Bagaimana untuk Meminimumkan Kerentanan Pangkalan Data untuk Menghindari Mendapatkan Hacked - dummies

Sistem pangkalan data, seperti Microsoft SQL Server, MySQL, dan Oracle, telah mengintai di belakang tabir, tetapi nilai dan kerentanan mereka akhirnya datang ke hadapan. Ya, bahkan Oracle yang dahsyat yang pernah didakwa tidak dapat dihantam adalah rentan terhadap eksploitasi yang sama seperti persaingannya. Dengan mematuhi keperluan pengawalseliaan yang mengawal keselamatan pangkalan data, hampir tidak ada perniagaan yang boleh menyembunyikan daripada risiko yang terdapat di dalamnya.

Alat untuk mengesan risiko penggodam pangkalan data

Seperti sistem wayarles, operasi, dan sebagainya, anda memerlukan alat yang baik jika anda mencari isu keselamatan pangkalan data yang dikira. Berikut ialah beberapa alat untuk menguji keselamatan pangkalan data:

• Pemulihan Kata Laluan SQL Advanced untuk retak kata laluan Microsoft SQL Server

• Cain & Abel untuk memecahkan kata laluan kata laluan database

• QualysGuard untuk melakukan imbasan terperinci mendalam

• SQLPing3 untuk mencari Pelayan Microsoft SQL pada rangkaian, memeriksa kosong pada (akaun pentadbir sistem SQL Server lalai), dan melakukan serangan crack kata laluan kamus

Anda juga boleh menggunakan alat eksploitasi, seperti Metasploit, untuk pengujian pangkalan data anda.

Cari pangkalan data pada rangkaian

Langkah pertama dalam menemui kelemahan pangkalan data adalah untuk mencari tahu di mana mereka berada di rangkaian anda. Ia berbunyi lucu, tetapi banyak pentadbir rangkaian tidak menyedari pelbagai pangkalan data yang berjalan di persekitaran mereka. Ini amat sesuai untuk perisian pangkalan data SQL Server Express percuma yang sesiapa sahaja boleh memuat turun dan berjalan di stesen kerja atau sistem ujian.

Menggunakan data sensitif di kawasan pembangunan dan jaminan kualiti yang tidak terkawal (QA) adalah pelanggaran data yang menunggu untuk berlaku.

Alat terbaik untuk mengetahui sistem Microsoft SQL Server ialah SQLPing3.

SQLPing3 dapat menemui contoh-contoh SQL Server tersembunyi di balik firewall peribadi dan banyak lagi - satu ciri yang dahulunya hanya terdapat dalam SQLRecon aplikasi kakak SQLPing2.

Jika anda mempunyai Oracle dalam persekitaran anda, Pete Finnigan mempunyai senarai alat-alat keselamatan Oracle-centric di www. petefinnigan. com / alat. htm yang boleh melaksanakan fungsi yang serupa dengan SQLPing3.

Kata laluan pangkalan data Crack

SQLPing3 juga berfungsi sebagai program cracking kata laluan berasaskan kamus SQL Server yang bagus. Ia menyemak kata laluan kosong secara lalai. Satu lagi alat percuma untuk retak kata laluan SQL Server, MySQL, dan Oracle adalah Cain & Abel.

Produk komersial Elcomsoft Distributed Password Recovery juga boleh memecahkan hash kata laluan Oracle.

Jika anda mempunyai akses kepada master SQL Server. fail mdf, anda boleh menggunakan Pemulihan Kata Laluan SQL Advanced Elcomsoft untuk mendapatkan kata laluan pangkalan data dengan segera.

Anda mungkin tersandung pada beberapa fail pangkalan data warisan Microsoft Access yang dilindungi kata laluan juga. Jangan risau: Alat Pemulihan Kata Laluan Pejabat Lanjutan boleh membuat anda betul.

Seperti yang anda bayangkan, alat-alat retak kata laluan ini merupakan cara terbaik untuk menunjukkan kelemahan yang paling asas dalam keselamatan pangkalan data anda. Salah satu cara terbaik untuk membuktikan bahawa ada masalah ialah menggunakan Microsoft SQL Server 2008 Management Studio Express untuk menyambung ke sistem pangkalan data yang kini mempunyai kata laluan untuk dan menyediakan akaun backdoor atau menyemak imbas untuk melihat apa yang tersedia.

Secara praktikal, setiap sistem SQL Server yang tidak dilindungi, terdapat maklumat kewangan atau penjagaan peribadi yang sensitif untuk pengambilan.

Mengimbas pangkalan data untuk kelemahan

Seperti sistem operasi dan aplikasi web, beberapa kerentanan khusus pangkalan data boleh di-root hanya dengan menggunakan alat yang betul. Anda boleh menggunakan QualysGuard untuk mencari isu-isu seperti

• Melimpah Buffer

• Ungkapan Keistimewaan

• Kata-kata berkaitan yang boleh diakses melalui akaun lalai / tidak dilindungi

• Kaedah pengesahan yang lemah membolehkan

• Fail pendengar pangkalan data yang boleh dinamakan semula tanpa pengesahan

Pengimbas kerentanan pangkalan data komersial semua-dalam-satu yang hebat untuk melakukan pemeriksaan pangkalan data mendalam - termasuk audit pengguna hak pada SQL Server, Oracle, dan sebagainya - adalah AppDetectivePro. AppDetectivePro boleh menjadi tambahan yang baik untuk alat ujian keselamatan alat anda jika anda dapat membenarkan investasi.

Banyak kelemahan boleh diuji dari perspektif luar orang yang tidak disahkan dan juga perspektif orang dalam yang dipercayai. Sebagai contoh, anda boleh menggunakan akaun SYSTEM untuk Oracle untuk log masuk, menghitung dan mengimbas sistem (sesuatu yang disokong oleh QualysGuard).