《2016年度數(shù)據(jù)泄露調(diào)查報(bào)告》回顧了2016年全球超過(guò)10萬(wàn)起安全事件和2260起已經(jīng)確認(rèn)的數(shù)據(jù)泄漏事件。根據(jù)verizon統(tǒng)計(jì)報(bào)告，全球數(shù)據(jù)庫(kù)泄露事件呈現(xiàn)緩步提高趨勢(shì)、手段和方式呈現(xiàn)多種變化。分析已確認(rèn)的2260起數(shù)據(jù)泄露事件，泄露源7成以上和數(shù)據(jù)庫(kù)相關(guān)。數(shù)據(jù)庫(kù)信息泄露主要是由人為因素、數(shù)據(jù)庫(kù)自身安全漏洞和第三方惡意組件造成。

人為因素主要指人為對(duì)數(shù)據(jù)庫(kù)的錯(cuò)誤配置或使用弱口令和默認(rèn)口令。錯(cuò)誤配置和弱口令往往成為不法分子窺探數(shù)據(jù)庫(kù)的入口。利用這個(gè)入口不法分子結(jié)合數(shù)據(jù)庫(kù)漏洞或第三方惡意組件對(duì)數(shù)據(jù)庫(kù)實(shí)施入侵。在1600多起數(shù)據(jù)庫(kù)泄露事件中有63%和弱口令和錯(cuò)誤配置相關(guān)。

數(shù)據(jù)庫(kù)漏洞還是數(shù)據(jù)庫(kù)被入侵最常見(jiàn)的方式。但利用漏洞的方式發(fā)生了變化。零日漏洞和已知漏洞使用比例幾乎持平，很多攻擊利用的是已知漏洞。前10位常用漏洞中已知漏洞占據(jù)了55%的比例。其中很多漏洞已經(jīng)被公開(kāi)很多年，相關(guān)補(bǔ)丁也早已推出數(shù)年。數(shù)據(jù)庫(kù)由于各種考慮不及時(shí)打補(bǔ)丁，給不法分子極大的可操作空間。

第三方惡意組件成為數(shù)據(jù)庫(kù)安全的新威脅。今年年底鬧得沸沸揚(yáng)揚(yáng)的Oracle數(shù)據(jù)庫(kù)比特幣勒索事件就是這方面的代表。不法分子通過(guò)散播存在惡意SQL語(yǔ)句的數(shù)據(jù)庫(kù)工具。向誤用該工具的企業(yè)勒索贖金。這種綁架數(shù)據(jù)勒索用戶的方式，正急速擴(kuò)大其攻擊范圍。很可能在明年將成為數(shù)據(jù)庫(kù)安全的首要威脅。

人為因素，數(shù)據(jù)庫(kù)漏洞和第三方惡意組件共同成為，現(xiàn)今威脅數(shù)據(jù)庫(kù)安全的“三駕馬車”。本文通過(guò)梳理這三種方式的原理，以及主流數(shù)據(jù)庫(kù)的高危漏洞分布情況，力求使客戶明確明年數(shù)據(jù)庫(kù)安全防護(hù)的側(cè)重點(diǎn)。