白皮书

	10 大数据库黑客行为以及阻止方法 企业数据库内包含一个组织的顶尖业务，这就意味着内部或外部人士的非法侵入可导致价值百万的罚款、诉讼和客户流失。但好消息是，攻击数据库的常用方法只有 10 种。针对这 10 种方法进行防御，您将拥有一个高度安全的数据库。
	2009 年的 6 大安全趋势 根据 Imperva 的应用防御中心 (ADC) 所开展的研究，本报告确定了 2009 年最可能对组织产生最大影响的安全趋势。
	2011 年安全趋势 在 Imperva CTO Amichai Shulman 的领导下，Imperva 的应用防御中心 (ADC) 完全着重于推进数据安全的做法，帮助企业免受黑客和内部人士威胁。2010 年，ADC 成功预测了许多可能在 2010 年及以后危及安全团队的关键问题。对于 2011 年，ADC 已经汇集了其最为全面的预测结果。
	5 大在线身份盗窃攻击 当数字窃贼冒充授权用户时，各方都会受到损失。内部和外部人士导致的在线身份盗窃可导致价值百万的罚款、诉讼和客户流失。不幸的是，即使是复杂的解决方案（例如双因素授权），也会被数字身份盗窃攻击蒙骗过关。好消息是在线身份盗窃的常用方法只有 5 种。针对这些方法进行防御，您将极大地提高您的在线 Web 应用程序安全性。
	Imperva 数据安全和合规性生命周期 SOX 及其他监管法案正在不断扩充正式的企业审计流程，以涵盖信息技术 (IT) 资产，包括数据库。Imperva 的数据安全和合规性生命周期提供了执行数据库控制和 Web 应用程序安全的分步骤最佳实践。
	PCI 合规性的数据安全 满足范围内 Web 应用程序、数据库和文件服务器的安全和审计要求 对于需要符合支付卡行业数据安全标准 (PCI DSS) 的许多组织而言，数据安全是一个重要障碍。安全的 Web 应用程序开发、持卡人数据访问审计和用户权利管理是复杂且昂贵的业务流程。 本文着重讨论影响数据安全的关键 PCI DSS 要求。本文专门针对审计员、风险和安全专业人员分析了影响现有 IT 基础架构、员工和预算的重要合规性挑战，并列出适用的解决方案。
	SQL 注入 2.0 SQL 注入仍然是最主要的 Web 应用威胁之一。鉴于 Web 上重要数据的广泛可用性、电子商务的普及以及依赖于 Web 获取各类信息，这促使攻击者实施更快、更先进的 SQL 注入方法，以针对目标 Web 站点发起高强度、广泛的攻击。本文概要介绍了 SQL 注入 2.0，包括具体的攻击技术，例如通过搜索引擎进行的自动化 SQL 注入、以 Web 站点篡改为目的的 SQL 注入、恶意软件分布和拒绝服务 (DoS) 攻击，以及直接的数据库 SQL 注入。
	SQL 盲注 到目前为止，利用 SQL 服务器注入攻击取决于 Web 服务器返回的是详细的错误消息或有其他信息源。因此，许多安全管理员隐藏了此类错误消息，假定此操作将保护其免受 SQL 服务器注入的利用。但是根据本白皮书的研究，隐藏此类错误消息并不能提供有效的保护。Imperva ADC 研究显示，可使用一系列的技巧规避错误隐藏，因此必须采用更加行之有效的措施，预防 SQL 服务器注入攻击。
	SecureSphere Web 应用程序安全 本文提供了对于 Web 和 Web 服务威胁环境的分析，随后介绍了 Imperva 的 SecureSphere Web 应用程序防火墙如何为保护这类重要 IT 资产而提供一个完整的自动化平台。
	SecureSphere 和 OWASP 的 2010 年十大最关键的 Web 应用程序安全风险 开放式 Web 应用程序安全项目 (OWASP) 十大风险被广泛认为是确定关键 Web 应用程序安全风险的主要标准之一。本文分析了最近发布的 2010 年 OWASP 十大最关键 Web 应用程序安全风险，并概述了 SecureSphere Web 应用程序防火墙 (WAF) 解决并减少每项 OWASP 十大威胁的方式。
	XSS 攻击解析 Imperva 应用程序防护中心 (ADC) 解析了跨站脚本 (XSS) 的整个攻击过程，演示了在不足一小时内发动有力的钓鱼攻击为何如此简单。
	下一代 Web 应用程序防火墙 (NG-WAF) 本文介绍了 Imperva 对于下一代 WAF 的愿景。本文详细介绍了目前的 Web 应用程序安全问题及解决方案，并提出了对于未来发展的观点。尽管本文并不针对具体产品，但其中强调了 Imperva 的 SecureSphere 目前提供 NG-WAF 能力的领域（例如反自动化）以及自适应威胁响应。
	了解Web 2.0：技术、风险和最佳实践 具有丰富功能的交互式 Web 2.0 门户网站可以吸引客户并增加销售量，但是如果缺乏有效的安全保障，它们可能成为黑客的天堂，使您的业务和客户面临数据窃取的风险。本技术概要详细介绍了 Web 2.0 框架内在的安全挑战，包括 Ajax、协作、RSS 源和混合应用程序 (Mashup)。同时介绍用于保护您的 Web 2.0 基础设施的最佳实践技术和工具，不会对现有的开发资源或您的网站性能造成影响。
	使用 SecureSphere 管理敏感数据风险 如果您对它不了解，您就无法保护它。本文探索了为何需要找到企业数据库中的敏感数据并对其加以分类。本文还解释了 SecureSphere Discovery and Assessment Serve (DAS) 如何通过分析在数据库平台中发现的数据和漏洞，对数据风险状态进行评估。此外，就发现和管理敏感数据的风险而言，我们还将分析如何通过 Imperva SecureSphere 数据安全套件降低风险。
	保护敏感数据免受恶意内部人士窃取的 10 大指南 多年来，组织一直努力封锁其安全边界，结果发现最具破坏性的敌人原来处于内部。 粗心、恶意的内部威胁无所不在。这一情况在困难的经济时期内尤为突出。随着数字化信息过多，以及将信用卡数据、个人验证信息和知识产权转化为现金、商品和其他服务的工具的出现，风险与日俱增。所以我们会听说针对敏感数据的攻击日益增长，并且肇事者是具有高度信任和访问级别的内部人士。本指南将探讨防止敏感数据被需要获取的人们窃取的十条主要途径。虽然这是一个难以解决的问题，但却并非无法解决 - 特别是在使用了正确的工具以后。
	保护数据库免受未授权活动的侵害 损害敏感数据的威胁（无论是由于泄露或未经授权的更改）促使合规性法规的产生，例如萨班斯•奥克斯利法案 (SOX)、支付卡行业数据安全标准 (PCI DSS) 以及其他法规，此类法规均要求组织实施强有力的数据库访问控制。
	内部人士剖析：坏人自有伪装 敏感数据保护对于任何有效的安全或合规战略都是必不可缺的。专用型数据安全解决方案可防止、发现并持续审计用户（特权用户）与敏感数据交互的方式。了解普通用户和特权用户与关键任务应用程序及数据库互动的方式使组织能够有效地减少来自内部人士的威胁。
	利用数据库虚拟修补关闭风险接触窗口 本白皮书描述了漏洞评估和虚拟修补可如何帮助客户快速、透明地解决已知数据库漏洞，而无需在企业数据库部署物理修补或定制脚本。因此，如需在跨众多数据库平台和实例构建、接收、测试和部署软件和操作系统时，组织可最小化风险接触窗口。
	妥善保护！使用虚拟补丁减少 Web 应用程序漏洞和数据库漏洞 在您发现漏洞之后立刻在您的应用程序或数据库内打补丁，这并不总是可以实现或实际可行的。您可以使用一项名为“虚拟补丁”的技术，快速处理漏洞，并可确保您在完成长期修复之前一直处于“受保护的”状态。这份简要的白皮书讨论了虚拟补丁的商业效益，包括提高安全性及运营效率。
	实施萨班斯•奥克斯利的审计要求 2002 年的萨班斯•奥克斯利法案 (SOX) 针对与财务交易和报告相关的源数据完整性做出规定。审计员尤其侧重于与企业应用程序（SAP、Oracle 电子商务套件、PeopleSoft 和其他 Web 应用程序）连接的数据库内的监管数据。本白皮书中，Imperva 介绍了需要实施和展示 SOX 合规性的职能范围。
	数据安全研究：消费者密码最差实践 2009 年 12 月，Rockyou.com 发现了一个重大漏洞。通过查看黑客的博客，出现了导致 3200 万密码泄露的重大漏洞，而黑客将 3200 万密码的完整列表（不含身份信息）全公布在互联网上。此数据提供了一个窥视用户密码选择方式的独特视角，并供人们评估密码作为安全机制的真实强度。此外，这也提供了查看如此大量真实密码的前所未有的机会。Imperva 应用程序防护中心 (ADC) 对密码强度进行了分析。
	数据库安全的商业案例 保护数据库安全而构建一个无懈可击的商业案例，并说服您的高级管理层需要使用专属安全解决方案。本文介绍了数据库的合规性和安全性要求、项目风险、备选方案，并评价了选择 Imperva SecureSphere 所产生的经济效益。
	数据库安全的商业案例（数据库、文件和 Web 安全） 安全违规和人工合规性工作的成本日益增长，已导致产生了专为防止数据违规、实现自动化合规而制定的新数据安全解决方案。本文探讨了采用数据安全战略方针的驱动因素，比较和对比现行做法，并提出了可行数据安全解决方案的安全投资回报率 (ROSI)。
	满足审计员的要求 - 数据库审计 以审计员所希望的方式满足他们的要求，并且不对您的数据库和员工造成任何影响。了解 SOX、PCI、HIPAA 及其他法规针对数据库审计的 5 个最关键要求。了解用于记录 Web 式应用程序（例如 Oracle 电子商务套件、PeopleSoft 或 SAP）的本地数据库选项。了解更多审计员对于合规性的要求，从而可以做出明智的选择并加以执行。
	缩减应用程序安全成本：ROI 白皮书 应用程序漏洞可能让组织出现服务丢失、尴尬的 Web 网站损毁甚或价值数百万美元的数据泄漏。本文比较了保护 Web 应用程序安全的几种模式，包括手动修复应用程序漏洞并执行 Web 应用程序防火墙。然后文章使用财务术语评估成本节省，分析 SecureSphere 如何提供直接的投资回报率 (ROI)，较破坏性修复和测试措施，组织可在五年内节省 530% 的开支。
	联邦机构数据安全的 10 大指南 在几乎所有地理和业务领域内，Web 应用程序和数据库安全仍是联邦机构以及私营部门内最为脆弱的领域之一。企业和联邦机构之间的本质区别之一是攻击者不同。 无论攻击来自组织内部还是外部，目标都是针对数据。传统的网络安全控制尽管颇有价值并且是必须的，但根本不足以解决以数据为中心的攻击，组织需要在其基础上增加注重攻击目标（Web 应用程序和数据库）的以数据为中心的解决方案。但是联邦机构不仅仅关注安全 - 他们还需要表现出对于机构和国会授权的合规性。
	肆虐的僵尸网络 阻止僵尸网络和分布式拒绝服务攻击 僵尸网络已入侵数百万用户的电脑，并造成不计其数的损失。本白皮书将揭秘僵尸网络及其背后的网络黑手。文章分析了僵尸网络的历史、演变和经济性。然后分析了僵尸网络最常见的攻击方式之一：分布式拒绝服务攻击 (DDoS) 攻击。
	自由数据库审计的隐性成本 本地数据库审计的成本实际上并不低廉。本文比较了本地数据库审计和中型 IT 数据中心使用的 SecureSphere 的成本。
	都是媒体惹的祸 (Bot) - 利用 Google 广告机制进行 Web 应用程序攻击 本文所述研究的目的在于揭示是如何将搜索引擎用作攻击工具的。我们成功地演示了 Google 的 AdWords 和 AdSense 服务可用于攻击未设保护的 Web 应用程序。我们成功演示的攻击类型包括缓冲区溢出、SQL 注入以及 CSRF。
	风险文件数据的五大征兆 持续的内部威胁和一般合规性要求使得保护敏感文件数据成为几乎所有组织的业务需求。然而，海量的文件数据及其快速、持续性的增长成为安全保护的一道难题。本白皮书提出了五大问题，帮助您评估文件安全的保护方式。如果您不能自信地回答这五个问题，则您的文件数据很可能处于风险中。
	黑客行为的产业化 如今，黑客产业价值已从三年前的几十亿美元增长到一万亿美元。2007年，职业黑客行为已成为价值数十亿美元的产业。而目前这一产业价值（包括偷窃数据、IP 和财务收益）已超过一万亿。这一快速增长的原因是什么？产业化。正如 19 世纪工业革命改进了生产方法，加速组装从单一到大量生产，如今的网络犯罪产业发生了类似的转变，通过自动化实现可扩展性并增加利润。 黑客行为的产业化与目前数据被认为是最贵重的商品这一关键转变交相呼应。

• 数据表
• 白皮书