用戶在思考，廠商就變革。當(dāng)各類安全重型“武器”擺在客戶面前使用時，當(dāng)客戶的IT系統(tǒng)在各個層面均需要不同的安全設(shè)備防護(hù)時，問題來了：如同盔甲 上身，武器裝備多了，動作步伐也會變得沉重起來。918搏天堂關(guān)注數(shù)據(jù)存儲的最核心介質(zhì)——數(shù)據(jù)庫安全，自主研發(fā)產(chǎn)品，不斷體會客戶的使用感受，提升產(chǎn)品易用 性，讓安全運(yùn)維變得輕盈可控。數(shù)據(jù)庫虛擬補(bǔ)丁技術(shù)，就是在這種理念下的一種技術(shù)產(chǎn)物。

什么是數(shù)據(jù)庫虛擬補(bǔ)丁

虛擬補(bǔ)丁技術(shù)是通過控制所保護(hù)系統(tǒng)的輸入輸出，防止對數(shù)據(jù)庫系統(tǒng)的漏洞攻擊行為的技術(shù)，是對已有數(shù)據(jù)庫系統(tǒng)通過外圍的方式，針對漏洞攻擊的特征進(jìn)行攻擊行為發(fā)現(xiàn)和攔截的安全防御手段。它使針對漏洞防御的實(shí)施更為輕量，更為及時。

虛擬補(bǔ)丁技術(shù)較早的使用是在web應(yīng)用系統(tǒng)上，較早提出這個概念的是趨勢科技，近來綠盟也加入了這個領(lǐng)域，也是應(yīng)用在web上。數(shù)據(jù)庫的虛擬補(bǔ)丁是近幾年的防御技術(shù)，較早提出的是Mcaffee，國內(nèi)數(shù)據(jù)庫安全廠商918搏天堂也是這方面的佼佼者。

數(shù)據(jù)庫虛擬補(bǔ)丁一般是集成在數(shù)據(jù)庫防火墻產(chǎn)品中，數(shù)據(jù)庫防火墻是一款新的、有效針對數(shù)據(jù)庫進(jìn)行主動安全防御的產(chǎn)品，目前918搏天堂是國內(nèi)首家數(shù)據(jù)庫防 火墻供應(yīng)商。這種技術(shù)，一經(jīng)面世，就受到了國內(nèi)外用戶的廣泛歡迎；除了防御能力外，國內(nèi)用戶歡迎的一個重要原因還在于，在以極光為代表的網(wǎng)絡(luò)漏掃工具，每 年都會對數(shù)據(jù)庫主機(jī)報告數(shù)十個高中危漏洞，然而發(fā)布漏洞補(bǔ)丁需要一定的周期，其次漏洞補(bǔ)丁的升級在帶來相應(yīng)的人力，物力成本的同時存在相應(yīng)的風(fēng)險，與之相 反的是被檢測單位亟待解決這些數(shù)據(jù)庫漏洞問題，而虛擬補(bǔ)丁技術(shù)，無疑也對這種現(xiàn)實(shí)的需求提供了有效的解決方案。

數(shù)據(jù)庫虛擬補(bǔ)丁技術(shù)

常規(guī)的數(shù)據(jù)庫虛擬補(bǔ)丁技術(shù)主要分2種：

技術(shù)一： 修改數(shù)據(jù)庫程序的運(yùn)行時代碼。如果發(fā)現(xiàn)攻擊涉及到某些存儲敏感信息的數(shù)據(jù)表，會創(chuàng)造一個輸出補(bǔ)丁，從而改變數(shù)據(jù)庫返回的結(jié)果集輸出的方向，向某特定地址傳輸該數(shù)據(jù)包。

技術(shù)二：在數(shù)據(jù)庫的前端設(shè)置某種類型代理，以控制數(shù)據(jù)庫的輸入和輸出，從而阻止或消除攻擊行為�？梢詸z測對漏洞的嘗試?yán)�用，并終止可疑的會話。

當(dāng)前市場上的數(shù)據(jù)庫防護(hù)工具，如果具備數(shù)據(jù)庫漏洞防護(hù)能力，通常采用第二種虛擬補(bǔ)丁防護(hù)方式，避免對數(shù)據(jù)庫做代碼層級的改動。918搏天堂數(shù)據(jù)庫防火墻 產(chǎn)品（DBFirewall）中提供了虛擬補(bǔ)丁技術(shù)，所采用的是第二種技術(shù)，無需修改動用用戶的數(shù)據(jù)庫運(yùn)行代碼，通過在數(shù)據(jù)庫外的網(wǎng)絡(luò)層創(chuàng)建一個安全層， 用戶在無需補(bǔ)丁的情況下，即可幫助用戶主動防御外部入侵?jǐn)?shù)據(jù)庫。DBFirewall支持22類460個虛擬補(bǔ)丁。

數(shù)據(jù)庫虛擬補(bǔ)丁在數(shù)據(jù)庫防護(hù)中的作用

隨著網(wǎng)絡(luò)黑客的攻擊活動方式越來越多，速度越來越快，針對信息系統(tǒng)的漏洞研究和系統(tǒng)安全漏洞的修補(bǔ)，成為了攻與防永恒的主題。但系統(tǒng)漏洞的修補(bǔ)永遠(yuǎn) 晚于漏洞的發(fā)現(xiàn)，系統(tǒng)設(shè)計的缺陷導(dǎo)致漏洞難以修補(bǔ)，現(xiàn)實(shí)穩(wěn)定運(yùn)行的信息系統(tǒng)難以接受系統(tǒng)的升級等等，這些原因都造成了現(xiàn)實(shí)世界中諸多被暴露了漏洞的系統(tǒng)仍 然在持續(xù)‘裸奔’中。這如同已經(jīng)被曝了安全隱患的汽車，無法召回，人們只能祈禱‘厄運(yùn)’不要降臨在自己身上。

在信息安全日益嚴(yán)峻的今天，系統(tǒng)漏洞從來就沒有真正消失，許多公司都在為系統(tǒng)打補(bǔ)丁的工作付出超額的人力成本，但等待安裝安全補(bǔ)丁的維護(hù)時期，則是一段艱難和危險的過程，這與黑客多次利用零日（0day）漏洞大規(guī)模攻擊形成鮮明對比。

虛擬補(bǔ)丁的防護(hù)機(jī)制正是過監(jiān)控所有數(shù)據(jù)庫活動，獲取通訊信息。利用監(jiān)控數(shù)據(jù)與保護(hù)規(guī)則相比較，從而發(fā)現(xiàn)攻擊企圖。當(dāng)比較結(jié)果與規(guī)則匹配時，就發(fā)出告警警報，并根據(jù)防護(hù)策略及時的終止可疑會話、操作程序或隔離用戶，直到這個可疑的活動被審查通過。

虛擬補(bǔ)丁的優(yōu)勢所在，就是可以在無需修補(bǔ)DBMS內(nèi)核的情況下保護(hù)數(shù)據(jù)庫。虛擬補(bǔ)丁在數(shù)據(jù)庫外創(chuàng)建了一個安全層，從而無需根據(jù)數(shù)據(jù)庫廠商提供的補(bǔ)丁做數(shù)據(jù)庫修復(fù)，也不需要停止服務(wù)和回歸測試。

數(shù)據(jù)庫虛擬補(bǔ)丁技術(shù)，作為數(shù)據(jù)庫漏洞防護(hù)體系中最簡便、最節(jié)省資源的處理方式，具有極高的可應(yīng)用性。其價值不僅在于對數(shù)據(jù)庫漏洞的簡單防護(hù)，未來更 可以配合數(shù)據(jù)庫漏掃系統(tǒng)，為數(shù)據(jù)庫建立起周密而可對照的檢測與防護(hù)系統(tǒng)。作為數(shù)據(jù)庫防火墻的重要功能組件，其價值更在數(shù)據(jù)庫防護(hù)過程中得到充分的體現(xiàn)。