孔憲順

SQL網(wǎng)絡(luò)數(shù)據(jù)庫的安全性研究

孔憲順

（天津海運職業(yè)學院，天津市 300350）

網(wǎng)絡(luò)數(shù)據(jù)庫的安全可以保證考試信息的保密性、完整性、一致性和可用性，因此系統(tǒng)管理員必須重視服務器端的安全性設(shè)置并不斷探索SQL網(wǎng)絡(luò)數(shù)據(jù)庫的安全性策略。

SQL；安全性；策略

數(shù)據(jù)庫安全威脅和數(shù)據(jù)偷竊的發(fā)生率在不斷增加，為了保護好敏感信息，管理員必須在實際應用中深入地對網(wǎng)絡(luò)數(shù)據(jù)庫的安全性策略進行分析和研究。

一、數(shù)據(jù)庫的安全性

數(shù)據(jù)庫的安全性是指保護數(shù)據(jù)庫以防止因不合法的使用而造成的數(shù)據(jù)泄露、更改或破壞。防止所有非授權(quán)用戶隨意修改數(shù)據(jù)庫中的數(shù)據(jù)，確保數(shù)據(jù)的安全。因此，應主要利用用戶管理來提高網(wǎng)絡(luò)數(shù)據(jù)庫的安全性。

二、SQL網(wǎng)絡(luò)數(shù)據(jù)庫自身的安全機制

（一）用戶權(quán)限機制

各類用戶連接到SQL網(wǎng)絡(luò)數(shù)據(jù)庫后，他們可以執(zhí)行的操作由被授予的權(quán)限來確定。

1．登錄權(quán)限

具備該類權(quán)限的用戶可以使用數(shù)據(jù)庫管理系統(tǒng)的各類工具和實用程序，還可以進行查詢數(shù)據(jù)、建立視圖等操作，但不能對數(shù)據(jù)庫中的數(shù)據(jù)做任何改動。

2．資源管理權(quán)限

具備該類權(quán)限的用戶既具備數(shù)據(jù)庫登錄權(quán)限，又具備創(chuàng)建數(shù)據(jù)庫表、索引等權(quán)限，可以在權(quán)限允許的范圍內(nèi)修改、查詢數(shù)據(jù)庫。

3．管理員權(quán)限

具備該類權(quán)限的用戶是數(shù)據(jù)庫的管理者，具有對數(shù)據(jù)庫進行管理的所有權(quán)限。

（二）視圖安全機制

SQL網(wǎng)絡(luò)數(shù)據(jù)庫可以對數(shù)據(jù)進行分類，即建立視圖，使得具備同一類權(quán)限的用戶，對數(shù)據(jù)庫中數(shù)據(jù)管理和使用的范圍不盡相同。管理員把某用戶可查詢的數(shù)據(jù)邏輯上歸并起來，簡稱一個或多個視圖，并賦予名稱，再把該視圖的查詢權(quán)限授予該用戶（也可以授予多個用戶）。這種數(shù)據(jù)分類可以進行得很細，其最小粒度是數(shù)據(jù)庫二維表中一個交叉的元素。最終實現(xiàn)某用戶可以訪問某些數(shù)據(jù)，并可以進行查詢或修改，但是表或數(shù)據(jù)庫的其余部分是不可見的。

（三）審核功能

SQL網(wǎng)絡(luò)數(shù)據(jù)庫提供了一個非常重要的安全措施，即審核功能。它可以監(jiān)視每個用戶對數(shù)據(jù)庫執(zhí)行的動作。審核方式包括用戶審核和系統(tǒng)審核兩種。當用戶啟用審核功能后，審核系統(tǒng)將跟蹤和記錄下每個對該數(shù)據(jù)庫表或視圖進行訪問的活動（包括成功的和失敗的）以及每次操作的用戶名、時間、操作代碼等信息。這些信息被記錄在數(shù)據(jù)字典中，用戶可以利用這些信息進行審核分析。系統(tǒng)管理員進行系統(tǒng)審核，其審核內(nèi)容主要是系統(tǒng)一級命令以及數(shù)據(jù)庫客體的使用情況。

三、SQL網(wǎng)絡(luò)數(shù)據(jù)庫安全性策略

（一）下載安裝最新的補丁

Forrester研究機構(gòu)的分析師Yuhanna在一篇關(guān)于2010年數(shù)據(jù)庫安全性策略的文章中提到：“大多數(shù)組織沒有很好地在他們的系統(tǒng)上安裝補丁，大約65%到70%的組織并沒有定期安裝補丁”。因此，為確保數(shù)據(jù)庫的安全性，最有效的方法就是定期下載安裝最新的補丁。

（二）設(shè)置為Windo ws身份驗證模式

Windo ws身份驗證模式只允許用戶使用Windo ws身份驗證方式登錄服務器，不能用SQL Ser ver的登錄賬號登錄服務器。此方式對Windo ws用戶和域用戶賬號的連接進行了限制，從而保護了SQL Ser ver免受大多數(shù)Inter net工具的侵害，服務器也可以從Windo ws安全增強機制中獲益。

與SQL Ser ver身份驗證方式相比，Windo ws身份驗證方式具備如下優(yōu)點：提供了安全確認和口令加密、審核、口令失效、最小口令長度和賬號鎖定等功能；通過增加單個登錄賬號，允許在SQL Ser ver系統(tǒng)中增加用戶組；允許用戶迅速訪問SQL Ser ver系統(tǒng)，而不必使用另一個登錄賬號和口令。

（三）針對業(yè)務要求制定數(shù)據(jù)庫的備份和恢復策略

數(shù)據(jù)庫如遇故障而被破壞，可以利用數(shù)據(jù)庫的備份來恢復系統(tǒng)。數(shù)據(jù)庫管理員應針對具體的業(yè)務要求制定詳細、嚴格的數(shù)據(jù)庫備份與系統(tǒng)恢復策略，從而保障網(wǎng)絡(luò)數(shù)據(jù)庫系統(tǒng)的安全。管理員在備份數(shù)據(jù)時，既要保證備份數(shù)據(jù)的完整性，又要建立一個詳細的備份數(shù)據(jù)的檔案，以免因使用了不完整或日期不正確的備份數(shù)據(jù)破壞系統(tǒng)數(shù)據(jù)庫的完整性，從而造成嚴重后果。我們可以將數(shù)據(jù)備份看成是兩個層次級的，即硬件級的備份和軟件級的備份。

數(shù)據(jù)恢復也被稱為數(shù)據(jù)重載或數(shù)據(jù)裝入，是數(shù)據(jù)備份的逆過程。數(shù)據(jù)庫恢復技術(shù)主要包括基于備份的恢復技術(shù)、基于備份和運行日志的恢復技術(shù)和基于多備份的恢復技術(shù)。

（四）設(shè)置強壯的Sa密碼

數(shù)據(jù)庫管理員往往忽略安裝文件中剩余的配置信息，因此保護得很差的認證信息和其他一些敏感的數(shù)據(jù)就會遭黑客破壞。我們必須為Sa賬戶設(shè)置一個強壯的密碼，即使是在配置為要求Windows身份驗證模式的服務器上也應如此，這樣可以保證如服務器被重新配置為混合模式身份驗證時，Sa依然強壯。

（五）使用微軟的基線安全性分析器（MBSA）

微軟基線安全分析器（Micr osoft Baseline Security Anal yzer，簡稱MBSA）是一個簡單易用的工具，數(shù)據(jù)庫管理員可根據(jù)Microsoft的安全性建議確定其安全性狀態(tài)，并依據(jù)結(jié)果提供具體的修正指南。使用 MBSA可以檢測常見的安全性錯誤配置和計算機系統(tǒng)遺漏的安全性更新，改善安全性管理流程。

MBSA是構(gòu)建于 Windo ws Update代理和 Microsoft Update基礎(chǔ)結(jié)構(gòu)之上的，因此可與其他Microsoft管理產(chǎn)品保持一致。MBSA已被眾多領(lǐng)先的第三方安全性供應商和安全性審核員所使用，據(jù)統(tǒng)計此工具平均每周掃描三百多萬臺計算機。使用MBSA比使用第三方漏洞檢測工具更安全、更方便和更高效。使用MBSA的好處如下：

1．管理員可以利用MBSA來掃描系統(tǒng)從而評估系統(tǒng)的安全性，都是微軟公司的產(chǎn)品，所以融合性很好。

2．利用MBSA掃描系統(tǒng)后，會直接給出下載補丁的地址。

3．在MBSA的掃描結(jié)果中會給出詳細的糾正措施，使系統(tǒng)更加安全。

（六）配置防火墻

防火墻用于阻止對資源未授權(quán)的訪問。在默認情況下，SQL Ser ver使用TCP端口1433和UDP端口1434，為了保證安全性，數(shù)據(jù)庫管理員應配置防火墻過濾掉到達這兩個端口的數(shù)據(jù)包。

（七）改變SQL網(wǎng)絡(luò)數(shù)據(jù)庫端口

在遠程訪問服務器的情況下，我們即使安裝了防火墻，也應對1433服務端口開放。鑒于SQL網(wǎng)絡(luò)數(shù)據(jù)庫的攻擊工具主要是對1433端口進行掃描，我們可以通過改變默認端口的辦法來解決這個問題。但這并不是根本的辦法，只可以應對一般的掃描，改變端口后，當遠程連接SQL網(wǎng)絡(luò)數(shù)據(jù)庫是，IP地址后面應加上改過的端口號。

（八）使用NTFS文件系統(tǒng)

與FAT32文件系統(tǒng)相比，NTFS文件系統(tǒng)具備如下優(yōu)勢：

1．可以更好地管理磁盤空間；

2．可以自動對文件進行壓縮或解壓縮；

3．可以為共享資源、文件夾和文件設(shè)置訪問許可權(quán)限，安全性更高。

因此，NTFS文件系統(tǒng)更適合SQL網(wǎng)絡(luò)數(shù)據(jù)庫。我們可以通過設(shè)置NTFS的權(quán)限或通過文件加密的方法提高安全性。

（九）審核與SQL網(wǎng)絡(luò)數(shù)據(jù)庫的連接

管理員通過查看失敗的連接日志，可以分析了解有誰試圖訪問數(shù)據(jù)庫。可按照以下步驟操作：

1．在企業(yè)管理器中右擊服務器組，選擇屬性；

2．在安全性（Security）選項卡的審核等級中，點擊失?。?/p>

3．為了使這個設(shè)置生效，用戶必須停止并重新啟動服務器。

總之，SQL網(wǎng)絡(luò)數(shù)據(jù)庫的安全與網(wǎng)絡(luò)、操作系統(tǒng)以及數(shù)據(jù)庫系統(tǒng)的安全是密切相關(guān)的。只要有一個環(huán)節(jié)出現(xiàn)問題，都會是整個系統(tǒng)面臨安全風險。因此，管理員必須依據(jù)具體的應用環(huán)境的安全需求，來制定行之有效的安全管理策略，保證數(shù)據(jù)庫的安全運行。隨著各類計算機技術(shù)的發(fā)展，網(wǎng)絡(luò)數(shù)據(jù)庫還會面臨很多新的安全問題，需要我們不斷地去探索研究。

［1］吳溥峰，張玉清．數(shù)據(jù)庫安全綜述［J］．計算機工程，2006，（12）．

［2］李東風，謝昕．數(shù)據(jù)庫安全技術(shù)研究與應用［J］．計算機安全，2008，（01）．

A Research on SQL Net wor k Database Security

KONG Xian－shun

（Tianjin Mariti me Vocational Institute，Tianjin 300350 China）

The security of the net work database can guarantee examination inf or mation confidentiality，integrity，consistency and availability．Therefore，the system ad ministrator must pay much more attention to the server＇s security settings and continuously explore the security strategies of the SQL network database．

SQL；security；strategy

TP393．08

A

1673－582 X（2011）10－0075－03

2011－05－12

孔憲順（1982－），男，天津市人，天津海運職業(yè)學院助理實驗師，大學本科，主要研究計算機服務器維護技術(shù)。