全球 46% 的 On-Prem 数据库包含漏洞：法国最“脆弱”，中国平均 bug 数最多

近日，网络安全解决方案提供商 Imperva 发布了一组研究报告。

报告数据显示，全球 46% 的 On-Prem 数据库充满了漏洞有些甚至存在了好几年，且平均每个数据库都包含 26 个漏洞，超过一半（56%）数据漏洞的严重类别被列为“高”或“严重”。同时，“脆弱”数据库占比法国是全球迄今为止最严重的（84%）；每个数据库的平均 bug 数量方面，中国为 74 个，法国为 72 个。

Imperva 研究实验室在 5 年的时间里里，通过对全球 27000 个内部数据库扫描洞察后，得出了此次“前所未有”的研究结果。该研究结果描绘了一幅严峻的画面：全球近一半（46%）内部数据库至少有一个未修补的常见漏洞和暴露（CVE），平均数据库有 26 个漏洞，且超过一半（56%）的严重性被列为“高”或“严重”。

数据显示，在未受保护的数据库方面，法国情况最为严“脆弱”，其被扫描数据库中有 84% 至少含有一个漏洞 ，平均每个数据库的漏洞数为 72 个。 中国该方面数据则为 52%（平均 74 个漏洞），位于第五。

该研究结果还表明，全球近 50% 的组织一直都没能及时修补、更新其数据库软件。Imperva 研究发现，一些 CVE 已经连续三年甚至五年都没有啥变动了。

Imperva 预计，到 2021 年底，还会有 400 亿条记录将被破坏，包括数十亿个数据，其中大部分是敏感的或可识别的，未来或被网络犯罪分子恶意利用。

据悉，破坏不可公开访问的数据库的标准途径是通过网络应用程序漏洞，如 SQLi 或网络钓鱼和恶意软件，旨在让攻击者立足于网络。

Imperva 警告称，在部署攻击代码之前，攻击者可以通过 Shodan 等工具扫描暴露的目标，从而使破坏公共数据库的行为更加容易访问。

所以，黑客极易通过互联网普遍使用的扫描工具发现这些漏洞。比如在 ExploitDB 之类的存储库上，只需进行简单搜索，就可以提供必要的概念证明（POC）代码，用来执行削弱性攻击，如权限提升、绕过身份验证和远程代码执行，最终允许入侵者过滤数据、索取赎金甚至在整个网络中来去自由。因此，漏洞很容易被利用，后果很严重。

通过观察这些数据，我们不禁会问：目前全球企业组织处理数据安全的方式是不是存在根本性问题？考虑到每年增长 224% 的受损记录的数量，这个问题的答案应该是肯定的。

云平台受欢迎 存储敏感数据令人担忧

Imperva 将目前这个现状称作“猖獗的全球技术流行病”，其“症状”之一，就是全球内部数据库中存在的漏洞，而这些漏洞通常存储组织最敏感的数据。

目前，全球云基础设施和数据库环境的使用越来越多（据估计 50% 的数据存储在本地），但这并非是一个可以自行解决的问题。

Imperva 首席创新官 Elad Erez 表示，尽管基于云的平台越来越受欢迎，但这一消息令人担忧。

“很多时候，组织忽视数据库安全，因为它们依赖于本机安全产品或过时的流程。鉴于近 50% 的 on-prem 数据库易受攻击，未来报告的数据泄露数量很可能会继续增加，这些泄露的重要性也会增加。”

考虑到大多数组织继续将其最敏感的数据存储在本地，这可能导致财务损失、声誉损害和监管处罚。因此，差异化保护数据的方法至关重要。

面对数据泄露的“爆炸性增长”，企业却并没有投入足够的时间或资源来真正保护其数据。所以，建立一个以数据保护为中心的安全战略，成为解决该状况的关键。

建立以数据保护为中心的安全战略

想要解决如此规模的安全问题，对于所有企业来说确实是一个巨大的挑战。对此，Imperva 也给出了一些建议：让企业必须了解，端点及应用程序的补丁和安全工具很重要，但不足以显著降低数据泄露的风险。而维护补丁管理程序，则是解决这一难题的办法，特别是针对以数据为中心的资产，重点是使用数据安全解决方案来保护数据本身。

Imperva 表示，每个安全团队都可以遵循 5 个主要步骤来增强其 on-prem 数据库的安全性：

1、发现和分类数据：组织倾向于认为他们知道他们所有的数据存储库在哪里以及他们持有什么样的数据。自动执行此过程，以便在敏感数据驻留的位置上不存在盲点和假设。

2、评估漏洞和修补程序漏洞：您需要验证您正在使用最新的安全修补程序运行数据库。

3、审核可见性，保护以防损坏：了解谁在访问数据，何时、何地以及他们访问了哪些数据。启用旨在阻止数据库攻击的策略，或创建用于减少访问的自定义策略。

4、进行定期评估：数据库会发生变化，其配置也会发生变化。确保您了解它们是如何变化的，以及您的数据库管理员（DBA）是否错误地配置了它们，或者只是没有执行最佳实践。

5、识别数据访问异常：数据库是大量访问的资源，用人工方法识别异常几乎是不可能的。部署异常检测工具，以检测数据库的应用程序用户开始表现得像人一样，或者 DBA 访问看起来像是数据误用或泄漏的实例。

当我们谈论安全性的时候，必须从数据本身开始。如果这不安全，易受攻击的 web 应用程序或数据库，将变成易被攻击的途径。因此，重点必须是获得对所有数据的完全可视性，无论数据位于何处，知道谁在访问数据以及从何处访问数据。

除此之外，安全性还涉及一种统一的方法，在该方法中，数据及其所有路径都以一种内聚的方式得到保护。独立数据和应用程序安全性缺乏上下文来中断多向量攻击。每个防御层必须协同工作，才可以保护关键数据。

写在最后：

确实，在数据泄露量以每年 30% 的惊人速度增长的今天，全球范围内数据库的漏洞数量如此之高确实让人吃惊。 Imperva 的本次研究报告，也给是当下全球企业以“警醒”，数据安全问题需要被重视起来，且“任重道远”。