份磁帶的安全和控制這種訪問。通常，更敏感的數(shù)據(jù)產生于有關數(shù)據(jù)的合法查詢的答案，就像從醫(yī)療處方判定疾病一樣。常用的解決方案是監(jiān)視查詢方式以檢測這種行動。

與數(shù)據(jù)泄漏密切相關的是在數(shù)據(jù)庫出現(xiàn)錯誤時不適當?shù)靥幚磉@些錯誤。許多應用程序顯示了具體的信息。這些錯誤信息能夠泄漏有關數(shù)據(jù)庫結構的信息。這些信息能夠用來實施攻擊。要盡一切手段把這個錯誤登記在你自己的記錄中，保證你的應用程序不向用戶或者攻擊者返回任何有關這個錯誤的詳細信息。
 

中國首款IT服務微信小程序“企如意”，一款真心實意為企業(yè)謀福利的知音。IT產品一切應有盡有，讓您的企業(yè)輕松提升工作效率！自小程序上線以來，用戶注冊量已超過50000人，IT服務產品下單量已達到6500單。因為專注，所以專業(yè)，工單服務好評率也高達98%以上。小程序，大作為，真正成為您企業(yè)績效倍增的加速器！幫助企業(yè)的同時還有更多好禮相送。

更多活動請關注“企如意”小程序！