数据库安全管理的三个经验分享

日期: 2008-02-18 作者:Joanne Cummings 来源:TechTarget中国

  美国华盛顿邮报公司安全团队开发出利用赛门铁克数据库安全与审计(SDSA)设备监视数据库的一系列客户化的政策。他们是如何在已有安全策略基础上做优化的呢?又是如何保证策略的实施呢?

  虽然赛门铁克的这种设备配置了一些现成的安全政策,但是,这家公司不断地优化这些政策以便减少误报,以便使安全团队把注意力集中在真正的安全问题上。华盛顿邮报信息安全和隐私部门经理Stacey Halota总结并提出了在策略优化过程中遇到的一些经验。

  1.你要了解你要得到什么。在执行政策的时候,重要的是不要制定泛泛的安全政策。你要特别认真,你要知道你的要求不太过分,因为你不需要大量的没有真正意义的信息。监视应用程序的ID就是一个例子。有些应用程序在执行各种功能的时候反复调用这个应用程序的ID。最终用户看不到这个ID,但是,这个ID一直在与数据库进行互动。因此,如果你查看它更新的东西,那可能有100万个东西。

  要把重点放在异常情况方面。我们关心的是这个应用程序ID是否来自于意想不到的地方。因此,我们知道这个应用程序ID总是来自于应用服务器的某个地址。我们不是在应用程序ID每一次更新某些东西的时候都进行检查,我们重点检查来它的更新是否来自自某些地址以外的其它地方。你在两分钟之内就可以创建一个这样的政策。

  2.注意漏报。即使你认真设置了政策,这些设备仍可能出现错误。例如,赛门铁克数据库安全和审计设备向Halota的团队发出了这个数据库的某些区域存在风险的警报。这个设备认为我们的数据的一个字段是一个信用卡号码,实际上却不是。当我们第一次看到这种警报的时候,我们认为所有这些财务记录都应该从数据库中取出来。但是,这些数据实际上不是财务数据。

  3.不断改进设置。Halota认为制定政策是一个反复的过程。总的来说,我们制定安全政策用了一个月的时间。我们当时有一些现成的政策,但是,其它一些政策需要更长的时间。你在先制定一些安全政策,然后下个月再制定一些安全政策,之后在执行的过程中对这些安全政策不断地进行调整。这是你一直要做的事情。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

相关推荐

  • 评估厂商安全策略:你应该关注这五个问题

    网络空间的动态特性要求安全策略适应这一趋势。很多安全损害首先是由于针对厂商的攻击引起的,所有企业必须解决与厂商有关的网络威胁。评估厂商的安全策略是一种确保数据安全性的合理方法。

  • 将平板电脑用于工作合适吗?安全问题怎么解决?

    平板电脑是不是不如笔记本电脑安全呢?我在为我的公司制定设备安全策略,是否应该禁用平板?或者采取特定的平板安全策略来限制特定厂商/OS的平板设备的使用?

  • 手把手教你实现有效的漏洞评估

    要想使漏洞评估更有成效,强健的安全策略就应当将漏洞对业务的影响、企业的总体安全策略、漏洞评估的结果联系起来。在本文中,详述了为确保有效性,漏洞评估应遵循的步骤。

  • 网络透明是企业实现更高安全性的诀窍

    更大更多样化的网络意味着攻击者有了更大的攻击面。对此,现在的网络专业人士必须更新其安全政策来应对新的漏洞以及响应不可避免的攻击。但首先,他们需要对其网络有着清晰的视图。