近50%企業(yè)的數(shù)據(jù)庫存在漏洞，法國位列漏洞數(shù)量排行榜第一

根據(jù)互聯(lián)網(wǎng)安全公司Imperva過去五年收集的數(shù)據(jù)顯示，幾乎一半公司的內(nèi)部數(shù)據(jù)庫存在已知漏洞，而平均每個脆弱的數(shù)據(jù)庫都有26個公開披露的漏洞，其中一半以上是關(guān)鍵或高危漏洞。
雖然易受攻擊的本地數(shù)據(jù)庫可以從企業(yè)防火墻中獲得一定的保護，但那些留有已知/未修補漏洞的數(shù)據(jù)庫的公司會將自身暴露給攻擊者，這些攻擊者可以通過漏洞訪問公司的網(wǎng)絡(luò)，或者能夠使用公共應(yīng)用程序向后端系統(tǒng)提供有效負載。該公司在一篇博文中表示，許多未修補的漏洞至少存在3年，超過一半（56%）是嚴重漏洞。
Imperva首席創(chuàng)新官EladErez表示，“這種級別的漏洞代表著一個巨大的攻擊面。從攻擊者的角度來看，一旦他們進入網(wǎng)絡(luò)，就可以掃描數(shù)據(jù)庫，并且很可能會發(fā)現(xiàn)一個存在20多個漏洞的脆弱數(shù)據(jù)庫。正如我們所知，查找已知漏洞的漏洞利用就像谷歌搜索一樣簡單。”
多年來，數(shù)據(jù)一直是網(wǎng)絡(luò)犯罪分子和民族國家攻擊者的關(guān)注重點。過去，攻擊者可以訪問內(nèi)部網(wǎng)絡(luò)并滲漏大量數(shù)據(jù)，從而導(dǎo)致大規(guī)模數(shù)據(jù)泄露。對零售巨頭Target的攻擊、對美國人事管理辦公室的間諜攻擊，以及最近曝光的米高梅酒店數(shù)千萬條客戶記錄泄露，都是攻擊者獲取內(nèi)部網(wǎng)絡(luò)訪問權(quán)限后發(fā)生的。
Imperva強調(diào)，向基于云的數(shù)據(jù)存儲的轉(zhuǎn)移同樣轉(zhuǎn)移了攻擊者的注意力，但大多數(shù)組織仍在繼續(xù)依賴本地數(shù)據(jù)庫，尤其是內(nèi)部業(yè)務(wù)數(shù)據(jù)和其他敏感信息。
該公司在其研究博客中表示，“多年來，企業(yè)組織一直在優(yōu)先考慮并投資周邊和端點安全工具，并想當然地以為對數(shù)據(jù)周圍的系統(tǒng)或網(wǎng)絡(luò)進行保護就足夠了。然而，這種方法根本行不通，因為這是一個廣泛的全球性問題。企業(yè)組織需要重新考慮如何真正保護數(shù)據(jù)。”
據(jù)悉，這些研究數(shù)據(jù)是來自Imperva創(chuàng)新實驗室在四年多前發(fā)布的一款數(shù)據(jù)庫掃描工具，旨在更深入地了解內(nèi)部數(shù)據(jù)庫。該工具已經(jīng)掃描了2.9萬余個內(nèi)部數(shù)據(jù)庫，并為Imperva提供了匿名數(shù)據(jù)。
該工具發(fā)現(xiàn)，公司未能定期修補他們的數(shù)據(jù)庫系統(tǒng)，但某些國家的公司做得比其他國家更好。
法國公司面臨的風(fēng)險最大，84%的數(shù)據(jù)庫至少存在一個漏洞，脆弱數(shù)據(jù)庫平均存在多達72個安全問題。
新加坡和澳大利亞分列第二和第三，分別有65%和64%的數(shù)據(jù)庫存在漏洞，但兩國的漏洞水平截然不同：澳大利亞的脆弱數(shù)據(jù)庫平均只有20個漏洞，而新加坡的平均漏洞數(shù)為62個。
美國的企業(yè)做得好于平均水平，39%的數(shù)據(jù)庫至少有一個漏洞，而脆弱數(shù)據(jù)庫平均有25個漏洞。
EladErez認為，其中最重要的問題是身份驗證繞過漏洞，該漏洞允許攻擊者無需登錄即可訪問數(shù)據(jù)庫。將數(shù)據(jù)移至云端將更一致地提供更高級別的安全性，但錯誤配置也會成為一個重大問題。在極少數(shù)情況下，當發(fā)現(xiàn)漏洞時，可能會產(chǎn)生可怕的后果。最近在微軟Azure公共云中發(fā)現(xiàn)的兩個漏洞可能導(dǎo)致其他公司的云基礎(chǔ)設(shè)施和數(shù)據(jù)遭到大規(guī)模入侵。
EladErez表示，雖然有樂觀的結(jié)論，但其中也存在一些令人擔(dān)憂的問題。由于云數(shù)據(jù)庫的管理和更新更加容易，我們發(fā)現(xiàn)暴露的數(shù)據(jù)庫數(shù)量有所減少。但似乎太多人忘記了數(shù)據(jù)安全和基礎(chǔ)網(wǎng)絡(luò)安全。企業(yè)組織應(yīng)該定期掃描數(shù)據(jù)庫，掃描并獲得結(jié)果只需不到兩分鐘，卻可以幫助企業(yè)更好地了解自身的安全狀態(tài)。此外，市場上也有多種工具可用于檢查數(shù)據(jù)庫的修補程序級別。
文章轉(zhuǎn)載自FreeBuf