登录注册
请使用微信扫一扫
关注公众号完成登录
我要投稿
应用安全和数据库的安全就像是拼图中的拼图块,它们虽然不同,却彼此之间需要对方,缺少任何一个,都不能形成一个安全整体。如果其中一方出现安全隐患就会令整个安全防御彻底失效,如WEB应用程序存在SQL注入的时候,就会对整个系统和数据库产生更大的影响。为了减小攻击范围,开发人员和数据库管理员必须明晰他们在这个过程中的角色,共同工作,以避免WEB应用暴露任何敏感数据库。
如今,许多行业用户将大量有价值的客户数据存储于在线数据库,通过网络应用与外界交互。不论是通信、金融、电子政务、电子商务抑或是小小的个人博客,前端应用程序和后台数据库都不可避免地结合在我们现在的模型中,任何一个都不可离开另一个而单独存在。
但是由于那些应用程序在设计时是允许任何人、从任何地方登陆进入访问,因而也成为了通往隐藏在深处的重要数据的桥梁。比如在去年十二月,国内最大的程序员社区网站CSDN就遭到了黑客从WEB应用层的攻击,使得包含用户密码的数据库泄密。
那么如何才能使这个模型更安全呢?安恒信息专家将为您做详细的解读:使模型更安全的解决方法是让应用程序作为人与数据互动的唯一接口,应用程序界面是机器与数据互动的唯一接口。如果不是这样,那么数据交互就有可能不能被充分控制好,这将会是一个非常基本的潜在漏洞。即使访问方式定义明确,实际上应用程序依然有无数种方式令防护数据库失败,最终导致整个系统被黑客窃取或破坏。
安恒信息专家表示,安全管理人员和开发人员经常忽视或者错误地理解数据库,常仅仅关注于保护网络应用程序不受风险的威胁--比如说跨站脚本攻击或者注入攻击,而忘记了留意数据库本身的安全隐患。很明显,用户需要有专门的工具和策略来帮助网络应用程序开发人员保护后台数据库的安全性,而数据库开发人员必须确保他们的网络接口尽可能地安全。
同时安恒信息专家还指出,现在大多数用户都是凭感觉在运行数据库安全。绝大多数用户根本没有监控他们的数据库。更令人不安的是,大多数用户甚至不知道他们的重要数据的位置,很多管理员在调查中承认他们并不能肯定数据库中包含着重要信息。
在多数情况下,关键点在于网络应用程序本身对于攻击者而言没什么价值,他们只是利用应用程序作为窃取或破坏数据的一种手段,第一个防范措施便是确保不仅仅是数据库管理员了解重要数据在哪里存放、如何访问到,以及面临的实际威胁。我们通常将数据库看作是一个黑盒子,只向需要的人和应用程序提供访问的方法,当选取、更新或者插入操作成功后,人们会忘记还有一些事情会发生,所以说团队合作是关键,必须要把应用安全和数据安全做到两位一体。
我们所面临的网络威胁
数据库除了有与生俱来的安全隐患以外,当应用程序访问数据库时,还要考虑到更多的威胁。数据库打补丁、权限管理和连接管理都是典型的数据库安全防范措施,常见的由网络应用程序引发的安全威胁有SQL注入式攻击,XSS跨站攻击、不安全的会话处理和权限升级、目录遍历漏洞和敏感信息泄露等漏洞。我们会深入挖掘每一种模型,但是考虑到这些风险的存在,我们最重要的是尽可能少的给予特权,通过监控输入数据和建立安全连接来加强读取方式的安全性,同时还要限制数据库服务器对外暴露的机率。SQL注入、跨站脚本漏洞、目录遍历漏洞、敏感信息泄露等漏洞
SQL注入攻击SQL注入漏洞的产生原因是网站程序在编写时,没有对用户输入数据的合法性进行判断,导致应用程序存在安全隐患。SQL注入漏洞攻击的就是利用现有应用程序没有对用户输入数据的合法性进行判断,将恶意的SQL命令注入到后台数据库引擎执行的黑客攻击手段。
XSS跨站攻击跨站脚本攻击简称为XSS又叫CSS (Cross Site Script Execution),是指服务器端的CGI程序没有对用户提交的变量中的HTML代码进行有效的过滤或转换,允许攻击者往WEB页面里插入对终端用户造成影响或损失的HTML代码。
未验证输入web请求信息在被Web应用使用之前都是未验证的,攻击者能够利用其中的弱点攻击服务器;攻击者通过伪造HTTP请求的各个部分,例如URL,查询字符串,头,cookies,表单域,隐藏域等绕过站点的安全机制。这些常见的伪造输入攻击通常包括:强制浏览,命令插入,跨站脚本,缓冲区溢出,格式化字符串,SQL注入,cookie中毒,隐藏域操作等等。
网络钓鱼网络钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件,意图引诱收信人给出敏感信息(如用户名、口令、帐号 ID 、 ATM PIN 码或信用卡详细信息)的一种攻击方式。最典型的网络钓鱼攻击将收信人引诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上,并获取收信人在此网站上输入的个人敏感信息,通常这个攻击过程不会让受害者警觉。这些个人信息对黑客们具有非常大的吸引力,因为这些信息使得他们可以假冒受害者进行欺诈性金融交易,从而获得经济利益。受害者经常遭受显著的经济损失或全部个人信息被窃取并用于犯罪的目的。
通过应用程序造成隐私泄漏个人或团体的信息被其他不应获得者获取。如攻击者通过入侵大型网络社区、交友网站、免费邮箱等网络应用程序获取数据库用户信息,并利用获取到的个人用户信息进行欺骗获取更多的利益。
特别声明:北极星转载其他网站内容,出于传递更多信息而非盈利之目的,同时并不代表赞成其观点或证实其描述,内容仅供参考。版权归原作者所有,若有侵权,请联系我们删除。
凡来源注明北极星*网的内容为北极星原创,转载需获授权。
6月6日,国家能源集团党组书记、董事长邹磊在集团总部会见上海电气集团党委书记、董事长吴磊,双方就进一步深化战略合作、实现共赢发展进行深入交流。上海电气集团党委委员、副总裁金孝龙,高级副总裁、大客户总监姚丹花,国家能源集团党组成员、副总经理徐新福参加会谈。邹磊对吴磊一行的到访表示欢迎
6月5日,国网唐山市乐亭县供电公司在乐亭二中考点组织开展应急演练,为高考筑牢“不断电”的安全屏障。高考是关乎莘莘学子的重要考试,电力供应的稳定性直接影响到考试的顺利进行。近年来,考试信息化程度不断提高,电力需求更加突出。随着高考临近,国网唐山市乐亭县供电公司对保电工作高度重视、提前
北极星储能网获悉,6月6日,阳泉市能源局印发《阳泉市能源领域碳达峰实施方案》,提到,鼓励大数据中心、电动汽车充(换)电站、虚拟电厂运营商以及储能运营商作为市场主体参与用户侧储能项目建设。积极构建多层次智能电力系统调度体系,提高电网调度智能化水平。到2025年,全市实现快速灵活的需求侧响
6月5日,绿色低碳环保产业·重庆推介会5日在重庆举行,吸引130余家企业参会,共有17个合作项目现场签约,涉及资金103.4亿元。同时,重庆市低碳环保服务业集聚区也在会上成立,并同步发布26项重点生态环保产业项目与技术需求清单,涉及治水、治气、治土、治废、绿色低碳等领域,投资金额约1005亿元。据
在推进新能源占比不断提升的新型电力系统构建进程中,煤电正经历着历史性的角色嬗变。今年,国家发展改革委、国家能源局联合印发《新一代煤电升级专项行动实施方案(2025#x2014;2027年)》(以下简称《实施方案》),新一代煤电升级专项行动正式启动,旨在推动传统煤电向“清洁降碳、安全可靠、高效调
拟推荐工业产品碳足迹核算规则团体标准推荐清单(第二批)公示为落实国务院办公厅《加快构建碳排放双控制度体系工作方案》(国办发〔2024〕39号),支撑建立产品碳足迹管理体系,经相关标准化机构推荐、专家评审等程序,形成拟推荐工业产品碳足迹核算规则团体标准清单(第二批),现予以公示。公示时间
6月5日,汉中市发改委发布汉中市电力高质量发展实施意见(草稿),文件指出,鼓励屋顶分布式项目开发,推动工商业屋顶分布式光伏发展,支持优先采用“自发自用”建设模式,鼓励分布式光伏项目配置储能设施,减小公共电网运行压力。住房城乡建设、发展改革、自然资源、财政、机关事务管理等部门,应当共
6月5日,国新办举行新闻发布会,介绍“深化提升‘获得电力’服务水平全面打造现代化用电营商环境”有关情况。国家能源局副局长宋宏坤在回答记者提问时表示,近年来,中国可再生能源总体保持了高速度发展、高比例利用、高质量消纳的良好态势,为保障电力供应、促进能源转型发挥了重要作用。截至今年4月
北极星储能网获悉,6月5日,广东惠州开展2025年惠州市推动新型储能高质量发展(支持制造业方向)资金项目入库工作。原文如下:关于开展2025年惠州市推动新型储能高质量发展(支持制造业方向)资金项目入库工作的通知各县(区)工业和信息化主管部门:根据《惠州市推动新型储能产业高质量发展行动方案》
绿色低碳环保产业·重庆推介会5日在重庆举行,吸引130余家企业参会,共有17个合作项目现场签约,涉及资金103.4亿元。同时,重庆市低碳环保服务业集聚区也在会上成立,并同步发布26项重点生态环保产业项目与技术需求清单,涉及治水、治气、治土、治废、绿色低碳等领域,投资金额约1005亿元。记者现场注
6月5日,遂宁市经济和信息化局发布关于印发《2025年重点行业领域节能监察工作方案》的通知。全文如下:关于印发《2025年重点行业领域节能监察工作方案》的通知各县(市、区)、市直园区经济和信息化主管部门:为贯彻落实国家、省、市关于工业节能降碳有关工作部署,持续发挥节能监察监督约束作用,提升
6月5日,汉中市发改委发布汉中市电力高质量发展实施意见(草稿),文件指出,鼓励屋顶分布式项目开发,推动工商业屋顶分布式光伏发展,支持优先采用“自发自用”建设模式,鼓励分布式光伏项目配置储能设施,减小公共电网运行压力。住房城乡建设、发展改革、自然资源、财政、机关事务管理等部门,应当共
北极星售电网获悉,近日,陕西省汉中市发展和改革委员会发布《汉中市电力高质量发展实施意见(草稿)》,其中提到,县级以上人民政府及其有关部门应当因地制宜推动储蓄、火电、水电等多种电源与新能源发电协同运营,有序发展多能互补项目;健全多能源发电协同调度机制,统筹优化调峰电源运行,保障新能
关于召开2025第七届综合能源服务与零碳园区建设大会的通知当前,能源产业生态正经历从“供给侧资源主导”向“需求侧价值创造”的范式跃迁。现代能源服务业通过构建“用户需求-能效服务-价值共享”的新型商业闭环,催生出涵盖规划咨询、系统集成、智慧运维的全周期解决方案。为把握产业变革机遇,北极星
近日,甘肃省人民政府发布关于张锋刚等同志职务任免的通知,甘肃能化总经理、副总经理等领导班子调整,详情如下:关于张锋刚等同志职务任免的通知各市、自治州人民政府,甘肃矿区办事处,兰州新区管委会,省政府各部门,中央在甘各单位:甘肃省人民政府决定:张锋刚任甘肃能源化工投资集团有限公司总经
5月27日,中广核烟台招远400MW海上光伏项目实现全容量并网,成为全国首个建成投运的桩基固定式海上光伏电站。该项目采用华为智能光伏解决方案,配备数千台华为逆变器,预计年均发电量达6.94亿千瓦时,不仅为胶东半岛提供了强有力的绿色能源支撑,更对我国海上光伏产业的发展有重要的示范引领作用。在莱
为切实提升网络信息安全防护技能,确保演练期间关键业务系统及数据安全,5月21日,国能龙岩发电有限公司从提高网络安全防控意识,自觉规范上网行为等方面着手,全力做好集团公司网络安全攻防演练工作。该公司要求各部门高度重视网络安全攻防演练工作,提高政治站位,加强网络安全宣贯教育,提高全员安
日前,国家发展改革委、国家能源局、工业和信息化部、市场监管总局联合印发《关于公布首批车网互动规模化应用试点的通知》,将9个城市以及30个项目列入首批车网互动规模化应用试点范围,标志着车网互动从前期的探索研究、局部示范阶段,迈入推进规模化应用试点落地的新阶段。车网互动是指电动汽车与电
5月12日,中电联(北京)数智科技有限公司成立会议在北京举行。中国电力企业联合会党委副书记、专职副理事长王抒祥出席会议并讲话。王抒祥指出,在电力行业数字化、智能化高速发展的全新形势下,中电联党委作出成立中电联(北京)数智科技有限公司的决定恰逢其时。面对新形势新任务,数智科技公司要充
北极星储能网获悉,4月28日,工信部发布2025年汽车标准化工作要点。其中提出,分析评估前沿技术发展趋势和潜在应用场景,识别研判未来汽车标准化发展方向,推动制定及发布车用人工智能、固态电池、电动汽车换电等标准子体系,启动数据治理及应用等新领域标准体系建设,超前开展飞行汽车等新业态标准化
4月24日晚间,云涌科技披露2024年度业绩,实现营业总收入2.97亿元,同比增长5.18%;归母净利润亏损约3509.31万元。主营业务分行业、分产品、分地区、分销售模式情况对于业绩变动的主要原因,公司表示,报告期内,公司紧密围绕客户需求加速重点产品、重要项目落地实施,在工业信息安全产品业务方面,公
近日,海尔新能源宣布成功通过ISO37301:2021合规管理体系认证,成为光伏、风电、储能、智慧能源管理系统及逆变器领域中率先获此国际标准认证的企业之一。此次认证标志着海尔新能源在合规管理方面达到了国际标准要求,助力全球化快速发展。ISO37301:2021作为一项国际权威标准,凭借其严谨客观的评定体系
根据透明度市场调研公司(TransparencyMarketResearch)的报告预测,全球智能电网安全市场将从2016年的43.5亿美元增至2025年的105.8亿美元,期间年复合增率达10.5%。全球智能电网安全市场的增长和发展中经济体的人口增长及快速城镇化息息相关。由于城市人口对于能源的增长需求,能源公司正利用物联网和
电力行业按电监会二次系统安全防护总体方案实现了安全分区、网络专用、横向隔离、纵向认证,有效地保证了确保电力实时闭环监控系统及调度数据网络的安全,防止了由此导致一次系统事故或大面积停电事故,及二次系统的崩溃或瘫痪。通过内外网隔离方案,特别是数据库正反向隔离装置有效地保障了电力系统避
电力行业按电监会二次系统安全防护总体方案实现了安全分区、网络专用、横向隔离、纵向认证,有效地保证了确保电力实时闭环监控系统及调度数据网络的安全,防止了由此导致一次系统事故或大面积停电事故,及二次系统的崩溃或瘫痪。通过内外网隔离方案,特别是数据库正反向隔离装置有效地保障了电力系统避
电力行业是国家正常运行最核心的支撑,关系到国家能源安全和国民经济命脉。为适应特高压电网运行的客观需要,全面提升调度机构驾驭大电网的能力,国家电网公司国家电力调度控制中心组织开展了智能电网调度技术支持系统(简称D5000系统)的研制工作。为了响应国家提倡的自主创新策略,充分发挥国产自主品牌软硬件产品的优势,全面提升D5000系统的安全性能,国家电网公司通过多年实践考察,细致严格地分析比较,最终确定使用达梦数据库搭建D5000系统的基础软件平台。个性定制,在智能电网实现规模应用达梦数据库针对智能电网调度技术支持系统的业务特点,在功能及性能方面进行了很多定制
近日,2013电力行业信息化年会成功举办。启明星辰公司信息安全专家在会上发表了主题为“电力信息系统业务行为审计方法探索”的演讲并得到了相关领导、参会人员的一致好评。本次会议围绕大数据、智能电网建设、信息安全等行业热点话题展开交流与讨论。大会设有三个分论坛,分别为“智能电力”、“电力云与大数据”、“电力信息安全”。在12月1日的“信息消费触动大数据,智能化重启信息安全”主会场互动中,信息化专委会委员就信息化建设中遇到的热点问题,面对面地
电力行业是国民经济的基础产业,是国民经济发展和人民生活极其重要的基础设施之一。近些年来,电力信息化建设取得了非常显著的成就,信息化建设已经有了一定的规模,电力行业的信息系统庞大复杂,IT系统治理难度大。随着智能电网建设的不断向前发展,同时国家电网集团公司对信息安全的指导要求逐步在加强。2004年,国家电力监管委员会发布第5 号令 《电力二次系统安全防护规定》;2005年,电力二次系统安全防护专家组和工作组提出《电力二次系统安全防护总体方案》;2008年,国家电网信息化工作部印发316号文件 《国家电网公司信息化“SG186”工程
2013年4月,达梦数据库管理系统通过中国信息安全测评中心自主原创测评,成为国内第一家获得“信息技术产品自主原创测评证书”的数据库安全产品。到目前为止,全国只有11个信息安全产品获得该项证书。为了支持和保护我国信息技术产品的关键技术原创性,适应国际知识产权保护的发展趋势,达梦数据库有限公司主动申请对达梦数据库管理系统进行“信息技术产品自主原创评测”。测评工作在开发者自主声明的基础上展开。整个测评过程严格按照测评中心《信息技术 安全技术 信息技术安行评估准则》、《信息技术产品自主原创测评准则》及保密协议的规
2010年,伊朗核设施遭遇STUXNET(超级工厂病毒)攻击,造成伊朗核电站推迟发电;2011年,索尼、RSA、洛克希德·马丁公司等大型公司相继遭遇有针对性攻击;2012年,几家国内大型电力企业也遭受网络恶性攻击。有报告称,每日有针对性的网络攻击数量由2010年底的77次增加到了2011年底的82次。网络恶意攻击的职业化、有组织化,并具有商业犯罪、军事攻击、恐怖袭击等特征转变的倾向。作为整个系统的基础平台,智能电网调度技术支持系统(以下简称D-5000)是整个系统研制的核心和重点,如果D-5000采用国外的数据库软件就会受制于人
2011年9月14日,国家电网公司坚强智能电网首批试点工程之一,基于达梦数据库管理系统之上的华中智能电网调度技术支持系统投入电网运行控制,标志着智能电网调度技术支持系统试点项目由建设转入正式运行。2011年9月28日,基于达梦数据库管理系统之上的华中智能电网调度技术支持系统调度计划类(日前计划部分)应用功能又投入在线运行,日前计划应用功能和静态安全校核应用功能先后投入运行,标志着华中调度计划类应用功能开发由建设转入试运行阶段。在我国,现代能源工业的主要生产部门有煤炭工业、石油工业、电力工业,而电力工业在我国能源行业所占比例最大,规模及综合实力也最强。由
近日发改委下发通知,决定围绕三个领域组织实施2011年国家信息安全专项,三个领域为:为重要信息系统和涉密信息系统提供支撑的信息安全产品产业化,为国家信息化建设和重要信息系统安全运行提供技术支持的信息安全专业化服务,重要信息安全产品的关键标准。专项将重点支持满足电信、金融、军工、电力、铁路、政务等特殊领域需求的安全可信操作系统、安全可信服务器、安全网关、安全数据库、安全中间件、操作系统和数据库安全加固产品,以及基于国产密码芯片及可信计算芯片的安全应用产品;工业控制安全保障、面向工业控制的脆弱性分析与风险评估、电子数据取证、信息系统及其终端的安全检测和防护
请使用微信扫一扫
关注公众号完成登录
姓名: | |
性别: | |
出生日期: | |
邮箱: | |
所在地区: | |
行业类别: | |
工作经验: | |
学历: | |
公司名称: | |
任职岗位: |
我们将会第一时间为您推送相关内容!