安华金和数据库漏洞扫描系统白皮书.docx

《安华金和数据库漏洞扫描系统白皮书.docx》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、安华金和数据库漏洞扫描系统白皮书目录安华金和数据库漏洞扫描系统1技术白皮书1一.产品简介21.1应用背景21.2核心价值31.3工作环境要求51.4基本功能51.4.1任务管理51.4.2策略管理51.4.3数据库服务器自动发现（端口扫描）51.4.4数据库漏洞扫描61.4.5数据库漏洞扫描评估报告61.4.6安全监控61.4.7渗透攻击61.4.8数据库安全加固建议71.4.9审计管理71.5产品特性71.5.1支持的数据库类型71.5.2支持的检测内容7二.产品优势82.1国内外主流产品对比分析82.2DBScan的竞争优势9三.

2、产品架构123.1扫描控制模块123.2管理模块133.3扫描模块143.4报表生成模块153.5存储管理模块163.6自身安全模块16四.新手上路174.1用户角色174.2使用流程184.3简单场景举例19五.联系我们21一.产品简介安华金和数据库漏洞扫描系统（简称DBScan）是一款对数据库系统进行自动化安全评估的专业软件，能够充分暴露并证明数据库系统的安全漏洞和威胁并提供智能化的修复建议，将企业的数据库安全建设工作由被动的事后追查转变为事前主动预防，将数据库的安全自查由低效的人工方式提升到高效准确的自动检查方式，并以报表的方式

3、呈现给用户，适时提出修补方法和安全实施策略，对数据库的安全状况进行持续化监控，从而帮助用户保持数据库的安全健康状态，实现“防患于未然”，对数据库安全风险进行综合评估。国产数据库弱口令扫描和安全配置核查旨在通过对国产数据库弱口令和安全配置的检查，规范国产数据库使用者口令和安全选项设置，保障数据库及数据库中数据的安全。工具当前支持达梦、南通GBase、人大金仓等主流国产数据库，同时针对每一款数据库本身的特性，提供定制化的弱口令扫描方案，以最小的代价提供最具效率的扫描体验。1.1应用背景l数据库自身漏洞增长迅速、风险不断加剧主流数据库系统大

4、多功能庞大且结构复杂，在提供强大的数据管理服务能力的同时，也暴露出众多的安全漏洞。根据cnnvd的最新统计分析结果表明，在累计报告的45917 条漏洞信息中与主流数据库相关漏洞已达到4900多条，在包括网络、主机、系统、软件漏洞在内的所有安全漏洞中占10%以上，而这一比例在2年前还不足5%；其中，数据库Oracle累计报告的漏洞高达1214条，另一广泛应用的SQLServer数据库漏洞也多达272条，且处于中、高风险的漏洞比例较大并呈现逐年增加，日趋复杂化发展态势。l数据库成为黑客主要攻击目标泄漏源头根据美国verizon2009年对

5、2亿8500万次累计攻击行为调查报告表明，数据库成为入侵者最主要的攻击目标，高达76%的数据攻击尝试是针对数据库的；而对常规的网络服务器、应用服务器的攻击仅占到1%和18%。而据另一份verizon就“核心数据是如何丢失的”全面的市场调查，92%以上的数据丢失情况是由于数据库漏洞造成的，数据库安全问题已经到了必须引起高度重视的程度。l数据库的不规范使用引发众多安全隐患主流数据库应用相当复杂，要进行安全的配置和维护需要具备丰富的经验，随着主流数据库的功能不断扩充，出现的漏洞更加复杂、种类更加繁多，而DBA更多的精力是投入到复杂的日常维护

6、工作中，往往忽略了安全隐患和不正确的安全配置检查，从而导致数据库的安全状况的无法得到改善。l数据库安全成为信息安全建设短板数据库系统是企业最重要的“数字资产”载体，然而我国在过去的10年在网络安全、主机安全、终端安全等层面投入巨大，但忽视了数据库的安全建设。传统的安全产品已经日趋完善和成熟，通过传统的攻击方式已无法对信息系统进行有效攻击。当前，入侵者往往采取合法手段绕过外层防护的安全壁垒，转而直接攻击薄弱的数据库内部防护环节，对数据库造成极大威胁。在去年爆发的若干重大数据泄密事件，如：索尼的7000万用户数据泄露、陕西移动1400万用

7、户数据泄露、福建黑客入侵盗走多家三甲医院处方信息、年底CSDN开始的诸多大型网站数据泄密等事件，均与数据库的安全漏洞存在重要关系。1.1核心价值l分析内部不安全配置，防止越权访问通过只读账户，实现由内到外的检测；提供现有数据的漏洞透视图和数据库配置安全评估；初步诊断内外部的非授权访问。l监控数据库安全状况，防止数据库安全状况恶化对于数据库建立安全基线，对数据库进行定期扫描，对所有安全状况发生的变化进行及时报告和分析。l用户和授权状况扫描，便于找到宽泛权限账户对于大型业务系统中用户，以及用户的授权状况，特别是管理员权限的授予状况，是系统

8、安全的关键；从安全合规性的角度，用户和授权状况总是审查的要点。DBScan提供自动化的收集工具，提供独立于DBA的授权报告。l丰富的弱口令字典库比对，即时展现不安全的口令设置基于各种主流数据库口令生成规则实现口令匹配扫描