烽火台是盛邦安全在网站风险管理与攻击监控领域打造的云服务平台，该平台是国家重大事件网络安保的支撑平台之一，能力得到有关部门的高度认可。我们将通过“烽火十八台”系列文章向您介绍烽火台的服务能力，解决方案，成功案例，希望能够为您雄心勃勃的“互联网+”计划尽一份力。

烽火台已经和大家接触了有段日子了，相信通过前面十几台的介绍，大家已经对它的功能、特点有了比较深的了解。今天的主题是数据库安全，借着这个机会给大家介绍下我们的烽火台和锐御WAF如何双剑合璧来保障数据库安全。

数据是Web应用的核心资源，存放数据的数据库也是一个非常重要的资产，而数据库是否真的安全呢，其实不然，根据调查2015年新发现的数据库漏洞统计众多，其中mysql新发现了47个漏洞占据了总数的62%、oracle新发现了14个漏洞占据了总数的18%，这两种数据库是业界使用最广泛的，每年仍能新发现这么多的漏洞信息，由此可见数据库安全隐患还是非常大的。

数据库存在如此严重的威胁，面对这些威胁盛邦安全对数据库的安全如何保障呢？

做好数据库安全的第一点是要做好日常的安全检查，可以使用烽火台对数据库资产进行定期的安全检查，能够有效的检查到数据库系统软件本身存在的已知漏洞、数据库系统的各项设置错误、数据库系统完整性等问题。最后根据检测结果对数据库系统的整体安全性做出专业评估，并给出相应的修复建议。

目前烽火台支持检测数据库类型众多，包含主流的数据库，如Oracle、MySQL、DB2、PostgreSQL、sybase、SQLServer等。

对于数据库的检测漏洞现在已经多达2600多条，并且对于漏洞的更新频率为一周一更新，我们的漏洞来源分成三方面：

1.高危紧急漏洞，我们研发自己写PoC，自研漏洞库。

2.针对第三方收费组织，购买合作。

3.第三方公开免费的漏洞库定期收集。

相信通过这些日常的安全检查可以有效帮助维护人员及时的发现数据库存在的各种问题，以便更好的处理存在的安全隐患。

做好数据库安全第二点是针对各种数据库的攻击以及拖库、暴库危险动作等进行有效的阻断防御。

黑客想要对数据库进行非法操作必然要寻找Web服务器上的SQL注入漏洞，把锐御WAF部署在Web服务器及数据库服务器的前端，通过WAF有效的分析经过的http数据包，过滤掉带有攻击参数的http数据，从而屏蔽掉黑客的SQL注入攻击。

以上是对于非常规手段的拖库防护，那么对于正常访问方式的装库等操作如何来防范呢。

 WAF具有特征识别以及数据模糊混淆等技术。特征识别和数据模糊混淆匹配则是使用WAF的敏感信息检测规则来对正常的访问数据进行防范，它能够把数据包中的带有的敏感信息进行过滤屏蔽加密等处理，如手机号码、银行卡号、身份证号码等信息，让黑客即使拿到这些信息也不能为己所用，从而有效的防范拖库行为。

结束语：

目前网络安全工作正在从过去的“防护”为核心向两个方向转移，一个方向是向前，强调对于攻击事件发生之前，进行风险管理和威胁预警，尽量降低网站被攻击的可能性。一个方向是向后，强调对于攻击事件发生后的及时发现和快速响应能力，尽量降低攻击造成的影响。网站大检查常态化趋势，监管部门监测任务日趋繁琐。一方面是因为网络安全的形式日益严峻，网站所面临的攻击越来越多，而且互联网服务平台也越来越多，互联网网站是网络攻击的焦点，与其仅靠人工方式日常检查或应急保障现场排查等方式，不如引入常态机制更加有效；另一方面就是攻击往往不是发生在一个时点，而是一个长期的复杂行为，很多时候攻击所利用的后门都是较长时间以前就植入在服务器里的，所以日常监测工作要常抓不懈。综上，针对互联网服务平台及门户网站检查工作，行业与地方监管部门，建立一套常态化的利用自动化手段的检查与监测技术支撑平台，迫在眉睫。