数据库安全文献综述修订版.doc

浙江财经学院本科社会调查报告（专业调查） 题目： 数据库安全技术研究学生姓名 黄凯 指导教师 朱凌二级学院 信息学院 专业名称信息管理和信息系统 班级 07信息1 学号 0704100129 2010年 6月 5 日 数据库安全技术研究摘 要：随着计算机技术的飞速发展，数据库的应用深入到各个领域，但是随着数据库技术的发展，系统中存储的数据安全问题也越来越受到人们的关注。本文将从数据库安全的定义出发，对现有数据库的安全进行浅析，并以几个常见的数据库安全技术来对数据库的安全进行研究。关键词：数据库技术；存储；数据库安全；数据1 引言数据库是计算机应用系统中的一种专门管理数据库资源的系统。随着计算机技术的飞速发展，数据库的应用十分广泛，深入到各个领域。不仅仅局限于电子商务，许多政府部门，医院，学校，银行，企业等纷纷建立各自的数据库应用系统，以便对海量的数据资料进行管理。换言之，手工文档管理的方式正逐渐被数据库管理所替代。但随之而来的数据库安全问题也越来越受到人们的重视，黑客的恶意攻击，数据的完整性，数据库系统的不稳定性都为数据库的安全带来危害。如何有效的保护数据库信息已经成为了当前信息安全界最为关注的问题。2 数据库安全定义数据库安全包含两层含义：第一层是指系统运行安全,即数据库运行依托的操作系统遭到破坏而无法正常启动；第二层是指系统信息安全，即数据库系统遭到非法或非授权操作而导致数据修改或丢失。数据库系统的安全特性主要是针对数据而言的，主要表现在以下几个方面。 (1) 数据独立性数据独立性包括物理独立性和逻辑独立性两个方面。物理独立性是指用户的应用程序和存储在磁盘上的数据库中的数据是相互独立的；逻辑独立性是指用户的应用程序和数据库的逻辑结构是相互独立的。 (2) 数据安全性就针对数据而言，数据库通常采用相互隔离、加密、权限控制、账户控制、口令等措施对数据进行安全性保护。(3) 数据完整性数据完整性包括数据的正确性、有效性和一致性。正确性是指输入数据的类型符合用户的要求；有效性是指数据的数值应符合实际或用户要求的范围内；一致性是指不同用户使用的同一数据应该保持一致。保证数据的完整性是为了保证用户插入数据库的数据合法。(4) 并发控制并发控制是为了防止当一个用户取出数据进行修改，在修改存入数据库之前其它用户读出该数据的不正确性。采取适当的并发控制可以有效避免这种情况从而保护数据的安全性。(5) 故障恢复及时发现物理上以及逻辑上的错误和故障并修复故障，从而保障数据库的安全。并能从故障中恢复数据保障数据的安全。3 网络环境下数据库的安全分析数据库信息的价值随着计算机网络技术的发展得到了提升，同时，也致使数据库信息资产面临严峻的挑战。下面，本文将从网络数据库的完整性、网络数据库的保密性、网络数据库的可用性和网络数据库的一致性四方面进行分析。3.1 网络数据库的完整性分析数据库的完整性是指保护数据库中的数据的完整，我们主要从操作系统和数据库系统这两个方面对其进行分析。首先，从操作系统的角度来看，许多黑客可以通过操作系统自身的漏洞窃取数据库储存在操作系统中的数据库文件，或利用工具对数据进行恶意篡改或伪造，而且这些问题也不容易被数据库管理员发现；从数据库系统的角度来看，就人为因素来看许多数据库管理员对数据库系统存在的安全隐患也不重视，同时在配置的过程中也没有很好的安全意识。另外，现有数据库系统也存在多方面的攻击隐患，专业黑客还是可以通过临时存储等方法绕过访问控制机制等对数据库造成威胁。3.2 网络数据库的保密性分析数据库的保密性是指数据库中的数据不被泄露和未授权的获取。当数据库和在网络环境中进行交互的时候，所传递的信息如果不经过加密处理的话，很容易被一些恶意黑客或不法份子截获或篡改。这就使数据库的安全性大大降低。因此，当用户或应用程序需要访问数据库的时候进行加密处理并利用加密算法保证数据库在网络传输数据过程中的完整性和正确性。3.3 网络数据库的可用性分析数据库的可用性是确保数据库中的数据不因人为的或自然的原因对授权的合法用户不可用。在本地操作时数据库的访问控制只需通过用户访问控制来进行就可以了。但是在开放的网络环境下，数据库系统就必须考虑对数据库访问控制对合法访问用户的方便性以及对黑客等非法用户对数据库恶意攻击的抵抗性。两者就目前来看存在一定的矛盾性，而网络数据库的可用性也就是找到这两者之间的平衡点。3.4 网络数据库的一致性分析数据库的一致性是确保数据库中的数据满足实体完整性、参照完整性和用户定义完整性要求。在网络的环境下，为防止黑客通过提交精心构造的数据库代码，通过“注入法”对数据库进行攻击，应从两方面来保证数据库的一致性。一方面是从和网络数据库相连接的应用程序着手，通过编写具有防范意识的安全性代码来提高程序的强壮性，如对用户提交的数据进行格式合法性检查过滤来保证网络数据库的一致性。另一方面通过改变数据库的安全架构完善访问修改数据库数据的控制方式来提高网络数据库本身对这类问题的防范性。4 常见的数据库安全技术4.1 存储管理技术存取管理技术主要包括用户认证技术和访问控制技术。 用户认证技术包括用户身份验证和用户身份识别技术。用户身份验证，主要是针对数据库合法用户的权限问题，防止数据库用户越权访问或修改数据库中的数据。用户身份识则是为了防止非法用户对数据库的访问，避免数据库中数据的泄露，提到数据库的保密性。 访问控制包括数据的浏览控制和修改控制。浏览控制是为了保护数据的保密性，防止非法用户或越权合法用户对数据的窃取。而修改控制是为了保护数据的正确性和提高数据的可信性，防止在网络还击下大部分只需访问数据库的用户对数据库的随意修改。4.2 备份和恢复数据备份和恢复是保证数据库系统安全运行的重要技术。对于任何一个系统来说由于自然的或人为等原因造成系统故障时非常正常。当数据库系统发生故障时，数据库管理员通过数据的备份和恢复来保证数据库系统在排除故障后恢复回故障前的状态，从而保证数据库系统中数据的安全。一般来说，数据库备份常用的备份方法有:静态备份、动态备份和逻辑备份等;而数据库恢复则可以通过磁盘镜像、数据库备份文件和数据库在线日志三种方式来完成。4.3 数据库加密数据加密就是将数据通过加密算法和密匙变成密文数据，数据解密则是加密的逆向过程，即将密文数据转换成明文数据输出。加密算法规定了数据加密的方法，而密匙则规定了数据加密过程中参数。加密算法和密匙大大提高了加密数据的安全性，同时也使不需要了解数据的数据库管理员对数据不可见使数据库的功能更加倾向于用户。4.4 数据库审计按照TDI/TCSEC标准中的安全策略的要求，作为DBMS达到C2以上安全级别必不可少的一项指标，审计功能是数据库管理系统安全性重要的一部分。审计一般可以分为用户级审计和系统级审计。用户级审计是任何用户可设置的审计，主要针对用户自己创建的数据库和视图。系统级审计只能由数据库管理员设置，用于检测权限，登陆等操作。审计系统可以跟踪用户的全部操作，这也使审计系统具有一种威慑力，提醒用户安全使用数据库。现有的数据库答理系统的审计保护功能存在不足，应从以下几个方面改进:建立单独的审计系统和审计员，审计数据需要存放在单独的审计文件中。可以把用户大致分为审计员、数据库用户、系统安全员三类，这三者相互牵制，各司其职。分别在三个地方进行审计控制。为了保证数据库系统的安全审计功能，还需要考虑到系统能够对安全侵害事件做出自动响应，提供审计自动报警功能。当系统检测到有危害到系统安全的事件发生并达到预定的闽值时，要给出报警信息，同时还会自动断开用户的连接，终止服务器端的相应线程，并阻止该用户再次登录系统。5 结束语本文就数据库安全的有关技术进行了讨论。数据库的安全和网络安全、操作系统安全以及数据库管理系统安全是紧密结合的，数据库系统安全框架的三个层次也是相辅相承的，各层次的防范重点和所采取的技术手段也不尽相同，一个好的安全系统必须综合考虑核运用这此技术，必须根据具体的应用环境的安全需要进行分析，并制定统一的安全管理策略，保证数据库系统的安全。而且数据库的安全性和用户方便性永远是一个需要相互平衡的矛盾。这些必然促使人们对数据库安全方面的研究从各个方面向前推进。就本文的观点而言，数据库安全的研究也不能仅仅着眼于防范现在出现的威胁，而应该在于数据库安全框架的改造，让数据库安全系统具有可扩充性，防范于未然。而不会因为新出现的威胁而重新设计新的安全策略。同时随着科技的不断创新，数据库的发展趋势也多样化，例如新技术产品的发明和数据库相结合，我们应该在结合的同时将新技术产品的安全系统和数据库系统相结合以便更好的保护数据库的安全。参考文献1萨师煊、王珊：数据库系统概论，清华大学出版社，2006年第四版。2ForrestHoulette：SQL故障诊断和排错技术，康博，译.北京清华大学出版社，2002年。3王玉、粘新育：SQL Server数据库应用技术，中国铁道出版社，2008年。4周洪吴、张刻、柏文阳：“安全审计系统的设计和实现”，计算机应用研究，2004年第七期。5卫娟：“网络数据库安全措施及对策”，光盘技术，2006年第6期。6杨文强、张耀平：“基于SQL Server 2000的数据安全管理机制”，装备制造技术，2007年第七期。7孔令美：“浅谈数据库安全管理”，电脑知识和技术，2009年第十一期。8余云霞：“浅析网络数据安全技术”，科技信息2009年第一期。9黄媛媛：“浅析网络数据库的安全防范”，长沙通信职业技术学院学报，2005年第2期。10刘云龙：“浅谈数据库安全防护技术”，科技创新导报，2009年第十四期。11冻黎：“我国网络数据库发展现状”，中国信息导报，2004年第五期。12姜启涛：“网络数据库的安全及优化”，计算机和信息技术，2006年第十期。13土岩明，冼沛勇：“建立数据安全系统，维护企业信息安全”，计算机和网络，2003年第二十四期。14张敏、徐震、玛登国：数据库安全，北京科学出版社，2000年第三版。15王宇、王晓云、卢显：“采用扩展SQL语言实现关系数据库安全改造”， 装备指挥技术学院学报，2002年第十三期。16陆静平、何玉林：“基于SQL Server视图的数据库安全模型的研究”，计算机工程和应用，2002年第三十八期.17召体佩英：“数据库安全应用服务器的研究和实现”，软件学报，2001年第十二期。18蒋赞赞、吴承荣、张世永：“数据库存取控制模型分析”，计算机工程和应用，2002年第三十八期。10 / 10