什么是数据库防火墙
<p align="center"><img title="什么是数据库防火墙" alt="什么是数据库防火墙" align="" border="0" src="https://zhuji.jb51.net/uploads/img/202305/b3027d4ac2d1bef334a8cb663a51a7dc.jpg" width="500"></p>
<p>
<strong>一、概述</strong></p>
<p>
数据库防火墙仿佛是近几年来出现的一款新的安全设备，但事实上历史已经很长。2010年，Oracle公司在收购了Secerno公司，在2011年2月份正式发布了其数据库防火墙产品(database firewall)，已经在市场上出现很多年头了。由于数据库防火墙这个词通俗易懂，和防火墙、Web防火墙、下一代防火墙等主流安全产品一脉相承，很多公司也就把自己的数据(库)安全产品命名为数据库防火墙。每家公司对于数据库防火墙的定义各不相同，侧重点也不一样。也就是说，虽然大家都在说数据库防火墙，很有可能是两个完全不同的数据(库)安全设备。</p>
<p>
<strong>二、什么是数据库防火墙</strong></p>
<p>
数据库防火墙顾名思义是一款数据(库)安全设备，从防火墙这个词可以看出，其主要作用是做来自于外部的危险隔离。换句话说，数据库防火墙应该在入侵在到达数据库之前将其阻断，至少需要在入侵过程中将其阻断。</p>
<p>
<strong>1. 如何定义外部?</strong></p>
<p>
至于如何定义外部威胁，则需要对于数据库边界进行明确的界定，而这个数据库边界的界定则具有多变性。第一种定义，从极限的角度来看，由于现在网络边界的模糊，可以把所有来自于数据库之外的访问都定义为外部。如果是这个定义来看，防火墙承载的任务非常繁重，可能不是一个安全设备所能够承担的。第二种定义是数据中心和运维网络可以被定义为内部访问，其他访问定义为外部访问，让防火墙不需要去承载内部运维安全和员工安全，从而更好的工作。</p>
<p>
综合看来，我们采用第二种定义，数据库防火墙主要承载数据中心和运维网络之外的数据(库)安全工作。</p>
<p>
<strong>2. 如何定义数据库防火墙?</strong></p>
<p>
一旦准确的定义了什么是外部之后，什么是数据库防火墙就比较清楚了。运维网络之外的访问我们都可以定义为业务访问。</p>
<p>
数据库防火墙是一款抵御并消除由于应用程序业务逻辑漏洞或者缺陷所导致的数据(库)安全问题的安全设备或者产品。数据库防火墙一般情况下部署在应用程序服务器和数据库服务器之间，采用数据库协议解析的方式完成。但这并不是唯一的实现方式，你可以部署在数据库外部，可以不采用协议解析。从这个定义可以看出，数据库防火墙其本质目标是给业务应用程序打补丁，避免由于应用程序业务逻辑漏洞或者缺陷影响数据(库)安全。</p>
<p>
<strong>常见的应用程序业务逻辑漏洞和缺陷：</strong></p>
<p>
SQL注入攻击</p>
<p>
cc攻击</p>
<p>
非预期的大量数据返回</p>
<p>
敏感数据未脱敏</p>
<p>
频繁的同类操作</p>
<p>
超级敏感操作控制</p>
<p>
身份盗用和撞库攻击</p>
<p>
验证绕行和会话劫持</p>
<p>
业务逻辑混乱</p> 感谢分享！
看完这篇帖子对数据库防火墙有了更清晰的认识！之前一直对这个概念比较模糊，今天总算是搞明白了。
总结一下我理解的重点：
[*]数据库防火墙主要是用来阻断外部对数据库的威胁攻击
[*]核心目标是给应用程序打补丁，防止业务逻辑漏洞导致的数据安全问题
[*]部署在应用服务器和数据库服务器之间
想请教一下：
文中提到SQL注入攻击、撞库攻击这些是数据库防火墙主要防御的威胁
那在实际部署中，数据库防火墙和传统的Web应用防火墙（WAF）主要区别是什么呢？感觉两者好像有些功能会重叠？
另外对于中小企业来说，是否有必要单独部署数据库防火墙？还是只靠WAF就够了？
希望有经验的大神能指点一下！@圆梦公社 感觉这个论坛的技术氛围很不错，以后会常来学习！——来自圆梦公社的新人报道
頁:
[1]