數(shù)據(jù)庫服務器

數(shù)據(jù)庫服務器和 Web 服務器之間的功能分離

由于 Web 服務器通常面臨更高的威脅環(huán)境，在同一操作環(huán)境中托管數(shù)據(jù)庫服務器和 Web 服務器會增加數(shù)據(jù)庫服務器被惡意行為者攻擊的可能性。通過確保數(shù)據(jù)庫服務器在功能上與 Web 服務器分開，可以減輕這種安全風險。數(shù)據(jù)庫服務器和 Web 服務器在功能上是分開的。

數(shù)據(jù)庫服務器和 Web 服務器之間的通信

數(shù)據(jù)庫服務器和 Web 服務器之間傳輸?shù)臄?shù)據(jù)（尤其是通過互聯(lián)網(wǎng)傳輸?shù)臄?shù)據(jù)）很容易被惡意攻擊者竊取。因此，對數(shù)據(jù)庫服務器和 Web 服務器之間傳輸?shù)乃袛?shù)據(jù)進行加密非常重要。

數(shù)據(jù)庫服務器和 Web 服務器之間傳輸?shù)臄?shù)據(jù)是加密的。

網(wǎng)絡環(huán)境

將數(shù)據(jù)庫服務器與用戶工作站放在同一網(wǎng)絡段上會增加數(shù)據(jù)庫服務器被惡意行為者破壞的可能性。此外，在只能從自己的數(shù)據(jù)庫服務器訪問數(shù)據(jù)庫的情況下，允許遠程訪問數(shù)據(jù)庫服務器會帶來不必要的安全風險。

數(shù)據(jù)庫服務器與用戶工作站位于不同的網(wǎng)絡段上。

實施網(wǎng)絡訪問控制以限制數(shù)據(jù)庫服務器通信與嚴格定義的網(wǎng)絡資源，例如 Web 服務器、應用程序服務器和存儲區(qū)域網(wǎng)絡。

如果只需要本地訪問數(shù)據(jù)庫，則數(shù)據(jù)庫管理系統(tǒng)軟件的網(wǎng)絡功能將被禁用或指示僅監(jiān)聽本地主機接口。

開發(fā)、測試和生產(chǎn)數(shù)據(jù)庫服務器的分離

使用生產(chǎn)數(shù)據(jù)庫服務器進行開發(fā)和測試活動可能會導致其完整性或內(nèi)容意外損壞。開發(fā)和測試環(huán)境不使用與生產(chǎn)環(huán)境相同的數(shù)據(jù)庫服務器。

數(shù)據(jù)庫

數(shù)據(jù)庫注冊

如果組織不了解其所有數(shù)據(jù)庫及其內(nèi)容，則無法適當保護其資產(chǎn)。因此，定期開發(fā)、實施、維護和驗證數(shù)據(jù)庫登記冊非常重要。

數(shù)據(jù)庫登記冊定期開發(fā)、實施、維護和驗證。

保護數(shù)據(jù)庫

通過對數(shù)據(jù)庫文件應用基于文件的訪問控制，可以保護數(shù)據(jù)庫免遭未經(jīng)授權(quán)的復制以及隨后的離線分析。

基于文件的訪問控制應用于數(shù)據(jù)庫文件。

保護數(shù)據(jù)庫內(nèi)容

數(shù)據(jù)庫管理員和數(shù)據(jù)庫用戶應了解與數(shù)據(jù)庫及其內(nèi)容相關的敏感度或分類。如果數(shù)據(jù)庫的所有內(nèi)容都具有相同的敏感度或分類，則組織應將整個數(shù)據(jù)庫歸類為這一級別并進行保護。或者，如果數(shù)據(jù)庫的內(nèi)容具有不同的敏感度或分類，并且數(shù)據(jù)庫用戶對數(shù)據(jù)庫內(nèi)容的訪問級別不同，則組織應在更細致的級別保護數(shù)據(jù)庫的內(nèi)容。

根據(jù)數(shù)據(jù)庫用戶的工作職責限制其訪問、插入、修改或刪除數(shù)據(jù)庫內(nèi)容的能力，可確保降低未經(jīng)授權(quán)訪問、修改或刪除數(shù)據(jù)庫內(nèi)容的可能性。此外，如果擔心數(shù)據(jù)庫中不同內(nèi)容的聚合可能會導致惡意行為者確定更敏感或機密的內(nèi)容，則可以通過使用最低權(quán)限、數(shù)據(jù)庫視圖和數(shù)據(jù)庫角色來執(zhí)行“需要知道”原則?；蛘?，可以通過實施多個數(shù)據(jù)庫（每個數(shù)據(jù)庫都有受限數(shù)據(jù)集）來分離關注的內(nèi)容。

數(shù)據(jù)庫及其內(nèi)容根據(jù)其包含的數(shù)據(jù)的敏感度或分類進行分類。數(shù)據(jù)庫用戶訪問、插入、修改和刪除數(shù)據(jù)庫內(nèi)容的能力受到其工作職責的限制。通過應用最小權(quán)限、數(shù)據(jù)庫視圖和數(shù)據(jù)庫角色，對數(shù)據(jù)庫內(nèi)容強制執(zhí)行需要知道的原則。

開發(fā)、測試和生產(chǎn)數(shù)據(jù)庫的分離

在開發(fā)或測試環(huán)境中使用生產(chǎn)環(huán)境中的數(shù)據(jù)庫內(nèi)容可能會導致對數(shù)據(jù)庫內(nèi)容的保護不足。

生產(chǎn)環(huán)境中的數(shù)據(jù)庫內(nèi)容不會在開發(fā)或測試環(huán)境中使用，除非該環(huán)境的安全級別與生產(chǎn)環(huán)境相同。

數(shù)據(jù)庫事件日志

集中記錄和分析數(shù)據(jù)庫事件可以幫助監(jiān)控數(shù)據(jù)庫的安全態(tài)勢、檢測惡意行為并有助于網(wǎng)絡安全事件后的調(diào)查。

以下事件集中記錄在數(shù)據(jù)庫中：

• 訪問或修改特別重要的內(nèi)容

• 添加新用戶，尤其是特權(quán)用戶

• 用戶角色或權(quán)限的變更

• 嘗試提升用戶權(quán)限

• 包含評論的查詢

• 包含多個嵌入式查詢的查詢

• 數(shù)據(jù)庫和查詢警報或失敗

• 數(shù)據(jù)庫結(jié)構(gòu)改變

• 數(shù)據(jù)庫管理員操作

• 使用可執(zhí)行命令

• 數(shù)據(jù)庫登錄和注銷。