用户数据泄漏 黑客目标不仅是信用卡

　　虽然最新Verizon数据泄漏报告显示被泄露的数据数量在过去一年中有所下降，但是安全专家警告说，数据库社区不应该由此认为他们在保护结构化数据存储方面做的不错。实际上，从更深入的数据挖掘来看，数据库安全比以往任何时候都更加重要。

　　“不要认为泄漏数据下降，我们就不再需要担心数据库安全，”Verizon公司研究和风险情报主管Alex Hutton表示，“数据库服务器仍然是非常重要的，如果你仔细阅读我们的报告数据，你会发现外部代理仍然‘喜爱’我们的数据库服务器。”

　　该报告发现，在几种类型的销售点载体后面，数据库仍然是Verizon报告调查的所有数据泄漏事故中数据泄漏的主要来源。

　　根据Hutton以及其他安全专家表示，最新调查数据显示攻击者并不只是从大型企业中搜寻信用卡数据。相反的，他们也开始瞄准较小型企业，找寻那些包含更重要(更有利可图的)信息的数据库，而不仅是个人身份信息，这是在过去几年大部分数据库安全专家很关注的部分。

　　“调查数据清楚地显示，现在的目标已经从大型企业转移到中小型企业，”NitroSecurity公司首席技术官Mel Shakir表示，“这是可以理解的，因为中小型企业更容易被攻击。即使是那些已经部署了数据库工具的企业，他们很容易出现错误配置这样简单的失误，这份报告对他们而言，应该引起警惕。”

　　Hutton表示赞同，“这些数据表明了这样一个事实，瞄准中小型企业的攻击正在不断上升。”

　　即使这些企业无法负担昂贵的数据库监控工具，他们也可以从基础开始，因为黑客在占据数据库之前通常需要几个简单的步骤。

　　“我们在攻击者发动攻击的每个步骤都有机会阻止攻击，来保护数据库，”Hutton解释说，“你不会认为一个Web服务器可以作为控制来保护数据库，但是它确实有这个作用。”

　　比更多攻击者关注中小企业的趋势更加重要的是，攻击者对不同类型数据的渴求已经有所改变。Hutton表示，阅读这份报告的所有人都应该记住，数据数量并不完全等于丢失数据造成的影响，Verizon也很难分类。

　　“在我们的数据泄漏报告中，我们真的很想报告风险程度，但是我们只能通过我们认为客户丢失的数据数量来体现风险程度，”他解释说，“很明显看出，泄漏数据造成的影响与数量是完全不同概念。”

　　不管是大型企业还是小型企业，企业必须对其数据库内存储的数据的所有类型有很好的理解，以预防对企业声誉造成严重影响的数据泄漏事故的发生，例如近日RSA公司遭受的数据泄漏事故，MAD Security公司管理合伙人Mike Murray表示，数据库安全社区不能只是保护PCI合规的数据。

　　“如果我作为数据库安全人员看到这份报告，我应该会说，‘这不只是我们的信用卡数据，所有数据都可能是有价值的’，”他表示。

　　在这么多年里发生了这么多大型数据泄漏事故后，攻击者对行用卡数据和其他个人信息数据的“渴求”已经没有那么强烈，在过去每条记录可以获利一美元，而现在只有一美分。

　　Verizon公司调查发现64%的数据泄漏事故包含身份验证信息、敏感企业数据、知识产权或者保密信息的盗窃。