XX流程模板

Size: px

Start display at page:

Download "XX流程模板"

紧堤扈
4 years ago
Views:

1 2015H1 DATABASE VULNERABILITIES REPORT - I -

2 目录 2015H1 DATABASE VULNERABILITIES REPORT... I... I 报告摘要... 3 报告正文... 3 数据库漏洞利用趋势结束语关于 DBSEC LABS 联系作者关注安华金和 II -

3 报告摘要北京安华金和科技有限公司 ( 简称安华金和 ) 长期致力于帮助客户应对数据库安全领域的威胁为了提高数据库用户的安全意识, 快速反馈最新数据库漏洞被利用方向, 安华金和数据库攻防实验室 ( 以下简称 :DBSec Labs) 最新发布 2015 年上半年数据库漏洞威胁报告数据选取截至 2015 年上半年, 该报告用于快速跟踪及反馈数据库漏洞的发展态势报告核心观点上半年数据泄密事件回顾 2. Web 数据库依旧是黑客的主要攻击目标 3. 政府网站交易平台成为黑客攻击首选 4. 报告提出需要特别关注的数据库漏洞 5. 报告展示 2015 上半年数据库漏洞分布 6. 数据库漏洞利用趋势分析报告正文 2015 年上半年数据泄密事件回顾 Verizon 发布的 2015 年度数据泄露调查报告, 回顾了 2014 年全球起安全事件和 2122 起已经确认的数据泄漏事件根据每年 verizon 统计报告, 全球数据库泄露事件呈现缓步提高趋势可以预见,2015 年可能出现更多的数据泄露事件 2015 年上半年在世界范围内就发生多起造成重大影响和数据库直接相关的数据泄露事件全球第二大比特币交易网站 Bitstamp 遭到黑客入侵新型银行木马 Emotet 盗取德国网民网银证书黑客入侵瑞士银行, 利用用户信息敲诈银行美电信巨头 Verizon 曝有重大安全漏洞, 泄露客户所有信息抢票 APP 火车票达人曝漏洞, 外泄 300 万密码全国 30 余省社保系统曝高危漏洞, 数千万社保用户信息或被泄露永和大王官网 SQL 注入数据库信息全部泄露机锋论坛存高危漏洞导致 2700 万用户数据泄露汉庭酒店的撞库测试, 证明 8000 多用户敏感信息被泄露南方航空 Oracle 数据库配置信息泄露广西卫生厅某系统或泄露全省千万居民敏感信息 - 3 -

每年被确认的数据库漏洞数量呈震荡趋势数据库发布具有新功能的年份, 漏洞数量会有一定提高而不发布或少发布新功能的年份, 漏洞数量明显下降下面是 5 年对比图, 除了 2015 年只有半年数据库漏洞数量信息汇总外, 其余都是整年数据库漏洞数量 2015

4 中国电信某省公司平台漏洞泄露七百万用户信息 ( 号码套餐机型通话流量 ) 此类事件, 不胜枚举黑客通过利用数据库漏洞入侵数据库是数据泄漏事件发生的主要原因之一本文通过梳理今年新确认的数据库漏洞, 力求给客户指明今年数据库漏洞防护工作的重点和难点本文的漏洞取自 NVD( 美国国家漏洞库 ) 下图包含 2011 年到 2015 年间 7 个主流数据库 (oracle mssql MySQL db2 informix sybase postgresql) 漏洞的总和数量每年被确认的数据库漏洞数量呈震荡趋势数据库发布具有新功能的年份, 漏洞数量会有一定提高而不发布或少发布新功能的年份, 漏洞数量明显下降下面是 5 年对比图, 除了 2015 年只有半年数据库漏洞数量信息汇总外, 其余都是整年数据库漏洞数量 2015 年截止到 6 月份被确认的数据库漏洞一共 44 个, 预计全年达到 87 个数据库漏洞数量漏洞数量图数据库漏洞数量 - 4 -

个漏洞其中 Oracle 7 个,MySQL 29 个 Postgresql 5 个 Sybase 3 个未提到的 3 个数据库,2015 年暂无被确认的漏洞其中 Oracle MySQL Sybase 分别有 1 个高危漏洞

5 数据库漏洞产生原因 23% 4% 13% 60% 新功能带来的漏洞老版本兼容带来的漏洞修改产生的漏洞其他图 1.2 数据库漏洞产生原因上图统计了年产生漏洞的比例, 漏洞主要来自于三方面 : 1 新功能带来的新漏洞 2 新老版本兼容带来的新漏洞 3 修改漏洞不彻底或修改的代码产生新的漏洞 2015 年上半年被确认 44 个漏洞其中 Oracle 7 个,MySQL 29 个 Postgresql 5 个 Sybase 3 个未提到的 3 个数据库,2015 年暂无被确认的漏洞其中 Oracle MySQL Sybase 分别有 1 个高危漏洞漏洞按照对数据库的机密性完整性和可用性的影响程度进行分类分成 3 大类 : 高危漏洞中危漏洞和低危漏洞其中高危漏洞必须及时处理低危和中危漏洞虽然没有高危漏洞严重, 但在某些特定情况下也会达到高危漏洞的危害程度, 所以请广大数据库安全人员切莫轻视低危漏洞在 2015 年被确认的 44 个漏洞中高危漏洞有 3 个, 中危漏洞有 29 个低危漏洞有 12 个 - 5 -

6 漏洞危险等级 6.8% 27.3% 65.9% 低危漏洞中危漏洞高危漏洞图 1.3 数据库漏洞危险等级 Web 数据库依旧是黑客攻击的主要目标根据 VERIZON 的 2015 年全球数据泄露调查报告指出, 通过对 Web 攻击, 入侵 Web 数据库是数据泄露的重要途径之一排在 Web 攻击前 4 种数据泄露途径中 3 种是人为因素导致, 只能通过提高安全意识和安全管理解决 ( 分别是人为失误内部人员 / 权限滥用物理失窃 / 丢失 ) 数据库服务器不会安装任何不可信的第三方软件或被钓鱼, 因此犯罪软件入侵数据库服务器几率不大 Web 攻击是数据库服务器的第一大威胁, 数据库服务器中 Web 数据库服务器最易受到黑客攻击 - 6 -

7 图 1.4 VERIZON2015 报告显示数据泄漏途径图 1.5 数据库泄密的几种途径 Web 系统主要采用 B/S 技术架构, 用户通过浏览器访问 Web 服务器,Web 服务器再访问 Web 数据库服务器, 形成了从用户到数据库的合法访问通道, 从而将数据库间接暴露在互 - 7 -

联网上甚至在某些企业, 数据库就直接安装在对外提供 Web 服务的服务器上, 通过攻击 Web 服务器即可实现数据库的敏感数据访问大量 Web 数据库采用的是 MySQL 数据库, 今年 MySQL 已被确认有 29 个漏洞, 预计年底可达 60 个漏洞并且集中出现在 MySQL 最新稳定版 5.5-5.6 所以请广大 MySQL DBA 提高对 MySQL 安全的关注图 1.

8 联网上甚至在某些企业, 数据库就直接安装在对外提供 Web 服务的服务器上, 通过攻击 Web 服务器即可实现数据库的敏感数据访问大量 Web 数据库采用的是 MySQL 数据库, 今年 MySQL 已被确认有 29 个漏洞, 预计年底可达 60 个漏洞并且集中出现在 MySQL 最新稳定版所以请广大 MySQL DBA 提高对 MySQL 安全的关注图 1.6 MySQL 数据库不同版本漏洞数量很多漏洞在 MySQL5.5 和 MySQL5.6 上同时被发现上图展示了今年已确认的 MySQL 的 29 个漏洞出现的版本其中 MySQL 5.6 受到 28 个漏洞影响,MySQL5.5 受到 14 个漏洞影响, 其中大部分重合政府网站交易平台成为黑客攻击首选 2015 年上半年针对 Web 数据库攻击的目标主要集中在政府网站和各种交易平台其中对政府网站的攻击主要呈现为有组织有目的潜伏期长等特性美国 Fireeye 曾发布 APT 攻击报告中指出, 大部分针对政府的攻击是有组织的黑客团体发动, 有政治等更深层次的目的相比对交易平台的攻击, 则显得更加短平快基本属于入侵 Web 数据库后直接获取客户敏感信息把获取的敏感信息转移进黑色产业虽然会在平台上留下木马后门程序, 便于黑客下次入侵, 但平台安全人员基本在三个月内会处理掉黑客留下的后门和被利用的漏洞 - 8 -

9 2015 年上半年需要关注的漏洞高危漏洞分散于数据库 Oracle MySQL 和 Sybase 中分别是 CVE CVE CVE 这 3 个是 2015 年上半年的高危漏洞 CVE 是 oracle 的 java vm 存在一个缓冲区溢出漏洞该漏洞不需要获得目标数据库的网络访问权限或者数据库所在操作系统的访问权限, 就可以导致目标数据库被完全控制, 里面存储的所有敏感信息被盗取数据库被彻底破坏数据库服务被停止等该漏洞在今年 4 月份的补丁中被修正, 影响到和 12.1 这 3 个稳定版本下的多数数据库 CVE 是 MySQL 的通讯协议加密存安全漏洞该漏洞不需要获得目标数据库的网络访问权限或者数据库所在操作系统的访问权限, 就可以通过破解 MySQL 通讯协议登入 MySQL 数据库如果破解的是 root 账号则可能导致目标数据库被完全控制, 里面存储的所有敏感信息被盗取数据库被彻底破坏数据库服务被停止等该漏洞在今年 1 月份的补丁中被修正影响到这 2 个稳定版本下的多数数据库 CVE 是 SAP Sybase ASE 数据库平台的 sql 注入漏洞攻击者可以使用 SQL 注入的帮助下制作特别的 SQL 查询他们可以从数据库读取和修改敏感信息, 在数据库中执行管理操作, 破坏数据或使其不可用在某些情况下, 攻击者可以访问系统数据或执行操作系统命令该漏洞在今年 1 月份的补丁中被修正 - 9 -

2015 年上半年数据库漏洞分布 2015H1 数据库漏洞数量 3 2.5 2 1.5 1 0.5 3 2 2 0 Core RDBMS XDB java vm 漏洞数量图 1.

exe 进程出现, 而 Linux 下则是分成多个进程, 这些进程负责着不同的功能, 保证 Oracle 数据库的正常运行 Java VM 是 java 虚拟机负责运行 Oracle 中的 Java 代码例如 Oracle 图形化安装程序 Java VM 的漏洞往往来自于

10 2015 年上半年数据库漏洞分布 2015H1 数据库漏洞数量 Core RDBMS XDB java vm 漏洞数量图 1.7 Oracle 数据库漏洞分布 Oracle 7 个漏洞集中于 java vm XDB 和 Core RDBMS 中这 3 个组件中 Core RDBMS 是由 oracle 数据库的最核心组件在 windows 下以一个 Oracle.exe 进程出现, 而 Linux 下则是分成多个进程, 这些进程负责着不同的功能, 保证 Oracle 数据库的正常运行 Java VM 是 java 虚拟机负责运行 Oracle 中的 Java 代码例如 Oracle 图形化安装程序 Java VM 的漏洞往往来自于 XDB 是负责处理 XML 的组件有 2 个对外端口是 HTTP 和 FTP 这 2 个端口经常会给数据库带来缓冲区溢出漏洞 ( 一种无需身份验证的高危漏洞 ) MySQL 和 Oracle 不同, 由于扩展了很多新功能导致出现大量漏洞 29 个漏洞分布也较为分散漏洞数量

11 图 1.8 MySQL 数据库漏洞分布 MySQL 的 29 个漏洞散落在 14 个 MySQL 组件和一个未知组件上 MySQL 是一款易拆合的轻量级数据库 14 个组件中有很多是非必备组件, 例如 innodb 存在的 5 个漏洞, 如果您的业务不需要 innodb, 则建议您禁止 innodb 的使用 postgresql 和 sybase 这 2 款数据库相对使用范围较小, 一般不用于 Web 数据库服务器今年它们已被确认的漏洞主要集中在某几个核心组件上由于很少作为 Web 数据库服务器使用, 所以不需要特别关注今年的数据库安全重点应该集中于 MySQL 和大量使用 MySQL 作为 Web 数据库的产业数据库漏洞利用趋势数据库安全发展到现在, 绕过身份验证依旧是对数据库安全最大的威胁今年上半年 3 个高危漏洞中的 2 个是针对身份验证绕过的他们分别采用的是缓冲区溢出和通讯协议破解的方式缓冲区溢出和通讯协议破解的漏洞虽然越来越少, 但一旦出现将是数据库的噩梦 SQL 注入依旧是漏洞中的主流, 基本 80% 以上的漏洞都属于 SQL 注入范畴在 SQL 注入中, 今年主要还是利用数据库系统 SQL 语言漏洞大部分还是依赖对低权限用户进行升级权限来获取更多数据库敏感信息作为数据库管理员请严格分配用户权限, 防止分配给用户过高权限对非必要服务请进行禁用或卸载, 防止其中存在的漏洞被黑客利用, 对您的数据库造成入侵结束语回顾近年来安华金和数据库攻防实验室对数据库漏洞的研究我们发现任何一款数据库漏洞出现和防治都会遵循某些特定的规律虽然每年漏洞出现的数量并非稳定下降, 但数据库自身出现漏洞的几率越来越低漏洞数量不能稳定下降主要和 2 点紧密相关 :1. 很多数据库为了方便用户扩展了大量接口和功能, 新功能在最初的版本总是受到自身漏洞和兼容性漏洞的双重困扰 2. 黑客利用漏洞的能力越来越强, 以前很多被发现的漏洞其实是无法被利用的, 黑客逐渐把其中一部分以前无法利用的漏洞变得可以利用同时黑客也会特别关注与某些行业, 数据库漏洞攻击往往也集中在这些行业领域最后, 也是最重要的, 大部分数据库漏洞攻击者依然是以获利为第一目的的数据库跟随业务逐渐从后台走向前台, 给黑客更多对数据库进行入侵的机会相信本文的这些观点对大家预测未来的数据库攻防形式, 以及进一步完善企业及组织的解决方案是有价值的今年请特别注意 MySQL 数据库的安全防护工作

12 关于 DBSec Labs 安华金和数据库攻防实验室 (DBSec Labs) 于 2010 年 11 月成立, 是我国一支独立的持久的针对数据库安全漏洞数据库攻击技术模拟和数据库安全防护技术进行研究的专业队伍安华金和数据库攻防实验室通过对数据库自身数据库使用环节存在的安全漏洞及黑客如何利用数据库漏洞对客户信息资产进行侵害的研究, 团队人员研究有效防御手段, 降低数据库安全风险, 以实现对数据资产的保护 DBSec Labs 采用开放的心态积极与学院和社会数据库安全研究组织团体进行沟通, 积极参与 CVE 组织 (Common Vulnerabilities and Exposures, 国际漏洞公布组织 ) CNNVD(China National Vulnerability Database of Information Security, 中国国家信息安全漏洞库 ) 组织的活动, 以及国家等级保护和分级保护的技术研究中 DBSec Labs 研究职责 1 对数据库安全漏洞进行研究, 是 DBSec Labs 的首要职责当前我国广泛地使用 Oracle SQL Server 和 DB2 等国外数据库产品, 随着我国安全产品自主化的基本国策, 确定了对国外数据库产品的漏洞和后门研究, 关系着国家安全需求 DBSec Labs 同时将投入力量对广泛使用的 MySQL Postgre 等开源数据库进行安全漏洞研究 ; 投入力量对武汉达梦人大金仓神舟通用南大通用的数据库产品进行安全漏洞研究 2 黑客数据库入侵手段研究黑客入侵数据库不仅利用数据库的自身漏洞, 还会利用合法应用系统提供的漏洞途径 ( 如 SQL 注入 ), 操作系统漏洞 ( 文件层攻击 ), 网络漏洞 ( 网络通讯捕获 ) 等手段获得数据库内的储存信息 DBSec Labs 针对这些黑客攻击手段进行研究 3 数据库防护手段研究 DBSec Labs 将对数据库漏洞扫描 Web SQL 注入扫描网络监控与分析数据库加密增强认证增强权限数据库应用安全数据库审计等数据库防护手段进行追踪和研究 DBSec Labs 部分成果 1 数据库漏洞提交 DBSec Labs 将发现的数据库漏洞提交给 CVE 组织, 以及我国的 CNNVD 组织, 以利于安全厂商和安全用户共享

2 研究成果公开 DBSec Labs 把大部分研究成果转化成专业论文在专业杂志和网络期刊进行公开发表, 将相关的数据库攻击手段和防御措施录制成视频在网上发布, 对典型数据库安全事件进行分析帮助用户了解数据库安全威胁, 制作数据库安全威胁与防护企业内部杂志免费提供给用户 3 数据库安全产品研发 DBSec Labs 的研究成果融入到安华金和的数据库安全产品系列中数据库漏洞研究成果不断

13 2 研究成果公开 DBSec Labs 把大部分研究成果转化成专业论文在专业杂志和网络期刊进行公开发表, 将相关的数据库攻击手段和防御措施录制成视频在网上发布, 对典型数据库安全事件进行分析帮助用户了解数据库安全威胁, 制作数据库安全威胁与防护企业内部杂志免费提供给用户 3 数据库安全产品研发 DBSec Labs 的研究成果融入到安华金和的数据库安全产品系列中数据库漏洞研究成果不断融入到安华金和现有系列产品中, 升级完善产品, 持续提升客户交付能力联系作者刘思成 : 安华金和数据库攻防实验室 (DBSec Labs) 安全研究员, 专注于研究数据库漏洞的原理利用方法和数据库防护技术 liusicheng@dbsec.cn 关注安华金和了解更多有关数据库安全信息, 请访问 : 官方网站 >> 数据库安全安华金和官方微博 : 安华数据安华金和官方微信搜索公众号安华金和

14 让数据使用更安全

15 - 15 -

目录第五部分第六部分第七部分第八部分投标邀请投标人须知附表评标方法和评分细则项目需求和技术方案要求 1

目录第五部分第六部分第七部分第八部分投标邀请投标人须知附表评标方法和评分细则项目需求和技术方案要求 1 政府采购招标文件 ( 服务类 ) 第二册项目编号 :SDGP2016-224 项目名称 : 公共法律服务系统开发项目包号 :A1 山东省省级机关政府采购中心目录第五部分第六部分第七部分第八部分投标邀请投标人须知附表评标方法和评分细则项目