孔憲順

SQL網(wǎng)絡(luò)數(shù)據(jù)庫(kù)的安全性研究

孔憲順

（天津海運(yùn)職業(yè)學(xué)院，天津市 300350）

網(wǎng)絡(luò)數(shù)據(jù)庫(kù)的安全可以保證考試信息的保密性、完整性、一致性和可用性，因此系統(tǒng)管理員必須重視服務(wù)器端的安全性設(shè)置并不斷探索SQL網(wǎng)絡(luò)數(shù)據(jù)庫(kù)的安全性策略。

SQL；安全性；策略

數(shù)據(jù)庫(kù)安全威脅和數(shù)據(jù)偷竊的發(fā)生率在不斷增加，為了保護(hù)好敏感信息，管理員必須在實(shí)際應(yīng)用中深入地對(duì)網(wǎng)絡(luò)數(shù)據(jù)庫(kù)的安全性策略進(jìn)行分析和研究。

一、數(shù)據(jù)庫(kù)的安全性

數(shù)據(jù)庫(kù)的安全性是指保護(hù)數(shù)據(jù)庫(kù)以防止因不合法的使用而造成的數(shù)據(jù)泄露、更改或破壞。防止所有非授權(quán)用戶(hù)隨意修改數(shù)據(jù)庫(kù)中的數(shù)據(jù)，確保數(shù)據(jù)的安全。因此，應(yīng)主要利用用戶(hù)管理來(lái)提高網(wǎng)絡(luò)數(shù)據(jù)庫(kù)的安全性。

二、SQL網(wǎng)絡(luò)數(shù)據(jù)庫(kù)自身的安全機(jī)制

（一）用戶(hù)權(quán)限機(jī)制

各類(lèi)用戶(hù)連接到SQL網(wǎng)絡(luò)數(shù)據(jù)庫(kù)后，他們可以執(zhí)行的操作由被授予的權(quán)限來(lái)確定。

1．登錄權(quán)限

具備該類(lèi)權(quán)限的用戶(hù)可以使用數(shù)據(jù)庫(kù)管理系統(tǒng)的各類(lèi)工具和實(shí)用程序，還可以進(jìn)行查詢(xún)數(shù)據(jù)、建立視圖等操作，但不能對(duì)數(shù)據(jù)庫(kù)中的數(shù)據(jù)做任何改動(dòng)。

2．資源管理權(quán)限

具備該類(lèi)權(quán)限的用戶(hù)既具備數(shù)據(jù)庫(kù)登錄權(quán)限，又具備創(chuàng)建數(shù)據(jù)庫(kù)表、索引等權(quán)限，可以在權(quán)限允許的范圍內(nèi)修改、查詢(xún)數(shù)據(jù)庫(kù)。

3．管理員權(quán)限

具備該類(lèi)權(quán)限的用戶(hù)是數(shù)據(jù)庫(kù)的管理者，具有對(duì)數(shù)據(jù)庫(kù)進(jìn)行管理的所有權(quán)限。

（二）視圖安全機(jī)制

SQL網(wǎng)絡(luò)數(shù)據(jù)庫(kù)可以對(duì)數(shù)據(jù)進(jìn)行分類(lèi)，即建立視圖，使得具備同一類(lèi)權(quán)限的用戶(hù)，對(duì)數(shù)據(jù)庫(kù)中數(shù)據(jù)管理和使用的范圍不盡相同。管理員把某用戶(hù)可查詢(xún)的數(shù)據(jù)邏輯上歸并起來(lái)，簡(jiǎn)稱(chēng)一個(gè)或多個(gè)視圖，并賦予名稱(chēng)，再把該視圖的查詢(xún)權(quán)限授予該用戶(hù)（也可以授予多個(gè)用戶(hù)）。這種數(shù)據(jù)分類(lèi)可以進(jìn)行得很細(xì)，其最小粒度是數(shù)據(jù)庫(kù)二維表中一個(gè)交叉的元素。最終實(shí)現(xiàn)某用戶(hù)可以訪問(wèn)某些數(shù)據(jù)，并可以進(jìn)行查詢(xún)或修改，但是表或數(shù)據(jù)庫(kù)的其余部分是不可見(jiàn)的。

（三）審核功能

SQL網(wǎng)絡(luò)數(shù)據(jù)庫(kù)提供了一個(gè)非常重要的安全措施，即審核功能。它可以監(jiān)視每個(gè)用戶(hù)對(duì)數(shù)據(jù)庫(kù)執(zhí)行的動(dòng)作。審核方式包括用戶(hù)審核和系統(tǒng)審核兩種。當(dāng)用戶(hù)啟用審核功能后，審核系統(tǒng)將跟蹤和記錄下每個(gè)對(duì)該數(shù)據(jù)庫(kù)表或視圖進(jìn)行訪問(wèn)的活動(dòng)（包括成功的和失敗的）以及每次操作的用戶(hù)名、時(shí)間、操作代碼等信息。這些信息被記錄在數(shù)據(jù)字典中，用戶(hù)可以利用這些信息進(jìn)行審核分析。系統(tǒng)管理員進(jìn)行系統(tǒng)審核，其審核內(nèi)容主要是系統(tǒng)一級(jí)命令以及數(shù)據(jù)庫(kù)客體的使用情況。

三、SQL網(wǎng)絡(luò)數(shù)據(jù)庫(kù)安全性策略

（一）下載安裝最新的補(bǔ)丁

Forrester研究機(jī)構(gòu)的分析師Yuhanna在一篇關(guān)于2010年數(shù)據(jù)庫(kù)安全性策略的文章中提到：“大多數(shù)組織沒(méi)有很好地在他們的系統(tǒng)上安裝補(bǔ)丁，大約65%到70%的組織并沒(méi)有定期安裝補(bǔ)丁”。因此，為確保數(shù)據(jù)庫(kù)的安全性，最有效的方法就是定期下載安裝最新的補(bǔ)丁。

（二）設(shè)置為Windo ws身份驗(yàn)證模式

Windo ws身份驗(yàn)證模式只允許用戶(hù)使用Windo ws身份驗(yàn)證方式登錄服務(wù)器，不能用SQL Ser ver的登錄賬號(hào)登錄服務(wù)器。此方式對(duì)Windo ws用戶(hù)和域用戶(hù)賬號(hào)的連接進(jìn)行了限制，從而保護(hù)了SQL Ser ver免受大多數(shù)Inter net工具的侵害，服務(wù)器也可以從Windo ws安全增強(qiáng)機(jī)制中獲益。

與SQL Ser ver身份驗(yàn)證方式相比，Windo ws身份驗(yàn)證方式具備如下優(yōu)點(diǎn)：提供了安全確認(rèn)和口令加密、審核、口令失效、最小口令長(zhǎng)度和賬號(hào)鎖定等功能；通過(guò)增加單個(gè)登錄賬號(hào)，允許在SQL Ser ver系統(tǒng)中增加用戶(hù)組；允許用戶(hù)迅速訪問(wèn)SQL Ser ver系統(tǒng)，而不必使用另一個(gè)登錄賬號(hào)和口令。

（三）針對(duì)業(yè)務(wù)要求制定數(shù)據(jù)庫(kù)的備份和恢復(fù)策略

數(shù)據(jù)庫(kù)如遇故障而被破壞，可以利用數(shù)據(jù)庫(kù)的備份來(lái)恢復(fù)系統(tǒng)。數(shù)據(jù)庫(kù)管理員應(yīng)針對(duì)具體的業(yè)務(wù)要求制定詳細(xì)、嚴(yán)格的數(shù)據(jù)庫(kù)備份與系統(tǒng)恢復(fù)策略，從而保障網(wǎng)絡(luò)數(shù)據(jù)庫(kù)系統(tǒng)的安全。管理員在備份數(shù)據(jù)時(shí)，既要保證備份數(shù)據(jù)的完整性，又要建立一個(gè)詳細(xì)的備份數(shù)據(jù)的檔案，以免因使用了不完整或日期不正確的備份數(shù)據(jù)破壞系統(tǒng)數(shù)據(jù)庫(kù)的完整性，從而造成嚴(yán)重后果。我們可以將數(shù)據(jù)備份看成是兩個(gè)層次級(jí)的，即硬件級(jí)的備份和軟件級(jí)的備份。

數(shù)據(jù)恢復(fù)也被稱(chēng)為數(shù)據(jù)重載或數(shù)據(jù)裝入，是數(shù)據(jù)備份的逆過(guò)程。數(shù)據(jù)庫(kù)恢復(fù)技術(shù)主要包括基于備份的恢復(fù)技術(shù)、基于備份和運(yùn)行日志的恢復(fù)技術(shù)和基于多備份的恢復(fù)技術(shù)。

（四）設(shè)置強(qiáng)壯的Sa密碼

數(shù)據(jù)庫(kù)管理員往往忽略安裝文件中剩余的配置信息，因此保護(hù)得很差的認(rèn)證信息和其他一些敏感的數(shù)據(jù)就會(huì)遭黑客破壞。我們必須為Sa賬戶(hù)設(shè)置一個(gè)強(qiáng)壯的密碼，即使是在配置為要求Windows身份驗(yàn)證模式的服務(wù)器上也應(yīng)如此，這樣可以保證如服務(wù)器被重新配置為混合模式身份驗(yàn)證時(shí)，Sa依然強(qiáng)壯。

（五）使用微軟的基線安全性分析器（MBSA）

微軟基線安全分析器（Micr osoft Baseline Security Anal yzer，簡(jiǎn)稱(chēng)MBSA）是一個(gè)簡(jiǎn)單易用的工具，數(shù)據(jù)庫(kù)管理員可根據(jù)Microsoft的安全性建議確定其安全性狀態(tài)，并依據(jù)結(jié)果提供具體的修正指南。使用 MBSA可以檢測(cè)常見(jiàn)的安全性錯(cuò)誤配置和計(jì)算機(jī)系統(tǒng)遺漏的安全性更新，改善安全性管理流程。

MBSA是構(gòu)建于 Windo ws Update代理和 Microsoft Update基礎(chǔ)結(jié)構(gòu)之上的，因此可與其他Microsoft管理產(chǎn)品保持一致。MBSA已被眾多領(lǐng)先的第三方安全性供應(yīng)商和安全性審核員所使用，據(jù)統(tǒng)計(jì)此工具平均每周掃描三百多萬(wàn)臺(tái)計(jì)算機(jī)。使用MBSA比使用第三方漏洞檢測(cè)工具更安全、更方便和更高效。使用MBSA的好處如下：

1．管理員可以利用MBSA來(lái)掃描系統(tǒng)從而評(píng)估系統(tǒng)的安全性，都是微軟公司的產(chǎn)品，所以融合性很好。

2．利用MBSA掃描系統(tǒng)后，會(huì)直接給出下載補(bǔ)丁的地址。

3．在MBSA的掃描結(jié)果中會(huì)給出詳細(xì)的糾正措施，使系統(tǒng)更加安全。

（六）配置防火墻

防火墻用于阻止對(duì)資源未授權(quán)的訪問(wèn)。在默認(rèn)情況下，SQL Ser ver使用TCP端口1433和UDP端口1434，為了保證安全性，數(shù)據(jù)庫(kù)管理員應(yīng)配置防火墻過(guò)濾掉到達(dá)這兩個(gè)端口的數(shù)據(jù)包。

（七）改變SQL網(wǎng)絡(luò)數(shù)據(jù)庫(kù)端口

在遠(yuǎn)程訪問(wèn)服務(wù)器的情況下，我們即使安裝了防火墻，也應(yīng)對(duì)1433服務(wù)端口開(kāi)放。鑒于SQL網(wǎng)絡(luò)數(shù)據(jù)庫(kù)的攻擊工具主要是對(duì)1433端口進(jìn)行掃描，我們可以通過(guò)改變默認(rèn)端口的辦法來(lái)解決這個(gè)問(wèn)題。但這并不是根本的辦法，只可以應(yīng)對(duì)一般的掃描，改變端口后，當(dāng)遠(yuǎn)程連接SQL網(wǎng)絡(luò)數(shù)據(jù)庫(kù)是，IP地址后面應(yīng)加上改過(guò)的端口號(hào)。

（八）使用NTFS文件系統(tǒng)

與FAT32文件系統(tǒng)相比，NTFS文件系統(tǒng)具備如下優(yōu)勢(shì)：

1．可以更好地管理磁盤(pán)空間；

2．可以自動(dòng)對(duì)文件進(jìn)行壓縮或解壓縮；

3．可以為共享資源、文件夾和文件設(shè)置訪問(wèn)許可權(quán)限，安全性更高。

因此，NTFS文件系統(tǒng)更適合SQL網(wǎng)絡(luò)數(shù)據(jù)庫(kù)。我們可以通過(guò)設(shè)置NTFS的權(quán)限或通過(guò)文件加密的方法提高安全性。

（九）審核與SQL網(wǎng)絡(luò)數(shù)據(jù)庫(kù)的連接

管理員通過(guò)查看失敗的連接日志，可以分析了解有誰(shuí)試圖訪問(wèn)數(shù)據(jù)庫(kù)?？砂凑找韵虏襟E操作：

1．在企業(yè)管理器中右擊服務(wù)器組，選擇屬性；

2．在安全性（Security）選項(xiàng)卡的審核等級(jí)中，點(diǎn)擊失??；

3．為了使這個(gè)設(shè)置生效，用戶(hù)必須停止并重新啟動(dòng)服務(wù)器。

總之，SQL網(wǎng)絡(luò)數(shù)據(jù)庫(kù)的安全與網(wǎng)絡(luò)、操作系統(tǒng)以及數(shù)據(jù)庫(kù)系統(tǒng)的安全是密切相關(guān)的。只要有一個(gè)環(huán)節(jié)出現(xiàn)問(wèn)題，都會(huì)是整個(gè)系統(tǒng)面臨安全風(fēng)險(xiǎn)。因此，管理員必須依據(jù)具體的應(yīng)用環(huán)境的安全需求，來(lái)制定行之有效的安全管理策略，保證數(shù)據(jù)庫(kù)的安全運(yùn)行。隨著各類(lèi)計(jì)算機(jī)技術(shù)的發(fā)展，網(wǎng)絡(luò)數(shù)據(jù)庫(kù)還會(huì)面臨很多新的安全問(wèn)題，需要我們不斷地去探索研究。

［1］吳溥峰，張玉清．?dāng)?shù)據(jù)庫(kù)安全綜述［J］．計(jì)算機(jī)工程，2006，（12）．

［2］李東風(fēng)，謝昕．?dāng)?shù)據(jù)庫(kù)安全技術(shù)研究與應(yīng)用［J］．計(jì)算機(jī)安全，2008，（01）．

A Research on SQL Net wor k Database Security

KONG Xian－shun

（Tianjin Mariti me Vocational Institute，Tianjin 300350 China）

The security of the net work database can guarantee examination inf or mation confidentiality，integrity，consistency and availability．Therefore，the system ad ministrator must pay much more attention to the server＇s security settings and continuously explore the security strategies of the SQL network database．

SQL；security；strategy

TP393．08

A

1673－582 X（2011）10－0075－03

2011－05－12

孔憲順（1982－），男，天津市人，天津海運(yùn)職業(yè)學(xué)院助理實(shí)驗(yàn)師，大學(xué)本科，主要研究計(jì)算機(jī)服務(wù)器維護(hù)技術(shù)。