數(shù)據(jù)庫漏掃

充分研究數(shù)據(jù)庫漏洞，對(duì)數(shù)據(jù)庫系統(tǒng)進(jìn)行自動(dòng)化風(fēng)險(xiǎn)評(píng)估，有效暴露數(shù)據(jù)庫自身存在的漏洞和使用中的安全隱患，提供修復(fù)建議，幫助用戶保持?jǐn)?shù)據(jù)庫的安全狀態(tài)。

數(shù)據(jù)庫服務(wù)器自動(dòng)發(fā)現(xiàn)

自動(dòng)搜索網(wǎng)內(nèi)數(shù)據(jù)庫，通過指定IP段和端口范圍，在網(wǎng)絡(luò)中搜索出數(shù)據(jù)庫的基本信息，包括：端口號(hào)、數(shù)據(jù)庫類型、版本號(hào)、數(shù)據(jù)庫服務(wù)器IP地址、數(shù)據(jù)庫實(shí)例名稱等。

數(shù)據(jù)庫非授權(quán)掃描

模擬黑客使用的漏洞發(fā)現(xiàn)技術(shù)，在沒有授權(quán)的情況下，對(duì)目標(biāo)數(shù)據(jù)庫的安全性作深入的探測(cè)分析,收集外部人員可以利用的數(shù)據(jù)庫漏洞信息。一般叫“黑盒”檢測(cè)。

數(shù)據(jù)庫授權(quán)掃描

以數(shù)據(jù)庫管理員賬戶登陸，對(duì)數(shù)據(jù)庫自身的漏洞和使用中的隱患進(jìn)行按事先定義的策略，進(jìn)行全面的安全風(fēng)險(xiǎn)評(píng)估。一般叫“白盒”檢測(cè)。

授權(quán)弱口令掃描

以數(shù)據(jù)庫管理員賬戶登陸，按各種主流數(shù)據(jù)庫口令生成規(guī)則實(shí)現(xiàn)口令匹配掃描，一般有基于字典庫，基于規(guī)則，基于窮舉的多種模式實(shí)現(xiàn)弱口令檢測(cè)。

非授權(quán)弱口令掃描

無數(shù)據(jù)庫登錄賬戶，模擬黑客數(shù)據(jù)庫口令自動(dòng)化嘗試技術(shù)，對(duì)數(shù)據(jù)庫已有賬戶進(jìn)行掃描。

滲透檢測(cè)

模擬黑客利用數(shù)據(jù)庫漏洞對(duì)數(shù)據(jù)庫進(jìn)行滲透的過程，編程自動(dòng)化檢測(cè)軟件，將針對(duì)數(shù)據(jù)庫漏洞攻擊過程和效果進(jìn)行重現(xiàn)。

DBMS漏洞

已知數(shù)據(jù)庫系統(tǒng)自身存在的漏洞，這些漏洞會(huì)引發(fā)數(shù)據(jù)泄漏、權(quán)限提升或拒絕攻擊問題。

配置缺陷

由于數(shù)據(jù)庫或系統(tǒng)的安全配置設(shè)置不正確，造成的安全缺陷或風(fēng)險(xiǎn)點(diǎn)。

缺省口令

使用數(shù)據(jù)庫系統(tǒng)安裝的缺省口令，由于這樣的口令是被公眾掌握的，安全隱患很大。

弱口令

口令的安全強(qiáng)度不符合安全性要求，比如使用了111111這樣的口令，很容易被猜到。

敏感數(shù)據(jù)檢測(cè)

檢測(cè)表名和列名，避免暴露用戶名、密碼、支付卡、用戶信息等敏感數(shù)據(jù)，以提醒用戶加強(qiáng)安全措施。

權(quán)限寬泛

給普通用戶授予了各種高危操作的權(quán)限，如 drop all table，execute all procedure, truncate all table。

程序后門

由于不安全的程序造成在某種條件下會(huì)觸發(fā)安全缺陷，比如：存儲(chǔ)過程或觸發(fā)器中有訪問網(wǎng)絡(luò)或訪問本地文件的操作。

審計(jì)缺陷

由于存在未審計(jì)的命令，導(dǎo)致該命令被執(zhí)行后沒有記錄的缺陷。

補(bǔ)丁未升級(jí)

數(shù)據(jù)庫的版本或組件發(fā)現(xiàn)問題或該版本已經(jīng)不再被支持了，需要通過打補(bǔ)丁進(jìn)行升級(jí)來實(shí)現(xiàn)更好的安全性。

系統(tǒng)缺陷掃描

針對(duì)數(shù)據(jù)庫自身的缺陷進(jìn)行掃描，這些缺陷可能是版本自身問題或未安裝相關(guān)補(bǔ)丁導(dǎo)致的。

配置缺陷掃描

針對(duì)數(shù)據(jù)庫中的配置缺陷、未更改的缺省口令進(jìn)行掃描。

危險(xiǎn)程序掃描

該策略對(duì)數(shù)據(jù)庫中可編程對(duì)象和可調(diào)用對(duì)象進(jìn)行掃描，確定其中包含的危險(xiǎn)代碼及后門對(duì)象。

漏洞修復(fù)建議

通過與知識(shí)庫的匹配，并根據(jù)漏洞的種類，對(duì)于需手工修復(fù)的漏洞可以對(duì)安全風(fēng)險(xiǎn)有效地進(jìn)行評(píng)級(jí)，能夠給出智能化漏洞修復(fù)建議。

漏洞知識(shí)庫

包含漏洞名稱、漏洞來源、漏洞危害描述、危害級(jí)別、檢測(cè)方法、修復(fù)建議等。

策略庫

數(shù)據(jù)庫漏掃策略集合，包含掃描策略、掃描參數(shù)。具體包括掃描范圍、掃描方式、掃描漏洞的類型、掃描進(jìn)程并行數(shù)、線程數(shù)并發(fā)數(shù)等。

漏洞報(bào)表

生成的掃描報(bào)表有“統(tǒng)計(jì)報(bào)告”和“詳細(xì)報(bào)告”，“統(tǒng)計(jì)報(bào)告”為用戶提供總體脆弱性情況說明，“詳細(xì)報(bào)告”可顯示具體的漏洞來源、漏洞描述、漏洞危害等信息。