Kiểm tra cơ sở dữ liệu - Bảo mật

Kiểm tra bảo mật cơ sở dữ liệu được thực hiện để tìm ra các kẽ hở trong cơ chế bảo mật và cả việc tìm ra các lỗ hổng hoặc điểm yếu của hệ thống cơ sở dữ liệu.

Mục tiêu chính của kiểm tra bảo mật cơ sở dữ liệu là tìm ra các lỗ hổng trong hệ thống và xác định xem dữ liệu và tài nguyên của nó có được bảo vệ khỏi những kẻ xâm nhập tiềm năng hay không. Kiểm tra bảo mật xác định một cách để xác định các lỗ hổng tiềm ẩn một cách hiệu quả, khi được thực hiện thường xuyên.

Dưới đây là các mục tiêu chính của việc thực hiện kiểm tra bảo mật cơ sở dữ liệu -

Authentication
Authorization
Confidentiality
Availability
Integrity
Resilience

Các loại mối đe dọa trên hệ thống cơ sở dữ liệu

SQL Injection

Đây là kiểu tấn công phổ biến nhất trong hệ thống cơ sở dữ liệu nơi các câu lệnh SQL độc hại được chèn vào hệ thống cơ sở dữ liệu và được thực thi để lấy thông tin quan trọng từ hệ thống cơ sở dữ liệu. Cuộc tấn công này lợi dụng những sơ hở trong việc triển khai các ứng dụng của người dùng. Để tránh điều này, các trường đầu vào của người dùng phải được xử lý cẩn thận.

Nâng cao đặc quyền trong cơ sở dữ liệu

Trong cuộc tấn công này, người dùng đã có một số quyền truy cập trong hệ thống cơ sở dữ liệu và anh ta chỉ cố gắng nâng quyền truy cập này lên mức cao hơn để có thể thực hiện một số hoạt động trái phép trong hệ thống cơ sở dữ liệu.

Từ chối dịch vụ

Trong kiểu tấn công này, kẻ tấn công làm cho hệ thống cơ sở dữ liệu hoặc tài nguyên ứng dụng không khả dụng cho người dùng hợp pháp của nó. Các ứng dụng cũng có thể bị tấn công theo những cách hiển thị ứng dụng và đôi khi toàn bộ máy không sử dụng được.

Truy cập trái phép vào dữ liệu

Một kiểu tấn công khác là truy cập trái phép vào dữ liệu trong một ứng dụng hoặc hệ thống cơ sở dữ liệu. Truy cập trái phép bao gồm -

Truy cập trái phép vào dữ liệu thông qua các ứng dụng dựa trên người dùng
Truy cập trái phép bằng cách giám sát quyền truy cập của người khác
Truy cập trái phép vào thông tin xác thực máy khách có thể sử dụng lại

Giả mạo danh tính

Trong Giả mạo danh tính, tin tặc sử dụng thông tin đăng nhập của người dùng hoặc thiết bị để thực hiện các cuộc tấn công chống lại máy chủ mạng, đánh cắp dữ liệu hoặc vượt qua các kiểm soát truy cập vào hệ thống cơ sở dữ liệu. Việc ngăn chặn cuộc tấn công này đòi hỏi phải giảm thiểu cơ sở hạ tầng CNTT và cấp độ mạng.

Thao tác dữ liệu

Trong một cuộc tấn công thao túng dữ liệu, một tin tặc thay đổi dữ liệu để đạt được một số lợi thế hoặc làm hỏng hình ảnh của chủ sở hữu cơ sở dữ liệu.

Kỹ thuật kiểm tra bảo mật cơ sở dữ liệu

Kiểm tra thâm nhập

Kiểm tra thâm nhập là một cuộc tấn công vào một hệ thống máy tính với mục đích tìm ra các lỗ hổng bảo mật, có khả năng đạt được quyền truy cập vào nó, chức năng và dữ liệu của nó.

Phát hiện rủi ro

Tìm kiếm rủi ro là một quá trình đánh giá và quyết định rủi ro liên quan đến loại tổn thất và khả năng xuất hiện lỗ hổng. Điều này được xác định trong tổ chức bằng nhiều cuộc phỏng vấn, thảo luận và phân tích.

Kiểm tra SQL Injection

Nó liên quan đến việc kiểm tra đầu vào của người dùng trong các trường ứng dụng. Ví dụ: nhập một ký tự đặc biệt như ',' hoặc ';' trong bất kỳ hộp văn bản nào trong ứng dụng người dùng không được phép. Khi lỗi cơ sở dữ liệu xảy ra, điều đó có nghĩa là đầu vào của người dùng được chèn vào một số truy vấn, sau đó được ứng dụng thực thi. Trong trường hợp như vậy, ứng dụng dễ bị chèn SQL.

Các cuộc tấn công này là một mối đe dọa lớn đối với dữ liệu vì những kẻ tấn công có thể truy cập vào thông tin quan trọng từ cơ sở dữ liệu máy chủ. Để kiểm tra các điểm nhập SQL vào ứng dụng web của bạn, hãy tìm mã từ cơ sở mã của bạn nơi các truy vấn MySQL trực tiếp được thực thi trên cơ sở dữ liệu bằng cách chấp nhận một số đầu vào của người dùng.

SQL Injection Testing có thể được thực hiện cho các dấu ngoặc nhọn, dấu phẩy và dấu ngoặc kép.

Bẻ khóa mật khẩu

Đây là bước kiểm tra quan trọng nhất trong khi thực hiện kiểm tra hệ thống cơ sở dữ liệu. Để truy cập thông tin quan trọng, tin tặc có thể sử dụng công cụ bẻ khóa mật khẩu hoặc có thể đoán tên người dùng / mật khẩu phổ biến. Những mật khẩu phổ biến này có thể dễ dàng tìm thấy trên internet và các công cụ bẻ khóa mật khẩu cũng tồn tại tự do.

Do đó, cần phải kiểm tra tại thời điểm thử nghiệm xem chính sách mật khẩu có được duy trì trong hệ thống hay không. Đối với bất kỳ ứng dụng tài chính ngân hàng nào, cần phải thiết lập một chính sách mật khẩu nghiêm ngặt trên tất cả các hệ thống cơ sở dữ liệu thông tin quan trọng.

Kiểm tra bảo mật hệ thống cơ sở dữ liệu

Đánh giá an ninh là một quá trình đánh giá các chính sách bảo mật của công ty trong một khoảng thời gian thường xuyên để xác định xem các tiêu chuẩn cần thiết có được tuân thủ hay không. Các tiêu chuẩn bảo mật khác nhau có thể được tuân theo theo yêu cầu kinh doanh để xác định chính sách bảo mật và sau đó có thể thực hiện việc đánh giá các chính sách đã thiết lập theo các tiêu chuẩn đó.

Ví dụ về các tiêu chuẩn bảo mật phổ biến nhất là ISO 27001, BS15999, v.v.

Công cụ kiểm tra bảo mật cơ sở dữ liệu

Có nhiều công cụ kiểm tra hệ thống khác nhau có sẵn trên thị trường, có thể được sử dụng để kiểm tra hệ điều hành và kiểm tra ứng dụng. Một số công cụ phổ biến nhất được thảo luận dưới đây.

Zed Attack Proxy

Nó là một công cụ kiểm tra thâm nhập để tìm ra các lỗ hổng trong các ứng dụng web. Nó được thiết kế để được sử dụng bởi những người có nhiều kinh nghiệm bảo mật và như vậy là lý tưởng cho các nhà phát triển và người kiểm tra chức năng, những người mới thử nghiệm thâm nhập. Nó thường được sử dụng cho Windows, Linux, Mac OS.

Paros

Tất cả dữ liệu HTTP và HTTPS giữa máy chủ và máy khách, bao gồm cookie và trường biểu mẫu, có thể bị chặn và sửa đổi bằng cách sử dụng các máy quét này. Nó được sử dụng cho Đa nền tảng, Java JRE / JDK 1.4.2 trở lên.

Bộ công cụ kỹ sư xã hội

Nó là một công cụ mã nguồn mở và các yếu tố con người bị tấn công hơn là yếu tố hệ thống. Nó cho phép bạn gửi email, ứng dụng java, v.v. có chứa mã tấn công. Nó được ưu tiên cho Linux, Apple Mac OS X và Microsoft Windows.

Skipfish

Công cụ này được sử dụng để quét các trang web của họ để tìm các lỗ hổng. Các báo cáo do công cụ tạo ra nhằm mục đích làm nền tảng cho các đánh giá bảo mật ứng dụng web chuyên nghiệp. Nó được ưu tiên cho Linux, FreeBSD, MacOS X và Windows.

Sao Chức Nữ

Nó là một công cụ bảo mật web đa nền tảng, mã nguồn mở được sử dụng để tìm các trường hợp chèn SQL, tập lệnh trang web chéo (XSS) và các lỗ hổng khác trong các ứng dụng web. Nó được ưu tiên cho Java, Linux và Windows.

Wapiti

Wapiti là một công cụ mã nguồn mở và dựa trên web, quét các trang web của ứng dụng web và kiểm tra các tập lệnh và biểu mẫu mà nó có thể đưa dữ liệu vào. Nó được xây dựng bằng Python và có thể phát hiện lỗi xử lý tệp, cơ sở dữ liệu, XSS, LDAP và CRLF tiêm, phát hiện thực thi lệnh.

Web Scarab

Nó được viết bằng Java và được sử dụng để phân tích các ứng dụng giao tiếp thông qua các giao thức HTTP / HTTPS. Công cụ này chủ yếu được thiết kế cho các nhà phát triển có thể tự viết mã. Công cụ này không phụ thuộc vào hệ điều hành.