转载

数据库审计产品常见缺陷（1）-综述

随着信息化的发展，数据库安全问题成为当前政府和企业用户关注的焦点，数据库审计产品成为当前信息安全产品的新宠。

当前在市面上存在着几十种数据库审计产品，这些产品的来源大约有四种类型：

（1）国内原先具有网络审计产品的厂商，在网络审计产品的基础上经过简单包装，推出的数据库审计产品，比如我国几大安全厂商推出的数据库审计产品；

（2）国内厂商专门针对数据库通讯协议的特点，开发出专门的数据库审计产品，比如安华金和、思福迪、安恒、国都兴业和帕拉迪等；

（3）国外的数据库审计产品，比如Imperva、Guardium等；

（4）OEM第三方的数据库审计产品，OEM对象可能是国内的产品，也可能是国外的产品（比如Imperva或韩国的DBInsight)；

从国家的安全政策上，国外的数据库审计产品或OEM国外的数据库审计产品都存在安全隐患，不在本文的评论范围内。

在这里我们主要分析下国内厂商开发的数据库审计产品的常见缺陷，当然这些缺陷并不是每种产品都具备，读者若有兴趣且条件方便的话，可以进行有针对性的测试：

1：长SQL语句漏审

原因是长SQL语句（比如超过2K）被分配到了多个通讯包中，而相关产品对跨通讯包的协议解析并未进行精细化的处理，该错误会造成全部或局部漏审，极易被攻击者利用。

2：多语句无法有效分割；

SQL Server这样的数据库支持多语句同时发送，语句间缺乏明确的分割标识；由于大多的数据库审计产品是基于正则表达式，无法有效分割SQL语句，造成SQL语句的审计解析错误，如无法正确捕获SQL语句的类型、操作对象等。

[1] [2] [3] 下一页

正文到此结束

所属分类：编程技术

本站定位：个人技术类博客

本站作用：写博客、记日志、闲聊扯淡鼓捣技术。