数据库处漏

⑴ 常见的操作系统漏洞有哪些怎么解决

再强大再安全的 操作系统 ，也会出现一些漏洞从而被病毒攻击。那么如何解决漏洞被攻击的问题呢？下面由我整理了常见的操作系统漏洞及解决 方法 ，希望对你有帮助。

常见的操作系统漏洞及解决方法

常见的操作系统漏洞一、 SQL注入漏洞

SQL注入攻击(SQL Injection)，简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。

通常情况下，SQL注入的位置包括：

(1)表单提交，主要是POST请求，也包括GET请求;

(2)URL参数提交，主要为GET请求参数;

(3)Cookie参数提交;

(4)HTTP请求头部的一些可修改的值，比如Referer、User_Agent等;

(5)一些边缘的输入点，比如.mp3文件的一些文件信息等。

SQL注入的危害不仅体现在数据库层面上，还有可能危及承载数据库的操作系统;如果SQL注入被用来挂马，还可能用来传播恶意软件等，这些危害包括但不局限于：

(1)数据库信息泄漏：数据库中存放的用户的隐私信息的泄露。作为数据的存储中心，数据库里往往保存着各类的隐私信息，SQL注入攻击能导致这些隐私信息透明于攻击者。

(2)网页篡改：通过操作数据库对特定网页进行篡改。

(3)网站被挂马，传播恶意软件：修改数据库一些字段的值，嵌入网马链接，进行挂马攻击。

(4)数据库被恶意操作：数据库服务器被攻击，数据库的系统管理员帐户被篡改。

(5)服务器被远程控制，被安装后门。经由数据库服务器提供的操作系统支持，让黑客得以修改或控制操作系统。

(6)破坏硬盘数据，瘫痪全系统。

解决SQL注入问题的关键是对所有可能来自用户输入的数据进行严格的检查、对数据库配置使用最小权限原则。 通常使用的方案有：

(1)所有的查询语句都使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。当前几乎所有的数据库系统都提供了参数化SQL语句执行接口，使用此接口可以非常有效的防止SQL注入攻击。

(2)对进入数据库的特殊字符('"<>&*;等)进行转义处理，或编码转换。

(3)确认每种数据的类型，比如数字型的数据就必须是数字，数据库中的存储字段必须对应为int型。

(4)数据长度应该严格规定，能在一定程度上防止比较长的SQL注入语句无法正确执行。

(5)网站每个数据层的编码统一，建议全部使用UTF-8编码，上下层编码不一致有可能导致一些过滤模型被绕过。

(6)严格限制网站用户的数据库的操作权限，给此用户提供仅仅能够满足其工作的权限，从而最大限度的减少注入攻击对数据库的危害。

(7)避免网站显示SQL错误信息，比如类型错误、字段不匹配等，防止攻击者利用这些错误信息进行一些判断。

(8)在网站发布之前建议使用一些专业的SQL注入检测工具进行检测，及时修补这些SQL注入漏洞。

常见的操作系统漏洞二、 跨站脚本漏洞

跨站脚本攻击(Cross-site scripting，通常简称为XSS)发生在客户端，可被用于进行窃取隐私、钓鱼欺骗、窃取密码、传播恶意代码等攻击。

XSS攻击使用到的技术主要为HTML和Javascript，也包括VBScript和ActionScript等。XSS攻击对WEB服务器虽无直接危害，但是它借助网站进行传播，使网站的使用用户受到攻击，导致网站用户帐号被窃取，从而对网站也产生了较严重的危害。

XSS类型包括：

(1)非持久型跨站：即反射型跨站脚本漏洞，是目前最普遍的跨站类型。跨站代码一般存在于链接中，请求这样的链接时，跨站代码经过服务端反射回来，这类跨站的代码不存储到服务端(比如数据库中)。上面章节所举的例子就是这类情况。

(2)持久型跨站：这是危害最直接的跨站类型，跨站代码存储于服务端(比如数据库中)。常见情况是某用户在论坛发贴，如果论坛没有过滤用户输入的Javascript代码数据，就会导致其他浏览此贴的用户的浏览器会执行发贴人所嵌入的Javascript代码。

(3)DOM跨站(DOM XSS)：是一种发生在客户端DOM(Document Object Model文档对象模型)中的跨站漏洞，很大原因是因为客户端脚本处理逻辑导致的安全问题。

XSS的危害包括：

(1)钓鱼欺骗：最典型的就是利用目标网站的反射型跨站脚本漏洞将目标网站重定向到钓鱼网站，或者注入钓鱼JavaScript以监控目标网站的表单输入，甚至发起基于DHTML更高级的钓鱼攻击方式。

(2)网站挂马：跨站时利用IFrame嵌入隐藏的恶意网站或者将被攻击者定向到恶意网站上，或者弹出恶意网站窗口等方式都可以进行挂马攻击。

(3)身份盗用：Cookie是用户对于特定网站的身份验证标志，XSS可以盗取到用户的Cookie，从而利用该Cookie盗取用户对该网站的操作权限。如果一个网站管理员用户Cookie被窃取，将会对网站引发巨大的危害。

(4)盗取网站用户信息：当能够窃取到用户Cookie从而获取到用户身份使，攻击者可以获取到用户对网站的操作权限，从而查看用户隐私信息。

(5)垃圾信息发送：比如在SNS社区中，利用XSS漏洞借用被攻击者的身份发送大量的垃圾信息给特定的目标群。

(6)劫持用户Web行为：一些高级的XSS攻击甚至可以劫持用户的Web行为，监视用户的浏览历史，发送与接收的数据等等。

(7)XSS蠕虫：XSS 蠕虫可以用来打 广告 、刷流量、挂马、恶作剧、破坏网上数据、实施DDoS攻击等。

常用的防止XSS技术包括：

(1)与SQL注入防护的建议一样，假定所有输入都是可疑的，必须对所有输入中的script、iframe等字样进行严格的检查。这里的输入不仅仅是用户可以直接交互的输入接口，也包括HTTP请求中的Cookie中的变量，HTTP请求头部中的变量等。

(2)不仅要验证数据的类型，还要验证其格式、长度、范围和内容。

(3)不要仅仅在客户端做数据的验证与过滤，关键的过滤步骤在服务端进行。

(4)对输出的数据也要检查，数据库里的值有可能会在一个大网站的多处都有输出，即使在输入做了编码等操作，在各处的输出点时也要进行安全检查。

(5)在发布应用程序之前测试所有已知的威胁。

常见的操作系统漏洞三、 弱口令漏洞

弱口令(weak password) 没有严格和准确的定义，通常认为容易被别人(他们有可能对你很了解)猜测到或被解除工具解除的口令均为弱口令。设置密码通常遵循以下原则：

(1)不使用空口令或系统缺省的口令，这些口令众所周之，为典型的弱口令。

(2)口令长度不小于8个字符。

(3)口令不应该为连续的某个字符(例如：AAAAAAAA)或重复某些字符的组合(例如：tzf.tzf.)。

(4)口令应该为以下四类字符的组合，大写字母(A-Z)、小写字母(a-z)、数字(0-9)和特殊字符。每类字符至少包含一个。如果某类字符只包含一个，那么该字符不应为首字符或尾字符。

(5)口令中不应包含本人、父母、子女和配偶的姓名和出生日期、纪念日期、登录名、E-mail地址等等与本人有关的信息，以及字典中的单词。

(6)口令不应该为用数字或符号代替某些字母的单词。

(7)口令应该易记且可以快速输入，防止他人从你身后很容易看到你的输入。

(8)至少90天内更换一次口令，防止未被发现的入侵者继续使用该口令。

常见的操作系统漏洞四、 HTTP报头追踪漏洞

HTTP/1.1(RFC2616)规范定义了HTTP TRACE方法，主要是用于客户端通过向Web服务器提交TRACE请求来进行测试或获得诊断信息。当Web服务器启用TRACE时，提交的请求头会在服务器响应的内容(Body)中完整的返回，其中HTTP头很可能包括Session Token、Cookies或 其它 认证信息。攻击者可以利用此漏洞来欺骗合法用户并得到他们的私人信息。该漏洞往往与其它方式配合来进行有效攻击，由于HTTP TRACE请求可以通过客户浏览器脚本发起(如XMLHttpRequest)，并可以通过DOM接口来访问，因此很容易被攻击者利用。

防御HTTP报头追踪漏洞的方法通常禁用HTTP TRACE方法。

常见的操作系统漏洞五、 Struts2远程命令执行漏洞

Apache Struts是一款建立Java web应用程序的开放源代码架构。Apache Struts存在一个输入过滤错误，如果遇到转换错误可被利用注入和执行任意Java代码。

网站存在远程代码执行漏洞的大部分原因是由于网站采用了Apache Struts Xwork作为网站应用框架，由于该软件存在远程代码执高危漏洞，导致网站面临安全风险。CNVD处置过诸多此类漏洞，例如：“GPS车载卫星定位系统”网站存在远程命令执行漏洞(CNVD-2012-13934);Aspcms留言本远程代码执行漏洞(CNVD-2012-11590)等。

修复此类漏洞，只需到Apache官网升级Apache Struts到最新版本：http://struts.apache.org

常见的操作系统漏洞六、 框架钓鱼漏洞(框架注入漏洞)

框架注入攻击是针对Internet Explorer 5、Internet Explorer 6、与 Internet Explorer 7攻击的一种。这种攻击导致Internet Explorer不检查结果框架的目的网站，因而允许任意代码像Javascript或者VBScript跨框架存取。这种攻击也发生在代码透过多框架注入，肇因于脚本并不确认来自多框架的输入。这种其他形式的框架注入会影响所有的不确认不受信任输入的各厂商浏览器和脚本。

如果应用程序不要求不同的框架互相通信，就可以通过完全删除框架名称、使用匿名框架防止框架注入。但是，因为应用程序通常都要求框架之间相互通信，因此这种方法并不可行。 因此，通常使用命名框架，但在每个会话中使用不同的框架，并且使用无法预测的名称。一种可行的方法是在每个基本的框架名称后附加用户的会话令牌，如main_display。

常见的操作系统漏洞七、 文件上传漏洞

文件上传漏洞通常由于网页代码中的文件上传路径变量过滤不严造成的，如果文件上传功能实现代码没有严格限制用户上传的文件后缀以及文件类型，攻击者可通过 Web 访问的目录上传任意文件，包括网站后门文件(webshell)，进而远程控制网站服务器。

因此，在开发网站及应用程序过程中，需严格限制和校验上传的文件，禁止上传恶意代码的文件。同时限制相关目录的执行权限，防范webshell攻击。

常见的操作系统漏洞八、 应用程序测试脚本泄露

由于测试脚本对提交的参数数据缺少充分过滤，远程攻击者可以利用洞以WEB进程权限在系统上查看任意文件内容。防御此类漏洞通常需严格过滤提交的数据，有效检测攻击。

常见的操作系统漏洞九、 私有IP地址泄露漏洞

IP地址是网络用户的重要标示，是攻击者进行攻击前需要了解的。获取的方法较多，攻击者也会因不同的网络情况采取不同的方法，如：在局域网内使用Ping指令，Ping对方在网络中的名称而获得IP;在Internet上使用IP版的QQ直接显示。最有效的办法是截获并分析对方的网络数据包。攻击者可以找到并直接通过软件解析截获后的数据包的IP包头信息，再根据这些信息了解具体的IP。

针对最有效的“数据包分析方法”而言，就可以安装能够自动去掉发送数据包包头IP信息的一些软件。不过使用这些软件有些缺点，譬如：耗费资源严重，降低计算机性能;访问一些论坛或者网站时会受影响;不适合网吧用户使用等等。现在的个人用户采用最普及隐藏IP的方法应该是使用代理，由于使用代理服务器后，“转址服务”会对发送出去的数据包有所修改，致使“数据包分析”的方法失效。一些容易泄漏用户IP的网络软件(QQ、MSN、IE等)都支持使用代理方式连接Internet，特别是QQ使用“ezProxy”等代理软件连接后，IP版的QQ都无法显示该IP地址。虽然代理可以有效地隐藏用户IP，但攻击者亦可以绕过代理，查找到对方的真实IP地址，用户在何种情况下使用何种方法隐藏IP，也要因情况而论。

常见的操作系统漏洞十、 未加密登录请求

由于Web配置不安全，登陆请求把诸如用户名和密码等敏感字段未加密进行传输，攻击者可以窃听网络以劫获这些敏感信息。建议进行例如SSH等的加密后再传输。

常见的操作系统漏洞十一、 敏感信息泄露漏洞

SQL注入、XSS、目录遍历、弱口令等均可导致敏感信息泄露，攻击者可以通过漏洞获得敏感信息。针对不同成因，防御方式不同。

⑵ 数据库泄露意味着什么

您有秘密吗？

您担心电脑数据的安全吗？

您可曾想过，计算机失窃、遗失，也会造成数据泄密？

您可曾想过，电脑维护人员维修你的电脑时也能窃取机密信息？

您可曾想过，企业内部职员可以通过移动存储设备（如U盘），或者邮件、文件传输、上载等方式轻松地泄密？

隐私信息或技术资料以电子形式储存在计算机中，通过网络或可移动介质传递，安全难以得到保障。一旦信息遭到泄露，有可能对个人或企业造成难以估计的损失，因此对数据进行加密是目前解决信息泄密的最有效方法。

K/3数据安全平台是以自动防护为理念的信息安全系列软件产品，实现自动、动态、透明地对存储在计算机上的数据进行加密处理，加密强度大、安全级别高，能有效提高内网的安全保密性。

一、应用背景

1.现状分析

随着信息技术的发展，企业为了提高信息处理的效率，越来越多地把文档转化为电子文档形式，甚至把90%以上的企业机密信息以电子文档的形式存储在企业内网中。同时，企业也大量使用ERP、CRM、OA等与数据库相关的电子信息管理方案。这些新型管理手段的使用，在给企业带来更高的生产效率的同时也给企业的信息安全管理带来了新的挑战。虽然企业采用了反病毒软件、防火墙、入侵检测、身份认证等手段，但依然无法阻止电子形式的信息通以各种方式从企业中泄漏出去。而当前的大部分网络安全技术出发点是解决对外防护的问题，对内防护十分薄弱。面对日益严重的信息安全威胁，企业原有的安全方案渐渐显得力不从心。

1几乎每个企业都会遇到“合理”避税的问题；一旦泄密，企业将进入非常被动的状态；

2几乎每个高新企业都要保护技术秘密；一旦泄密，企业将失去核心竞争力，丧失行业领导地位；

3几乎每个企业都要保护标书、合同、报价单等商业私密，一但泄密，企业将失去客户。

2.信息安全威胁

2.1据波莱蒙研究所表示，企业在数据入侵时的平均损失呈逐年递增趋势。数据入侵给企业带来的平均损失是660万美元，有的公司的损失甚至高达3200万美元。企业因数据入侵而遭受的最大损失是丢失业务。据其表示，在去年的每条记录平均损失202美元中，有139美元(占69%)是指丢失业务。

2.2根据FBI和CSI对484家公司进行的网络安全专项调查结果显示：超过70%的安全威胁来自公司内部，在损失金额上，由于内部人员泄密导致的损失，是黑客造成损失的16倍，是病毒造成损失的12倍。

2.3据中国国家信息安全测评中心调查，信息安全的现实威胁也主要为内部信息泄露和内部人员犯罪，而非病毒和外来黑客引起。

……

3.常见的泄密途径

3.1黑客通过安装恶意软件（如木马程序）把信息复制出去而泄密。

3.2计算机感染病毒自动向外发送的泄密。

3.3计算机失窃、遗失造成的数据泄密。

3.4内部人员通过移动存储设备复制信息，或者以邮件、文件上传等形式泄密。

3.5第三方维护人员利用工作之便窃取信息造成泄密。

4.加密机密资料，彻底解决安全隐患

4.1所有机密资料不能随便流出企业；

4.2所有机密资料在企业内部透明流通，消除安全隐患的同时，又不影响正常业务操作；

4.3所有机密资料可设置各种安全等级，根据授权使用；

4.4机密资料只有一个可控且唯一的安全出口。

二、产品概述

1.平台简介

金蝶K/3数据安全平台能有效保护您的数据安全！

平台采用“驱动层”底层透明加密技术，结合世界先进加密算法，提供完全自动化、动态化、透明化数字文件加密保护。

金蝶K/3数据安全平台解决方案

2.平台特性

2.1采用驱动层动态透明加解密技术；

2.2唯一的企业密钥，密钥长度最高可达到8192位；

2.3采用高强度加密算法，可多种加密算法混合使用及多次加密；

2.4可加密任何类型的文件或数据库；

2.5可加密在任何储存介质上的文件；

2.6严格的身份认证体系；

2.7完善的、可无限扩充文件密级控制；

2.8加密文件只有被授权解密才能转成明文外向传送；

2.9加解密策略库、日志审计报表均可自由定制；

2.10平台简单易用，无需第三方软件配合，基本上不改变现有操作模式。

3.系统拓扑结构图

金蝶K/3数据安全平台解决方案

4.功能概览：

金蝶K/3数据安全平台解决方案

5.技术优势：

5.1数据库加密

数据库在运行、备份过程中均为密文，通过应用软件导出报表，无论是C/S或B/S应用模式，报表均被自动加密；并配备“数据库锁定热键”，可在网内任一计算机按预设键，即时锁死已加密的数据库，企业可从容应对各种突发事件。

金蝶K/3数据安全平台解决方案

5.2文件加密

安全平台客户端创建文件时，文件即被自动加密，并自动根据文件创建者权限在文件内添加相应的“部门”、“密级”属性。加密后的文件可在企业内部自由流通，安全平台通过严格的文件访问机制，确定文件不被非授权用户使用。

金蝶K/3数据安全平台解决方案

支持的应用列表：

金蝶K/3数据安全平台解决方案

5.3可无限扩展的密级管理机制

灵活的“部门”+“密级”管理机制，全面掌控机密资料流向，真正实现任意细粒度控制。

安全平台根据人员“部门”、“密级”授权和文件的“部门”、“密级”属性进行比对，在部门相符，人员“密级”授权大于或等于文件“密级”属性的情况下，才允许正常打开加密文件。

当企业行政架构发生变化时，“部门”、“密级”均可任意增加或插入，无需特殊处理已加密文件，即可自动继承相关授权，可轻松应对未来的扩展。

当文件临时需要交由企业内部其他部门使用时，可通过OA的审批流程或在安全平台客户端直接把文件内含的“部门”、“密级”属性变更到为新的“部门”、“密级”。

当企业内部某些人员需要跨部门工作时，可通过安全平台控制台，对特定人员授与相应的“部门”、“密级”操作权限。

金蝶K/3数据安全平台解决方案

5.4灵活的解密机制

多种灵活的解密方式，可结合OA或PLM使用，实现工作程审批解密或邮件白名单自动解密，减少领导手工解密的工作量，提高企业效率。

金蝶K/3数据安全平台解决方案

5.5打印限制功能

可根据不同用户权限，限制相应进程的打印功能。减少机密文件通过纸质形式泄密的机会。

5.6进程限制功能

可根据不同用户权限，限制相应进程的运行功能。禁用与工作无关的应用，提高工作效率。

5.7网址访问控制功能

可根据不同用户权限，设定网址访问权限，分别使用黑白名单管理，禁止用户访问与工作无关的网页，提高工作效率。

5.8远程监控

根据不同用户权限，可随时监控任一安全平台客户端的计算机屏幕，安全终端所有操作行为无所遁形。

5.9工作时间排程

可根据实际情况，任意设定数据库服务器及平台各用户的工作时间，在非工作时间内，无法登录平台，无法使用已加密的文件，确保机密资料安全。

5.10支持多种登录模式

包括“用户名+密码”、“用户名+智能卡数字证书（CA）”、用户名捆绑IP、Mac地址、开机自动登录等。

5.11多种隐蔽机制

隐蔽安全平台运行界面、未登录平台前隐藏已加密的文件，使用企业机密更加安全。隐藏后，在资源管理器看不到已加密文件，在SQL企业管理器中看不到已加密的数据库，在金蝶账套管理也看不到已加密账套。

5.12支持离线应用

安全平台根据离线后有效时间、离线后登录次数等进行离线控制，即使计算机离开公司环境，仍受到实时监控，加密效果与在公司内部使用一样。

5.13完善的日志记录

详细记录安全终端的各项关键操作，根据客户需要输出相应报表。

⑶ 最近几年数据库泄漏事件

泄露事故统计数字正在逐步下降，但数据仍然面临着由数据库、应用以及终端保护不当所引发的严重风险。

从多个角度来看，2013年的数据泄露趋势已经得到有效扼制，这对于安全行业来说当然是个好消息。不同于过去四到五年，今年的记录当中不再充斥着大型数据库泄露所导致的数以千万计个人身份信息的外流。根据隐私权信息交流中心的调查，本年度公开报道的泄露事故数量及记录在案的泄露事故数量双双呈下降趋势。去年同期，得到确切统计的记录泄露数量已经达到约278万条，漏洞报告则为637份。而在今年，目前为止记录在案的泄露事故约为107万条，漏洞报告则为483份。这充分证明整个安全行业在合规性与安全最佳实践方面所迎来的进步——然而这样的战绩与理想目标相比仍然相去甚远。

在对年初至今的数字进行比较时，我们发现记录在案的泄露事故数量大幅降低了61.7%，然而报告提及的泄露事故数量则仅降低了24.2%。这表明泄露事故仍然快速发生——只不过如今的犯罪活动及违规事件开始逐步扩散而非集中于一点。泄露事件影响范围更小，而且根据安全业内人士的说法，此类恶意活动的目标也更为广泛。现在犯罪分子开始更多地窃取IP或者其它数字资产，由此引发的损失可能比客户记录本身更为严重——同时这也更加难以量化，无法提供头条新闻所必需的统计结果。

通过对今年发生的泄露事故的深入钻研，我们发现安全行业明显仍有大量工作要做。2013年的追踪记录证明，有价值数据库仍然没有受到严格保护与加密、应用程序仍然存在大量安全漏洞、用户们则仍然能够从敏感数据库中下载大量信息并将其保存在缺乏保护的终端当中。为了帮助大家更好地理解当前安全角势，我们选取了几项最具代表意义的实例，希望各位能够从中吸取可资借鉴的教训。

当事企业： CorporateCarOnline.com

泄露统计： 850,000份记录被盗

事故细节：作为全美最具知名度的专业体育、娱乐外加五百强企业，CorporateCarOnline.com拥有大量用户个人资料、信用卡号码以及其它个人身份信息，然而由于其开发出的全球豪车租赁SaaS数据库解决方案将全部信息以纯文本形式储存，最终导致这一切成为犯罪分子的囊中之物。名单中涉及不少大牌，包括汤姆·汉克斯、汤姆·达施勒以及唐纳德·特朗普等。

经验教训：最重要的教训在于认清这样一个现实：面对极具价值的财务与社会工程信息，攻击者们会爆发出极为可怕的技术能量。根据KrebsOnSecurity.com网站的调查，目前遭遇过违规活动的美国运通卡当中有四分之一为高额度甚至无限额度卡片，而且企业间谍分子或者娱乐小报记者也希望通过这类个人信息挖掘到有价值结论。与此同时，该公司在管理收支账目时完全没有考虑过信息安全性，甚至从未尝试采取任何最基本的加密措施。

当事企业： Adobe

泄露统计： 约三百万个人身份信息、超过1.5亿用户名/密码组合以及来自Adobe Acrobat、ColdFusion、ColdFusion Builder外加其它未说明产品的源代码惨遭窃取。

事故细节： 自最初的违规事件发生之后，接踵而来的更多攻击活动持续了一个多月之久，并最终导致了此次重大事故的发生。目前情况已经明确，Adobe正在努力恢复其失窃的大量登录凭证信息——更令人惊讶的是，连其产品源代码也一并泄露。

经验教训： 通过Adobe遭遇的这一轮震惊世界的攻击活动，我们不仅切身感受到攻击者在企业网络中建立根据地并夺取了整套业务储备控制权后所能带来的损害，同时也应学会在考虑将供应商引入软件供应链之前、考察对方在安全领域营造出了怎样的企业生态。作为此次泄露事故的后续影响，其潜在后果恐怕在很长一段时间内都无法彻底消除。

当事企业： 美国能源部

泄露统计： 53000位前任及现任能源部员工的个人身份信息遭到窃取

事故细节： 攻击者将矛头指向了DOEInfo——该机构利用ColdFusion所打造的、已经弃之不用的CFO办公室公开访问系统。能源部官员表示，此次泄露事故只限于内部员工的个人身份信息。

经验教训： 我们从中应该吸取两大教训。首先，安装补丁过去是、现在是、未来也将一直是最为重要的安全任务。其次，各机构必须通过重新审视与敏感数据库相对接的系统最大程度减少攻击面，保证只向公众开放必要的网站。

当事企业： Advocate Medical Group

泄露统计： 四百万病人记录遭到窃取

事故细节： 仅仅由于犯罪分子从办公室里偷走了四台由该公司拥有的计算机，最终导致了这起四百万病人记录丢失的事故——公司官方将此称为自2009年卫生部强制要求通告安全事故以来、美国发生过的第二大医疗信息泄露案件。

经验教训： 医疗行业的数据泄露事故在2013年的违规披露名单当中一直占据主导，但这一次的案件造成的影响显然特别恶劣。仅仅由于一台物理计算设备失窃就最终导致从上世纪九十年代至今的病人记录泄露，这充分暴露了该公司在物理安全、终端安全、加密以及数据保护等各个方面的全线失误。需要强调的是，终端设备被盗与丢失在医疗行业中已经屡见不鲜。现在这些机构可能需要尽快思考终端设备到底能够下载并保存多少来自中央数据库的信息。

⑷ 数据库安全的概念是什么一般影响数据库安全的因素有哪些

数据库安全包含两层含义：第一层是指系统运行安全，系统运行安全通常受到的威胁如下，一些网络不法分子通过网络，局域网等途径通过入侵电脑使系统无法正常启动，或超负荷让机子运行大量算法，并关闭cpu风扇，使cpu过热烧坏等破坏性活动； 第二层是指系统信息安全，系统安全通常受到的威胁如下，黑客对数据库入侵，并盗取想要的资料。数据库系统的安全特性主要是针对数据而言的，包括数据独立性、数据安全性、数据完整性、并发控制、故障恢复等几个方面。
数据库安全的防护技术有：数据库加密（核心数据存储加密）、数据库防火墙（防漏洞、防攻击）、数据脱敏（敏感数据匿名化）等。（来自网络）
安华金和针对于数据库安全的防护技术全部拥护，并且在政府、金融、社保、能源、军工、运营商、教育、医疗、企业等各行业树立多个标杆案例。