什麼是資料庫安全性？
了解如何保護您的資料庫並保護它不受威脅。
什麼是資料庫安全性？
資料庫安全性是保護資料庫不受意外和特意威脅的程式、工具和控制項。資料庫安全性的目標是要保護敏感性資料，並保有資料庫的機密性、可用性和完整性。除了保護資料庫內的資料之外，資料庫安全性還能保護資料庫管理系統和相關聯的應用程式、系統、實體和虛擬伺服器，以及網路基礎結構。
若要回答"什麼是資料庫安全性"的問題，務必知道有幾個類型的安全性風險。資料庫安全性必須防範人為錯誤、過多的員工資料庫權限、駭客和內部人員攻擊、惡意程式碼、備份儲存媒體曝光、資料庫伺服器的實體損壞，以及易受攻擊的資料庫，例如未經修補的資料庫或緩衝區中有過多資料的資料庫。
資料庫安全性的類型
若要達到最高程度的資料庫安全性，組織需要多層資料保護。為此， 深度防禦 (DiD) 安全性策略 會在整個 IT 系統中實施多個控制項。如果一層保護失敗，則另一層保護會就位，以立即防範攻擊，如下圖所示。
網路安全性
- 防火牆 可做為 DiD 資料庫安全性的第一道防線。在邏輯上，防火牆具有隔離與限制網路流量的功能，可供設定以強制執行您的組織的資料安全性原則。如果您使用防火牆，則可在作業系統層級提高安全性，方法是在可聚焦安全性措施的所在區域提供瓶頸 (障礙)。
存取管理
- 驗證 是一種程序，透過輸入正確的使用者識別碼和密碼，來證明使用者是其聲稱的使用者。某些安全性解決方案會允許系統管理員在單一中央位置集中管理資料庫使用者的身分識別和權限。這包括密碼儲存體的最小化，並啟用集中式密碼輪替原則。
- 授權 可讓每個使用者存取特定資料物件，並執行某些資料庫作業，例如讀取但無法修改資料、修改但無法刪除資料，或刪除資料。
- 存取控制 會由指派權限給資料庫中使用者的系統管理員所管理。管理權限的理想方式是將使用者帳戶新增至 資料庫角色 ，並將資料庫層級的權限指派給這些角色。例如， 資料列層級安全性 (RLS) 可讓資料庫系統管理員根據使用者的身分識別、角色成員資格或查詢執行內容，來限制資料列的讀取和寫入存取權。RLS 將資料庫本身內的存取邏輯集中化，其可簡化應用程式程式碼並降低意外揭露資料的風險。
威脅防護
- 稽核 會將資料庫事件記錄到稽核記錄，藉此追蹤資料庫活動並協助維護安全性標準的合規性。這可讓使用者監視進行中的資料庫活動，以及分析和調查歷史活動，以找出潛在威脅或可疑的濫用和安全性違規。
- 威脅偵測 會發掘異常的資料庫活動，指出對資料庫的潛在安全性威脅，並可以直接向系統管理員顯示可疑事件的相關資訊。
資訊保護
- 資料加密會將敏感性資料轉換成替代格式，以便只有預定的各方可以將它解譯回原始格式並存取它，藉此保護敏感性資料。雖然加密無法解決存取控制問題，但可藉由限制存取控制被跳過時的資料遺失，以加強安全性。例如，只要資料已加密，即使資料庫主機電腦設定不當而遭惡意使用者取得敏感性資料 (如信用卡號碼)，該失竊的資訊就可能毫無用處。
- 資料庫備份資料與復原對於保護資訊非常重要。此程序涉及定期備份資料庫和記錄檔案的複本，以及將複本存放在安全的位置。備份複本和檔案可在發生安全性外洩或失敗時用來還原資料庫。
- 實體安全性會嚴格限制對實體伺服器和硬體元件的存取。具有內部部署資料庫的許多組織會將資料庫伺服器硬體和網路裝置放在上鎖的機房並限制存取。同時，務必將備份媒體存放在安全的異地位置以限制存取它。
資料庫安全性平台
視資料庫平台而定，您承擔的資料庫安全性責任量可能有所不同。如果您有內部部署解決方案，您需要提供從端點保護到硬體的實體安全性的一切事項，這並不容易。如果您選擇平台即服務 (PaaS) 雲端資料庫提供者，您的聚焦領域會大幅縮減。
雲端提供解決長期資訊安全性挑戰的顯著優勢。在內部部署環境中，組織可能有未滿足的責任且能夠投資在安全性上的資源卻有限，這便創造出攻擊者能夠惡意探索所有層級弱點的環境。
下圖顯示許多安全性責任因資源有限而未履行的傳統方法。在啟用雲端的方法中，您可以將每日安全性責任轉移給雲端提供者，並可獲得更多安全性涵蓋範圍，這會讓您的組織能夠將部分安全性資源與預算重新配置到其他業務優先順序上。
為什麼資料庫安全性很重要？
公私部門中各種規模的組織都會面臨資料庫安全性挑戰。防止資料外洩是業務關鍵，因為它們可能會導致：
資料竊取
資料庫是網路攻擊的主機目標，因為它們通常會儲存重要、機密和敏感性資訊，包括客戶記錄、信用卡號碼、銀行帳戶號碼和個人識別碼。駭客會使用此資訊來竊取身分識別，並進行未經授權的購買。
損害企業與品牌信譽
客戶對於與不保護其個人資料的公司有業務往來會遲疑。危害客戶資訊的資料庫安全性問題可能會損害組織的信譽，導致銷售量下降和客戶流失。為了保護其信譽並重建客戶信任，有些企業會增加他們在公共關係方面的投資，並免費提供信用監視系統給其資料外洩受害者。
收入損失
資料外洩可能會中止或減慢商務營運和營收產生的速度，直到資料庫安全性挑戰解決、系統完全再次啟動並執行，以及商務持續性恢復為止。
增加成本
雖然數字可能因產業而異，但資料外洩的成本可能會耗費數百萬美元來修正，包括法律費用、協助受害者，以及復原資料和還原系統的額外費用。公司也可能支付勒索軟體款項給駭客，其要求付款才能還原遭鎖定的檔案和資料。為了防範這些成本，許多企業為其原則增加網路保險。
資料外洩違規罰款
當公司未保護其客戶資料時，州政府與當地機構會強制執行裁罰，而在某些情況下，還會要求客戶獲得補償。
資料庫安全性最佳做法
我們已討論如何保護資料庫，包括加密資料、對照資料庫或應用程式驗證僅授權的使用者、限制使用者存取適當的資料子集，以及持續監視和稽核活動。資料庫安全性最佳做法會進一步擴充這些功能，以針對威脅提供更多防護。
資料庫強化
保護或"強化"資料庫伺服器結合了實體、網路和作業系統安全性，以解決弱點，並讓駭客更難存取系統。資料庫強化最佳做法會根據資料庫平台的類型而不同。常見的步驟包括強化密碼保護和存取控制項、保護網路流量，以及加密資料庫中的敏感性欄位。
全面的資料加密
透過強化資料加密，這些功能可讓組織更容易保護資料並遵循法規：
- Always Encrypted 資料提供內建保護，可防範傳輸中、記憶體中、磁碟上，甚至是查詢處理期間的資料竊取。
- 透明資料加密會透過加密儲存的資料 (待用資料) 來防範惡意離線活動的威脅。透明資料加密會對資料庫、相關聯的備份和待用的交易記錄檔執行即時加密和解密，而不需變更應用程式。
與最強版本的傳輸層安全性 (TLS) 網路通訊協定支援結合時，Always Encrypted 資料和透明資料加密可為需要遵守付款卡產業資料安全標準 (PCI DSS) (其要求對付款資料進行強式端對端保護) 的財務、金融業及醫療保健組織提供全方位的加密解決方案。
進階威脅防護
進階威脅防護可分析記錄，以偵測不尋常的行為、可能有害的嘗試存取或惡意探索資料庫。警示會針對可疑活動建立，例如：SQL 插入、潛在資料非法上傳及暴力密碼破解攻擊，或存取模式發生異常等，以便攔截提升權限、使用外洩的認證等情況。
個別的驗證帳戶
做為最佳做法，使用者和應用程式應使用不同的帳戶進行驗證。如此一來，可以限制授與使用者和應用程式的權限，並降低惡意活動的風險。如果應用程式程式碼容易受到 SQL 插入式攻擊，這一點特別重要。
最低權限原則
資訊安全性最低權限原則 主張使用者和應用程式應該只獲授與執行其工作所需資料和作業的存取權。這個最佳做法可協助減少應用程式的受攻擊面，以及安全性缺口 (爆炸半徑) 的影響 (若發生)。
零信任安全性模型
資料庫安全性最佳做法應該是在平台和雲端之間共同運作的 全方位安全性方法 的一部分，以保護您的整個組織。零信任安全性模型會驗證每個存取要求的身分識別和裝置合規性，以保護人員、裝置、應用程式和資料，而無論他們身在何處。零信任模型不會假設公司防火牆後的所有項目都是安全的，而是會假設有外洩並驗證每個要求，就像它來自開放式網路。無論要求來自何處或存取什麼資源，零信任都告訴我們"永遠不要信任、永遠要驗證"。
資料庫安全性解決方案和工具
最近引人注目的資料外洩使得現今威脅執行者的精細程度增加，以及要在逐漸連接的世界中管理商業風險的複雜性受到矚目。使用這些端對端安全性和資料庫安全性產品，自信地協助您的組織對抗威脅並保護資料安全。
資料庫安全性解決方案
使用 Microsoft 安全性解決方案啟用零信任。採取端對端安全性方法，以保護您的人員、資料和基礎結構。
利用 Azure 鞏固您的安全性態勢。使用 Azure 內建的多層式安全性控制項與獨特的威脅情報，協助找出威脅並加以防範。超過 3,500 位全球網路安全專家共同合作，協助保護您在 Azure 中的資料。
資料庫安全性工具
利用內建的 Azure 資料庫安全性工具和服務， 包括 Always Encrypted 技術； 智慧型威脅防護； 安全性控制項、資料庫存取和授權控制項，例如 資料列層級安全性 和 動態資料遮罩、 稽核、 威脅偵測，以及使用 適用於雲端的 Microsoft Defender 進行資料監視。
使用 Azure Cosmos DB 保護您的 NoSQL 資料庫，其包含 全方位進階資料庫安全性工具 ，可協助您防止、偵測及回應資料庫外洩。
資料庫安全性軟體和服務
使用 Azure Active Directory 保護對資源和資料的存取。此企業身分識別服務提供單一登入、多重要素驗證和條件式存取，可抵禦 99.9% 的網路安全性攻擊。
使用 Azure Key Vault 安全地儲存和存取密碼。祕密是您想要嚴格控制存取的任何項目，例如 API 金鑰、密碼、憑證或密碼編譯金鑰。安全金鑰管理對於保護雲端中的資料十分重要。
常見問題集
-
資料庫安全性是保護資料庫不受意外和特意威脅的程式、工具和控制項。資料庫安全性的目標是要保護敏感性資料，並保有資料庫的機密性、可用性和完整性。除了保護資料庫內的資料之外，資料庫安全性還能保護資料庫管理系統和相關聯的應用程式、系統、實體和虛擬伺服器，以及網路基礎結構。
-
若要達到最高程度的資料庫安全性，組織需要多層資料保護。這包括網路安全性、存取控制、稽核和威脅偵測功能、資料加密、資料庫備份與復原，以及伺服器、硬體元件和備份媒體實體安全性的防火牆。
-
資料庫安全性可防範資料外洩。防止資料外洩是業務關鍵，因為其成本可能會耗費數百萬美元來修正，包括法律費用、受害者補償、資料與系統還原，以及因不符合法規而遭到裁罰。公司也可能支付勒索軟體款項給駭客，其要求付款才能還原遭鎖定的檔案和資料。
-
資料庫安全性最佳做法可解決弱點並讓駭客更難以存取系統。其中包括資料庫強化、Always Encrypted 資料、個別驗證、進階威脅防護，以及最低權限原則，其主張使用者和應用程式只應獲授與執行其工作所需資料和作業的存取權。
-
使用 Microsoft 零信任端對端安全性和 Azure 資料庫安全性強化您的安全性態勢。使用內建的多層式安全性控制項與獨特的威脅情報，協助找出威脅並加以防範。Azure 服務的深度防禦設計提供跨實體資料中心、基礎結構和 Azure 中作業的多層式安全性。