曾照華，王曉霞

(太原理工大學(xué)陽(yáng)泉學(xué)院 信息系，山西 陽(yáng)泉 045000)

信息技術(shù)及互聯(lián)網(wǎng)時(shí)代的到來，給世界人民的生活、工作帶來了極大的便利。網(wǎng)絡(luò)技術(shù)使得人們隨時(shí)隨地可從多種互聯(lián)網(wǎng)接入模式獲取所需的各種有效信息。而在人們使用網(wǎng)絡(luò)帶來便利的同時(shí)，個(gè)人信息在不安全的網(wǎng)絡(luò)環(huán)境中更容易被非法的竊取。近期以來，因個(gè)人信息被非法竊取引發(fā)的問題不斷出現(xiàn)，又一次將信息安全提到人們的視野中。在網(wǎng)絡(luò)時(shí)代，數(shù)據(jù)庫(kù)技術(shù)中如何保護(hù)信息的安全是這個(gè)時(shí)代非常重要的問題。

1 數(shù)據(jù)庫(kù)技術(shù)簡(jiǎn)介及數(shù)據(jù)庫(kù)安全

數(shù)據(jù)庫(kù)技術(shù)是計(jì)算機(jī)技術(shù)的重要分支，自20 世紀(jì)60 年代出現(xiàn)后，發(fā)展趨勢(shì)非常迅速，是現(xiàn)代計(jì)算機(jī)領(lǐng)域最有力的支撐技術(shù)之一。數(shù)據(jù)庫(kù)對(duì)信息數(shù)據(jù)的有效管理，為計(jì)算機(jī)在各個(gè)領(lǐng)域的應(yīng)用起到了關(guān)鍵性的作用。數(shù)據(jù)庫(kù)管理系統(tǒng)(DBMS)對(duì)大量的數(shù)據(jù)進(jìn)行科學(xué)的組織和管理，而在網(wǎng)絡(luò)環(huán)境中，數(shù)據(jù)庫(kù)的應(yīng)用多采用客戶機(jī)/服務(wù)器(C/S)服務(wù)模式，為互聯(lián)網(wǎng)用戶提供數(shù)據(jù)的共享［1］。

1.1 網(wǎng)絡(luò)環(huán)境數(shù)據(jù)庫(kù)的主要特點(diǎn)

1)多人使用 網(wǎng)絡(luò)系統(tǒng)中，服務(wù)器中的數(shù)據(jù)庫(kù)中數(shù)據(jù)提供多個(gè)用戶同時(shí)訪問，單個(gè)用戶對(duì)數(shù)據(jù)庫(kù)的操作都會(huì)對(duì)其余用戶使用產(chǎn)生影響。

2)更新頻繁 數(shù)據(jù)庫(kù)中數(shù)據(jù)更新速度更加頻繁。

3)數(shù)據(jù)量大 數(shù)據(jù)庫(kù)文件經(jīng)常有幾十kB 到幾個(gè)GB的容量。

4)可靠性要求 網(wǎng)絡(luò)環(huán)境下，對(duì)數(shù)據(jù)庫(kù)要求有較高的可靠性。

1.2 數(shù)據(jù)庫(kù)系統(tǒng)的安全要求

1)數(shù)據(jù)文件的獨(dú)立存儲(chǔ) 數(shù)據(jù)要求獨(dú)立于應(yīng)用程序，數(shù)據(jù)庫(kù)文件的存儲(chǔ)要求獨(dú)立，數(shù)據(jù)庫(kù)邏輯結(jié)構(gòu)獨(dú)立于用戶的應(yīng)用程序。

2)數(shù)據(jù)安全保護(hù) 要求保護(hù)的數(shù)據(jù)與其它部分隔離，安全保護(hù)的數(shù)據(jù)不能被未被授權(quán)的用戶獲取。

3)數(shù)據(jù)完整性 數(shù)據(jù)庫(kù)中的數(shù)據(jù)要求具有正確性，有效性和一致性。

4)在多用戶操作的條件下進(jìn)行并發(fā)控制，以保護(hù)數(shù)據(jù)的正確性。

5)數(shù)據(jù)可恢復(fù)要求 在出現(xiàn)物理，邏輯損失時(shí)，可恢復(fù)原有數(shù)據(jù)。

2 數(shù)據(jù)安全所受威脅類型及數(shù)據(jù)存儲(chǔ)的安全措施中的問題

在開放的網(wǎng)絡(luò)環(huán)境下，數(shù)據(jù)的安全保護(hù)工作就顯的尤為重要。在網(wǎng)絡(luò)中，黑客及非法用戶利用數(shù)據(jù)庫(kù)管理員的疏忽或木馬病毒等方法，對(duì)數(shù)據(jù)庫(kù)的數(shù)據(jù)信息進(jìn)行攻擊。

2.1 網(wǎng)絡(luò)攻擊對(duì)數(shù)據(jù)庫(kù)構(gòu)成的威脅

1)篡改 黑客使用技術(shù)手段將數(shù)據(jù)庫(kù)中的原有數(shù)據(jù)進(jìn)行修改，使數(shù)據(jù)失去原有的有效性，真實(shí)性。

2)損壞 黑客或計(jì)算機(jī)病毒將數(shù)據(jù)庫(kù)中原有的數(shù)據(jù)進(jìn)行刪除，移動(dòng)，破壞。

3)竊取 黑客在未經(jīng)授權(quán)情況下，將數(shù)據(jù)庫(kù)中存儲(chǔ)的數(shù)據(jù)通過網(wǎng)絡(luò)傳輸?shù)阶砸训碾娔X中。

2.2 數(shù)據(jù)保護(hù)的安全措施

1)用戶管理 登錄數(shù)據(jù)庫(kù)的用戶必須有唯一可標(biāo)識(shí)出身份的賬號(hào)與密碼，數(shù)據(jù)庫(kù)對(duì)將要登錄的用戶進(jìn)行身份驗(yàn)證，只有通過身份驗(yàn)證的用戶，才為合法的用戶，準(zhǔn)其登錄到系統(tǒng)。

2)授權(quán) 登錄系統(tǒng)的用戶，對(duì)數(shù)據(jù)庫(kù)進(jìn)行操作必須經(jīng)過授權(quán)，未經(jīng)授權(quán)的操作將被系統(tǒng)拒絕。數(shù)據(jù)庫(kù)系統(tǒng)一般不會(huì)對(duì)每個(gè)用戶授權(quán)，系統(tǒng)會(huì)將一定的權(quán)限授予各定的用戶組，稱為角色。用戶按分配入某一角色，將自動(dòng)具有所在用戶組的權(quán)限。

3)數(shù)據(jù)分級(jí) 有些數(shù)據(jù)庫(kù)系統(tǒng)對(duì)安全性的處理是把數(shù)據(jù)分級(jí)。對(duì)于每一個(gè)數(shù)據(jù)對(duì)象，都設(shè)置了一定的保密級(jí)別。同級(jí)的用戶只能查看同級(jí)或低于本級(jí)的數(shù)據(jù)。

4)數(shù)據(jù)加密 對(duì)一些較為保密的文件進(jìn)行數(shù)據(jù)的加密處理也是一種很好的保護(hù)數(shù)據(jù)的措施［2］。可使用一定的加密算法并定義加密使用的密鑰對(duì)將要保護(hù)的數(shù)據(jù)進(jìn)行加密，加密后的明文變?yōu)闊o意義的密文。對(duì)于加密和解密使用的密鑰要絕對(duì)保密，以防泄漏。

2.3 數(shù)據(jù)保護(hù)問題

1)賬號(hào)設(shè)置安全性不足。許多用戶在賬號(hào)密碼設(shè)置時(shí)，不具有足夠的密碼強(qiáng)度，另如具有一些默認(rèn)的帳戶是公開的，這些默認(rèn)帳戶可由任何人登錄，對(duì)這種帳戶沒有進(jìn)行權(quán)限的設(shè)置。

2)角色設(shè)置不夠完全。在數(shù)據(jù)庫(kù)對(duì)于用戶的管理使用的是分組的形式，稱之為角色。不同的角色有著不同的操作權(quán)限。角色設(shè)置過于簡(jiǎn)單，如只設(shè)置系統(tǒng)管理員，具有最高權(quán)限，用戶具有最低權(quán)限，也可造成數(shù)據(jù)系統(tǒng)的安全問題。

3)審計(jì)跟蹤的缺乏。審計(jì)跟蹤對(duì)了解用戶行為對(duì)數(shù)據(jù)的影響是很重要。設(shè)置安全審計(jì)對(duì)監(jiān)視數(shù)據(jù)訪問是安全保護(hù)的必要手段。

4)忽略數(shù)據(jù)備份與還原。盡管采用各種保護(hù)措施，但在一些情況下，還是不可避免的有數(shù)據(jù)被損壞，篡改。所以，及時(shí)對(duì)數(shù)據(jù)進(jìn)行備份，在數(shù)據(jù)損壞的情況下，可用備份對(duì)數(shù)據(jù)進(jìn)行有效的恢復(fù)。

3 數(shù)據(jù)庫(kù)安全保護(hù)設(shè)置策略

對(duì)數(shù)據(jù)庫(kù)安全設(shè)置中可能出現(xiàn)漏洞，在進(jìn)行數(shù)據(jù)庫(kù)安全設(shè)置中，可采用如下策略:

1)在進(jìn)行角色劃分時(shí)，采用最小權(quán)限和特權(quán)分離的原則，對(duì)普通用戶根據(jù)需要設(shè)置最小的權(quán)限足夠使用即可，這樣可防止權(quán)力的溢用。設(shè)置安全管理員角色，隨時(shí)對(duì)權(quán)限的設(shè)置進(jìn)行監(jiān)視［3］。系統(tǒng)默認(rèn)帳號(hào)設(shè)置適當(dāng)權(quán)限，修改登錄密碼。還可根據(jù)需要設(shè)分層權(quán)限的角色。

2)對(duì)重要數(shù)據(jù)使用加密技術(shù)進(jìn)行加密處理。當(dāng)合法用戶查看數(shù)據(jù)時(shí)，可使用解密軟件和密鑰對(duì)數(shù)據(jù)解密，此措施可防止非法登錄的用戶對(duì)受保護(hù)數(shù)據(jù)的查詢和篡改。

3)使用數(shù)據(jù)庫(kù)自身工具，對(duì)登錄的用戶的操作進(jìn)行審查，阻止非常規(guī)操作，例如，SQLserver 中的Delete 觸發(fā)器，可對(duì)用戶刪除操作進(jìn)行檢查，如此操作違反有關(guān)原則，則操作將被拒絕，并回滾事件。視圖可控制用戶提取數(shù)據(jù)，并簡(jiǎn)化數(shù)據(jù)庫(kù)用戶管理。這些數(shù)據(jù)庫(kù)工具的合理使用，不僅可提高數(shù)據(jù)庫(kù)使用效率，還可改善數(shù)據(jù)庫(kù)的安全性能。

4)數(shù)據(jù)庫(kù)安全審計(jì)跟蹤機(jī)制，對(duì)于監(jiān)視用戶行為是非常重要的機(jī)制［4］。開啟數(shù)據(jù)庫(kù)安全審計(jì)，隨時(shí)查看用戶操作，對(duì)操作可能造成的影響進(jìn)行有效分析，是對(duì)數(shù)據(jù)安全保護(hù)的有效手段。

5)鎖是數(shù)據(jù)庫(kù)中為防止多個(gè)用戶同時(shí)訪問數(shù)據(jù)庫(kù)互相干擾而設(shè)置的訪問控制機(jī)制。數(shù)據(jù)庫(kù)安全設(shè)置中，加入各類鎖設(shè)置，可有效防止多個(gè)用戶同時(shí)訪問，修改數(shù)據(jù)時(shí)產(chǎn)生的數(shù)據(jù)安全問題。

6)及時(shí)備份數(shù)據(jù)庫(kù)。備份數(shù)據(jù)對(duì)于應(yīng)急時(shí)的數(shù)據(jù)恢復(fù)是重要的，對(duì)數(shù)據(jù)的備份有數(shù)據(jù)備份，日志備份，差異備份等，定期對(duì)數(shù)據(jù)、日志備份。在數(shù)據(jù)遇到損壞、篡改時(shí)，進(jìn)行還原恢復(fù)，是對(duì)數(shù)據(jù)的有效保護(hù)手段。

7)使用應(yīng)用程序的安全性保證數(shù)據(jù)的安全。某些數(shù)據(jù)庫(kù)中的數(shù)據(jù)出于保密，只能使用特定的應(yīng)用程序打開，應(yīng)用程序需使用口令打開數(shù)據(jù)庫(kù)，稱為應(yīng)用程序角色。在數(shù)據(jù)庫(kù)安全設(shè)置中，對(duì)于一些要求保密的數(shù)據(jù)，可創(chuàng)建應(yīng)用程序角色，當(dāng)數(shù)據(jù)只能被這些應(yīng)用程序操作時(shí)，可進(jìn)一步確保數(shù)據(jù)的安全。

4 結(jié)束語(yǔ)

互聯(lián)網(wǎng)時(shí)代，由于數(shù)據(jù)庫(kù)安全設(shè)置的措施不當(dāng)引發(fā)的數(shù)據(jù)泄露所造成的損害是危險(xiǎn)的。根據(jù)數(shù)據(jù)保護(hù)的需要，為數(shù)據(jù)庫(kù)選擇適當(dāng)?shù)陌踩Ｗo(hù)配置，可保護(hù)個(gè)人信息的安全，為信息安全提供安全屏障。

［1］李洋.計(jì)算機(jī)網(wǎng)絡(luò)安全及應(yīng)對(duì)措施［J］.信息技術(shù)，2012，2(3) ：2－3.

［2］張心明.信息安全管理體系及其架構(gòu)［J］.現(xiàn)代安全情報(bào)，2004(4) ：204－205.

［3］任浩.Web 數(shù)據(jù)庫(kù)安全技術(shù)研究［J］.Software Guide，2006，4：28－29.

［4］何小英.網(wǎng)絡(luò)安全之解析與防范［J］.信息安全，2012，3(4) ：3－4.