下载文档原格式
科技信息2008年第24期SCIENCE&TECHNO LO GY INFORMATIONWeb环境下数据库系统安全性及控制策略分析王如松1李明虎1聂振国1杜伟华2(1.山东山大华特科技股份有限公司山东济南250061;2.山东黄河河务局工程建设管理站山东济南250011)【摘要】数据库系统十分重要,同时其安全性又受到多种威胁,并且随着网络技术的发展,Web环境下的数据库系统所面临的问题和威胁呈现出多元化和多样性的特点。
【关键词】数据库;系统安全;控制策略数据库系统十分重要,同时其安全性又受到多种威胁,并且随着网络技术的发展,Web环境下的数据库系统所面临的问题和威胁呈现出多元化和多样性的特点。
1.We b环境下的数据库系统安全的重要性在Web环境下数据库系统安全的重要性主要体现在以下几个方面:⑴保护敏感信息和数据资产大多数企业、组织以及政府部门的电子数据都保存在各种数据库系统中,他们用这些数据库系统保存一些涉及个人隐私的资料。
数据库服务器还掌握着业务敏感的金融数据,如商业事务等信息。
这些信息都应该保护起来,防止竞争者和其他非法者获取资料。
从某种意义上讲,数据库系统的安全对企业组织等的生存和发展起着十分重要的作用。
⑵数据库系统同计算机系统紧密相关,需要正确地配置和保护数据库应用程序通常都同操作系统的最高管理员密切相关。
虽然许多DBA都靠全日制工作来管理这些复杂的系统,但是安全漏洞和不当的配置通常会造成严重的后果,而且难以发现。
因此,正确地配置和保护数据库系统安全对整个计算机系统都具有重要意义。
⑶在Web环境下数据库服务器的安全与网络的安全同等重要现在的数据库系统都有很多方面被误用或者存在漏洞影响到安全。
这些关系数据库都提供基于T CP/IP的端口连接,表示在没有设置访问控制的情况下,任何人都能够用分析工具试图连接到数据库上,而绕过操作系统的安全机制。
多数数据库系统也有公开的默认帐号和默认密码,此时可以顺利的连接到数据库系统进而控制网络。
办公自动化杂志0引言随着互联网技术的快速发展和信息化时代的到来，各种网站系统如雨后春笋般迅速发展建立起来，而网站的建立离不开数据库的支持，网站在前台，由网站程序文件Web 展示，数据库则在后台，通过中间件技术（A-pache+PHP+MySQL+Perl）进行连接。
网站系统与数据库的联系由此建立起来，而与此同时网站系统中数据库的安全性也越来越被更多的人重视。
企业系统、论坛系统和购物平台系统等都属于网站系统的一类，当用户访问网站时，一方面用户先接触网站本身的系统可行性；另一方面是对其安全性的考虑，而数据库的安全性设计反映着网站系统中数据的安全性，其中数据库的安全性是由数据库管理系统通过一定的方式来保证数据的安全可靠和正确有效。
由此提供给用户一个满意的网站系统应用环境。
本文从数据库的安全性设计、网站系统中数据的安全性分析和网站系统中的数据库安全性设计措施三个大的方面来展开，进行详细的描述。
1数据库的安全性设计数据库的安全性设计是指针对用户权益的安全性，通过各种安全性控制方法对其进行保护。
包含权限的设计和系统安全的设置。
权限主要包括用户权限、访问权限、再次校对和登录四个权限。
针对网站系统，数据库的安全性设计是指在数据库设计的基础上对数据库增加层层保护机制，保护网站系统中用户的信息不被泄露或恶意修改等，即在设计优化数据库逻辑模式和物理结构后，建立数据库及其应用系统，相关技术人员对其安全性进行分析并给出保护策略的思想内容。
随着信息化时代的到来，越来越多的网站提供了丰富广泛的信息，除信息之外，还提供了众多的信息管理功能，比如复杂的供应链管理和客户关系管理等，而这些信息管理功能离不开数据库的支持。
1.1数据库的安全性数据库的安全性对网站系统的开发与应用起着相当重要的作用，何为数据库的安全性？给它一个定义，即为了保护因用户的不合法使用而造成的数据的破坏、泄露以及不合法的修改而对其进行的安全保护机制，最终目的是保护数据库中数据的安全性。
基于Web的数据库应用系统的安全性策略摘要：基于web的数据库应用系统，以其界面美观适用，操作简单便捷，有着非常好的应用前景。
其安全性是开发商和用户都非常关注的一个问题。
因此，本文就如何有效的加强web数据库系统的安全性作了一定的分析和简单的设计，文中从9个方面展开叙述，旨在能应用到各种普通的中小型的web数据库应用系统，确保网络数据库的安全。
关键词：web；数据库；安全
中图分类号：tp391 文献标识码：a 文章编号：1007-9599 （2013） 02-0000-02
随着互联网的迅猛发展，各种网络平台日趋成熟，如网络银行、网络教学、网络购物、网络调查等等已经逐渐为世人所接受并且已融入了人们的日常生活中。
近年来，web技术以其特有的优势赢得了市场，一是能将文本、图像、声音等多媒体信息资源通过用户的浏览、查询实现各站点的共享；二是该技术简单易学、与平台无关、在全球范围可用等。
数据库技术发展到今天，与web技术想结合成为web数据库应用系统，界面美观适用，操作简单便捷。
但安全性不容乐观。
原因如下：一是数据库系统作为信息的聚集体，是计算机系统的核心部件，其安全性直接关系到企业的兴衰，国家安全，因此其安全问题非常重要。
二是在网络方面，由于internet技术本身没有提供任何安全机制，只有web站点和internet连通，就
可能被任何人访问。
因此，本文就如何有效的加强web数据库系统的安全性作了一定的分析和简单的设计，文中强调应从9个方面进行防范，确保网络数据库的安全。
1 web数据库应用系统存在的安全威胁及安全要求
web数据库应用系统在实际操作过程中，海量的数据存放和繁琐的管理过程必然带来诸多的不安全因素。
凡是涉及到对数据库存储数据的非法访问都对数据安全造成威胁。
数据库系统的安全威胁大致可以分为以下几类：一是技术手段的威胁：如用户身份的假冒，非授权的试用以及黑客的恶意攻击或盗用等；二是硬件设施的故障，如机器故障，服务器设备的损坏或数据的丢失等；三是操作人员的错误和系统管理人员的维护错误。
由于网络数据库应用系统是通过web页面与后台数据库交互信息的，数据的存取以及在网络上的传输都存在着诸多的安全隐患。
不同于传统的数据库应用系统只限于本系统的用户进行操作，在共享电子资源的同时必然存在着被篡改、存取丢失数据和在网络传输过程中的丢包、被窃听、被截获等不安全因素。
因此，在开发网络数据库应用系统时必须考虑web数据库安全性等问题。
其安全要求如下：
1.保证数据的完整性。
数据必须是正确有效数据，数据的操作过程是规范合法的。
2.保证数据的安全性。
数据在使用过程中保证数据不被窃取盗
用，不被人为篡改、破坏，不被跟踪攻击。
2 基于web的数据库应用系统的安全性策略
为了实现一个web数据库应用系统的安全，尽力排除不安全因素，可以从以下几个方面建立安全性防护体系：
2.1 客户端安全。
客户应用程序是网络数据库安全性的重要方面。
客户端应用程序可以控制用户的合法登录、身份验证等，还可以直接设置数据，可采用基于com+组件应用程序实现的用户身份鉴定技术，达到提高应用端的安全管理的效果。
2.2 服务器端安全。
采用基于unix操作系统的数据库管理系统，能有效的克服数据易被篡改和破坏的问题。
当网络上的数据传送到服务端，请求响应时，服务器端必须立即启动检测机制，检查其合法性。
同时，最好能对对方的操作予以跟踪，及时发现是否存在非法操作。
一旦发现非法存取数据，服务器端立即启动报警机制，关闭对方的存取权限。
以确保数据的完整和安全。
2.3 数据库本身的安全。
为了确保数据库本身的安全，应从以下几个方面全方位考虑：首先选择一个适合自身系统的安全性较高的数据库管理软件，众多软件比较，一般可选用db2作为我们的数据库管理系统，其安全性相对更高。
其次选择好数据库的安全性实施方案：采用数据库服务器的用户身份鉴定和权限控制技术，数据库服务器与应用系统两级权限控制技术；最后为确保数据文件的安全，应对数据文件进行加密。
2.4 加强外部网络的安全。
一是加强网络通信协议的安全，如ip地址欺骗、icmp等攻击，他们大都属于拒绝服务攻击。
利用源地址验证技术可以阻塞ip欺骗，而icmp攻击等可以安装相应的补丁来保证数据库系统的安全；二是构筑防火墙，在内部网络和外部网之间构造保护墙，阻止对信息资源的非法访问；三是各种用户标识和身份认证；四是采用审计追踪技术，根据网络状态及时发现网络的攻击迹象，及时发现和查找黑客的信息和攻击情况；五是采用并发控制技术，利用封锁机制，使用户只能读取数据而不能修改数据，直到用户释放共享锁，从而保证数据的完整性；六是采用入侵检测技术，基于网络的入侵检测和基于主机的入侵检测联合使用，提供集成化的攻击签名/检测/报告和事件相关联功能；七是实施加密机制：在网络通信过程中将重要内容实施加密。
2.5 计算机设备的安全管理。
对计算机自身的管理也是安全性的一个方面，客户端的计算机和服务器端的计算机都应设置好用户的使用权限并管理好事务日志记录，以便出现问题及时恢复或追踪审查，定时检查电脑的各个性能，若发现有硬件或软件方面的损坏，应及时更新或升级，以便造成不必要的数据丢失。
应配备专门的并且专业的计算机管理人员，进行严格的管理和对系统的维护及定期的系统性能测试检查。
2.6 程序设计的管理，防范漏洞的产生。
在编制web数据库应用程序时，应充分考虑程序本身的漏洞，以及如何避免，尽可能做
到高容错性以及在不同情况下的应变能力。
由于c/s的数据库应用系统是多用户多任务的，因此开发人员在开发时应充分考虑以下几个问题：如何对众多的操作人员进行标识与鉴定（特别是在要对系统中的信息进行修改的操作人员）？如何决定一个操作人员应该进入哪一个工作环境？
2.7 相关人员的有效管理，避免人为的安全隐患。
对技术操作人员应进行标识和鉴定，为每一个操作人员在数据库管理系统中创建一个数据库管理系统帐号，即每一个操作员的工号都对应一个真实的数据库服务器帐号；在数据库中创建一个用户表（操作员表），每一操作人员在此表中都又一个记录，在连接数据库服务器时，这一记录都对应一个唯一的数据库管理系统帐号。
程序设计人员应具备一定的职业道德和职业精神，防止私自在程序设计过程中安置病毒，人为制造诸多安全因素或遗留安全漏洞。
这里包括明知会有安全漏洞或安全威胁，而不去考虑如何解决或不做任何解释说明。
对信息系统的监护人员，如公安机关、政府工作人员以及单位自身内部的所有可能会触及信息系统的人员，应该加强法律法规意识以及鉴别风险危害的意识，把不必要、不应该的威胁尽可能避免。
不断完善法规制度，对机房的管理，以及信息审查员应落实安全责任，严密监控网络安全漏洞和系统升级管理制度。
2.8 数据备份。
数据备份与数据恢复是数据库应用系统的安全
环节之一，适时做好数据备份，以防止意外的发生，建立健全的及时有效的数据恢复机制是必不可少的。
可采用向前滚动恢复机制，以确保数据的高完备性。
2.9 必要的情况建立起监理机制。
鉴于网络安全的重要性，可以考虑在网络应用系统这一块，建立起完善的安全监理机制。
采用监理机制，成立专门的网络安全、信息系统安全的监理机构，全天候的监控网络，监控系统，及时发现并阻击安全威胁，把所有的不安全因素控制在发生之前。
参考文献：
[1]王惠琴，李明.基于web数据库安全机制的研究[j].计算机工程与设计，2002，7：12-14.
[2]罗可，吴一凡.数据库安全问题[j].长沙电力学院学报（自然科学版），1999，14（2）：173-175.。
