2024網(wǎng)絡(luò)信息安全應(yīng)急響應(yīng)數(shù)據(jù)庫(kù)應(yīng)急手冊(cè)

應(yīng)急響應(yīng)培訓(xùn)數(shù)據(jù)庫(kù)應(yīng)急常見(jiàn)數(shù)據(jù)庫(kù)計(jì)數(shù)據(jù)表明，在所安全事害25%,

技術(shù)錯(cuò)誤占 員作案占10%，

僅有3%左右是由外部不法人員的攻擊造管理方面的原因比重高達(dá)70數(shù)據(jù)庫(kù)檢查項(xiàng)1、數(shù)據(jù)庫(kù)排查流程數(shù)據(jù)庫(kù)檢查通用流程：1）確定數(shù)據(jù)庫(kù)類型及版本2）數(shù)據(jù)庫(kù)是否未授權(quán)訪問(wèn)3）檢查數(shù)據(jù)庫(kù)賬號(hào)安全(弱口令、可疑賬號(hào))4）檢查用戶連接登錄情況(用戶名、角色、創(chuàng)建日期、最近登錄日期、登錄失敗)5）數(shù)據(jù)庫(kù)語(yǔ)句執(zhí)行歷史(系統(tǒng)命令執(zhí)行，數(shù)據(jù)篡改等)6）數(shù)據(jù)庫(kù)是否泄露數(shù)據(jù)(數(shù)據(jù)庫(kù)文件有無(wú)訪問(wèn)拷貝,是否有數(shù)據(jù)導(dǎo)出命令，是否有大量查詢)7）數(shù)據(jù)庫(kù)日志檢查（日志類型,存放目錄）8）數(shù)據(jù)庫(kù)漏洞檢查（提權(quán)，代碼執(zhí)行）常見(jiàn)的數(shù)據(jù)庫(kù)攻擊包括未授權(quán)訪問(wèn)、弱口令、SQL注入、提升權(quán)限、代碼執(zhí)行、竊取備份等。2、mssql

排查計(jì)數(shù)據(jù)表明，在所安全事害25%,

技術(shù)錯(cuò)誤占 員作案占10%，

僅有3%左右是由外部不法人員的攻擊造管理方面的原因比重高達(dá)70數(shù)據(jù)庫(kù)版本確定：2、mssql

排查檢查數(shù)據(jù)庫(kù)賬號(hào)安全(弱口令、空口令、可疑賬號(hào))：用客戶端直接連接服務(wù)器而未進(jìn)行身份驗(yàn)證(空密碼)登錄成功可咨詢管理員用客戶端連接后嘗試簡(jiǎn)單的用戶密碼或默認(rèn)密碼的登錄2、mssql

排查計(jì)數(shù)據(jù)表明，在所安全事害25%,

技術(shù)錯(cuò)誤占員作案占10%，

僅用戶及連接登錄情況：1、查看用戶最后一次登陸時(shí)間：select

loginname,accdate

from

sys.syslogins2、查看客戶端的連接：Select*

from

sys.dm_exec_connections有3%左右是由外部不法人員的攻擊造管理方面的原因比重高達(dá)702、mssql

排查計(jì)數(shù)據(jù)表明，在所安全事害25%,

技術(shù)錯(cuò)誤占員作案占10%，

僅查看當(dāng)前用戶的執(zhí)行：sp_who

'sa'

或sp_who

'WIN-S8BL8USPTOG\Administrator'有3%左右是由外部不法人員的攻擊造管理方面的原因比重高達(dá)702、mssql

排查計(jì)數(shù)據(jù)表明，在所安全事害25%,

技術(shù)錯(cuò)誤占員作案占10%，

僅日志功能配置：?jiǎn)⒂萌罩居涗浌δ埽J(rèn)配置僅限失敗的登錄，修改為失敗和成功的登錄，這樣就可以對(duì)用戶登錄進(jìn)行審核。有3%左右是由外部不法人員的攻擊造管理方面的原因比重高達(dá)702、mssql

排查計(jì)數(shù)據(jù)表明，在所安全事害25%,

技術(shù)錯(cuò)誤占員作案占10%，

僅存儲(chǔ)過(guò)程查看日志：execxp_readerrorlogexec

sys.sp_readerrorlog有3%左右是由外部不法人員的攻擊造管理方面的原因比重高達(dá)703、mysql

排查計(jì)數(shù)據(jù)表明，在所安全事害25%,

技術(shù)錯(cuò)誤占員作案占10%，

僅showvariables

like

'log'; 查看查詢?nèi)罩臼欠耖_(kāi)啟有3%左右是由外部不法人員的攻擊造管理方面的原因比重高達(dá)703、mysql

排查利用shell命令進(jìn)行簡(jiǎn)單的分析：#有哪些IP在爆破：grep

"Accessdenied"mysql.log

|cut

-d"'"-f4|uniq-c|sort

-nr#爆破用戶名字典都有哪些：grep

"Access

denied"mysql.log|cut

-d"'"

-f2|uniq-c|sort

-nr4、其他數(shù)據(jù)庫(kù)排查Oracle數(shù)據(jù)庫(kù)日志路徑日志默認(rèn)路徑：%ORACLE%/rdbms/log非默認(rèn)路徑時(shí)執(zhí)行語(yǔ)句SQL>showparameter

dump_dest得出background_dump_dest的值為日志路徑PostgreSQL數(shù)據(jù)庫(kù)日志路徑日志路徑：Linux：/var/log/progresql/Widnows：%progresql%\log\Redis數(shù)據(jù)庫(kù)日志路徑Linux：/var/log/redis/redis.logWindwos：%redis%/log/redis.logmon