安全社区

近日，有媒体报道某学生注册信息平台遭受黑客攻击，大量学生及家庭登记信息遭泄露。据统计，本次泄漏事件涉及百万条学生注册信息，一旦流入黑市，被 不法分子获得，轻则用于各类教育产品的推销，重则进行诈骗、诱拐等犯罪行为，无论是哪一种可能，都将给这些孩子和家庭带来不小的麻烦。

相比 过去，家长的安全意识和对孩子的安全教育已经有了明显的提升，但我们发现犯罪分子的作案手段更加高明，他们能够掌握孩子的个人资料、教育经历、家庭成员等 一系列详细信息，对目标足够了解是他们作案成功的关键。如此详实的资料是如何落入不法分子的手中？各类教育平台的数据泄露事件或许是重要来源。

对于此次教育平台的数据泄露事件，安华金和安全攻防实验室对于泄露事件的来源及传统防护手段进行分析，安全专家认为，本次攻击可能来自以下两种情况：

1. 注册平台本身代码存在注入点

代码自身严格的输入校验是保障注册平台自身安全性的关键，然而由于编程人员水平等诸多因素，多半注册平台存在注入点。

传统防护思路：部署WAF进行防护。

通过部署WAF对特征字符串进行过滤，通过WAF来强化对恶意特征字符串的过滤能力。

2. 注册平台使用的架构存在漏洞

存在漏洞是注册平台网站难以避免的问题。主要是由于注册平台使用的Java Web Server自身存在安全漏洞导致网站后台数据库数据泄露。随着Java Web Server的安全性逐渐提高，或许该种漏洞的数量会逐渐减少，但我们无法避免短期内不出现类似的漏洞。

传统防护思路：对框架进行升级安装补丁。

这 种情况就比较麻烦了，发现漏洞后我们只能冒着一定风险对框架进行升级安装最新补丁。从此网站管理员就开始了“担惊受怕的日子”，每天过着“修修修补补的人 生”：发现漏洞→设置更加严格的waf过滤→升级补丁→数据被盗取→严格waf规则……往复循环。这个循环好似一个泥潭，数据泄露发生后的亡羊补牢不能从 根本上切断风险源，另一方面，愈加繁重的工作量却让管理人员越挣扎陷得越深。

跳出“泥潭”，从数据库端进行直接有效的安全防护

更 严格的waf策略，及时的补丁升级……这些传统手段往往比较滞后且无法应对攻击手段快速迭代的现状。哪里被攻击，就在哪里进行防守的思路遇到瓶颈。如何 “跳出泥潭，解放双手”，我们不妨换个角度思考：无论攻击方式如何演变，攻击者的最终目的总是获取数据库中存储的敏感数据。那么，在黑客入侵的目的地进行 防护，更加直接有效。

任攻击千变万化，恶意语句“我”自知

好比抓贼一定要抓现行，数据库端的安全防护，重点在于对数据库恶意语句的识别，而传统防护手段由于不具备数据库通讯协议的解析能力，面对攻击，短板明显：

1. 无法理解黑客使用的恶意语句，只能通过过滤特征字符串被动防护

2. 无法辨别合法或非法用户行为区别，缺乏对数据进行细粒度控制

3. 无法通过学习用户习惯建立风险语句模型，对未知威胁进行威胁感知，自动识别恶意语句。

因此，我们需要一款数据库安全产品，它足够理解数据库语言，能够精准识别恶意语句， 从而准确识别安全风险，及时阻断和告警。安华金和安全专家给出答案：数据库防火墙正是以此需求而生。

摒弃被动过滤，采用主动分析语句方式

黑 客想要获取数据库中存储的大量敏感信息，采取XSS、sql注入、跨站劫持或语句篡改等，无论哪种手段最终都是向数据中发送sql语句。数据库防火墙基于 对数据库通信协议的理解，可以对每条sql语句进行精准解析，判断sql语句的真实意图，比如这句语到底是针对哪个表的哪个字段进行哪种操作。一旦发违规 操作，立即对该操作进行拦截并向管理员发出告警。

相比WAF通过正则表达式匹配关键字的手法，基于对SQL语句的理解进行防护的数据库防火墙显然更加准确，有效，同时解决了黑客绕过WAF进行的数据库攻击行为。

对结果集进行细粒度控制，防止黑客模拟用户获得数据

手 段高明的黑客可以通过巧妙的模拟用户语句，骗过WAF等防护工具对数据库进行访问请求，但最终还是会被数据库防火墙识破，通过对结果集的特征进行分析，一 旦出现异常，数据库防火墙过端进行拦截，防止结果集被返回到非法用户手中。就用本次事件中的学生信息注册系统举例，一般的学生用户只能查询自己的信息。假 设一个学生的信息是一条结果集，如果发现查询语句返回的结果集多于一条，那么这条查询可能存在非法操作，数据库防火墙不仅会把结果集拦截下来，发出告警， 并通过三层应用关联定位到后台服务器端，判断接受的是哪个用户的哪条语句请求，帮助管理员进行分析排查，同时设置WAF规则。

构建安全模型，感知风险，自动拦截

数 据库防火墙可以自动根据应用和数据库之间采用的语句构建安全模型。根据SQL语法结构形成的安全模型，可以有效防护用户后台的数据库被不可信sql语句所 访问：比如由黑客发送的以获取敏感信息为目的的恶意语句。安全模型的建立不仅可以有效的应对已知安全威胁，更可以对未知的安全威胁进行主动防御。

让数据库具备了感知风险的能力，从而彻底脱离填补漏洞的被动循环模式。

传 统的防护思路就像西医，头疼医头，脚疼医脚，往往治标不治本。虽然在一定时间内限制了恶意攻击，却无法长久的解决数据安全问题。我们说，保护数据的关键应 当是保护数据库和数据库与应用之间的会话安全。而事实上，大部分安全产品只是针对网络层面的防护。只有真正的数据库安全产品，能够从数据库角度进行直接有 效的防护，杜绝此类数据泄露事件的发生。

作为数字时代的负面产物，数据泄露威胁已逐渐蔓延至所有行业。我们都同意孩子是国家的未来，是家庭的核心，看得到的危险，家长们全力阻止，但看不到的危险，谁来防范？在一起起泄漏事件之后，数据的保护与孩子的安全，在无形中已开始渐渐画上等号。