1、信创数据库整体情况

我国数据库产业相比国际市场虽起步较晚，但经过几十多年的发展，国产数据库产品占国内数据库市场的份额正在逐步提升。根据《2020网信自主创新调研报告》指出国产数据库在国内的市场份额已提升至8%-10%，并逐步在党政、金融、电信等多个关键领域开始规模化应用。近年来，传统数据库厂商和公有云数据库服务商都在加快产品迭代速度，不断推出新的数据库产品。与此同时，新兴数据库厂商也在不断涌现，数据库企业跨界情况逐渐增多。根据《2021年中国数据库行业研究报告》统计，2020年中国数据库市场总体规模达247.1亿元，同比增长16.2%，一方面是因为政策利好，国家大力支持国产数据库企业发展；另一方面是国产化和数字转型浪潮带动了国产数据库市场爆发性增长。

来源：《2021年中国数据库行业研究报告》

我国数据库市场进入了百花齐放、创新活跃的新阶段。但我们必须清醒地看到，国产数据库产业仍处于技术创新和产品迭代升级的成长初期，产品的设计和更新还更多的聚焦在功能、性能、兼容性等问题上，用于满足用户的基本应用需求，而对产品本身的安全性关注度不够，缺乏产品上线前的安全性测试评估，漏洞风险隐患较大。

2、数据库自身安全缺陷和安全威胁

数据库漏洞属于软件漏洞中的一种，可能导致数据泄露或被窃，从而造成数据资产损失，主要被用来突破系统的安全策略。其除了影响自身安全以外，还可能威胁数据库所在操作系统和所在局域网的整体安全。由于数据库产品在IT架构中处于核心位置，入侵者突破数据库安全防护后，还能以数据库为跳板向整个局域网发起更大范围攻击，带来系统性风险。当前，数据库安全的主要威胁来自四方面：

一是人为因素，指因为人为疏忽或者经验缺乏等问题带来的数据库安全威胁，主要有弱口令和错误配置两种。

二是数据库自身漏洞，主要可以分为两种，数据库软件漏洞，典型代表是缓冲区溢出、提权等数据库自身的漏洞；应用程序逻辑漏洞，典型代表是SQL注入漏洞。

三是第三方恶意插件，本质是在数据库使用的工具或第三方组件中插入恶意的SQL语句，然后通过特定方式触发，从而达到攻击数据库的目的。

四是数据库设计缺陷，随着数据库功能增多，因数据库设计缺陷导致的安全问题也在不断显现，例如：服务器数据库对登录请求进行身份验证时从文件中读取默认密码，或是通信过程客户端与服务器未进行身份验证便发送用户名、密码等敏感信息从而遭受中间人攻击。

3、国产数据库系统漏洞的统计分析

针对上述问题及安全威胁，国家工业信息安全发展研究中心组织专业技术人员对国产主流数据库进行了初步的漏洞挖掘和验证，对发现的漏洞进行了分析。发现当前国产数据库漏洞类型主要分为4大类，分别是提权、信息泄露、未授权访问和拒绝服务。不同的漏洞类型可能造成的危害和影响如下：

提权：root是系统中唯一的超级管理员，拥有系统的最高权限，root可对系统文件进行删除、更改等操作。攻击者获取普通用户权限后通过创建恶意共享库可提权至root，达到权限提升目的。攻击者一旦获取到最高权限便可访问、修改数据库中的所有数据，如果同时存在其他远程漏洞，攻击者还可结合远程漏洞实现远程控制数据库服务器，从而控制操作系统，对系统数据安全造成极大危害。

信息泄露：数据库配置文件信息包含数据库路径、实例名、内存池缓冲区等信息，属于敏感信息。攻击者获取某一低权限用户权限后可利用此漏洞实现路径逃逸从而获取到数据库配置信息，造成信息泄露。攻击者可根据获取到的配置信息进行下一步攻击，如恶意破坏或修改数据库表空间控制文件，损毁数据库所在系统的文件系统等。

未授权访问：未被授权用户可通过利用此漏洞对其他用户的表进行操作，攻击者获取到某一低权限用户后可利用此漏洞获取数据库内的敏感信息或对数据进行操作，如果攻击者不断成功执行修改、插入等操作，则严重影响数据可靠性、可用性。

拒绝服务：此类漏洞被利用时所需权限低且攻击方式为远程，攻击易于实现。攻击者可利用数据库中函数缺陷，如：不能正确处理用户发送的数据、发送超长参数、构造特殊字符等方式导致数据库服务崩溃。一旦攻击者利用漏洞成功造成数据库拒绝服务，便会影响其他合法用户请求及数据可用性。

4、国产数据库产业安全建议

当前，国产数据库产品安全风险日益凸显，安全工作刻不容缓，我们认为应积极开展以下工作：

一是积极探索建立国产数据库产品安全开发体系，全面提升国产数据库企业安全技术能力。加强产品的安全开发体系建设，在产品需求分析、设计、开发过程中加入安全要素，建立安全威胁模型、开展安全漏洞挖掘、实施安全风险评估，加快推动国密算法在产品中的应用，确保底层技术的安全可信。

二是尽快建立漏洞监测和预警处置机制，积极防范和应对可能发生的安全风险隐患。加强国产数据库产品安全漏洞风险监控和管理能力；建立数据库产品安全风险发布和通报共享机制，提升协作应对风险能力；做好数据库的安全补丁升级和安全服务保障工作，不断提升安全防护能力。

三是加快建立数据库产品安全测试评估机制，加强产品投入使用前的风险审查。研究数据安全测试技术，制定数据库安全测试标准，规范测试评估流程；针对重点行业和典型业务场景，分层级开展数据库产品安全测试和漏洞验证，不断完善安全审查评估机制。

本文由国家工业信息安全发展研究中心提供。

声明：本文来自网络空间安全之路，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。