安华金和|数据将安身何处？，100+数据库漏洞再创新高近日

近日，由国家互联网应急中心（CNCERT）编写的《2019年中国互联网网络安全报告》（以下简称：《报告》）正式发布。《报告》依托CNCERT多年来从事网络安全监测、预警和应急处置等工作的实际情况，对我国互联网网络安全状况进行总体判断和趋势分析，具有重要的参考价值。

文章图片
近年来，伴随数据价值的不断提升，数据安全问题日益严峻。作为海量数据的“电子化载体” ，数据库所需面对的安全隐患和风险也水涨船高；而在与数据库有关的安全威胁中， “漏洞”绝对是跳不过的一大难点，它就像数据库安全“木桶效应”中的那块短板，如果不能及时发现和封堵，数据库及其数据安全都将沦为“一纸空谈” 。

文章图片
《报告》中专门针对我国境内数据库隐患排查及处置情况进行了公布——经CNCERT分析发现，安全漏洞是导致网络数据库存在数据泄露隐患的主要因素，涉及的数据库类型主要包括MongoDB、MySQL、ElasticSearch和Redis等，涉及的漏洞类型主要为未授权访问和弱口令漏洞等。如上图统计数据所示，由于数据库漏洞的存在，安全受其影响的数据表数量（20000+）、数据量（1330+TB）和数据条数（1.78万亿+）十分庞大！
一骑绝尘·遥遥领先
《报告》对于“安全漏洞是导致网络数据库存在数据泄露隐患的主要因素”这一结论，与安华金和“数据库安全的主要威胁之一就来自于数据库漏洞”的观点高度一致；多年坚持对数据库漏洞挖掘及安全防护工作的深入研究与沉淀，也为安华金和在该领域积累了丰富的经验成果、领先的技术产品、完善的团队体系以及更显著的优势地位。

文章图片
安华金和旗下数据库攻防实验室（DBSecLabs）创建于2010年11月，是国内第一批成立的、规模化的数据库安全研究机构，配备有一支独立、持久的，针对数据库安全漏洞、数据库攻击技术模拟、数据库安全防护技术等方向进行科学分析与研究工作的专业团队。
DBSecLabs是国内具备“国际数据库漏洞挖掘能力”的专业实验室，也是国内首个针对数据库漏洞进行系统分类与定性分析的专业实验室，它在很长一段时期填补了国内数据库漏洞研究方面的空白。在数据库漏洞挖掘方面， DBSecLabs所涵盖的数据库范围之广、挖掘的数据库漏洞数量之多，在国内首屈一指；截至目前， DBSecLabs已针对Oracle、DB2、Informix、mongoDB、Gbase、Kingbase、达梦等国内外知名数据库厂商：
累计挖掘、提交并认证数据库漏洞65个
·超危数据库漏洞1个
·高危数据库漏洞35个
·中危数据库漏洞23个
·低危数据库漏洞6个
注：另有10个数据库漏洞正在认证申请中。
累计复现数据库漏洞74个
·高危数据库漏洞23个
·中危数据库漏洞29个
·低危数据库漏洞5个
·未定级数据库漏洞17个

文章图片
疫情期间， DBSecLabs持续开展数据库漏洞挖掘及研究工作，成功发现DB2最新版本高危漏洞1个、中危漏洞2个， Informix数据库堆栈溢出漏洞1个，以及国产数据库漏洞若干；并成功复现包括2019-2020年较新版本MySQL、PostgreSQL在内的多个数据库漏洞。
此外， DBSecLabs根据多年以来对数据库安全风险分析与防护实践的经验总结，陆续编写并发布专门针对Oracle、MySQL、SQLServer、DB2、MongoDB、PostgreSQL六大国际主流数据库以及GBase、Kingbase、达梦三大国产主流数据库的《安全配置指导手册》。