SQL數據發現 sql雲端類別 的設計,可以讓駭客可以準確地找到所儲存的敏感數據。研究人員報告說,SQL數據發現 sql雲端類別 是Microsoft SQL Server 2019中的一種工具,可以通知攻擊者數據庫中哪些數據被標記為敏感數據,哪些不是敏感數據。

 

 sql雲端類別 的安全問題

Imperva安全研究工程師Avidan Reich強調說,此工具不會授予攻擊者訪問敏感數據的權限,也不會在SQL Server 2019中發現漏洞。相反,該研究揭示了SQL數據發現和分類在設計上可能存在的安全問題。

該工具內置於SQL Server Management Studio(SSMS)中,可讓用戶檢測及分類,其存儲在其數據庫中的敏感數據。分類引擎首先掃描數據庫並識別哪些包含潛在的敏感信息。該工具為員工提供了一種更簡單的方法,可以通過SSMS GUI或通過SQL語句“添加敏感度分類”來應用分類建議並手動對列進行分類。Reich解釋說,確定數據的分類狀態後,會將其添加到審核日誌中,以便員工可以更好地監視對敏感信息的訪問以進行合規性和審核。

 

 sql雲端類別 的原則

“職責分離”一種最佳實踐sql雲端類別原則的建議,即僅向數據庫管理員提供執行工作所需的工具(設計數據庫,管理數據庫以及監視其使用和性能)。該原則背後的想法是將職責分開,因此沒有一個員工可以訪問太多敏感資料。如果公司將職責分工,這意味著只有安全人員才能進行分類。應用程序所有者將審查並標記敏感數據;安全專家將應用適當的控制。

 

sql雲端類別的問題

Reich在SQL數據發現分類類別的問題,是在通過數據庫本身內進行標記,來顯示敏感信息的存儲位置。Reich解釋說,這使惡意內部人員或員工更容易找出哪些數據庫列所包含的敏感數據,然後獲得對其的訪問權限。他們只需要“查看任何敏感性分類”權限和簡單的查詢即可。他說:對於內部威脅,例如惡意員工,很容易使用分析工具等安全工具進行敏感數據的訪問。值得注意的是,連接到數據庫的應用程序,所使用的數據庫管理員和帳戶,通常能夠查看未加密的信息和已加密的信息。

 

sql雲端類別暫不進行變更

Imperva與Microsoft分享了他們發現的細節,該公司表示該工具的目的是發現並幫助分類數據。而在官員的電子郵件中說: sql雲端類別 報告的調查結果,並不構成安全風險,我們也不打算通過安全更新來解決它。