CISP-DB数据库安全

本文目录导读：

1. 认证对象与目标
2. 核心知识体系（按照官方考试大纲通常分为以下模块）
3. 考试与备考建议
4. 常见实战场景（面试/案例问答）

CISP-DB（国家注册信息安全专业人员-数据库安全方向）是中国信息安全测评中心（CNITSEC） 针对数据库安全领域推出的专项认证，主要面向数据库管理员、安全运维人员、审计人员等，该认证旨在培养专业人员对数据库安全威胁的识别、防御、审计及应急响应能力。

以下是CISP-DB的核心知识点和备考要点整理：

认证对象与目标

• 对象：数据库管理员（DBA）、安全运维工程师、数据库开发人员、IT审计人员。
• 目标：掌握数据库安全基础、SQL注入防护、权限管理、加密技术、审计与监控、备份恢复及合规性要求。

核心知识体系（按照官方考试大纲通常分为以下模块）

数据库安全基础

• 威胁模型：SQL注入、权限滥用、数据泄露、DDoS攻击、内部威胁。
• 安全原则：最小权限原则、默认拒绝原则、纵深防御、数据分类分级。
• 法规与合规：等保2.0（三级、四级要求）、GDPR、网络安全法、个人信息保护法。

数据库身份认证与访问控制

• 认证机制：本地认证、操作系统认证、双因素认证（MFA）。
• 账号管理：默认账号（如sa、root）禁用、密码策略（复杂度、过期时间）。
• 权限模型：
  • Oracle：系统权限（SYSDBA）、对象权限、角色（DBA、RESOURCE）。
  • MySQL：全局权限（）、数据库级权限、表级权限；GRANT ... WITH ADMIN OPTION。
  • SQL Server：服务器角色、数据库角色、模式与所有权（Schema）。

数据库加密技术

• 传输加密：
  • SSL/TLS协议配置（证书验证、加密算法选择）。
  • Oracle：TCPS协议（SQL*Net over SSL/TLS）。
  • MySQL：--ssl-mode=REQUIRED。
• 存储加密：
  • 透明数据加密（TDE）：Oracle TDE、SQL Server TDE、MySQL Enterprise TDE（表空间加密）。
  • 列级加密：应用层加密（AES-256）或数据库内置函数（ENCRYPT()）。
  • 密钥管理：硬件安全模块（HSM）、密钥轮换、备份策略。

数据库审计与监控

• 审计粒度：登录审计、DDL审计、DML审计（特别是敏感表如user、order）。
• 审计策略：
  • Oracle：统一审计（AUDIT POLICY）、精细化审计（FGA）。
  • MySQL：通用日志（General Log）、二进制日志（Binlog）、审计插件（audit_log）。
  • SQL Server：SQL Server Audit对象、C2审核。
• 日志分析：异常登录检测（非工作时间登录、爆破尝试）、特权操作追踪（DROP TABLE、GRANT DBA）。
• 入侵检测：基于规则的检测（如连续错误登录）、基于行为的基线（如异常查询量）。

SQL注入与Web攻击防御

• 注入原理：字符串拼接导致' OR 1=1--被执行。
• 防御技术：
  • 预编译语句（Prepared Statement）：参数化查询（占位符）。
  • 存储过程：封装SQL逻辑，限制直接SQL输入。
  • 安全函数：QUOTENAME()、REPLACE()过滤危险字符。
  • WAF配合：基于签名和行为的Web应用防火墙。
• 其他攻击：跨站脚本（XSS）、跨站请求伪造（CSRF）、文件包含。

数据库备份与灾难恢复

• 备份策略：
  • 全量备份 + 差异备份 + 事务日志备份。
  • 冷备份（关闭服务）、热备份（归档模式）。
  • 异地备份（物理隔离、异地容灾）。
• 恢复流程：时间点恢复（PITR）、UNDO表空间回滚。
• 安全备份：备份文件加密（如openssl enc -aes-256-cbc）、访问控制（最小权限访问历史备份数据）。

操作系统与网络安全

• 主机加固：最小化安装、关闭不必要的端口（如Oracle监听器1521、MySQL 3306）。
• 防火墙策略：仅允许应用服务器IP访问数据库端口。
• 安全基线：/etc/my.cnf配置（禁用skip-grant-tables）、listener.ora（禁用动态监听）、sqlnet.ora（限制IP）。

考试与备考建议

• 考试形式：通常为线下笔试或机考，选择题为主（单选+多选），部分含简答题或案例分析。
• 通过标准：满分100分，70分及格（具体以官方通知为准）。
• 备考重点：
  • 操作经验：能在MySQL/Oracle/SQL Server中执行安全配置（如创建用户、授权、启用审计）。
  • 实际案例：SQL注入漏洞修复、TDE加密配置、等保合规整改。
  • 政策法规：等保2.0三级数据库安全要求（身份鉴别、访问控制、安全审计、入侵防范、数据完整性/保密性）。

常见实战场景（面试/案例问答）

• 场景1：某系统频繁出现ORA-28000错误，如何排查？（账户锁定、密码过期、错误登录次数超限 -> 检查DBA_USERS、FAILED_LOGIN_ATTEMPTS参数）。
• 场景2：发现DBA账号被异常修改了表结构，如何追溯？（启用数据库审计，查询DBA_COMMON_AUDIT_TRAIL或AUDIT_TRAIL表；若无审计，检查binlog或在线重做日志）。
• 场景3：MySQL数据库被勒索软件加密，如何恢复？（优先确保备份文件未被感染；若备份损坏，尝试从ib_logfile、binlog恢复部分数据，或联系专业数据恢复公司）。

CISP-DB认证不仅要求掌握理论知识，更强调动手能力（如配置安全参数、编写审计策略），建议通过模拟项目（如搭建测试数据库、配置TDE、写审计规则）来巩固实战技能，若你正备考，重点攻克权限体系（Oracle/MySQL/SQL Server差异） 和SQL注入防护原理，这两部分占分较高。

需要具体的操作命令（如MySQL开启审计日志）或等保2.0对应检查项清单，可以告诉我，我可以提供更细化的指南。