- 相关推荐
数据库系统安全策略
数据库系统安全策略
摘 要 数据库管理系统是一个非常复杂的系统，检测和评估数据库的安全性，涉及到了很多的参数和设置。
Oracle数据库是以高级结构化查询语言(SQL)为基础的大型关系数据库，是使用方便管理的语言操纵大量有规律的数据的集合。
是目前应用最广泛的客户/服务器(Client/Sever)体系结构的数据库之一。
在数据库中包含了大量的、复杂的数据，所以oracle数据库的安全管理工作就需要更加的严格。
关键词 oracle;数据库;安全管理
数据库在生活中应用的非常广泛，越来越多各行各业的信息都是通过数据进行传输的。
IT行业中同样也不能离开数据库，例如软件开发和很多专门做数据库开发的公司。
数据库按照应用的规模分为大、中、小三种。
我们最常用的就是中型数据库，例如SQL Sever数据库，这种数据库只能对数据量不是非常大的数据进行操作和管理。
但是要想操作存储量非常大的数据，中型数据库就已经实现非常完美的管理了，这时我们就需要选择大型数据库。
Oracle数据库是一种大型数据库，可以管理存储大量的数据。
在一些大型的公司、企业、图书馆，操作和管理数据库是非常重要的，所以通常要选用这样的大型数据库来操作。
无论什么数据库，对数据的管理是最重要的，数据库正常有效运行的基础是数据的安全。
Oracle这样的大型数据库涉及到了太多的数据，对数据的管理就需要更加的严格，必须保证数据的安全性。
稍有疏忽就可能会造成不可估量的损失。
通常意义上来讲，数据库物理部分的完整性、数据库逻辑意义上的完整性、数据库中所有数据的安全性、对于数据库访问的控制、用户身份及权限的认证等这些部分共同组成了数据库安全部分。
我们是这样来定义数据库安全的：保证数据库中所存储的数据信息的保密性、完整性、一致性、可用性、和抗否认性。
在这其中，数据信息的保密性指的是数据库中存入的数据不会被泄漏或者非法获取;完整性是指其中的数据不会被损毁或者删除;一致性是要完全确保其中的数据是完整的，可以通过用户自定义的完整性要求;可用性则是要确保数据库中存储的各种数据不会因为其他原因导致已被认可的用户不可用;抗否认性的意义在于能够记录用户的对于数据库的所有操作，包括访问修改等，而这些操作的记录用户是不能否认的，可以方便管理员做后期分析。
在我们现代的生活中，数据库面临的主要安全威胁来自两个大方面，软件和硬件方面。
系统的意外崩溃，磁盘的物理损坏网络中充斥的各种计算机病毒都可能造成系统故障、数据的破坏;用户的误操作，可能也会造成数据库产生错误;非授权用户的非法访问及操作数据库，非法盗取，篡改数据库中的数据，这样就会导致数据的真实性无法保证。
对于一些重要的单位，或者存储了各种重要信息的部门，则会面对更多的威胁，需要事先设计好更加完善的安全策略才能够保证数据的安全。
对于oracle数据库的安全策略我们分4个方面来说：
第一，系统安全策略：包括了数据库用户管理、数据库操作规范、用户认证、操作系统安全4个部分。
1)数据库用户管理。
数据库用户对信息访问的最直接途径就是通过用户访问。
因此需要对用户进行严格的管理，只有真正可信的人员才拥有管理数据库用户的权限;
2)数据库需要有操作规范。
数据库中数据才是核心，不能有任何的破坏，数据库管理员是唯一能直接访问数据库的人员，管理员的操作是非常重要的，因此需要对数据库维护人员培训，树立严谨的工作态度，同时需要规范操作流程;
3)用户身份的认证。
Oracle数据库可以使用主机操作系统认证用户，也可以使用数据库的用户认证，从安全角度出发，initSID.ora文件中的remote_os_authent参数设成FALSE，以防止没有口令的连接。
建议将remote_os_roles设成FALSE，防止欺骗性连接;
4)操作系统安全。
对于运行任何一种数据库的操作系统来说，都需要考虑安全问题。
数据库管理员以及系统账户的口令都必须符合规定，不能过于简单而且需要定期的更换口令，对于口令的安全同样重要。
系统管理员在给操作系统做维护的时候，需要与数据库管理员合作，避免。
第二，数据安全策略。
数据安全策略决定了可以访问特定数据的用户组，以及这些用户的操作权限。
数据的安全性取决数据的敏感程度，如果数据不是那么敏感，则数据的安全策略则可以稍微松一些;反之则需要制定特定的安全策略，严格的控制访问对象，确保数据的安全。
第三，用户安全策略。
用户安全策略是由一般用户安全、最终用户安全、管理员安全、应用程序及开发人员安全、应用程序管理员安全5个部分组成。
1)一般用户安全。
如果对于用户的认证由数据库进行管理，则安全管理员就应该制定口令安全策略来维护数据库访问的安全性。
可以配置oracle使用加密口令来进行客户机/服务器连接;
2)最终用户安全。
安全管理员必须为最终用户安全制定策略。
如果使用的是大型数据库同时还有许多用户，这是就需要安全管理员对用户组进行分类，为每个用户组创建用户角色，并且对每个角色授予相应的权限;
3)管理员安全。
安全管理员应当拥有阐述管理员安全的策略。
在数据库创建后，应对SYS和SYSTEM用户名更改口令，以防止对数据库的未认证访问，且只有数据库管理员才可用;
4)应用程序开发人员安全。
安全管理员必须为使用数据库的应用程序开发人员制定一套特殊的安全策略。
安全管理员可以把创建必要对象的权限授予应用程序开发人员。
反之，创建对象的权限只能授予数据库管理员，他从开发人员那里接收对象创建请求;
5)应用程序管理员安全。
在有许多数据库应用程序的大型数据库系统中，可以设立应用程序管理员
第四，口令管理策略。
口令管理包括账户锁定、口令老化及到期、口令历史记录、口令复杂性校验。
1)帐户锁定。
当某一特定用户超过了失败登录尝试的指定次数，服务器会自动锁定这个用户帐户;
2)口令老化及到期。
DBA使用CREATE PROFILE语句指定口令的最大生存期，当到达了指定的时间长度则口令到期，用户或DBA必须变更口令;
3)口令历史记录。
DBA使用CREATE PROFILE语句指定时间间隔，在这一间隔内用户不能重用口令;
4)口令复杂性校验。
通过使用PL/SQL脚本utlpwdmg.sql(它设置缺省的概要文件参数)，可以指定口令复杂性校验例行程序。
参考文献
[1]陈越，等.数据库安全[M].北京：国防工业出版社，2011.
[2]冯登国，赵险峰.信息安全技术概论[M].北京：电子工业出版社，2009.
【数据库系统安全策略】相关文章：
档案信息安全策略研究论文10-11
云计算下的网络信息安全策略研究论文10-08
浅析远程网络信息安全策略论文10-09
计算机网络安全策略浅议10-26
农产品电子商务安全策略研究论文10-09
气象信息网络安全策略与技术论文10-08
航空气象数据库系统通信分系统设计解析10-26
学校计算机网络安全策略论文10-09
地级市供电企业信息网络安全策略论文10-08