防統(tǒng)方解決方案介紹(編輯修改稿)
2025-05-25 06:55 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 某個(gè)竊取統(tǒng)方的途徑，該途徑將會(huì)迅速傳播，從而擊破統(tǒng)方防御?；诖丝紤]，統(tǒng)方防御必須是全方位的，至少不能給不法者提供簡(jiǎn)單的、低成本的、快速的竊取途徑?！吧虡I(yè)統(tǒng)方”的基本途徑主要分兩大類：(一) 來(lái)自于非業(yè)務(wù)系統(tǒng)軟件的統(tǒng)方威脅(二) 來(lái)自于合法業(yè)務(wù)系統(tǒng)軟件的統(tǒng)方威脅 l 來(lái)自于非業(yè)務(wù)系統(tǒng)軟件的統(tǒng)方威脅高權(quán)限用戶越權(quán)訪問(wèn)高權(quán)限用戶越權(quán)訪問(wèn)使統(tǒng)方數(shù)據(jù)泄露的主要威脅之一。在數(shù)據(jù)庫(kù)中，至少會(huì)擁有一個(gè)，除了之外還存在著很多先天有能力訪問(wèn)統(tǒng)方數(shù)據(jù)的數(shù)據(jù)庫(kù)的用戶。這些用戶廣泛的被管理人員，開(kāi)發(fā)商以及合作伙伴所擁有，特別是相當(dāng)多的高權(quán)限用戶可能還存在著共享使用問(wèn)題，比如等用戶。從業(yè)務(wù)性質(zhì)來(lái)說(shuō)，任何高權(quán)限用戶都是為了管理數(shù)據(jù)庫(kù)，而不是管理數(shù)據(jù)，其本身并無(wú)訪問(wèn)統(tǒng)方數(shù)據(jù)的要求。盜用 以及其他共享用戶密碼軟件系統(tǒng)開(kāi)發(fā)和運(yùn)行存在著一個(gè)廣為人知的事實(shí)，就是 ，也就是業(yè)務(wù)系統(tǒng)訪問(wèn)數(shù)據(jù)庫(kù)的用戶密碼無(wú)法保密。同時(shí)這個(gè)開(kāi)放的用戶又是統(tǒng)方數(shù)據(jù)和代碼的缺省擁有者，使其成為統(tǒng)方數(shù)據(jù)泄露的最大威脅所在。特別是 被盜用之后，其可以部署各種統(tǒng)方代理來(lái)完成統(tǒng)方數(shù)據(jù)的獲取。通過(guò)等合法數(shù)據(jù)備份程序訪問(wèn)幾乎任何業(yè)務(wù)系統(tǒng)都存在和應(yīng)用，這是任何業(yè)務(wù)系統(tǒng)災(zāi)難保障的一部分。和具有獲取處方表等表哥全部數(shù)據(jù)的能力，也使其成為統(tǒng)方數(shù)據(jù)獲取的一個(gè)可能來(lái)源。通過(guò)生成的備份文件訪問(wèn)備份文件離線保存，可以在數(shù)據(jù)庫(kù)外獲得統(tǒng)方數(shù)據(jù)。雖然備份文件一般保留在數(shù)據(jù)庫(kù)服務(wù)器之上，相當(dāng)比較安全。也需要一定的方式加以保護(hù)。代理式訪問(wèn)代理式訪問(wèn)相當(dāng)比較隱蔽，部署一段代碼在數(shù)據(jù)庫(kù)或者主機(jī)之上。通過(guò)該代碼運(yùn)行來(lái)獲取統(tǒng)方數(shù)據(jù)。需要注意的是代理式訪問(wèn)并不需要訪問(wèn)者具有直接訪問(wèn)統(tǒng)方數(shù)據(jù)能力，而是通過(guò)代理者的權(quán)限來(lái)獲得統(tǒng)方數(shù)據(jù)。從數(shù)據(jù)庫(kù)角度而言，代理訪問(wèn)都是通過(guò)權(quán)限進(jìn)行的。代碼注入式訪問(wèn)代碼注入式訪問(wèn)和代理式訪問(wèn)類似，但其過(guò)程更加隱秘，通過(guò)使自己代碼運(yùn)行在業(yè)務(wù)系統(tǒng)的外衣之下進(jìn)行。比如注入視圖，注入觸發(fā)器，注入其他業(yè)務(wù)系統(tǒng)代碼來(lái)完成獲取統(tǒng)方數(shù)據(jù)。利用安全漏洞訪問(wèn)安全漏洞是獲取統(tǒng)方數(shù)據(jù)的一條途徑，只有通過(guò)持續(xù)的進(jìn)行補(bǔ)丁解決。但絕大部分安全漏洞為提升權(quán)限，從而在完成權(quán)限管理的基礎(chǔ)之上可以很好的解決安全漏洞所帶來(lái)的統(tǒng)方威脅問(wèn)題。l 阻止假冒應(yīng)用進(jìn)行“統(tǒng)方”在攔截非法“統(tǒng)方”的各條通路后，業(yè)務(wù)系統(tǒng)就出現(xiàn)通過(guò)假冒應(yīng)用進(jìn)行統(tǒng)方的事故。由于醫(yī)院系統(tǒng)時(shí)典型的架構(gòu)，系統(tǒng)又頻繁更新，導(dǎo)致
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1