計(jì)算機(jī)數(shù)據(jù)庫(kù)的安全管理措施探討

陳永

摘要：數(shù)據(jù)庫(kù)管理是計(jì)算機(jī)應(yīng)用的重要方面，很多應(yīng)用程序離開了數(shù)據(jù)庫(kù)的支撐就無法正常運(yùn)行，因此提升數(shù)據(jù)庫(kù)安全管理對(duì)于應(yīng)用程序提供持續(xù)性服務(wù)有著重要的意義。該文通過分析加強(qiáng)數(shù)據(jù)庫(kù)安全管理的必要性，總結(jié)了數(shù)據(jù)安全管理過程中容易出現(xiàn)的問題，給出了加強(qiáng)數(shù)據(jù)庫(kù)安全管理的具體措施。

關(guān)鍵詞：計(jì)算機(jī)；數(shù)據(jù)庫(kù)；安全管理；措施

中圖分類號(hào)：TP311 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1009-3044（2016）07-0001-02

1 加強(qiáng)計(jì)算機(jī)數(shù)據(jù)庫(kù)安全管理的必要性

1.1 保障應(yīng)用程序正常穩(wěn)定運(yùn)行的關(guān)鍵

常見的企業(yè)級(jí)應(yīng)用，如OA（office auto）辦公自動(dòng)系統(tǒng)、ERP（Enterprise Resource Planning）企業(yè)資源計(jì)劃系統(tǒng)往往都離不開數(shù)據(jù)庫(kù)的支撐，而常見微信、微博用戶數(shù)據(jù)存儲(chǔ)以及權(quán)限控制也都離不開數(shù)據(jù)庫(kù)的保障，除此之外，一些Android和IOS智能終端應(yīng)用為了提升數(shù)據(jù)訪問速度同樣也會(huì)使用類似于SQLite等微型數(shù)據(jù)庫(kù)，數(shù)據(jù)庫(kù)是存放用戶以及系統(tǒng)數(shù)據(jù)的倉(cāng)庫(kù)，能夠?yàn)閼?yīng)用程序提供高可訪問性，同時(shí)也能夠有效減少應(yīng)用程序數(shù)據(jù)所占用的磁盤空間，另外，軟件開發(fā)者通過對(duì)數(shù)據(jù)的有效控制能夠?qū)崿F(xiàn)應(yīng)用級(jí)別的權(quán)限控制，甚至一定程度上可以說離開了數(shù)據(jù)庫(kù)以及數(shù)據(jù)庫(kù)的訪問操作，應(yīng)用程序就失去了“靈魂”，可見數(shù)據(jù)庫(kù)對(duì)于應(yīng)用程序的正常運(yùn)行重要意義。因此，從保障應(yīng)用系統(tǒng)可用性方面而言，加強(qiáng)數(shù)據(jù)庫(kù)安全管理能夠在一定程度上減少和杜絕數(shù)據(jù)庫(kù)的惡意訪問破壞，更是維系應(yīng)用系統(tǒng)穩(wěn)定運(yùn)行的重要手段。

1.2 應(yīng)對(duì)日益嚴(yán)峻的信息安全問題的重要手段

黑客攻擊、用戶數(shù)據(jù)泄露等信息安全問題，是近年來伴隨信息技術(shù)發(fā)展的而引發(fā)的重大信息技術(shù)問題，如，2003年爆發(fā)的SQL SLammer蠕蟲病毒導(dǎo)致的世界范圍內(nèi)互聯(lián)網(wǎng)問題，還有常見的SQL注入、數(shù)據(jù)庫(kù)暴力破解等數(shù)據(jù)庫(kù)破壞手段，造成了數(shù)據(jù)庫(kù)中數(shù)據(jù)完整性以及存儲(chǔ)傳輸安全性方面的受到了嚴(yán)重挑戰(zhàn)，進(jìn)而引發(fā)了數(shù)以億計(jì)的財(cái)產(chǎn)和數(shù)據(jù)問題。為此，IT行業(yè)還產(chǎn)生了專門的數(shù)據(jù)庫(kù)維護(hù)人員——DBA（database administrator），通過對(duì)數(shù)據(jù)庫(kù)進(jìn)行定期的維護(hù)、利用數(shù)據(jù)庫(kù)備份還原技術(shù)以及安全機(jī)制等手段和措施，盡可能在數(shù)據(jù)庫(kù)層面提升數(shù)據(jù)信息安全，為應(yīng)用程序提供持續(xù)的、穩(wěn)定的運(yùn)行環(huán)境奠定堅(jiān)實(shí)的數(shù)據(jù)支撐基礎(chǔ)。因此，從信息安全保障而言，加強(qiáng)數(shù)據(jù)庫(kù)安全管理，能夠在一定程度上有效的應(yīng)對(duì)信息安全問題。

1.3 安全管理是數(shù)據(jù)庫(kù)管理的重要方面

簡(jiǎn)單而言，數(shù)據(jù)庫(kù)管理工作主要包括：數(shù)據(jù)庫(kù)的設(shè)計(jì)、數(shù)據(jù)測(cè)試、軟件產(chǎn)品的部署工作以及運(yùn)行維護(hù)（包括數(shù)據(jù)服務(wù)的監(jiān)控、備份、安全審計(jì)、數(shù)據(jù)遷移等內(nèi)容），其工作目標(biāo)就是提供相對(duì)穩(wěn)定、安全以及一定性能保障的數(shù)據(jù)庫(kù)管理?？梢姡瑪?shù)據(jù)庫(kù)安全管理也是數(shù)據(jù)庫(kù)管理工作的重要方面。通常而言，數(shù)據(jù)庫(kù)安全管理工作，既包含數(shù)據(jù)庫(kù)物理環(huán)境（如機(jī)房溫度控制、設(shè)備線路的支持等內(nèi)容）的安全性問題，也包含軟件環(huán)境的安全性，本文將側(cè)重于軟件環(huán)境的安全管理內(nèi)容進(jìn)行論述，常見的安全控制有權(quán)限控制、訪問控制、異常訪問監(jiān)控、對(duì)計(jì)算機(jī)資源異常消耗、數(shù)據(jù)庫(kù)會(huì)話、日志的統(tǒng)計(jì)等方面的內(nèi)容?？傊瑪?shù)據(jù)庫(kù)安全管理是數(shù)據(jù)庫(kù)管理工作中的重要部分，是提供穩(wěn)定、高可用性以及對(duì)數(shù)據(jù)庫(kù)完整性保障的重要手段，應(yīng)引起足夠的重視。

2 常見計(jì)算機(jī)數(shù)據(jù)庫(kù)問題分析

2.1 由于數(shù)據(jù)庫(kù)運(yùn)行環(huán)境漏洞造成的安全問題

數(shù)據(jù)庫(kù)軟件系統(tǒng)的運(yùn)行需要一定的軟硬件環(huán)境，例如常見的操作系統(tǒng)環(huán)境以及必要的硬件支撐。拿window操作系統(tǒng)下常見的SQL Server數(shù)據(jù)庫(kù)而言，在數(shù)據(jù)庫(kù)安裝的時(shí)候提供了兩種訪問模式，一種是常見的user/passwordI（用戶名/密碼）類型的訪問形式，同時(shí)還提供了一種操作系統(tǒng)訪問模式，只要是操作系統(tǒng)中合法的、并具有相應(yīng)訪問權(quán)限的用戶都可以進(jìn)行數(shù)據(jù)庫(kù)訪問。一方面，這為數(shù)據(jù)庫(kù)訪問提供了一定的便利條件，用戶不需要額外的訪問口令，另一方面，帶來了數(shù)據(jù)庫(kù)安全問題，一旦具有惡意的操作訪問者，利用操作系統(tǒng)漏洞進(jìn)行數(shù)據(jù)庫(kù)訪問破壞，極易引起數(shù)據(jù)丟失和損壞。當(dāng)然，可以通過一定的安裝和設(shè)置手段進(jìn)行相關(guān)權(quán)限的限制，文本只是以此為例進(jìn)行相關(guān)問題的闡釋。除了上述的操作系統(tǒng)訪問形式導(dǎo)致的數(shù)據(jù)庫(kù)漏洞以外，還有一些諸如病毒、蠕蟲等惡意性的軟件對(duì)于數(shù)據(jù)庫(kù)造成的損害，例如，一些惡意軟件對(duì)于數(shù)據(jù)庫(kù)文件的肆意刪除破壞、對(duì)二進(jìn)制代碼的惡意修改，都容易導(dǎo)致數(shù)據(jù)完整性和可用性方面的問題?？傊捎跀?shù)據(jù)庫(kù)運(yùn)行環(huán)境不安全造成數(shù)據(jù)庫(kù)安全問題，是數(shù)據(jù)庫(kù)安全管理中常見的表現(xiàn)形式。

2.2 數(shù)據(jù)庫(kù)自身引發(fā)的安全問題

每種數(shù)據(jù)庫(kù)或多或少都有這樣或者那樣的問題，一些安全訪問以及權(quán)限控制方面的漏洞極容易引發(fā)數(shù)據(jù)泄漏和數(shù)據(jù)破壞的問題，為此數(shù)據(jù)庫(kù)開發(fā)商不定期的會(huì)發(fā)布一些數(shù)據(jù)庫(kù)補(bǔ)丁對(duì)使用中的數(shù)據(jù)庫(kù)漏洞進(jìn)行修復(fù)；同時(shí)，在我國(guó)，一些應(yīng)用軟件開發(fā)者和使用者往往為了節(jié)省開支，往往使用一些破解版本，這些破解以后數(shù)據(jù)庫(kù)安裝軟件在提供服務(wù)的同時(shí)極容易暗含一些“后門”程序，在用戶不知情的情況下對(duì)用戶數(shù)據(jù)進(jìn)行竊取或破壞，從而帶來巨大的數(shù)據(jù)庫(kù)安全管理隱患；除此之外，世界上知名的一些數(shù)據(jù)庫(kù)廠商如Oracle數(shù)據(jù)庫(kù)、SQL Server數(shù)據(jù)庫(kù)以及Mysql數(shù)據(jù)庫(kù)等核心技術(shù)都牢牢掌握在微軟、甲骨文等國(guó)外軟件供應(yīng)商手中，我國(guó)缺乏相應(yīng)自主核心技術(shù)，一旦出現(xiàn)由于政治和軍事原因等限制，也容易導(dǎo)致受制于人的安全情況發(fā)生。因此，從數(shù)據(jù)庫(kù)自身而言，數(shù)據(jù)庫(kù)的設(shè)計(jì)漏洞、盜版或者破解版數(shù)據(jù)庫(kù)的使用以及缺乏自主知識(shí)產(chǎn)權(quán)的數(shù)據(jù)庫(kù)都是容易造成數(shù)據(jù)庫(kù)安全管理問題的重要方面。

2.3 數(shù)據(jù)庫(kù)程序訪問代碼設(shè)計(jì)造成的安全問題

造成數(shù)據(jù)庫(kù)安全管理問題的原因還包括數(shù)據(jù)庫(kù)訪問代碼的安全策略，一方面，在數(shù)據(jù)庫(kù)訪問權(quán)限方面，往往給予訪問者過多的表空間訪問權(quán)利，隨意分配超級(jí)管理員（root權(quán)限）給訪問控制程序，用戶程序可以肆意的進(jìn)行表數(shù)據(jù)的刪除修改操作引起的安全問題；另一方面，是由于程序代碼在數(shù)據(jù)庫(kù)訪問方面編寫不當(dāng)而引起的安全問題，例如在訪問結(jié)束以后不能及時(shí)的釋放數(shù)據(jù)庫(kù)連接會(huì)話，不能合理的利用數(shù)據(jù)庫(kù)的多層次訪問模式進(jìn)行數(shù)據(jù)訪問，導(dǎo)致一些無用的數(shù)據(jù)庫(kù)連接長(zhǎng)期占用數(shù)據(jù)庫(kù)訪問資源，在很小的訪問量的情況下就會(huì)引起數(shù)據(jù)庫(kù)崩潰的安全問題；除此之外，一些程序員對(duì)敏感的數(shù)據(jù)不注重加密保護(hù)，進(jìn)行明文傳傳輸，一旦數(shù)據(jù)被攔截，也可能造成數(shù)據(jù)庫(kù)安全問題的發(fā)生。由此可見，程序代碼設(shè)計(jì)編寫缺陷，對(duì)于數(shù)據(jù)庫(kù)的安全訪問也會(huì)引起相應(yīng)的安全管理問題。

2.4 人為因素引起的數(shù)據(jù)庫(kù)安全問題

除了上述技術(shù)性的原因，計(jì)算機(jī)操作應(yīng)用者缺乏相應(yīng)的安全意識(shí)，例如，將部署有數(shù)據(jù)庫(kù)服務(wù)的主機(jī)隨意暴露在公共網(wǎng)絡(luò)中，不能及時(shí)對(duì)數(shù)據(jù)庫(kù)訪問應(yīng)用的會(huì)話進(jìn)行安全關(guān)閉，使用一些弱口令，不能對(duì)密碼進(jìn)行定期更換等不安全的人為操作也都容易導(dǎo)致數(shù)據(jù)庫(kù)的安全性問題。

3 計(jì)算機(jī)數(shù)據(jù)庫(kù)安全管理的措施

3.1 創(chuàng)造相對(duì)獨(dú)立安全的數(shù)據(jù)庫(kù)運(yùn)行環(huán)境

為數(shù)據(jù)庫(kù)提供相對(duì)獨(dú)立和安全的運(yùn)行環(huán)境是提升數(shù)據(jù)庫(kù)安全管理的首要保障，在物理設(shè)備保護(hù)上，可以將數(shù)據(jù)庫(kù)服務(wù)器進(jìn)行安全隔離，關(guān)閉該服務(wù)器不必要的端口，通過防火墻、路由器等網(wǎng)絡(luò)設(shè)備的安全設(shè)置保障數(shù)據(jù)庫(kù)服務(wù)運(yùn)行的安全可靠性；另一方面，應(yīng)保障數(shù)據(jù)庫(kù)運(yùn)行的操作系統(tǒng)的安全可靠性，對(duì)于一些有條件的機(jī)構(gòu)，本文建議科技將數(shù)據(jù)庫(kù)部署在Unix和Linux操作系統(tǒng)上，同時(shí)定期對(duì)相關(guān)的軟件進(jìn)行升級(jí)，修補(bǔ)軟件漏洞，另外，在相關(guān)軟件的選擇上，杜絕破解盜版軟件的使用，盡可能選擇released版本，減少測(cè)試和不穩(wěn)定版本的選用。除此之外，應(yīng)保障機(jī)房環(huán)境在溫度、濕度、電磁環(huán)境的相對(duì)安全性，同時(shí)保障數(shù)據(jù)庫(kù)持續(xù)服務(wù)能力，可以采取冗余磁盤、多主機(jī)等模式進(jìn)行工作?？傊瑧?yīng)盡可能為數(shù)據(jù)庫(kù)提供相對(duì)獨(dú)立、安全的運(yùn)行軟、硬件環(huán)境，從技術(shù)和設(shè)備上進(jìn)行充分保障。

3.2 加強(qiáng)對(duì)數(shù)據(jù)庫(kù)的安全維護(hù)工作

做好數(shù)據(jù)庫(kù)的安全維護(hù)工作對(duì)于數(shù)據(jù)庫(kù)安全保障也有著非常重要的意義，第一，應(yīng)對(duì)數(shù)據(jù)庫(kù)中數(shù)據(jù)進(jìn)行定期的備份，如日常性的增量備份以及定期的完全備份，對(duì)于系統(tǒng)環(huán)境也可以進(jìn)行鏡像備份一旦出現(xiàn)數(shù)據(jù)庫(kù)和操作系統(tǒng)崩潰或者損壞問題，能夠做到及時(shí)有效的恢復(fù)處理；第二，數(shù)據(jù)庫(kù)軟件持續(xù)運(yùn)行過程中勢(shì)必會(huì)產(chǎn)生一些文件垃圾、數(shù)據(jù)碎片、殘余的表空間、表結(jié)構(gòu)，因此數(shù)據(jù)庫(kù)管理者應(yīng)能夠根據(jù)數(shù)據(jù)庫(kù)運(yùn)行需求對(duì)這類垃圾文件和碎片化的數(shù)據(jù)進(jìn)行清理和整合，提升數(shù)據(jù)庫(kù)數(shù)據(jù)的有效性保障；第三，應(yīng)做好數(shù)據(jù)庫(kù)升級(jí)工作，數(shù)據(jù)庫(kù)升級(jí)更新工作是有效減少數(shù)據(jù)庫(kù)漏洞，提升數(shù)據(jù)庫(kù)可訪問性、優(yōu)化數(shù)據(jù)訪問效率以及進(jìn)行數(shù)據(jù)庫(kù)智能化管理的重要舉措，因此應(yīng)及時(shí)根據(jù)數(shù)據(jù)庫(kù)供應(yīng)商的提示展開升級(jí)更新工作；第四，對(duì)于一些數(shù)據(jù)庫(kù)特殊操作，如數(shù)據(jù)庫(kù)的遷移、數(shù)據(jù)庫(kù)分布式的工作模式、數(shù)據(jù)庫(kù)異地操作都能熟練的進(jìn)行掌握，減少由于操作熟練性的原因引起的數(shù)據(jù)庫(kù)安全管理方面的問題；第五，通過隔離不同應(yīng)用程序在數(shù)據(jù)庫(kù)服務(wù)器上的部署，減少由此引發(fā)的安全問題，諸多應(yīng)用程序可以與數(shù)據(jù)庫(kù)部署在統(tǒng)一服務(wù)器上，通過虛擬化的手段對(duì)不同應(yīng)用進(jìn)行隔離也是阻止應(yīng)用程序之間引起的數(shù)據(jù)庫(kù)安全問題的有效手段。除此之外，數(shù)據(jù)庫(kù)的安全維護(hù)工作還包括對(duì)于日志的審計(jì)、分析等方面的內(nèi)容。

3.3 為數(shù)據(jù)庫(kù)提供訪問權(quán)限控制

數(shù)據(jù)庫(kù)權(quán)限方面的控制，首先，盡量減少root（超級(jí)管理員）權(quán)限的賦予次數(shù)，杜絕應(yīng)用程序?qū)τ趓oot權(quán)限的使用，而應(yīng)僅僅提供相應(yīng)程序相應(yīng)表空間的訪問權(quán)限，對(duì)于表空間用戶的操作權(quán)限也應(yīng)進(jìn)一步細(xì)化，有效控制刪除性操作和改動(dòng)性操作的賦予次數(shù)；其二，根據(jù)數(shù)據(jù)庫(kù)服務(wù)特點(diǎn)，有效利用視圖模式、臨時(shí)表模式對(duì)于數(shù)據(jù)訪問操作，提升數(shù)據(jù)訪問效率和數(shù)據(jù)安全訪問的保障；第三，在一些包含用戶名、密碼、登錄口令等數(shù)據(jù)傳輸時(shí)，應(yīng)使用不同程度的加密手段，如，用戶名密碼登錄控制時(shí)，對(duì)于用戶輸入的明文用戶名密碼進(jìn)行加密，對(duì)從數(shù)據(jù)庫(kù)中提取的正確用戶名密碼同樣進(jìn)行加密處理，然后對(duì)二者的加密數(shù)據(jù)進(jìn)行比較，盡量減少敏感數(shù)據(jù)明文傳輸、存儲(chǔ)?？傊?，加強(qiáng)數(shù)據(jù)庫(kù)的訪問權(quán)限管理能夠提升數(shù)據(jù)庫(kù)安全管理水平。

3.4 做好數(shù)據(jù)庫(kù)訪問的識(shí)別和安全審查工作

數(shù)據(jù)庫(kù)的訪問識(shí)別應(yīng)整合當(dāng)前常見的鑒別形式，例如除了必要的進(jìn)行用戶名密碼身份識(shí)別以外，還應(yīng)將當(dāng)前成熟的手機(jī)識(shí)別、二維碼識(shí)別等形式進(jìn)行有效整合，通過多角度、多維度的身份識(shí)別模式進(jìn)行用戶有效性識(shí)別，以此提升數(shù)據(jù)庫(kù)安全訪問度。

安全審查工作，則更多的是通過數(shù)據(jù)庫(kù)的日志審計(jì)來完成的。通過分析日志中異常的登錄訪問記錄，以及連續(xù)性的危險(xiǎn)性操作來評(píng)估，訪問者的合法性，同時(shí)還應(yīng)對(duì)用戶常用的IP地址、設(shè)備mac地址進(jìn)行記錄，對(duì)于一些違反安全策略的、具有安全隱患的操作進(jìn)行及時(shí)的隔離，從而提升數(shù)據(jù)庫(kù)安全可靠性。

3.5 其他方面對(duì)于數(shù)據(jù)安全管理的影響

除了上述設(shè)備和技術(shù)性的保障以外，還可以通過制定相應(yīng)的安全操作制度、提升應(yīng)用軟件使用者的安全意識(shí)、提升程序員對(duì)于數(shù)據(jù)庫(kù)訪問代碼編寫的健壯性等措施提升數(shù)據(jù)庫(kù)安全性。另外，隨著我國(guó)相關(guān)法律法規(guī)的日臻完善，技術(shù)手段的不斷提升，這對(duì)于數(shù)據(jù)庫(kù)等信息安全都提供了良好的外部環(huán)境。

綜上所述，加強(qiáng)數(shù)據(jù)庫(kù)安全管理，應(yīng)從數(shù)據(jù)庫(kù)所依賴度的 軟硬件環(huán)境入手，結(jié)合數(shù)據(jù)庫(kù)自身安全設(shè)計(jì)，加強(qiáng)數(shù)據(jù)庫(kù)對(duì)外部訪問接口的限制以及做好數(shù)據(jù)庫(kù)維護(hù)工作等諸多方面共同加強(qiáng)。

參考文獻(xiàn)：

[1] 謝海波. 如何規(guī)避計(jì)算機(jī)安全風(fēng)險(xiǎn)——淺談數(shù)據(jù)庫(kù)管理技術(shù)[J]. 電子制作，2014（1）：256.

[2] 龍憶. 芻議計(jì)算機(jī)數(shù)據(jù)庫(kù)安全的有效管理[J]. 電子技術(shù)與軟件工程，2014（1）：197-198.

[3] 趙宏飛，國(guó)靜萍. 試論計(jì)算機(jī)數(shù)據(jù)庫(kù)的安全防范技術(shù)及安全管理[J]. 數(shù)字技術(shù)與應(yīng)用，2014（4）：190.

[4] 劉欣. 強(qiáng)化計(jì)算機(jī)數(shù)據(jù)庫(kù)安全管理技術(shù)的有益探索[J]. 電子技術(shù)與軟件工程，2014（15）：215.

[5] 黎芳君. 計(jì)算機(jī)網(wǎng)絡(luò)數(shù)據(jù)庫(kù)的安全管理技術(shù)分析[J]. 中國(guó)高新技術(shù)企業(yè)，2016（1）：75-76.

[6] 劉曉玲，劉征. 計(jì)算機(jī)數(shù)據(jù)庫(kù)安全管理分析與探討[J]. 山東輕工業(yè)學(xué)院學(xué)報(bào)：自然科學(xué)版，2013（1）：65-68.

[7] 蘇艷. 計(jì)算機(jī)數(shù)據(jù)庫(kù)的安全管理措施分析[J]. 電子技術(shù)與軟件工程，2016（1）：222.