| 导读 | 跨不同平台和云计算提供商托管的数据库和其他数据存储设施为网络攻击者提供了诱人的目标。通过在暗网市场上出售或加以利用窃取的大量信息，网络攻击者赚取巨额资金，其中包括利用个人和财务信息盗取资金或欺诈和勒索。企业的数据库泄露行为违反GDPR法规和其他法规(例如即将出台的《加利福尼亚消费者保护法》)，除了数据泄露遭受的损失之外，这些企业还有可能面临巨额罚款。 |
因此，各种规模企业的数据库经常受到持续的网络攻击。很多网络入侵通常在更长时间内未被检测到，这意味着数据库需要受到被动和主动安全系统的保护。
这说起来容易做起来难。随着数据库基础设施变得越来越复杂，保护其中信息的措施也变得越来越复杂。企业现在拥有可以托管在任何地方的数据库(即内部部署数据中心、混合云、公共云和私有云)，这意味着对于最终的保护需要统一的安全、风险和符合性问题的策略。由于云计算环境中缺乏安全性的标准，使其安全保护变得更加复杂。亚马逊、微软和其他云计算提供商经常使用非常不同的工具和流程，这使得企业在操作多云设置时更加难以管理。
在寻求保护云中数据库的安全性时，企业必须采取通常用于内部部署数据中心的所有安全措施。例如，企业仍然有必要知道那里有哪些资产，如何管理访问以及有哪些数据验证和保护。但是，许多企业组织错误地认为自己的云计算提供商将会满足其所有隐私和安全需求，而实际上他们仍然必须自己承担最终的安全责任。
随着组织的成长、合并或收购其他组织，他们的数据库资产和体系结构可能会扩展并变得越来越复杂。它们可以基于任何平台上的任何位置，但是要确保无缝的业务流程，必须将它们链接在一起。在具有不同本地数据保护和隐私法律的国家中，这可能会构成严重的安全威胁，尤其是对于基于或已创建的数据库而言。如果安全团队不知道如何配置和保护数据库，则威胁级别会增加。在更糟糕的情况下，安全团队甚至根本不会意识到数据库的存在。
这些数据库为威胁行为者提供了窃取数据或破坏系统的巨大机会，而且更糟的是，与通过其他受保护程度更高的资产相比，它提供了更深入企业网络的途径。
企业准确了解资产是什么以及资产的位置对于有效的数据库安全至关重要。资产监控需要实时地进行细化，安全团队这样就可以直接获得数据或架构的任何变化的警报，这表明其安全系统已经被渗透。
当用户可以从任何地方访问文档时，控制可以登录到特定数据库的人员及其相关特权是必不可少的安全措施。特权用户访问需要基于角色的规则和特权的强大访问管理机制来构建。
操作最低权限的用户权限管理策略可确保用户只能访问资源，并执行其工作角色所需的操作。这限制了企业对员工或外部威胁参与者未经授权访问的暴露。
加强职责隔离是政府和监管机构经常需要的最佳实践指南。这种方法要求企业证明对敏感数据的有效控制，这不仅是限制风险的一个好方法，而且还是证明合规性的一个有效方法。
为了有效地实施此类策略，企业安全团队需要对异构数据库环境中的所有权限进行监督和控制，以便能够以一致的方式管理和消除过多的权限。
这也需要定期进行监视，最好是实时监视。每隔30天左右查看一次访问日志可能会发现可疑活动的迹象，但将为网络攻击者留下未被发现的很大的时间窗口。精明的攻击者也有可能窃取安全日志并对其进行操作以掩盖其入侵活动。
除了检测潜在威胁之外，实时监视还可以显示长期未使用的数据库帐户，这表明它们可能不再需要访问，并且可以取消其特权。这是一个很好的实践，因为相关人员可能已经更改了工作角色，并且需要访问不同的数据集，或者根本不需要访问。如果权限不随工作角色而改变，某些工作人员可能有权访问整个数据库区域，而他们不再有资格通过过度暴露的数据创建安全问题。当然如果需要，可以很容易地恢复特权。要实现对用户权限评估的这种监督和控制，每个数据库实例可能需要80个工时。因此，企业应该寻求自动化。
数据库活动监视(DAM)可以自动检测数据泄露事件或看起来可疑的用户活动。数据库活动监视(DAM)解决方案可以自动应用操作，如终止用户会话或锁定帐户，以及触发其他操作，例如启动恶意软件扫描。此外，该解决方案可用于立即通知安全小组，然后安全小组可以进行调查，并在必要时采取行动，防止任何可能的威胁。
许多云计算提供商将为客户提供运行冗余数据实例作为备份措施的选择，这意味着即使服务器由于任何原因崩溃而不会丢失信息。尽管这可能很有用，但这些冗余实例可能与世界其他地方的服务器位于完全不同的服务器上。在这种情况下，企业有责任确保每个包含其数据副本的数据库均已正确配置并保证安全。
这使得了解数据的安全性变得更加不确定。为了消除这种情况，组织应该考虑增加更多的加密和细粒度的数据控制。由于数据不是简单地在企业网络中存储、访问和传输，而是通过不同的服务提供商在多个网络中，所有信息都需要在空闲时、在使用中和在可能的情况下被加密。这意味着，即使有人确实访问数据库，它们也不能够在没有解密密钥的情况下读取数据。
即使在最简单的同质环境中，保护数据库安全也是一项复杂但必要的任务，需要一系列安全策略和过程。跨平台托管、本地部署、在云中或以混合模型部署的数据库是一个挑战，即使大型企业的IT团队也难以实施有效的保护。用户越来越多地使用多个云计算服务提供商的服务这一事实使情况变得更加复杂。诸如GDPR法规和即将发布的CCPA等数据安全和隐私法规，也意味着保护基于云计算的数据库比以往任何时候都更加重要。
企业需要对基于云计算的资产采取基于风险的方法，评估安全事件的潜在威胁和影响，并将其与对安全的投资进行平衡。
自动化数据库管理的关键要素是保护云安全的最有效选择之一。漏洞管理、用户权限管理和活动监视的关键元素都可以从自动化中受益，从而有助于确保数据的安全性，而不会给资源有限的安全团队带来更大的负担。
原文来自：
本文地址：//q13zd.cn/cloud-database-security-control.html编辑：KSJXAXOAS，审核员：张文祥
Linux大全：
Linux系统大全：
