论文部分内容阅读
【摘 要】 随着计算机技术的飞速发展，数据库的应用十分广泛，深入到各个领域以及企业，但随之而来产生了数据的安全问题，数据库数据的丢失以及数据库被非法用户的侵入使得数据库管理员身心疲惫不堪。因此，如何有效地保证数据库系统的安全，实现数据的保密性、完整性和有效性等数据库安全技术便成为了一个必须重视的问题。
【关键词】 数据库服务器;安全;密码管理
中图分类号:TP391 文献标识码:A 文章编号:1009-8283(2009)02-0078- 01
1 数据库服务器的相关内容
数据库服务器实际上是每一个电子交易、金融和企业资源规划（ERP）系统的基础，它包括来自商业伙伴和客户的敏感信息，其应用相当复杂，掌握起来非常困难。很多服务器都具有以下特征：用户帐号及密码、校验系统、优先级模型和控制数据库目标的特别许可、内置式命令（存储的步骤或包）、唯一的脚本和编程语言（通常为SQL的特殊衍生语）、middleware、网络协议、补丁和服务包很可能没有检查出严重的安全隐患和不当的配置，甚至根本没有进行检测。正是由于传统的安全体系在很大程度上忽略了数据库安全这一主题，使数据库专业人员也通常没有把安全问题当作他们的首要任务。“自适应网络安全”的理念－将安全问题看作持续不断的“工作进程”，但是还未被大多数数据库管理者所接受。
2 维护数据库信息安全应当考虑的因素
保障数据库服务器上的网络和操作系统数据安全是至关重要的， 在许多资深安全专家中普遍存在着一个错误概念：一旦访问并锁定了关键的网络服务和操作系统的漏洞，服务器上的所有应用程序就得到了安全保障。现代数据库系统具有多种特征和性能配置方式，在使用时可能会误用，或危及数据的保密性、有效性和完整性。首先，所有现代关系型数据库系统都是“可从端口寻址的”，这意味着只要有合适的查询工具，任何人都可与数据库直接相连，并能躲开操作系统的安全机制。多数数据库系统设置了默认帐号和密码，可支持对数据库资源的各级访问。不幸的是，高水平的入侵者还没有停止对数据库的攻击。拙劣的数据库安全保障设施不仅会危及数据库的安全，还会影响到服务器的操作系统和其它信用系统。
数据库系统自身可能会提供危及整个网络体系的机制。例如，某个公司可能会用数据库服务器保存所有的技术手册、文档和白皮书的库存清单。数据库里的这些信息并不是特别重要的，所以它的安全优先级别不高，即使运行在安全状况良好的操作系统中，入侵者也可通过“扩展入驻程序”等强有力的内置数据库特征，利用对数据库的访问，获取对本地操作系统的访问权限。如果这个特定的数据库系统与其它服务器有信用关系，那么入侵者就会危及整个网络域的安全。
在电子商务、电子贸易的着眼点集中于WEB服务器、Java和其它新技术的同时，应该记住这些以用户为导向和企业对企业的系统都是以Web服务器后的关系数据库为基础的。它们的安全直接关系到系统的有效性、数据和交易的完整性、保密性。系统拖延效率欠佳，不仅影响商业活动，还会影响公司的信誉。不可避免地，这些系统受到入侵的可能性更大，但是并未对商业伙伴和客户敏感信息的保密性加以更有效的防范。此外，ERP和管理系统都是建立在相同标准的数据库系统中。无人管理的安全漏洞与时间拖延、系统完整性问题和客户信任等有直接的关系。
传统的数据库安全系统只侧重于以下几项：用户帐户、作用和对特定数据库目标的操作许可。例如，对表单和存储步骤的访问。必须对数据库系统做范围更广的彻底安全分析，找出所有可能领域内的潜在漏洞，包括以下提到的各项内容。对于销售商提供的软件相关的风险，如软件的BUG、缺少操作系统补丁、脆弱的服务和选择不安全的默认配置。对于管理有关的风险，包括可用的但并未正确使用的安全选项、危险的默认设置、给用户更多的不适当的权限，对系统配置的未经授权的改动。还有用户活动有关的风险，密码长度不够、对重要数据的非法访问以及窃取数据库内容等恶意行动。
以上各类危险都可能发生在网络设备、操作系统或数据库自身当中。对数据库服务器进行安全保护时，都应将这些因素考虑在内。
3 数据库信息安全维护措施
数据库信息安全维护重在密码管理，在多数数据库系统提供的安全标准中，没有任何机制能够保证某个用户正在选择有力的－或任意的－密码，这一基本的安全问题需要细心的监督和对全部密码列表进行管理和安全检查。数据库加密系统要解决系统本身的安全性和可靠性问题：1．在用户进入系统时进行两级安全控制?，这种控制可以采用多种方式，包括设置数据库用户名和口令，或者利用IC卡读写器/指纹识别器进行用户身份认证。2． 防止非法拷贝，对于纯软件系统，可以采用软指纹技术防止非法拷贝，当然，如果每台客户机上都安装加密卡等硬部件，安全性会更好。此外，还应该保留数据库原有的安全措施，如权限控制、备份/恢复和审计控制等。3．安全的数据抽取方式?，提供两种卸出和装入数据库中加密数据的方式：一是密文方式卸出，这种卸出方式不脱密，卸出的数据还是密文，在这种模式下，可直接使用 DBMS提供的卸出/装入工具；二是明文方式卸出，这种卸出方式需要脱密，卸出的数据是明文，在这种模式下，可利用系统专用工具先进行数据转换，再使用DBMS提供的卸出/装入工具完成。
参考文献:
[1] 吴海涛. 计算机网络信息安全技术的分析. 福建电脑.2007(11) .
[2] 郭曙光. 信息安全评估标准研究与比较. 信息技术与标准化.2007(11) .
[3] 苏玉召,赵妍. 计算机网络信息安全及其防护策略的研究. 计算机与信息技术.2006(05) .
[4] 叶和平,赵琳娣. 创新信息安全管理. 供电企业管理.2007(05)
(责任编辑：邢海兰)
【关键词】 数据库服务器;安全;密码管理
中图分类号:TP391 文献标识码:A 文章编号:1009-8283(2009)02-0078- 01
1 数据库服务器的相关内容
数据库服务器实际上是每一个电子交易、金融和企业资源规划（ERP）系统的基础，它包括来自商业伙伴和客户的敏感信息，其应用相当复杂，掌握起来非常困难。很多服务器都具有以下特征：用户帐号及密码、校验系统、优先级模型和控制数据库目标的特别许可、内置式命令（存储的步骤或包）、唯一的脚本和编程语言（通常为SQL的特殊衍生语）、middleware、网络协议、补丁和服务包很可能没有检查出严重的安全隐患和不当的配置，甚至根本没有进行检测。正是由于传统的安全体系在很大程度上忽略了数据库安全这一主题，使数据库专业人员也通常没有把安全问题当作他们的首要任务。“自适应网络安全”的理念－将安全问题看作持续不断的“工作进程”，但是还未被大多数数据库管理者所接受。
2 维护数据库信息安全应当考虑的因素
保障数据库服务器上的网络和操作系统数据安全是至关重要的， 在许多资深安全专家中普遍存在着一个错误概念：一旦访问并锁定了关键的网络服务和操作系统的漏洞，服务器上的所有应用程序就得到了安全保障。现代数据库系统具有多种特征和性能配置方式，在使用时可能会误用，或危及数据的保密性、有效性和完整性。首先，所有现代关系型数据库系统都是“可从端口寻址的”，这意味着只要有合适的查询工具，任何人都可与数据库直接相连，并能躲开操作系统的安全机制。多数数据库系统设置了默认帐号和密码，可支持对数据库资源的各级访问。不幸的是，高水平的入侵者还没有停止对数据库的攻击。拙劣的数据库安全保障设施不仅会危及数据库的安全，还会影响到服务器的操作系统和其它信用系统。
数据库系统自身可能会提供危及整个网络体系的机制。例如，某个公司可能会用数据库服务器保存所有的技术手册、文档和白皮书的库存清单。数据库里的这些信息并不是特别重要的，所以它的安全优先级别不高，即使运行在安全状况良好的操作系统中，入侵者也可通过“扩展入驻程序”等强有力的内置数据库特征，利用对数据库的访问，获取对本地操作系统的访问权限。如果这个特定的数据库系统与其它服务器有信用关系，那么入侵者就会危及整个网络域的安全。
在电子商务、电子贸易的着眼点集中于WEB服务器、Java和其它新技术的同时，应该记住这些以用户为导向和企业对企业的系统都是以Web服务器后的关系数据库为基础的。它们的安全直接关系到系统的有效性、数据和交易的完整性、保密性。系统拖延效率欠佳，不仅影响商业活动，还会影响公司的信誉。不可避免地，这些系统受到入侵的可能性更大，但是并未对商业伙伴和客户敏感信息的保密性加以更有效的防范。此外，ERP和管理系统都是建立在相同标准的数据库系统中。无人管理的安全漏洞与时间拖延、系统完整性问题和客户信任等有直接的关系。
传统的数据库安全系统只侧重于以下几项：用户帐户、作用和对特定数据库目标的操作许可。例如，对表单和存储步骤的访问。必须对数据库系统做范围更广的彻底安全分析，找出所有可能领域内的潜在漏洞，包括以下提到的各项内容。对于销售商提供的软件相关的风险，如软件的BUG、缺少操作系统补丁、脆弱的服务和选择不安全的默认配置。对于管理有关的风险，包括可用的但并未正确使用的安全选项、危险的默认设置、给用户更多的不适当的权限，对系统配置的未经授权的改动。还有用户活动有关的风险，密码长度不够、对重要数据的非法访问以及窃取数据库内容等恶意行动。
以上各类危险都可能发生在网络设备、操作系统或数据库自身当中。对数据库服务器进行安全保护时，都应将这些因素考虑在内。
3 数据库信息安全维护措施
数据库信息安全维护重在密码管理，在多数数据库系统提供的安全标准中，没有任何机制能够保证某个用户正在选择有力的－或任意的－密码，这一基本的安全问题需要细心的监督和对全部密码列表进行管理和安全检查。数据库加密系统要解决系统本身的安全性和可靠性问题：1．在用户进入系统时进行两级安全控制?，这种控制可以采用多种方式，包括设置数据库用户名和口令，或者利用IC卡读写器/指纹识别器进行用户身份认证。2． 防止非法拷贝，对于纯软件系统，可以采用软指纹技术防止非法拷贝，当然，如果每台客户机上都安装加密卡等硬部件，安全性会更好。此外，还应该保留数据库原有的安全措施，如权限控制、备份/恢复和审计控制等。3．安全的数据抽取方式?，提供两种卸出和装入数据库中加密数据的方式：一是密文方式卸出，这种卸出方式不脱密，卸出的数据还是密文，在这种模式下，可直接使用 DBMS提供的卸出/装入工具；二是明文方式卸出，这种卸出方式需要脱密，卸出的数据是明文，在这种模式下，可利用系统专用工具先进行数据转换，再使用DBMS提供的卸出/装入工具完成。
参考文献:
[1] 吴海涛. 计算机网络信息安全技术的分析. 福建电脑.2007(11) .
[2] 郭曙光. 信息安全评估标准研究与比较. 信息技术与标准化.2007(11) .
[3] 苏玉召,赵妍. 计算机网络信息安全及其防护策略的研究. 计算机与信息技术.2006(05) .
[4] 叶和平,赵琳娣. 创新信息安全管理. 供电企业管理.2007(05)
(责任编辑：邢海兰)