SQL Server數(shù)據(jù)庫應(yīng)用時(shí)的安全措施探討

摘要：近年來，計(jì)算機(jī)技術(shù)的發(fā)展可謂是突飛猛進(jìn)，信息化和網(wǎng)絡(luò)化的時(shí)代對(duì)于國民經(jīng)濟(jì)的提高，無疑是做出了巨大的貢獻(xiàn)。數(shù)據(jù)庫的廣泛應(yīng)用成為計(jì)算機(jī)時(shí)代中的典型標(biāo)志，與此同時(shí)，一系列安全性問題也突顯出來。筆者將以SQL Server數(shù)據(jù)庫為例，從SQL Server數(shù)據(jù)庫的安全隱患出發(fā)，從數(shù)據(jù)庫的安全訪問策略、視圖管理、存儲(chǔ)過程、客戶應(yīng)用程序以及服務(wù)器與Internet之間的鏈接等方面，分析了SQL Server數(shù)據(jù)庫應(yīng)用時(shí)的安全措施，供同行參考。

關(guān)鍵詞：SQL Server數(shù)據(jù)庫；應(yīng)用；安全措施

中圖分類號(hào)：TP311.138 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1007-9599（2012）24-0088-02

1 SQL Server數(shù)據(jù)庫的安全隱患

SQL Server數(shù)據(jù)庫的安全性是指其免受泄露、更改以及破壞的狀態(tài)，從廣義的角度來講，就是計(jì)算機(jī)中的數(shù)據(jù)庫避免被非法使用的狀態(tài)。網(wǎng)絡(luò)時(shí)代的發(fā)展拉近了人們之間的距離，但是，數(shù)據(jù)化的程序設(shè)計(jì)難免會(huì)出現(xiàn)漏洞，導(dǎo)致一些非法用戶取得計(jì)算機(jī)的使用權(quán)限，有的甚至還會(huì)任意修改數(shù)據(jù)，導(dǎo)致程序性錯(cuò)誤。影響數(shù)據(jù)庫安全隱患的因素有很多，包括硬件設(shè)施。軟件設(shè)備、系統(tǒng)安全策略的制定以及其實(shí)現(xiàn)過程等。其中，非法用戶通過一系列的手段，獲取計(jì)算機(jī)的訪問權(quán)限，從而對(duì)系統(tǒng)存在安全隱患。一般來說，數(shù)據(jù)庫的安全隱患具有不確定性，其潛在的危害對(duì)象有兩種，其一是獲得本地權(quán)限的非法用戶，其二是遠(yuǎn)程的非法用戶，此外，合法用戶也可能成為數(shù)據(jù)庫安全隱患的對(duì)象。在計(jì)算機(jī)技術(shù)的發(fā)展下，網(wǎng)絡(luò)實(shí)現(xiàn)了客戶終端設(shè)備的監(jiān)控，計(jì)算機(jī)系統(tǒng)的安全性成為社會(huì)關(guān)注的熱點(diǎn)話題。輕則個(gè)人隱私泄露，重則關(guān)系到國家的相關(guān)機(jī)密，其責(zé)任可大可小。

2 SQL Server數(shù)據(jù)庫應(yīng)用時(shí)的安全設(shè)置

2.1 SQL Server數(shù)據(jù)庫安全訪問策略

SQL Server數(shù)據(jù)庫不僅功能強(qiáng)大，而且在操作的簡(jiǎn)易性方面占有很大的優(yōu)勢(shì)。從定義上來說，SQL Server數(shù)據(jù)庫屬于企業(yè)性質(zhì)的數(shù)據(jù)庫，由Microsoft公司推向市場(chǎng)，實(shí)現(xiàn)了與Windows系統(tǒng)的整合與綁定，訪問者可以利用相關(guān)的程序，實(shí)現(xiàn)不同訪問者的訪問權(quán)限，從而實(shí)現(xiàn)數(shù)據(jù)的安全性。SQL Server數(shù)據(jù)庫和一般的數(shù)據(jù)庫相比較，其界面操作相對(duì)容易。在權(quán)限的設(shè)置中，主要通過賬戶名和密碼來區(qū)別，不用的用戶具有不同權(quán)限的訪問權(quán)。用戶的登錄賬戶認(rèn)證以及訪問許可確認(rèn)共同構(gòu)成SQL Server數(shù)據(jù)庫的兩大安全訪問策略的版塊。其中，在登陸賬戶的認(rèn)證階段，可分為兩種有效的模式，分別是Windows身份認(rèn)證模式和混合模式。顧名思義，前者只對(duì)Windows用戶開放，后者既可以通過Windows系統(tǒng)認(rèn)證，也可以通過SQL Server數(shù)據(jù)庫的鏈接進(jìn)行認(rèn)證。訪問許可確認(rèn)階段建立在登錄成功的基礎(chǔ)上，當(dāng)通過登錄認(rèn)證后，SQL Server數(shù)據(jù)庫就會(huì)通過互聯(lián)網(wǎng)，試圖與SQL Server建立鏈接，該過程通過發(fā)送特定的語句來實(shí)現(xiàn)，語句是否成功識(shí)別決定了用戶的訪問許可以及訪問的權(quán)限。

2.2 利用視圖實(shí)現(xiàn)SQL Server數(shù)據(jù)庫的安全性

視圖是虛擬表格的一種，通常由行和列組成，它是數(shù)據(jù)庫的集中表現(xiàn)形式。數(shù)據(jù)的來源有多種形式，包括數(shù)據(jù)庫和視圖本身，對(duì)于數(shù)據(jù)庫而言，可以是一個(gè)數(shù)據(jù)庫，同時(shí)也可以是多個(gè)數(shù)據(jù)庫，主要得益于網(wǎng)絡(luò)的現(xiàn)代化發(fā)展。視圖作為一種工具，可以進(jìn)行數(shù)據(jù)的查詢，也可以修改數(shù)據(jù)，當(dāng)然，數(shù)據(jù)的修改不是任意的，主要取決于訪問者的權(quán)限，而權(quán)限的大小則通過賬號(hào)以及對(duì)應(yīng)的密碼來識(shí)別，并區(qū)分。視圖中的語法定義的一般模式如下：

Create view view-name

As

Select- statement

利用視圖來保護(hù)數(shù)據(jù)庫的安全性的優(yōu)勢(shì)主要在于它實(shí)現(xiàn)了智能化的識(shí)別和分類，為用戶尋找重要的數(shù)據(jù)，減少了訪問的時(shí)間，為用戶提高工作效率的同時(shí)，也緩解了網(wǎng)絡(luò)的繁忙，避免在同一時(shí)間段由于過多的訪問者，而導(dǎo)致系統(tǒng)的癱瘓，對(duì)于數(shù)據(jù)的簡(jiǎn)化具有良好的促進(jìn)作用，尤其是對(duì)于異構(gòu)數(shù)據(jù)的查詢，極大地縮減了相關(guān)的程序。其自動(dòng)化的管理減少了人力資源的使用，在性能上也實(shí)現(xiàn)了進(jìn)一步的改進(jìn)，輸出的數(shù)據(jù)還可以應(yīng)用到其它的程序，可以說，視圖是SQL Server數(shù)據(jù)庫實(shí)現(xiàn)功能化的一個(gè)平臺(tái)，為更多的用戶提供了便利。

2.3 加強(qiáng)存儲(chǔ)過程中的數(shù)據(jù)庫的安全

利用數(shù)據(jù)的存儲(chǔ)過程實(shí)現(xiàn)SQL Server數(shù)據(jù)庫的安全性是計(jì)算機(jī)用戶常用的方法之一，這里所說的存儲(chǔ)過程指的是單一的存儲(chǔ)數(shù)據(jù)，而不包括用戶的修改表的權(quán)限。也就是說，用戶在使用計(jì)算機(jī)的過程中，不能夠?qū)σ晥D和表進(jìn)行訪問。而存儲(chǔ)過程的實(shí)現(xiàn)避免了用戶無法訪問的尷尬，用戶可以通過存儲(chǔ)，查詢相關(guān)的信息數(shù)據(jù)。該過程在操作上較為簡(jiǎn)易，功能的實(shí)現(xiàn)也并不復(fù)雜，只要求用戶具有EXEC的權(quán)限就可。然而，前提條件是用戶在存儲(chǔ)的過程中要包含相應(yīng)的語句，即計(jì)算機(jī)語言，常見的存儲(chǔ)過程中的數(shù)據(jù)創(chuàng)建如下：

Create procedure worker-pro as

Select * from worker

之后只要用戶取得EXCE的權(quán)限，就可以根據(jù)需要，查詢要相關(guān)的數(shù)據(jù)信息，從而實(shí)現(xiàn)對(duì)數(shù)據(jù)庫的訪問。

2.4 注重管理客戶應(yīng)用程序?qū)崿F(xiàn)數(shù)據(jù)庫的安全性

用戶的信息管理能夠有效實(shí)現(xiàn)限制用戶的訪問權(quán)限，實(shí)現(xiàn)SQL Server數(shù)據(jù)庫的保密性和安全性，在此過程中，

（下轉(zhuǎn)第91頁）