计算机系统最容易被忽视的9个漏洞
这些漏洞的主要原因是数据库本身不开展全面的安全保护，以及服务器的配置也需要数据库管理员根据企业的要求配置。企业必须评估数据库以确定是否真的有必要的一些功能，禁用不需要的功能来减少攻击面此外，企业必须警惕的默认设置或弱登录凭据。我们必须部署完善的特权和认证措施，最重要的是，企业需要定期修补补丁程序。将近一半的漏洞发现都直接或间接相关的补丁修复管理不当的数据库环境。这是一个非常可怕的概念：在补丁修复周期的前三个月，只有38%的企业恢复Oracle数据库管理员，只有1 / 3的管理人员花了一年或一年以上的修复。
1。默认的、空白的、弱的用户名或密码
跟踪企业中的数百个甚至数千个数据库可能是一项非常困难的任务，但删除默认、空白和弱登录凭据将是提高数据库安全性的一个非常重要的第一步。攻击者总是集中在这些默认帐户上，必要时使用它们。
2。SQL注入攻击
SQL注入攻击是一种黑客攻击数据库的常用手段。与B／S模式的应用的发展，使用这种模式编写应用程序的程序员也越来越多，但是由于程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，有在用户输入数据的有效性没有判断，应用安全风险。用户可以提交一个数据库查询代码，并获得一些数据，他想知道应用程序返回的结果，称为SQL注入，即SQL注入。
如果企业数据库平台无法进行审查的输入内容，攻击者将能够执行SQL注入攻击，如在一个Web攻击，SQL注入攻击，最终将允许攻击者提升权限，并获得更广泛的访问功能，许多厂商已经发布了一个修补程序避免这些问题，但如果数据库还不打补丁，这些补丁不能帮助企业经理。
三.广泛的用户和组特权
企业必须确保特权不被那些不需要的用户提供，安全专家建议用户只能作为一个组或角色的一部分来设置，然后通过这些角色管理权限，这将比将直接权限分配给用户更容易管理。
4。启用不必要的数据库功能
每个数据库安装都有各种各样的类型和大小，其中大多数不被企业使用。数据库安全意味着减少攻击面。企业需要审查这些数据库功能，查找不必要的或未使用的函数，然后禁用或禁用它们，这不仅降低了这些运营商发起的零日攻击的风险，而且简化了补丁修复管理，因为这些不必要的功能也需要修补。
5。好的配置管理
类似地，数据库有许多不同的配置可供选择。正确的配置将有助于数据库管理员提高数据库性能和增强数据库功能。企业需要识别不安全配置，默认情况下启用该配置，或数据库管理员或应用程序开发人员，然后重新配置它们。
6。缓冲区溢出
另一个攻击者最喜欢的漏洞是缓冲区溢出漏洞，这是采用这种方式，即大量的输入会比应用更多的字符，如添加100个字符的要求SSN输入框。数据库提供商正在修复此漏洞，为了避免这样的攻击，这就是为什么修补是如此重要的另一个原因。
7。特权升级
同样，数据库往往有这样的一个漏洞，允许攻击者升级到未知或低特权帐户的权利，进而获得管理员权限。例如，攻击者可能会使用的功能，运行在SYSDBA。由于这些漏洞尚未发现，管理员需要更新和修复补丁，以防止此漏洞被利用。
8。阻断服务攻击
拒绝服务攻击，即攻击者想要停止目标机器提供服务，是黑客的常见攻击，实际上，对网络带宽的消耗攻击只是拒绝服务攻击的一小部分。只要它能给目标造成麻烦，使某些服务暂停，甚至主机崩溃，就是拒绝服务攻击，拒绝服务攻击的问题没有得到妥善解决。原因是，它是由网络协议本身的安全缺陷造成的，因此拒绝服务攻击已经成为攻击者的终极手段。攻击者实际上做服务攻击，拒绝，让服务器达到两种效果：首先，迫使服务器的缓冲区满，不接收新的请求；二是使用IP欺骗，强制服务器重置合法用户的连接，从而影响合法用户的连接。
SQL Slammer是攻击者如何使用数据库漏洞突破数据库服务器通过大量的交通非常有启发性的例子，但更多的启发是，当监狱后2003的补丁修复了这个漏洞已经解决掉，然而，即使在七年后的今天，仍然是在SQL Slammer作恶多端，到攻击服务器未修复。
9。未修复的数据库加密重要数据（静态或动态）
这可能有点重复上述漏洞，但值得重复一遍。许多数据库管理员没有及时处理补丁，因为他们害怕补丁修复会破坏他们的数据库。但是现在，被攻击的风险比安装补丁，可能会破坏数据库高得多。这可能不是五年前的情况，但供应商现在更严格的测试。