数据库防御技术全揭秘.PDF

DTCC2013 数据库防御技术全揭秘 Database firewall、TDE、 Database vault以及开源防 御软件全揭秘 DTCC2013 数据库安全简介 数据库安全商业解决方案 数据库安全开源解决方案 大数据安全应用在电商 DTCC2013 安全现状 虽然各大公司已经招收了各种安全顶尖人才，但是仍然漏洞频发。归其原 因安全是一个动态过程，另外一个就是攻防的严重不对称性。 DTCC2013 安全现状 DTCC2013 安全现状  DEMO ONE： MySQL提权漏洞 漏洞信息:/cgi- bin/cvename.cgi?name=CVE-2012-5613 此漏洞影响MariaDB  DEMO TWO: Hive命令执行漏洞  DEMO THREE: MySQL认证绕过漏洞 漏洞信息:/bid/53911/discuss  DEMO FOUR: Mongodb命令执行漏洞 漏洞信息:/bid/58695/  DEMO FIVE： Hadoop命令执行漏洞 漏洞信息:/bugs/wooyun-2010-020282 DTCC2013 数据库安全的业务驱动 内部威胁 外部威胁 法规遵循 • 大部分信息泄漏源自内 • 黑客为了获利发起的攻 • 萨班斯法案 (SOX), 企业 部 击 内部控制基础规范(中国 • 很大比例的内部威胁没 版SOX) • 恶意的终端用户 有被察觉 • 竞争对手的破坏 • 支付卡行业规范 (PCI) • 个人信息保护法即将发 • 对内部人员/DBA没有监 控手段 布 • IT服务外包日益增多 • IT治理, COBIT, ITIL • 职责分离, 风险评估和监 控 6 DTCC2013 轻而易举地利用数据库访问 66% 易受 SQL 注入攻击或无仸何防范意识 50% 监视失败的数据库登录；41% 登录/注销 76% 无法阻止 DBA 访问应用程序数据或篡改数据库中的应用程序存储过程 28% 监视敏感数据的读取；37% 监视敏感数据的写入