淺析SQL Server數(shù)據(jù)庫(kù)的安全問(wèn)題

陳紅艷

摘 要：迅速發(fā)展的信息技術(shù)以及網(wǎng)絡(luò)日益廣泛地應(yīng)用于社會(huì)的一系列行業(yè)，這大大方便了人們的生活與工作，然而，我們需要注意的是，由此產(chǎn)生的數(shù)據(jù)安全性問(wèn)題也提上日程，信息安全問(wèn)題正在越來(lái)越備受人們的關(guān)注。該文將從數(shù)據(jù)庫(kù)自身特點(diǎn)、SQL Server數(shù)據(jù)庫(kù)安全機(jī)制、存在的問(wèn)題以及針對(duì)這些存在的問(wèn)題提出自身的一些改進(jìn)的看法。

關(guān)鍵詞：數(shù)據(jù)庫(kù) 安全 信息

中圖分類號(hào)：C939 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1674-098X（2016）12（b）-0092-02

當(dāng)今時(shí)代是一個(gè)信息化的時(shí)代，也是一個(gè)大數(shù)據(jù)的時(shí)代，迅速發(fā)展的信息技術(shù)以及網(wǎng)絡(luò)日益廣泛地應(yīng)用于社會(huì)的一系列行業(yè)，這大大方便了人們的生活與工作，然而，我們需要注意的是，由此產(chǎn)生的數(shù)據(jù)安全性問(wèn)題也提上日程，信息安全問(wèn)題正在越來(lái)越備受人們的關(guān)注。

尤其是在金融、保險(xiǎn)、醫(yī)療、通信等行業(yè)，一定要采取有效的措施對(duì)其進(jìn)行有效的安全管理數(shù)據(jù)，是關(guān)系商業(yè)系統(tǒng)的前提條件。展現(xiàn)上層的界面都跟數(shù)據(jù)庫(kù)密切聯(lián)系。如果數(shù)據(jù)庫(kù)受到安全攻擊以及破壞，那么會(huì)嚴(yán)重影響全部的外圍系統(tǒng)，甚至產(chǎn)生毀滅性的危害。作為一種最受青睞的數(shù)據(jù)庫(kù)系統(tǒng)SQL Server來(lái)講，自身具備較強(qiáng)的安全保護(hù)體系，從而能夠確保數(shù)據(jù)庫(kù)當(dāng)中數(shù)據(jù)的安全性。

1 數(shù)據(jù)庫(kù)概念與特點(diǎn)

（1）概念：數(shù)據(jù)庫(kù)，即數(shù)據(jù)存儲(chǔ)的倉(cāng)庫(kù)。數(shù)據(jù)庫(kù)當(dāng)中儲(chǔ)存的資料信息非常之多，然而這一系列資料信息的數(shù)量比較少，倘若系統(tǒng)狀態(tài)正常，那么其能夠在系統(tǒng)中長(zhǎng)期進(jìn)行存儲(chǔ)，應(yīng)用人員僅僅需要通過(guò)聯(lián)網(wǎng)就能夠共享數(shù)據(jù)。

（2）特點(diǎn)：共享數(shù)據(jù)。用戶在探究要求的信息的情況下，可以在數(shù)據(jù)庫(kù)中查找十分多的信息，在當(dāng)前的社會(huì)發(fā)展過(guò)程中，信息技術(shù)這種技術(shù)非常關(guān)鍵，而在信息技術(shù)中，十分關(guān)鍵的一個(gè)組成部分是數(shù)據(jù)庫(kù)信息，借助數(shù)據(jù)庫(kù)可以達(dá)到多用戶多進(jìn)程的數(shù)據(jù)共享。

2 SQL Server數(shù)據(jù)庫(kù)安全體系

在應(yīng)用數(shù)據(jù)庫(kù)的時(shí)候務(wù)必確保安全系數(shù)比較高，務(wù)必對(duì)其實(shí)施相應(yīng)的安全策略。SQL Server中采取三級(jí)模式進(jìn)行安全保障。第一關(guān)，通過(guò)登錄賬號(hào)的創(chuàng)建，允許合法的、通過(guò)管理員創(chuàng)建的一些登錄賬號(hào)成功連接服務(wù)器；第二關(guān)，通過(guò)創(chuàng)建數(shù)據(jù)庫(kù)用戶，將特定的數(shù)據(jù)庫(kù)用戶與登錄賬號(hào)關(guān)聯(lián)，使得特定的數(shù)據(jù)庫(kù)用戶只能訪問(wèn)相應(yīng)的數(shù)據(jù)庫(kù)，而不是整個(gè)服務(wù)器下的數(shù)據(jù)庫(kù)全能訪問(wèn)；第三關(guān)，通過(guò)審計(jì)，將數(shù)據(jù)庫(kù)用戶授予相應(yīng)的權(quán)限，合理安排權(quán)限。

3 存在的問(wèn)題

對(duì)于運(yùn)行過(guò)程中的數(shù)據(jù)庫(kù)來(lái)講，務(wù)必實(shí)施相應(yīng)的安全策略，只有如此，才可以確保數(shù)據(jù)庫(kù)的完整性不會(huì)受到十分大的破壞性，計(jì)算機(jī)的性能決定了數(shù)據(jù)庫(kù)的精確性以及兼容性。然而，如此的現(xiàn)狀會(huì)嚴(yán)重影響到數(shù)據(jù)庫(kù)的安全性，管理工作者務(wù)必實(shí)施有效的策略防止輸出有價(jià)值的信息資料，然而，非常有可能由于一系列異常的操作而使數(shù)據(jù)庫(kù)系統(tǒng)的錯(cuò)誤出現(xiàn)，在系統(tǒng)當(dāng)中非常有可能侵入這一系列的信息，進(jìn)而影響到數(shù)據(jù)庫(kù)的完整性。

3.1 賬號(hào)太脆弱

不少比較成熟的操作系統(tǒng)環(huán)境，因?yàn)槭艿狡髽I(yè)相關(guān)要求與安全策略的影響，數(shù)據(jù)庫(kù)用戶常常不具備充分的安全設(shè)置，像是系統(tǒng)當(dāng)中公開缺省的用戶密碼與賬號(hào)未曾被修改或者是禁用，進(jìn)而難以避免非授權(quán)訪問(wèn)，以及在用戶賬號(hào)過(guò)期控制與缺少密碼強(qiáng)度的現(xiàn)狀下設(shè)置用戶賬號(hào)，這使安全功能的提供非常有限。

3.2 數(shù)據(jù)庫(kù)管理工作者身兼多職

傳統(tǒng)的數(shù)據(jù)庫(kù)管理缺少安全管理工作者，這導(dǎo)致數(shù)據(jù)庫(kù)管理工作者不但管理和維護(hù)賬號(hào)，即開發(fā)普通數(shù)據(jù)庫(kù)，而且調(diào)試跟蹤專業(yè)數(shù)據(jù)庫(kù)的操作與優(yōu)化，進(jìn)而降低管理效率，給數(shù)據(jù)安全也帶來(lái)許多不安的因素。

3.3 軟件本身存在問(wèn)題

軟件本身存在缺陷和不足，默認(rèn)設(shè)置的不安全和服務(wù)的脆弱都給安全埋下隱患。

4 改進(jìn)措施

4.1 保障網(wǎng)絡(luò)系統(tǒng)的安全性

網(wǎng)絡(luò)系統(tǒng)的安全性是基礎(chǔ)保障，是確保數(shù)據(jù)庫(kù)安全的根本所在。一般而言，應(yīng)用數(shù)據(jù)庫(kù)的外部環(huán)境是網(wǎng)絡(luò)系統(tǒng)，要想共享數(shù)據(jù)庫(kù)系統(tǒng)少不了網(wǎng)絡(luò)系統(tǒng)。針對(duì)數(shù)據(jù)庫(kù)用戶，不管是分布式用戶，還是異地用戶，都只有借助網(wǎng)絡(luò)才可以對(duì)數(shù)據(jù)庫(kù)當(dāng)中的數(shù)據(jù)進(jìn)行訪問(wèn)。以技術(shù)層面而言，存在非常多的防范網(wǎng)絡(luò)系統(tǒng)層次的技術(shù)，一般劃分為協(xié)作式入侵檢測(cè)技術(shù)、入侵檢測(cè)、數(shù)字認(rèn)證和簽名、防火墻等。

4.2 保證操作系統(tǒng)的安全性

運(yùn)行大型數(shù)據(jù)庫(kù)系統(tǒng)的平臺(tái)是操作系統(tǒng)，對(duì)操作系統(tǒng)的科學(xué)選擇，從某種意義上能夠保證數(shù)據(jù)庫(kù)的安全性。保障操作系統(tǒng)安全的手段是審計(jì)、訪問(wèn)控制、隔離控制、加密信息。

4.3 加密數(shù)據(jù)

避免泄露數(shù)據(jù)庫(kù)信息的一種有效方式是加密數(shù)據(jù)，相比較于傳統(tǒng)的網(wǎng)絡(luò)和通信加密技術(shù)，因?yàn)楸４鏀?shù)據(jù)的時(shí)間比較長(zhǎng)，也要求比較高的加密強(qiáng)度。并且，因?yàn)槎嘤脩艄蚕頂?shù)據(jù)庫(kù)當(dāng)中的數(shù)據(jù)，因此要求比較高的解密和加密時(shí)間，從而不會(huì)使系統(tǒng)性能的要求顯著降低。

4.4 應(yīng)用立足于視圖的數(shù)據(jù)庫(kù)安全模型

文章之前分析了SQL Server通用安全模型的特性是把權(quán)限賦予表，用戶要想操作數(shù)據(jù)庫(kù)、更改數(shù)據(jù)、查詢數(shù)據(jù)的情況下，需要對(duì)表進(jìn)行直接存取，用戶只要具備對(duì)表的Select權(quán)限，就能夠?qū)Ρ懋?dāng)中的一切信息進(jìn)行檢索。然而，實(shí)際情況下大部分的應(yīng)用都需要?jiǎng)澐中畔楦鞣N保密等級(jí)。如常用的學(xué)生成績(jī)管理，對(duì)于普通的用戶來(lái)說(shuō)，只能查詢自己名下的信息，但是我們知道，事實(shí)并非是每一個(gè)用戶獨(dú)立的創(chuàng)建成一張表格，而是在數(shù)據(jù)庫(kù)設(shè)計(jì)時(shí)將所有學(xué)生創(chuàng)建成一張表，這就是通過(guò)視圖的機(jī)制來(lái)實(shí)現(xiàn)的，舉例說(shuō)明：系統(tǒng)中有2張表為student表，包含sno（學(xué)號(hào)）、sname（姓名）、ssex（性別）、sbirth（出生日期）以及cs（成績(jī)表），包含sno（學(xué)號(hào)）、cno（課程號(hào)）、cgrade（成績(jī)）。對(duì)于普通的用戶只能查詢自己的成績(jī)，可以采用以下步驟：

（1）Create view v_grade

as

select s.sno，sname，cno，cgrade from cs c join student s on s.sno=c.sno

where sname=suser_sname（）

（2）創(chuàng)建相應(yīng)的登錄賬號(hào)及數(shù)據(jù)庫(kù)名。

（3）授予數(shù)據(jù)庫(kù)用戶查詢視圖v_grade 的權(quán)限。

所以對(duì)普通用戶來(lái)說(shuō)，他是無(wú)法查詢到student表及cs 表的，通過(guò)視圖機(jī)制，很大程序上保障了數(shù)據(jù)的安全。

該文從多個(gè)方面論述了SQL Server中安全存在的問(wèn)題以及改進(jìn)措施，有時(shí)需多個(gè)策略同時(shí)并進(jìn)，具體問(wèn)題具體分析。

參考文獻(xiàn)

[1] 羅運(yùn)模，王珊.SQL Server數(shù)據(jù)庫(kù)系統(tǒng)基礎(chǔ)[M].北京：高等教育出版社，2004.

[2] 韓嘉檸.Web數(shù)據(jù)庫(kù)的開發(fā)與安全設(shè)計(jì)[J].電腦知識(shí)與技術(shù)（學(xué)術(shù)交流），2007（13）：124-125.