总有大批创意百出的黑客不断捣鼓出超狡猾的新方法染指各类数据。然后，更多不那么聪明的黑客不断重复老旧套路——因为同样老旧的漏洞一直在全球各个企业里涌现。

　　无论如何，数据泄露总是破坏性的;但更糟的是，要怎么向受影响的用户、投资人和证监会交代呢?一家公司上千万用户的个人数据，总不会自己长脚跑到黑市上躺着被卖吧?于是，在各种监管机构找上门来问一些很难堪的问题之前，我们还是来看看这几个最常见的数据库安全漏洞吧。

1. 部署问题
　　这就是数据库安全版的博尔特一蹬出起跑器就被鞋带绊倒。数据库经过广泛测试以确保能胜任应该做的所有工作，但有几家公司肯花时间保证数据库不干点儿什么不应该干的事儿呢?
　　解决办法：这个问题的解决办法十分明显：部署前做更多的测试，找出可被攻击者利用的非预期操作。  

2. 离线服务器数据泄露
　　公司数据库可能会托管在不接入互联网的服务器上，但这并不意味着对基于互联网的威胁完全免疫。无论有没有互联网连接，数据库都有可供黑客切入的网络接口。
　　解决办法：首先，将数据库服务器当成联网服务器一样看待，做好相应的安全防护。其次，用SSL或TSL加密通信平台加密其上数据。  

3. 错误配置的数据库
　　有太多太多的数据库都是被老旧未补的漏洞或默认账户配置参数出卖的。个中原因可能是管理员手头工作太多忙不过来，或者因为业务关键系统实在承受不住停机检查数据库的损失。无论原因为何，结果就是这么令人唏嘘。
　　解决办法：在整个公司中树立起数据库安全是首要任务的氛围，让数据库管理员有底气去花时间恰当配置和修复数据库。  

4.SQL注入
　　SQL注入不仅仅是最常见的数据库漏洞，还是开放网页应用安全计划(OWASP)应用安全威胁列表上的头号威胁。该漏洞可使攻击者将SQL查询注入到数据库中，达成读取敏感数据、修改数据、执行管理操作乃至向操作系统发出指令等目的。
　　解决办法：开发过程中，对输入变量进行SQL注入测试。开发完成后，用防火墙保护好面向Web的数据库。  

5. 权限问题
　　涉及访问权限，数据库面临两大主要问题：员工被赋予超出工作所需的过多权限;合法权限被未授权或恶意使用。
　　解决办法：权限分发时遵循最小权限原则，仅给员工赋予完成工作所需最小权限。数据库访问也要受到严格监视，确保员工权限仅用于经授权的操作。员工离职时需立即撤销分发给他/她的权限。  

6. 存档数据
　　与上一条相关，无论出于报复还是利益，员工通过盗取数据库备份获得大量个人资料的事屡见不鲜。
　　解决办法：加密存档数据，严密监视存档数据访问和使用情况，可以大幅减少内部人威胁。
常见后果  

　　在这个无比繁忙的数据泄露年代的全部影响尚未真正显现。最初的伤害作用在受影响企业身上，包括公关灾难、负面报道和用户及员工信誉损失。监管处罚和集体诉讼的赔款会在更晚些时候兑现。最终，企业会损失过多的罚金和赔款，还有更巨量的收益损失，所有这一切都源于最常见的数据库安全漏洞。是时候把常见转变为少见了，而第一步，就是意识。有了意识，一步一步完善网络安全。

网络信息处管理科

2019.12.6