Imperva：近50%的本地数据库存在漏洞

据网络安全公司Imperva在过去5年收集的数据梳理显示，几乎一半的公司内部数据库都有已知的漏洞，平均每个易受攻击的数据库有26个公开披露的漏洞，其中超过一半是严重或高危的问题。

Imperva在一篇博文中表示，虽然易受攻击的本地数据库可以借助诸如企业级防火墙等安全产品的力量获得一些保护，但那些给数据库留下已知且未修补缺陷的企业很有可能会在不知情的情况下将它们暴露给攻击者，从而给了这些攻击者可以入侵并访问公司网络的机会。Imperva的数据显示，许多未打补丁的漏洞存在时间至少也有3年之久，这之中超过一半(56%)的漏洞被认为是严重的。Imperva的埃拉德•埃雷兹对此表示，这一数据显示出当前普遍存在的一个巨大攻击面。

埃雷兹说道：“从攻击者的角度来看，一旦他们进入网络后就可以扫描数据库，随后他们可能会得到一个很大的发现——一个有超过20个漏洞的数据库。正如我们所知，找到已知漏洞的漏洞利用就像去搜索引擎上随便搜索个内容一样简单。”

数据一直是网络罪犯和国家背景黑客组织所关注的主要焦点。在过去，攻击者可以进入内部网络窃取大量数据，导致大规模数据泄露。零售巨头塔吉特(Target)被入侵、美国人事管理办公室(US Office of Personnel Management)遭间谍攻击，以及最近米高梅酒店数千万客户记录的泄露，都是在攻击者进入公司内部网络之后发生的。

Imperva强调，向云数据存储的迁移转移了攻击者的注意力，但大多数组织仍然依赖本地数据库，尤其是内部业务数据和其他敏感信息。

该公司在其研究博客中表示：“多年来，各组织一直优先考虑并投资于外围和终端安全工具，以为围绕数据库的系统或网络的保护就足够了。然而这种方法并不奏效，因为这是一个广泛的全球性问题。组织机构需要重新考虑他们保护数据的方式，以真正保护数据本身。”

这些数据来自Imperva创新实验室四年多前发布的一个数据库扫描工具，该工具旨在更深入地了解内部数据库，目前该工具已经扫描了超过29000个内部数据库，并为Imperva提供了匿名数据。

该工具发现，公司无法定期修补数据库系统是一个普遍现象，但某些国家的一些公司做得比其他公司好。例如，法国公司面临的风险最大，84%的数据库至少有一个漏洞，平均每个易受攻击的数据库有多达72个安全问题。新加坡和澳大利亚分列第二和第三位，分别有65%和64%的数据库存在漏洞，但这两个国家的漏洞水平明显不同——澳大利亚的数据库平均只有20个漏洞，而新加坡的平均漏洞为62个。

美国的组织做得比平均水平好，39%的数据库至少有一个漏洞，易受攻击的数据库平均有 25 个漏洞。

埃雷兹表示，最重要的问题是身份验证绕过漏洞，攻击者可以在不登录的情况下访问数据库。他说，将数据迁移到云将提供更高级别的安全，但错误配置将成为一个重大问题。最近在微软Azure公有云中发现的两个漏洞，可能会导致其他公司的云基础设施和数据遭到大规模破坏。

“迁移到云这一方案总体看是乐观的，因为云数据库管理起来更方便，更新也更容易，我们看到暴露的数据库数量减少了。”埃雷兹指出，“在这一方面也出现了一些令人担忧的现象——似乎太多人忘记了去做好管理和更新这件事，实际上这不应该被忽视，更何况一个非常简单的扫描从开始到得到结果只需要不到两分钟的时间，你可以很快的了解自己当前的安全态势。”

埃雷兹建议，公司应该定期通过各种各样的工具去扫描他们的数据库，并检查数据库的补丁级别，以了解他们的安全状况。