這篇文章給出了一個(gè)國(guó)外廠商調(diào)查分析出來(lái)的十大數(shù)據(jù)庫(kù)安全漏洞：

 

1.默認(rèn)、空白及弱用戶名/密碼

2.SQL注入

3.廣泛的用戶和組權(quán)限

4.啟用不必要的數(shù)據(jù)庫(kù)功能

5.失效的配置管理

6.緩沖區(qū)溢出

7.特權(quán)升級(jí)

8.拒絕服務(wù)攻擊

9.數(shù)據(jù)庫(kù)未打補(bǔ)丁

10.敏感數(shù)據(jù)未加密

此前，另一個(gè)公司也給出過(guò)數(shù)據(jù)庫(kù)安全十大威脅，兩者基本一致。

威脅 1 - 濫用過(guò)高權(quán)限

威脅 2 - 濫用合法權(quán)

威脅 3 - 權(quán)限提升

威脅 4 - 平臺(tái)漏洞

威脅 5 - SQL 注入

威脅 6 - 審計(jì)記錄不足

威脅 7 - 拒絕服務(wù)

威脅 8 - 數(shù)據(jù)庫(kù)通信協(xié)議漏洞

威脅 9 - 身份驗(yàn)證不足

威脅 10 - 備份數(shù)據(jù)暴露

應(yīng)該說(shuō)，在應(yīng)對(duì)上述數(shù)據(jù)庫(kù)威脅和風(fēng)險(xiǎn)的時(shí)候，應(yīng)該有針對(duì)性地從多個(gè)方面入手，包括管理人員意識(shí)、制度、技術(shù)手段以及遵循基本的威脅防范準(zhǔn)則。

僅從技術(shù)層面而言，對(duì)于減少數(shù)據(jù)庫(kù)可能遭受的威脅方面，建議使用Database Activity Monitoring(DAM)系統(tǒng)，也就是常說(shuō)的數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)。

---