新聞播報

11月30日晚萬豪國際集團官方微博釋出宣告稱，喜達屋旗下酒店的客房預訂資料庫中的賓客資訊曾在未經授權的情況下被訪問。該資料庫包含最多約5億名客人的資訊，這些資訊包括顧客的姓名、通訊地址、電話號碼、電子郵箱、護照號碼、喜達屋VIP客戶資訊、出生日期、性別和其他一些個人資訊，對於部分客戶可能還包括支付卡號和支付卡有效期。

萬豪國際宣告稱，已向相關執法部門報告此事件，並將繼續配合執法部門的調查，並已開始通知相關監管機構。該事件已發酵6天，目前萬豪酒店並未再發布任何官方訊息。

 其實早在訊息洩露了數個小時之後，酒店就遭到了住客的集體投訴，住客認為，酒店最大的特殊性就是會掌握大量的個人基本資訊，如果酒店自身的資訊管理不當，住客們的隱私就會存在很大的安全隱患，所以酒店在資訊保安管理方面是要負責任的。

在網際網路發展迅猛的今天，無論是企業還是個人，資訊保安問題一直處在風口浪尖，頗受爭議，同時也是網路安全從業者關注的重中之重。那麼針對企業網路安全人員，如何構建資料庫安全體系，進行資料庫安全檢查，從而有效的降低被入侵的安全隱患問題？

針對上述問題，i春秋社群的神褲衩給出瞭如下建議：

檢查伺服器對外開放埠不要只看3306，最好能把預設資料庫連線埠改下，關注下防火牆的包過濾，能不能做到外部惡意命令阻斷。

防火牆作用發揮好，能大大的增加入侵的時間，埠的檢查一定不要只注意資料庫的埠，看看伺服器上是否還開啟其他不必要的服務，www，ftp等，有時候一些不必要的服務會造成伺服器淪陷。

應用審計方面，最好不同專案不同的使用者，著重檢查弱口令和使用者許可權配置等問題，許可權不要是root許可權，這樣很危險，最好使用者的許可權能夠限制在相應的表中，如果有資料庫選擇的是mysql，需進行安全配置。

Web端的程式最好就使用低許可權的使用者，密碼不要通用一個，比如tcl之前thinkphp任意命令執行，config密碼洩露導致一個域管理程式被人入侵。

將危害影響降到最低，這和短板效應相對，記得有個說法是：Pt> Dt + Rt，防護時間大於檢測時間加上響應時間，那麼系統是安全的。

接下來聊聊安全審計，根據審計物件，可以分成三個層次：

1、網路安全審計

2、系統安全審計

3、資訊內容安全審計，屬於高層審計

安全審計的主要功能有：

1、通過安全審計來檢測和調查安全策略執行的情況以及資產遭到破壞的情況。

2、監督可疑使用者，取消可疑使用者的許可權，呼叫更強的保護機制，去掉或修復故障網路以及系統的某些失效部件。

其他補充

2、硬體方面是否有備份伺服器進行定期備份；

3、說到介面，如果是內網的資料伺服器最好和外網有著物理隔離，不要同時開放對內外網連線；

4、檢視資料庫的服務，對資料庫進行安全配置，包括使用者許可權配置、弱口令，保證沒有經過授權的使用者，程序無法竊取資訊；

5、停止並解除安裝不必要的服務和應用，防止其他應用造成“短板”；

6、定期進行資料備份，有應急響應方案；

7、對應用網路進行安全審計，特別是Web端的程式；

8、防火牆對惡意程式碼和不安全的訪問進行限制或阻斷；

9、日誌系統開啟。