安華金和數(shù)據(jù)庫(kù)漏洞掃描系統(tǒng)白皮書(shū).docx

《安華金和數(shù)據(jù)庫(kù)漏洞掃描系統(tǒng)白皮書(shū).docx》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在學(xué)術(shù)論文-天天文庫(kù)。

1、安華金和數(shù)據(jù)庫(kù)漏洞掃描系統(tǒng)白皮書(shū)目錄安華金和數(shù)據(jù)庫(kù)漏洞掃描系統(tǒng)1技術(shù)白皮書(shū)1一.產(chǎn)品簡(jiǎn)介21.1應(yīng)用背景21.2核心價(jià)值31.3工作環(huán)境要求51.4基本功能51.4.1任務(wù)管理51.4.2策略管理51.4.3數(shù)據(jù)庫(kù)服務(wù)器自動(dòng)發(fā)現(xiàn)（端口掃描）51.4.4數(shù)據(jù)庫(kù)漏洞掃描61.4.5數(shù)據(jù)庫(kù)漏洞掃描評(píng)估報(bào)告61.4.6安全監(jiān)控61.4.7滲透攻擊61.4.8數(shù)據(jù)庫(kù)安全加固建議71.4.9審計(jì)管理71.5產(chǎn)品特性71.5.1支持的數(shù)據(jù)庫(kù)類(lèi)型71.5.2支持的檢測(cè)內(nèi)容7二.產(chǎn)品優(yōu)勢(shì)82.1國(guó)內(nèi)外主流產(chǎn)品對(duì)比分析82.2DBScan的競(jìng)爭(zhēng)優(yōu)勢(shì)9三.

2、產(chǎn)品架構(gòu)123.1掃描控制模塊123.2管理模塊133.3掃描模塊143.4報(bào)表生成模塊153.5存儲(chǔ)管理模塊163.6自身安全模塊16四.新手上路174.1用戶角色174.2使用流程184.3簡(jiǎn)單場(chǎng)景舉例19五.聯(lián)系我們21一.產(chǎn)品簡(jiǎn)介安華金和數(shù)據(jù)庫(kù)漏洞掃描系統(tǒng)（簡(jiǎn)稱(chēng)DBScan）是一款對(duì)數(shù)據(jù)庫(kù)系統(tǒng)進(jìn)行自動(dòng)化安全評(píng)估的專(zhuān)業(yè)軟件，能夠充分暴露并證明數(shù)據(jù)庫(kù)系統(tǒng)的安全漏洞和威脅并提供智能化的修復(fù)建議，將企業(yè)的數(shù)據(jù)庫(kù)安全建設(shè)工作由被動(dòng)的事后追查轉(zhuǎn)變?yōu)槭虑爸鲃?dòng)預(yù)防，將數(shù)據(jù)庫(kù)的安全自查由低效的人工方式提升到高效準(zhǔn)確的自動(dòng)檢查方式，并以報(bào)表的方式

3、呈現(xiàn)給用戶，適時(shí)提出修補(bǔ)方法和安全實(shí)施策略，對(duì)數(shù)據(jù)庫(kù)的安全狀況進(jìn)行持續(xù)化監(jiān)控，從而幫助用戶保持?jǐn)?shù)據(jù)庫(kù)的安全健康狀態(tài)，實(shí)現(xiàn)“防患于未然”，對(duì)數(shù)據(jù)庫(kù)安全風(fēng)險(xiǎn)進(jìn)行綜合評(píng)估。國(guó)產(chǎn)數(shù)據(jù)庫(kù)弱口令掃描和安全配置核查旨在通過(guò)對(duì)國(guó)產(chǎn)數(shù)據(jù)庫(kù)弱口令和安全配置的檢查，規(guī)范國(guó)產(chǎn)數(shù)據(jù)庫(kù)使用者口令和安全選項(xiàng)設(shè)置，保障數(shù)據(jù)庫(kù)及數(shù)據(jù)庫(kù)中數(shù)據(jù)的安全。工具當(dāng)前支持達(dá)夢(mèng)、南通GBase、人大金倉(cāng)等主流國(guó)產(chǎn)數(shù)據(jù)庫(kù)，同時(shí)針對(duì)每一款數(shù)據(jù)庫(kù)本身的特性，提供定制化的弱口令掃描方案，以最小的代價(jià)提供最具效率的掃描體驗(yàn)。1.1應(yīng)用背景l(fā)數(shù)據(jù)庫(kù)自身漏洞增長(zhǎng)迅速、風(fēng)險(xiǎn)不斷加劇主流數(shù)據(jù)庫(kù)系統(tǒng)大

4、多功能龐大且結(jié)構(gòu)復(fù)雜，在提供強(qiáng)大的數(shù)據(jù)管理服務(wù)能力的同時(shí)，也暴露出眾多的安全漏洞。根據(jù)cnnvd的最新統(tǒng)計(jì)分析結(jié)果表明，在累計(jì)報(bào)告的45917?條漏洞信息中與主流數(shù)據(jù)庫(kù)相關(guān)漏洞已達(dá)到4900多條，在包括網(wǎng)絡(luò)、主機(jī)、系統(tǒng)、軟件漏洞在內(nèi)的所有安全漏洞中占10%以上，而這一比例在2年前還不足5%；其中，數(shù)據(jù)庫(kù)Oracle累計(jì)報(bào)告的漏洞高達(dá)1214條，另一廣泛應(yīng)用的SQLServer數(shù)據(jù)庫(kù)漏洞也多達(dá)272條，且處于中、高風(fēng)險(xiǎn)的漏洞比例較大并呈現(xiàn)逐年增加，日趨復(fù)雜化發(fā)展態(tài)勢(shì)。l數(shù)據(jù)庫(kù)成為黑客主要攻擊目標(biāo)泄漏源頭根據(jù)美國(guó)verizon2009年對(duì)

5、2億8500萬(wàn)次累計(jì)攻擊行為調(diào)查報(bào)告表明，數(shù)據(jù)庫(kù)成為入侵者最主要的攻擊目標(biāo)，高達(dá)76%的數(shù)據(jù)攻擊嘗試是針對(duì)數(shù)據(jù)庫(kù)的；而對(duì)常規(guī)的網(wǎng)絡(luò)服務(wù)器、應(yīng)用服務(wù)器的攻擊僅占到1%和18%。而據(jù)另一份verizon就“核心數(shù)據(jù)是如何丟失的”全面的市場(chǎng)調(diào)查，92%以上的數(shù)據(jù)丟失情況是由于數(shù)據(jù)庫(kù)漏洞造成的，數(shù)據(jù)庫(kù)安全問(wèn)題已經(jīng)到了必須引起高度重視的程度。l數(shù)據(jù)庫(kù)的不規(guī)范使用引發(fā)眾多安全隱患主流數(shù)據(jù)庫(kù)應(yīng)用相當(dāng)復(fù)雜，要進(jìn)行安全的配置和維護(hù)需要具備豐富的經(jīng)驗(yàn)，隨著主流數(shù)據(jù)庫(kù)的功能不斷擴(kuò)充，出現(xiàn)的漏洞更加復(fù)雜、種類(lèi)更加繁多，而DBA更多的精力是投入到復(fù)雜的日常維護(hù)

6、工作中，往往忽略了安全隱患和不正確的安全配置檢查，從而導(dǎo)致數(shù)據(jù)庫(kù)的安全狀況的無(wú)法得到改善。l數(shù)據(jù)庫(kù)安全成為信息安全建設(shè)短板數(shù)據(jù)庫(kù)系統(tǒng)是企業(yè)最重要的“數(shù)字資產(chǎn)”載體，然而我國(guó)在過(guò)去的10年在網(wǎng)絡(luò)安全、主機(jī)安全、終端安全等層面投入巨大，但忽視了數(shù)據(jù)庫(kù)的安全建設(shè)。傳統(tǒng)的安全產(chǎn)品已經(jīng)日趨完善和成熟，通過(guò)傳統(tǒng)的攻擊方式已無(wú)法對(duì)信息系統(tǒng)進(jìn)行有效攻擊。當(dāng)前，入侵者往往采取合法手段繞過(guò)外層防護(hù)的安全壁壘，轉(zhuǎn)而直接攻擊薄弱的數(shù)據(jù)庫(kù)內(nèi)部防護(hù)環(huán)節(jié)，對(duì)數(shù)據(jù)庫(kù)造成極大威脅。在去年爆發(fā)的若干重大數(shù)據(jù)泄密事件，如：索尼的7000萬(wàn)用戶數(shù)據(jù)泄露、陜西移動(dòng)1400萬(wàn)用

7、戶數(shù)據(jù)泄露、福建黑客入侵盜走多家三甲醫(yī)院處方信息、年底CSDN開(kāi)始的諸多大型網(wǎng)站數(shù)據(jù)泄密等事件，均與數(shù)據(jù)庫(kù)的安全漏洞存在重要關(guān)系。1.1核心價(jià)值l分析內(nèi)部不安全配置，防止越權(quán)訪問(wèn)通過(guò)只讀賬戶，實(shí)現(xiàn)由內(nèi)到外的檢測(cè)；提供現(xiàn)有數(shù)據(jù)的漏洞透視圖和數(shù)據(jù)庫(kù)配置安全評(píng)估；初步診斷內(nèi)外部的非授權(quán)訪問(wèn)。l監(jiān)控?cái)?shù)據(jù)庫(kù)安全狀況，防止數(shù)據(jù)庫(kù)安全狀況惡化對(duì)于數(shù)據(jù)庫(kù)建立安全基線，對(duì)數(shù)據(jù)庫(kù)進(jìn)行定期掃描，對(duì)所有安全狀況發(fā)生的變化進(jìn)行及時(shí)報(bào)告和分析。l用戶和授權(quán)狀況掃描，便于找到寬泛權(quán)限賬戶對(duì)于大型業(yè)務(wù)系統(tǒng)中用戶，以及用戶的授權(quán)狀況，特別是管理員權(quán)限的授予狀況，是系統(tǒng)

8、安全的關(guān)鍵；從安全合規(guī)性的角度，用戶和授權(quán)狀況總是審查的要點(diǎn)。DBScan提供自動(dòng)化的收集工具，提供獨(dú)立于DBA的授權(quán)報(bào)告。l豐富的弱口令字典庫(kù)比對(duì)，即時(shí)展現(xiàn)不安全的口令設(shè)置基于各種主流數(shù)據(jù)庫(kù)口令生成規(guī)則實(shí)現(xiàn)口令匹配掃描