數(shù)據(jù)庫(kù)安全審計(jì)常見8種缺陷(編輯修改稿)
2024-08-31 16:56 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 而造成對(duì)敏感對(duì)象的訪問(wèn)不能有效地被識(shí)別或告警。（3）在審計(jì)記錄中，不能準(zhǔn)確地記錄每條語(yǔ)句是否執(zhí)行成功；比如多條語(yǔ)句中第一條語(yǔ)句執(zhí)行成功，后面的語(yǔ)句執(zhí)行失敗了，往往會(huì)被整體記錄為一個(gè)結(jié)果，往往記錄的結(jié)果是成功。（4）在審計(jì)記錄中，不能準(zhǔn)確地反饋出每條語(yǔ)句造成的影響行數(shù)，從而也無(wú)法觸發(fā)基于影響行的安全策略；往往記錄下來(lái)的都是第一條語(yǔ)句的影響行，其余語(yǔ)句的影響行都被忽略掉了。數(shù)據(jù)庫(kù)對(duì)象解析錯(cuò)誤數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品中一個(gè)重要需求是要有效記錄下來(lái)SQL語(yǔ)句的操作類型、訪問(wèn)對(duì)象；根據(jù)這些操作類型和訪問(wèn)對(duì)象，審計(jì)產(chǎn)品可以有效地制訂告警策略，可以有效地根據(jù)操作類型、訪問(wèn)對(duì)象進(jìn)行事后的追蹤與檢索。我國(guó)相關(guān)部門的數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品標(biāo)準(zhǔn)中要求：應(yīng)對(duì)數(shù)據(jù)庫(kù)網(wǎng)絡(luò)訪問(wèn)對(duì)象的名稱進(jìn)行準(zhǔn)確審計(jì)，包括數(shù)據(jù)庫(kù)服務(wù)器名稱、IP名稱、數(shù)據(jù)庫(kù)名稱、表、視圖、序列、包、存儲(chǔ)過(guò)程、函數(shù)、庫(kù)、索引和觸發(fā)器等。目前國(guó)內(nèi)大多數(shù)數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品都會(huì)宣稱支持對(duì)SQL語(yǔ)句操作類型和訪問(wèn)對(duì)象的審計(jì)支持；但事實(shí)上，很多審計(jì)產(chǎn)品的支持能力有限，往往只能支持一些簡(jiǎn)單語(yǔ)句的解析，比如這樣的語(yǔ)句：Select * from tbl1 where col1 ’1’。但筆者曾經(jīng)見過(guò)一家大型的信息安全廠商的產(chǎn)品，僅僅是在表名前增加一個(gè)schema名稱，就發(fā)生了令人震驚的錯(cuò)誤；這個(gè)產(chǎn)品居然將schema名稱審計(jì)為了表名。如上面這條語(yǔ)句改為；Select * from where col1 ‘1’。這種數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品就會(huì)將user1記錄為表名。事實(shí)上，上面被誤報(bào)的例子，是一個(gè)非常簡(jiǎn)單的例子，大多數(shù)專業(yè)的數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品都不會(huì)犯這樣的錯(cuò)誤。事實(shí)上，真正的挑戰(zhàn)要比上面的例子復(fù)雜很多。參數(shù)審計(jì)錯(cuò)誤參數(shù)綁定是數(shù)據(jù)庫(kù)編程中常用的一種方法，通過(guò)這種方法，數(shù)據(jù)庫(kù)系統(tǒng)可以減少編譯次數(shù)，快速執(zhí)行，提升效率；但這種編程方法將對(duì)數(shù)據(jù)庫(kù)的審計(jì)帶來(lái)挑戰(zhàn)，在筆者所見到的若干數(shù)據(jù)庫(kù)審計(jì)產(chǎn)品中，在這種情況下都出了不少的錯(cuò)誤。有的是漏審了語(yǔ)句，有的是記錄下了操作的語(yǔ)句，但將具體執(zhí)行時(shí)所使用的參數(shù)記錯(cuò)了或漏記了。這些缺陷對(duì)于
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1