数据库安全测试(数据库)

时间：2022-11-15 06:30:01 | 来源：信息时代

时间：2022-11-15 06:30:01 来源：信息时代

    数据库安全测试 : 对数据库管理系统安全性进行的检测,以发现数据库管理系统存在的安全漏洞,并提出相关安全建议。通过安全测试,数据库管理员能够清楚地知道系统存在的安全漏洞和安全隐患,并能够根据安全建议对系统进行改进和加固,从而极大提高数据库管理系统的安全性。
1.数据库安全测试的类型
数据库安全测试的类型(type of database security test)根据安全测试方式可分为两类:一类是从外到内的测试; 另一类是从内到外的测试。
从外到内的安全测试是一种渗透性测试,它模拟网络中的黑客,对你的数据库管理系统进行各种攻击尝试,以取得对数据库管理系统的访问权限,从而进行各种未授权操作。如黑客利用系统存在的缓冲区溢出的漏洞,获得了数据库管理系统的管理员权限,从而完全控制了整个系统。从外到内的安全测试,可能会对系统造成破坏性后果,如用户锁定、系统负载增加、甚至系统崩溃等,所以在安全测试时必须做好充分的准备,充分考虑可能出现的各种风险。
从内到外的安全测试是以合法的授权用户身份(一般为系统管理员),登录到系统中,对系统进行各项安全配置进行检查,以发现系统中存在的各项安全漏洞。目前商用的数据库管理系统,都提供了相当多的安全措施,以保证系统的安全运行。然而,由于系统的庞大以及管理员的疏忽,许多安全措施没有被正确地启用,或者没有被安全地配置,从而造成系统整体安全性的下降。从内到外的安全测试,能够自动对系统进行细致、全面地分析,发现系统在安全配置方面的漏洞和错误。
数据库安全测试,一般由四部分组成: 数据库身份鉴别机制安全测试、数据库用户授权机制安全测试、数据库审计机制安全测试、数据库数据安全性测试。
2.数据库身份鉴别机制安全测试
数据库身份鉴别机制安全测试(database authentication security test)是测试数据库管理系统在身份鉴别机制方面是否存在安全漏洞,如用户口令强度不够,口令有效期过长等。
一个相对比较安全的口令鉴别机制,应该包含以下的安全特性:
(1) 口令的长度:对于一个口令来说,口令越长,破解的可能性就越小,就越安全。然而口令越长,就越不方便用户记忆。在安全性和方便性之间折中一下,一般要求口令不能少于6位,在安全性要求比较高的地方,一般要求口令不能少于8位。
(2) 口令的复杂度:口令的复杂度是口令安全性的一个重要因素。用户为了方便记忆,一般喜欢使用容易记忆的数字、单词或者自己的用户名作为自己的口令。这样的口令非常脆弱,如果进行暴力猜测(brute force)攻击,一般仅仅只需要几分钟就可以猜测出口令。安全口令的要求一般如下: ①口令不能全部是数字; ②口令不能包含用户名; ③口令不能包含字典中的单词; ④口令中最好是数字、字母以及特殊字符的组合。
(3) 口令的最长使用期限: 口令使用得越久,被泄漏和猜测的可能性就越大。所以最好给口令设定一个最长使用期限,用户在口令到期后必须修改自己的口令,以保证口令的安全。一般情况下,口令的最长使用期限设置为3个月。
(4)鉴别失败的锁定机制:如果某个用户鉴别失败的次数达到预先设定的值时,这个用户将被系统锁定,即使输入正确的口令也无法登录。鉴别失败的锁定机制,将防止攻击者无限制地猜测口令,能够很好地抵御暴力猜测攻击。
3.数据库用户授权机制安全测试
数据库用户授权机制安全测试(database authorization security test)是检查数据库管理系统中,是否存在危及系统安全的权限分配漏洞。检查漏洞的方法随系统而异。
用户授权机制是解决“你能干什么? ”的问题。用户的职责不同,拥有的权限也不同。安全管理员要为每一个用户授予起职责范围内的各种权限,然而由于安全管理员的疏忽和错误,某些用户可能会拥有超越其职责范围内的权限,从而他能够进行非授权范围内的操作,这就有可能会对整个系统的安全构成威胁。
4.数据库审计机制安全测试
数据库审计机制安全测试(database audit security test)是用于发现系统审计机制的安全漏洞。
安全审计机制是解决“你干了些什么? ”的问题。安全审计机制是数据库管理系统安全运行的重要组成部分。数据库管理系统的安全审计机制,一般有以下四种类型:
(1)针对SQL语句的审计: 这类审计是将设定的SQL语句作为审计对象,一旦用户执行了相关的SQL语句,其操作将被记录下来。如: create/drop table、create/drop database等语句,这些SQL语句将对数据库管理系统造成比较大的影响,必须将此类操作记录下来。
(2)针对用户的审计:这类审计是将某个特定用户的所有操作都记录下来。
(3)针对对象的审计:这类审计是将对某个特定对象的所有操作都记录下来。
(4)针对系统资源的审计:这类审计将监视分配给每个用户的资源数量。
5. 数据库数据安全性测试
数据库数据安全性测试(database data security test)是检查数据库管理系统中是否存在数据安全性方面的安全漏洞,如系统是否存在安全漏洞,是否安装了最新补丁程序,备份设置是否正确等。
由于数据库管理系统软件本身,存在着各种各样的缺陷,有些缺陷和系统的安全无关,有些却会严重影响系统的安全。最为常见、对系统安全影响最大的缺陷,是软件的缓冲区溢出缺陷。缓冲区溢出是指程序往缓冲区内填入了超出缓冲区容量的数据,从而引起程序的执行路径被改变。一个有经验的黑客,能够根据数据库管理系统的软件版本,清楚地知道系统存在的各种安全漏洞,然后利用这些漏洞,轻而易举地获取系统管理员的权限,这将对整个数据库数据的安全,造成严重损害。
软件厂商根据所发现的软件缺陷,也不断推出新的补丁程序,以堵住系统的安全漏洞。因而数据库管理系统的补丁安装情况,将极大地影响系统的安全性。
数据库备份机制是保证数据安全的重要措施。然而,备份机制是否启用,备份配置是否正确,这将严重影响数据库中数据的安全。
6.数据库安全测试工具
目前的数据库安全测试工具(database security test tools),既有昂贵的商业软件,又有免费的软件。一般来说,商业软件的测试范围更为全面,在技术支持、软件升级和补丁维护方面占有绝对优势,市场占有率比较高的商业软件有:ISS公司的“Database Scanner”(2005年1月终止销售)、Application Security公司的“AppDetective”。
免费软件一般只针对某个数据库管理系统,或者某个安全特性,如微软公司专门针对SQL Server数据库的基线安全性分析器(MBSA),专门针对Oracle数据库用户口令脆弱性的Checkpwd等。
(1) AppDetective: 由Application Security公司开发,支持Microsoft SQL Server、Oracle、Sybase Adaptive Server、IBM DB2、Lotus Domino、MySQL数据库等。
AppDetective首先在远程对设定的服务器进行扫描,自动识别出服务器的数据库管理系统的类型,然后选择相应的安全策略,对目标数据库管理系统进行身份鉴别机制、用户授权机制、审计机制、数据安全性等方面的安全测试。
测试结束后,AppDetective能够自动生成各种类型的测试报告。在安全漏洞详细报告中,对每一个安全漏洞,包含漏洞名称、漏洞的风险等级、漏洞简单描述、漏洞作用的产品类型和版本号、漏洞的相关CVE(common vulnerabilities and exposures)号、漏洞参考目录、漏洞摘要、漏洞详细说明、漏洞修补建议等内容。
有经验的管理员能够根据给出来的漏洞详细信息,对系统进行针对性的安全升级和加固,消除安全漏洞带给系统的不利影响,提高整个系统的安全性。
(2) MBSA:是Microsoft Baseline Security Analyzer(Microsoft基线安全性分析器)的缩写,是Microsoft公司免费提供的,面向Windows操作系统的安全测试工具,能够扫描操作系统、IIS服务器(internet information services)、SQL Server服务器以及其他Windows应用程序,以发现系统在配置方面的错误和是否安装了必要的安全补丁。
MBSA可以在本地运行,也可以通过网络运行,能够针对SQL Server问题进行检测: 授予sysadmin以外的其他角色创建CmdExec作业的权利;没有在域控制器的系统中运行SQL Server; Sa的口令和SQL服务账户的口令暴露在文本文件中; 没有正确设置SQL Server的安装目录权限; 没有关闭Guest账户;每个用户都能够读取SQL Server注册表值;SQL Server服务账户的不正确配置;用户使用了弱口令;脆弱的身份验证模式; 授予管理员组过多的权利; 数据库管理员过多; 没有进行最新的安全升级。
(3) Checkpwd:是由Red-Database-Security公司开发的,对Oracle数据库进行口令字典攻击的免费工具。它能够帮助管理员发现数据库管理系统中,是否存在弱口令或者缺省口令。它的工作原理是:从数据库中读取用户口令的HASH值,并且与字典计算出来的HASH值进行比对,如果HASH值一致,说明用户口令就是字典中的相应词。