实时合规审计 保护数据库安全

　　目前数据库市场价值已经超过200亿美元，并且存储的敏感信息的数量也在迅速增长，这也难怪数据库成为当今安全攻击的最大目标。毕竟，数据库包含着客户信用卡信息、金融数据和知识产权等“诱饵”。有些强大而复杂的攻击者能够通过非法途径打开数据库以进行恶意操作，你甚至可以将数据库看作是公司的命脉。

　　在很多企业中，对数据库访问的特权都有管理不当的问题。开发者、移动员工和外部顾问经常能够在没有太多限制的情况下访问敏感信息。另外，人员流动和外包也可以让数据库活动很难锁定。

　　虽然数据库要求符合大多数合规要求，包括信用卡行业数据安全标准(PCI DSS)、Sarbanes-Oxley法案和HIPAA法案以及FISMA等，但是数据库往往很难满足所有合规要求，并且合规并不总是企业的最优先事项。

　　即使当企业开始对特权用户进行监测、审计跟踪、报告和维持补丁更新，聪明的攻击者通常会知道将如何跟踪数据线索。攻击者最常用的招数就是冒充管理员。通过升级他们的特权，他们可以自动获取对任何数据库和报告的访问权或者下载有价值的信息，然后完全清除其踪迹。

　　尽管保护数据库有着各种复杂的需要，他们仍然是关键信息的“一站式商店”。2008年的数据盗窃和泄漏事故已经造成企业损失费用高达1万亿美元，这是个相当大的数据。但是不要担心，有几个简单的方法可以帮助小型、中型和大型企业来维护数据库安全。

　　企业需要考虑的第一个问题就是，威胁和攻击可能是来自内部和外部的。在2008年底时，随着全球经济下滑，很多人预计2009年内部威胁将迅速增加。外包、移动办公人员和员工离职等，这些都可能造成特权用户试图获取数据库中的隐私信息。通常情况下，当数据泄漏发生的时候，通常会将数据库管理员认定为罪魁祸首。

　　尽管内部威胁十分严重，企业必须能够保护企业和员工免受伤害。因为数据库行为有时候可以被删除，很难分辨出安全泄漏的负责人是谁。对于数据库入侵应该采取实时检测、预警和预防。

　　减小安全威胁的三个技巧

　　1、加强信息安全

　　将个人信息、身份信息作为敏感信息对待，并对这些信息部署适当的安全措施。此外，严格部署安全原则(如职责分工和最小特权等)，要让员工各尽其职，不要越权。最好，认真考虑第三方访问和加密数据。

　　2、强化基础设施和发展反应能力

　　即时尽快部署供应商的安全补丁。如果无法及时修复物理补丁，使用虚拟补丁，并使用强度高的密码。此外，删除所有默认用户名和密码。将泄漏防御功能自动化，并转变快速响应计划，以防发生泄漏事故。

　　3、对数据库访问实行实时监测

　　检查日志和审计，审计和审计。要积极主动，而不是被动，要监测内部和特权人员，而不是外围人员。监测所有对敏感数据的访问，并检测恶意或可疑活动，而不要等到为时已晚。

　　保护数据保密性和完整性的需要，和监测特权用户活动的需要，让CIO和审计员不得不重新考虑数据库安全的策略并对数据库系统的访问实行严格控制。执行可行的安全解决方案，然后执行该解决方案，都是很重要的。

　　维护数据库安全审查程序和保持最新更新和及时控制也是非常重要的。毕竟，合规需要和客户都期望如此。