DBSec Labs | 信創資料庫安全研究與思考

1

背景和需求

伴隨工業、金融、網際網路等產業的持續發展,完成資料的儲存、傳輸、查詢等功能需要更為專業的平臺和載體來實現,資料庫由此興起並普及應用。在過去,“模仿和引進”是國內對待資料庫技術的主流思想,國際IT巨頭在我國佔據著大量的市場份額,一度成為相關IT底層技術標準的制定者。而當“稜鏡門”等一系列全球性資料洩露、資訊竊取“大事件”曝光後,資料庫及資料安全開始成為各國政府和民眾關注的熱點領域。作為關乎國家安全與國民經濟的重要領域,對資料庫喪失“主動權”將導致不可估量的資料安全風險!在此背景下,越來越多的企事業單位陸續開始將資料庫安全列入發展規劃,這也成為了我國國產資料庫崛起的一個重要因素;今天,我國的資料庫廠商已多達上百家。早在2017年,中國工業和資訊化部就已在《資訊產業發展指南》中指出要致力打造具有國際競爭力、安全可控的現代資訊產業體系,其中強調保障政府、金融、能源等重要行業的資料安全的重要性。當前,中國已步入資料安全有法可依、有法必依的全新發展階段,以“自主可控”為核心理念與目標的信創資料庫也迎來更多機遇,應用新型資料庫管理系統已勢在必行,然而隱患、風險與挑戰也接踵而至。

近年來,持續增長的市場需求和陸續頒佈施行的政策、法律、法規等推動著信創資料庫產業的加速發展,逐漸獲得政府、企業及行業組織的關注和重視;其中,自然也包括駭客等攻擊者。經研究發現,早期信創資料庫普遍存在安全問題,尤以通用軟體型漏洞為主——此類漏洞無需攻擊者花費大量時間學習掌握資料庫及其體系,對攻擊者的技術水平要求低,甚至僅需復現其他軟體已發現的漏洞型別即可,因而被更多不法分子惡意利用的可能性很高;同時,部分信創資料庫自身也存一定的設計缺陷,例如:各廠商的資料庫架構設計不一,安全基礎架構也有較大區別,且部分廠商的資料庫安全機制也有待進一步最佳化,因而難以應對複雜多變的攻擊手段等等。在此背景下,須積極踐行統籌發展與安全防護路線,以安全保發展、以發展促安全,以更好推動信創資料庫的持續、健康發展與普及應用。

2

資料庫安全現狀

保障資料安全的第一要務是保障資料庫的安全。當前,網路攻擊不再是以往“廣撒網”的模式,而是演變成為目標精準、威力大、反偵察、輻射範圍廣的“導彈式”攻擊模式。一旦遭受攻擊,不僅會影響資料庫自身的安全,還會威脅到資料庫所在作業系統及區域網的整體安全狀況。

近年來,各類資料安全事件層出不窮,其危害和影響愈演愈烈。2021年,《資料安全法》《個人資訊保護法》等法律法規陸續施行,資料安全已成為我國政府、企業乃至民眾關注的焦點領域,正式步入“有法可依、有法必依”歷史新時期。而傳統的病毒防禦、應急處理等措施雖然能夠在一定程度上提高資料安全防護水平,但僅完成針對前端的防護並不能很好的保障資料安全,主要原因在於:

其一,由於攻防情勢處於動態變化發展的過程中,而傳統安全防護手段大都是基於已知的病毒特徵設計,在面對0day或新型攻擊手段時將難以有效防護,且部分防護手段可以被繞過;

其二,由於使用者方自身安全技術、流程、體系等存在短板,且相關人員安全防護意識不足,致使所部署的安全裝置並未發揮出其應有的作用;

其三,資料庫安全與應用安全存在較大差異,單純依靠應用層安全防護並不能保障資料庫安全。

以下就第三點問題進行展開介紹:

由於資料庫在網路結構中部署位置的特殊性,我們常常會忽略資料庫安全,或認為前端已有足夠的安全防護所以資料庫也一定是安全的。實際上,這種想法是非常錯誤的!因為資料庫面臨的安全威脅除了通用軟體型漏洞之外,還有資料庫的專有漏洞。如果說新型攻擊手段的不斷“迭代”,已令現有的安全防護措施無法精準識別並有效攔截通用軟體型漏洞攻擊,更何況是資料庫專有漏洞呢?舉例來說,像是資料庫觸發器注入、SQL靜態注入等漏洞攻擊語句一般不會在應用層以明文方式傳輸,所以針對資料庫的入侵檢測和防禦就需要進行針對性的研究和專業的處理!與此同時,資料庫與常見的應用在漏洞原理、漏洞利用條件、攻擊效果等方面也存在著較大差異。資料庫漏洞除緩衝區溢位、符號連結等通用軟體型漏洞之外,還包括:內部cache表更新滯後、SQL注入攻擊等。

DBSec Labs | 信創資料庫安全研究與思考

圖1:資料庫與通用軟體漏洞比對

3

資料庫威脅分析

· 威脅來源

(1)常見應用:網路夾帶惡意程式碼、本地系統物件互操作等;

(2)資料庫:資料庫儲存過程、函式等資料庫物件存在漏洞,即資料庫本身存在的安全隱患。

· 漏洞攻擊效果

(1)常見應用:遠端RCE、本地提權等;

(2)資料庫:許可權提升、資料洩露、資料篡改、資料破壞等。

當前,持久化、複雜化、隱蔽性的網路攻擊已成為當前主流。與早期的炫技不同,如今的攻擊者大多以“求財”為首要目標,在沒有得到令其滿意的“回報”前,通常會靜待直至時機成熟或被發現,面對此類攻擊任何防護手段都難保沒有露出破綻的一天。而更危險的是,攻擊越來越多的以團隊形式出現,內部存在組織和職能的劃分,甚至具有政治背景。

然而,各國政府和企業對資料庫安全的重視程度卻同資料本身的價值以及發生資料安全事件可能造成的損失不成正比。過去很長一段時期,資料庫僅被視為資料的一個載體,“割裂”的認知將儲存於資料庫內的海量資料置於危險邊緣。

資料庫自身具備一定的安全防護能力,如許可權劃分、資料庫加密等機制。明確的許可權管理能夠在一定程度上保障重要、敏感資料的安全,但許可權的邊界並非不可逾越,攻擊者可以透過多種方式實現許可權提升。其中,像是儲存過程SQL注入提權、同義詞替換提權、符號連結攻擊提權等提權漏洞的利用門檻較高;也有更簡單獲取資料庫許可權的方式,如部分資料庫敏感資訊傳輸、儲存時未加密,則可透過監聽資料獲取使用者名稱、密碼等關鍵資訊;或未限制普通使用者對資料庫檔案進行操作的許可權等等。此外,提權漏洞除了獲取資料庫更高許可權之外,還可以利用資料庫獲取作業系統的許可權。

DBSec Labs | 信創資料庫安全研究與思考

圖2:許可權提升階梯

除了提權漏洞之外,資訊洩露、資料庫服務宕機等也嚴重威脅著資料安全。Sqlmap等開源SQL注入工具降低了引發資訊洩露、資料篡改相關攻擊的門檻;同時,因SQL盲注導致的資料庫錯誤也幾乎不可避免。攻擊者一旦注入成功,除可獲取當前資料庫記憶體儲的資料之外,還可透過新建使用者實現長期潛伏,而針對資料庫特製的勒索病毒也早已存在。

資料庫安全防護工作不僅是面向其所涉及資料的安全,資料庫的安全還影響著上下游軟體的安全,諸如上層的web中介軟體和下層的作業系統等等。如果資料庫因漏洞攻擊淪陷,則必將影響上下游軟體的安全,反之亦是如此。

DBSec Labs | 信創資料庫安全研究與思考

圖3:資料庫安全威脅

1、人為因素

因管理人員疏忽或經驗缺乏等問題對資料庫安全造成威脅,如口令不符合要求(包含資料庫預設口令),或因不熟悉資料庫機制使用了錯誤配置等;

2、資料庫自身漏洞

因應用程式邏輯問題導致的SQL注入等漏洞,資料庫軟體方面的緩衝區溢位及提權漏洞等;

3、第三方惡意外掛

資料庫使用的工具或第三方元件中插入惡意的SQL語句,透過特定的方式觸發惡意SQL語句實現攻擊;

4、資料庫設計缺陷

研發人員未充分考慮資料庫安全防護機制導致的安全漏洞,例如:登入請求身份驗證時從檔案讀取預設密碼、客戶端與伺服器未進行身份驗證便傳送敏感資訊、TDE加密金鑰明文儲存等。

DBSec Labs | 信創資料庫安全研究與思考

圖4:SQL盲注導致的錯誤型別

據不完全統計,信創資料庫分類及佔比參考資訊如下:

1、按漏洞危害分類

高危佔比41%,中危佔比44%,低危佔比15%;

2、按攻擊途徑分類

遠端漏洞佔比53%,本地漏洞佔比43%;

3、按漏洞型別分類

資訊洩露、拒絕服務、未授權、緩衝區溢位、邏輯、越權、提權和其他;其中,以提權和資訊洩露佔比最高,分別為40%和22%;相關漏洞型別分佈情況詳見下圖:

DBSec Labs | 信創資料庫安全研究與思考

圖5:資料庫漏洞佔比

4

信創資料庫安全治理

雖然針對SQL注入攻擊的防護無法從web端根本解決,但資料庫可以透過SQL注入錯誤立即探測到此類風險,即只要探測到就關閉session以立即反制。想要從根本上解決資料庫安全問題,資料庫廠商需要對產品進行安全風險把控——建立內部安全開發管理體系、建立安全威脅模型、掌握已知資料庫攻擊手段、建立安全測試評估機制、加強產品釋出前的內部風險審查工作等。開展研發、運維、技術支援相關人員的安全意識與能力培訓,與專業團隊合作進行資料庫產品的漏洞挖掘,並透過實施安全風險評估,儘可能降低相關安全風險。與此同時,建立資料庫漏洞監測和預警處置機制,以加強針對安全漏洞的風險發現、監控與管理能力。

(本文作者:資料庫安全實驗室DBSec Labs 朱強)

頂部