今天上午,漏洞報告平臺烏云網出現了一則關于中國鐵路購票網站12306的漏洞報告,危害等級顯示為“高”,漏洞類型則是“用戶資料大量泄漏”。
今天,機鋒論壇的2300萬用戶數據在網上瘋傳,引發公眾的廣泛關注。這2300萬數據是還只是機鋒2013年的老數據。
在不影響業務系統正常運轉的情況下,數據庫審計產品能夠對數據庫的操作訪問行為進行追蹤審計,這也是大多數用戶將其作為數據庫安全標配采購的重要原因。
對于一個人口大國,任何關乎民生的事情都不是小事情,因此,人社行業與其他政府機構雖同屬政府職能部門卻也有著其敏感的行業特殊性。
數據庫審計產品中一個重要需求是要有效記錄下來SQL語句的操作類型、訪問對象;根據這些操作類型和訪問對象,審計產品可以有效地制訂告警策略,可以有效地根據操作類型、訪問對象進行事后的追蹤與檢索。
多語句是SQL Server上的一個特定情況。在其它的數據庫管理系統中,語句之間都有明確的分割標識;而在SQL Serve中語句之間可以沒有明確的分隔符。
對于一些數據庫審計產品,由于沒有將多個SQL通訊包進行有效解析和關聯,在發生長SQL語句時會發生無法解析或解析不全的情況;具體表現是,對于長SQL語句并未記錄,或僅記錄了前半部分。
數據庫審計產品常見的八類缺陷:長SQL語句漏審、多語句無法有效分割、復雜語句對象解析錯誤、參數值與SQL語句匹配錯誤、錯誤的應答結果,特別是影響行數解析不正確、充滿失真率的應用用戶關聯、未專業化的審計界面、過度冗余的審計信息存儲
筆者將重點對國內數據庫審計產品常見缺陷進行分析。以下分門別類,針對最常見的8類數據庫安全審計產品缺陷展開講解。
8月3日,有媒體報道“多名聚美優品用戶信息疑被泄露 假客服行騙金額達20萬”。繼攜程、ebay、大麥網等用戶信息泄漏事件之后,電商平臺的數據安全問題再惹爭議。