新聞播報

11月30日晚萬豪國際集團官方微博發布聲明稱，喜達屋旗下酒店的客房預訂數據庫中的賓客信息曾在未經授權的情況下被訪問。該數據庫包含最多約5億名客人的信息，這些信息包括顧客的姓名、通信地址、電話號碼、電子郵箱、護照號碼、喜達屋VIP客戶信息、出生日期、性別和其他一些個人信息，對於部分客戶可能還包括支付卡號和支付卡有效期。

萬豪國際聲明稱，已向相關執法部門報告此事件，並將繼續配合執法部門的調查，並已開始通知相關監管機構。該事件已發酵6天，目前萬豪酒店並未再發布任何官方消息。

其實早在消息泄露了數個小時之後，酒店就遭到了住客的集體投訴，住客認為，酒店最大的特殊性就是會掌握大量的個人基本信息，如果酒店自身的信息管理不當，住客們的隱私就會存在很大的安全隱患，所以酒店在信息安全管理方面是要負責任的。

在互聯網發展迅猛的今天，無論是企業還是個人，信息安全問題一直處在風口浪尖，頗受爭議，同時也是網絡安全從業者關註的重中之重。那麽針對企業網絡安全人員，如何構建數據庫安全體系，進行數據庫安全檢查，從而有效的降低被入侵的安全隱患問題？

針對上述問題，i春秋社區的神褲衩給出了如下建議：

檢查服務器對外開放端口不要只看3306，最好能把默認數據庫連接端口改下，關註下防火墻的包過濾，能不能做到外部惡意命令阻斷。

防火墻作用發揮好，能大大的增加入侵的時間，端口的檢查一定不要只註意數據庫的端口，看看服務器上是否還開啟其他不必要的服務，www，ftp等，有時候一些不必要的服務會造成服務器淪陷。

應用審計方面，最好不同項目不同的用戶，著重檢查弱口令和用戶權限配置等問題，權限不要是root權限，這樣很危險，最好用戶的權限能夠限制在相應的表中，如果有數據庫選擇的是mysql，需進行安全配置。

Web端的程序最好就使用低權限的用戶，密碼不要通用一個，比如tcl之前thinkphp任意命令執行，config密碼泄露導致一個域管理程序被人入侵。

將危害影響降到最低，這和短板效應相對，記得有個說法是：Pt> Dt + Rt，防護時間大於檢測時間加上響應時間，那麽系統是安全的。

接下來聊聊安全審計，根據審計對象，可以分成三個層次：

1、網絡安全審計

2、系統安全審計

3、信息內容安全審計，屬於高層審計

安全審計的主要功能有：

1、通過安全審計來檢測和調查安全策略執行的情況以及資產遭到破壞的情況。

2、監督可疑用戶，取消可疑用戶的權限，調用更強的保護機制，去掉或修復故障網絡以及系統的某些失效部件。

其他補充

2、硬件方面是否有備份服務器進行定期備份；

3、說到接口，如果是內網的數據服務器最好和外網有著物理隔離，不要同時開放對內外網連接；

4、查看數據庫的服務，對數據庫進行安全配置，包括用戶權限配置、弱口令，保證沒有經過授權的用戶，進程無法竊取信息；

5、停止並卸載不必要的服務和應用，防止其他應用造成“短板”；

6、定期進行數據備份，有應急響應方案；

7、對應用網絡進行安全審計，特別是Web端的程序；

8、防火墻對惡意代碼和不安全的訪問進行限制或阻斷；

9、日誌系統開啟。

萬豪酒店數據庫遭入侵 5億顧客信息或泄露