回顧過(guò)去，根據(jù)2020年的一項(xiàng)行業(yè)研究分析了全球 27,000 個(gè)本地?cái)?shù)據(jù)庫(kù)，得出了令人驚訝的發(fā)現(xiàn)。在大多情況下，本地?cái)?shù)據(jù)庫(kù)安全性很弱。好消息是可以管理風(fēng)險(xiǎn)以減少數(shù)據(jù)泄露的可能性。 研究中近一半 (46%) 的內(nèi)部數(shù)據(jù)資產(chǎn)至少有一個(gè)未修補(bǔ)的常見(jiàn)漏洞和暴露 (CVE)。平均數(shù)據(jù)庫(kù)有 26 個(gè)漏洞。根據(jù)美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院 (NIST) 的指南，其中 56% 被評(píng)為“高”或“關(guān)鍵” 。 這些安全空缺吸引了網(wǎng)絡(luò)犯罪分子蜂擁而至，為攻擊和高昂的數(shù)據(jù)泄露成本敞開(kāi)了大門(mén)。現(xiàn)在，許多組織都正在尋求改進(jìn) IT 基礎(chǔ)架構(gòu)策略以降低本地風(fēng)險(xiǎn)。

Microsoft 數(shù)據(jù)泄露響應(yīng)的教訓(xùn)

在2021 年 3 月，微軟報(bào)告稱，一漏洞影響了美國(guó) 30,000 多個(gè)團(tuán)體，包括地方政府、機(jī)構(gòu)和企業(yè)。在 Microsoft 漏洞中，威脅行為者使用了零日攻擊技術(shù)，能夠從數(shù)十萬(wàn)臺(tái)運(yùn)行 Microsoft Exchange 軟件的本地服務(wù)器中提取數(shù)據(jù)。 通過(guò)混合被盜密碼和以前未知的漏洞破壞了內(nèi)部部署的服務(wù)器。攻擊者隨后在服務(wù)器周?chē)鷺?gòu)建了一個(gè) web shell，從而能夠持續(xù)訪問(wèn)泄露的電子郵件數(shù)據(jù)。攻擊利用了微軟軟件中的未知漏洞。從那以后，微軟發(fā)布了補(bǔ)丁來(lái)糾正這些暴露。但是，如果任何企業(yè)或機(jī)構(gòu)繼續(xù)運(yùn)行未打補(bǔ)丁的 Exchange 軟件，仍將面臨風(fēng)險(xiǎn)。

數(shù)據(jù)庫(kù)安全漏洞

威脅參與者可以使用漏洞利用數(shù)據(jù)庫(kù)(DB) 或Shodan等工具輕松掃描本地?cái)?shù)據(jù)庫(kù)漏洞。ExploitDB 是一個(gè)漏洞利用檔案，有助于確保公共數(shù)據(jù)庫(kù)的安全。可以幫助 IT 團(tuán)隊(duì)了解他們的數(shù)據(jù)庫(kù)中可能隱藏著哪些弱點(diǎn)。但掃描是一把雙刃劍。犯罪分子也可以使用這些工具來(lái)定位打開(kāi)的門(mén)。威脅參與者可以搜索 ExploitDB并找到發(fā)起攻擊所需的概念證明代碼。從權(quán)限提升到身份驗(yàn)證繞過(guò)再到遠(yuǎn)程代碼執(zhí)行——入侵者可以竊取數(shù)據(jù)或在整個(gè)被破壞的網(wǎng)絡(luò)中移動(dòng)。降低風(fēng)險(xiǎn)不僅僅是查找和修補(bǔ)CVE，需要更全面地了解基礎(chǔ)設(shè)施以及隨之而來(lái)的風(fēng)險(xiǎn)?？煽康母掠?jì)劃有助于實(shí)現(xiàn)更強(qiáng)大的長(zhǎng)期防御。

一些企業(yè)長(zhǎng)時(shí)間未解決漏洞。Forrester調(diào)查了 350 位全球企業(yè) IT 決策者在基礎(chǔ)設(shè)施、應(yīng)用程序管理或維護(hù)和軟件開(kāi)發(fā)方面的問(wèn)題。 調(diào)查發(fā)現(xiàn)，在過(guò)去五年中，61% 的公司推遲了幾次或更多次的基礎(chǔ)設(shè)施更新。為什么會(huì)發(fā)生這種情況?在許多情況下，他們一直將它移到待辦事項(xiàng)列表的后面。如果你建立一個(gè)系統(tǒng)并計(jì)劃更新，更有可能付諸行動(dòng)。如果你等到你的團(tuán)隊(duì)開(kāi)始處理它，你最好永遠(yuǎn)不要刷新。

有什么風(fēng)險(xiǎn)?數(shù)百萬(wàn)客戶的個(gè)人身份信息 (PII) 數(shù)據(jù)最終可能會(huì)在暗網(wǎng)上出售?；蛘撸{行為者可能需要巨額贖金來(lái)解密關(guān)鍵任務(wù)文件。此外，監(jiān)管機(jī)構(gòu)正在收緊有關(guān)漏洞和事件報(bào)告的規(guī)則。例如，GDPR 的“設(shè)計(jì)隱私”意味著您應(yīng)該在其中構(gòu)建數(shù)據(jù)庫(kù)安全性。因此，任何經(jīng)過(guò)驗(yàn)證的本地漏洞都不是設(shè)計(jì)私有的。

云是否足夠安全?

當(dāng)我們嘗試促進(jìn) IT 基礎(chǔ)設(shè)施安全投資時(shí)，會(huì)遇到很多阻力。當(dāng)今的業(yè)務(wù)格局包含公共云提供商、私有云和本地基礎(chǔ)設(shè)施的混合體。有些人認(rèn)為云便宜、簡(jiǎn)單且安全。但這是真的嗎? 根據(jù) Forrester 報(bào)告，46% 的 IT 領(lǐng)導(dǎo)者認(rèn)為公共云無(wú)法滿足他們的數(shù)據(jù)安全需求。此外，85% 的 IT 領(lǐng)導(dǎo)者同意將本地基礎(chǔ)設(shè)施作為其混合云戰(zhàn)略的關(guān)鍵部分。根據(jù)報(bào)告，他們的原因以下幾點(diǎn)：

• 75% 的大公司在 2019 年發(fā)生了數(shù)據(jù)泄露事件
• 64% 的企業(yè)表示數(shù)據(jù)泄露是停機(jī)的主要原因
• 1.16 億美元是上市公司數(shù)據(jù)泄露的平均成本。

統(tǒng)計(jì)數(shù)據(jù)表明，避免數(shù)據(jù)庫(kù)風(fēng)險(xiǎn)對(duì)業(yè)務(wù)增長(zhǎng)至關(guān)重要。保護(hù)數(shù)據(jù)中心和其他地方的高價(jià)值客戶數(shù)據(jù)和工作負(fù)載至關(guān)重要。否則，企業(yè)主將面臨失去來(lái)之不易的客戶信任和忠誠(chéng)度。在 Forrester 報(bào)告中，將本地資源用于特定工作負(fù)載和應(yīng)用程序的首要原因是：

更高的合規(guī)性保證 (45%)

• 緩解傳輸中數(shù)據(jù)的安全漏洞 (44%)
• 改進(jìn)的應(yīng)用程序/基礎(chǔ)設(shè)施性能 (43%)
• 成本降低 (42%)。

這揭穿了數(shù)據(jù)中心只是另一個(gè)成本中心的任何觀念。相反，現(xiàn)代企業(yè)的成功繼續(xù)依賴于本地資源。為了優(yōu)化性能和生產(chǎn)力，公司利用本地基礎(chǔ)架構(gòu)來(lái)處理 48% 的任務(wù)關(guān)鍵型和數(shù)據(jù)密集型工作負(fù)載。這就是為什么 75% 的 IT 領(lǐng)導(dǎo)者計(jì)劃在兩年內(nèi)增加對(duì)公共云之外的 IT 基礎(chǔ)設(shè)施的投資。

最大限度地減少本地?cái)?shù)據(jù)庫(kù)漏洞

對(duì)于本地漏洞，如何降低風(fēng)險(xiǎn)?戰(zhàn)斗的很大一部分是你的心態(tài)。使基礎(chǔ)設(shè)施更新成為重中之重是關(guān)鍵。建立清晰、詳細(xì)的基礎(chǔ)設(shè)施戰(zhàn)略很重要。

該計(jì)劃應(yīng)致力于本地工作負(fù)載，并將重點(diǎn)放在作為更新決策主要驅(qū)動(dòng)因素的問(wèn)題上。 另一個(gè)關(guān)鍵策略是采用有效的防御方法，例如普及加密和身份和訪問(wèn)管理 (IAM)。

普遍加密發(fā)生在數(shù)據(jù)庫(kù)、數(shù)據(jù)集或磁盤(pán)級(jí)別，因此客戶無(wú)需更改或調(diào)整應(yīng)用程序。同時(shí)，IAM 使用機(jī)器學(xué)習(xí)和人工智能來(lái)分析參數(shù)(用戶、設(shè)備、活動(dòng)、上下文和行為)以確定是否授予訪問(wèn)權(quán)限。 請(qǐng)記住，IT 性能至關(guān)重要，因?yàn)榭梢灾苯佑绊懣蛻趔w驗(yàn)、品牌聲譽(yù)和總體成本。難以跟上更新計(jì)劃的組織可能會(huì)選擇利用基于訂閱的基礎(chǔ)架構(gòu)更新選項(xiàng)。