sql server数据库的安全策略和安全机制

2016年第10期信息与电脑China Computer&Communication数据库技术

SQL Server数据库的安全问题与安全策略

梁玉英（广东理工学院，广东 肇庆 526040）

摘　要：数据库安全包含系统运行安全和系统信息安全，笔者探讨了应用SQL Server设计数据库时需要考虑的安全问题，探讨了SQL Server数据库设计的安全策略，即系统安全设置、SQL Server数据库安全设置、访问控制、加密和数据库的备份和恢复策略。关键词：数据库；数据安全；数据库备份中图分类号：TP311.13 文献标识码：A 文章编号：1003-9767（2016）10-116-02

数据库技术是现代计算机信息系统和应用系统开发的核心技术。数据库的主要作用是存储和查询数据，在网络环境下，数据的存储、处理和传输过程，都面临着数据安全问题，数据库的安全问题是数据库管理系统的核心问题之一。安全机制强大的数据库系统，其安全性、可靠性高。目前，SQL Server被广泛应用于中、小型企业的管理系统中，各种数据库的安全产品也很多。本文主要探讨的是SQL Server数据库管理系统的安全问题和安全策略。１　安全问题数据库安全包含系统实体安全、系统运行安全和系统信息安全，系统实体安全包括环境安全、设备安全和媒体安全[1]；系统运行安全包括审计跟踪、风险分析、备份与恢复、灾难应急；系统信息安全包括身份验证、访问控制、病毒防护和数据加密[2]。数据安全问题包括数据完整性、保密性、可用性和故障恢复等几个方面[3]。２　安全策略对于数据库的安全问题，采取的策略主要是通过安全措施防止数据被篡改、破坏和窃取。安全性保护措施有登陆的身份验证管理、数据库的访问权限和对象的访问权限。通过操作系统级、SQL Server级和数据库级三个层次来实现SQL Server数据库的安全管理[4]。2.1 系统安全设置操作系统级的安全机制主要有文件保护机制、存取机制、用户身份验证机制和病毒程序预防机制。在系统的安全设置中，具体做法如下。（1）更改系统管理员Administrator帐号名称，并且将Guest账号设置为禁用；密码设置要用数字、字母和特殊字符组合，增加密码长度，建议7位以上。（2）管理员离开电脑时，要将主机锁定。（3）定时下载最新的系统补丁程序。（4）进入“管理工具”的“服务”，关闭无关的服务应用。（5）设置好操作系统自带安全审核工具，开启方法如下：运行“gpedit.msc”，打开“本地组策略对象编辑器”管理单元，选择“本地计算机策略”，单击“本地计算机策略｜计算机配置｜Windows设置｜安全设置｜本地策略｜审核策略”，在右窗格中，双击要为其更改审核策略设置的事件类别。根据审核策略说明和自己的需求来定义审核策略，根据要审核成功的尝试，勾选选项。开启审核策略后用户可以在事件日志里查看安全日志，里面会有详细的审核记录，不过审核量很大，比较耗费系统资源。在“运行”中输入“Eventvwr.msc”，通过查看安全日志就可以看到审核的消息。2.2 SQL Server数据库安全设置在数据库级的安全设置，主要采用认证模式和访问控制的手段，在数据库存储时，目前主要采用加密技术。2.2.1 安全安装SQL Server在安装SQL Server时，建议使用Windows认证模式，如果使用混合模式认证，在完成SQL Server安装以后，SQL Server会默认创建一个sa管理账号，它是系统超级管理员，能执行数据库服务器的所有操作。sa的密码在安装时就要设定，安装完成后，如需修改，可以在“安全性”｜“登录名”下进行更改。默认的身份验证模式是Windows认证模式，它是使用Windows操作系统中的信息验证帐户名和密码。当用户使用一个合法用户名和密码连接到服务器时，SQL Server就确认用户的注册信息，结果是用户只是在Windows和SQL Server中注册，帐号信息被Windows严格存储。混合模式是Windows认证和SQL Server认证的结合。在混合模式中，一些用户可以继续使用Windows帐号来访问SQL Server，但其他用户只能使用与Windows帐号完全不关联的SQL Server用户帐号。每一个SQL Server帐号都存放它的用户名和密码。假如用户的注册信息相同，则还要输入Windows帐号和SQL Server帐号。因此，Windows认证比混合模式更具优越性。将SQL Server网络配置中的“TCP/IP”的状态调成“启用”，不允许无安全许可的客人访问任何含有安全数据的数据库。在数据库系统管理中，要根据实际情况，另外设置一个权限比sa低的管理员帐号来运行SQL Server，而不是用sa直接运行。

籀　Ｉ数字技术　ｆ　安全技术　

浅谈ＳＱＬＳｅｒｖｅｒ数据库的安全机制问题　

王书荣　（泉州轻工职业学院福建省泉州市晋江市３６２２００）　

摘要：ＳＱＬＳｅｒｖｅ－￣库如今已经被广泛应用与各个领域，本文以ｓＱｋｅⅣｅｒ数据库为例，针对数据库应用，讨论了数据库的几种使用上的安全　问题，如：审计功能、访问控制、身份验证、数据库加密、视图和存储过程机制、备份、恢复和并发控制机制等。提出了一些具体的解决建议。从而提高用户　对数据库安全防范意识。　关键词：ＳＱＬｓｅｒｖｅｒ数据库安全机制　中图分类号：ＴＰ３９３．Ｏ８　文献标识码：Ａ　文章编号：１００７．９４１６（２０１３）０２—０１７１—０１　

１数据库安全的内涵　

数据库安全是指保护数据库以防止非法用户的越权使用、窃　

取、更改或破坏数据。与其它计算机系统（如操作系统）的安全要求类　

似。数据库系统的安全要求可以归纳为保密性、完整性和可用性三　

个方面。　１．１保密性　

保密性指保护数据库中的数据不被泄露和未授权的获取，一般　

要求对用户进行访问授权，同一组数据的不同用户可以被授予不同　

的存取权限．同时还要求能够对用户的访问操作行为进行跟踪和审　

计。　１．２完整性　

数据库的完整性主要包括物理完整性和逻辑完整性。物理完整　

性是指保证数据库的数据不受物理故障（女Ⅱ硬件故障、突然断电等）　

的影响，并有可能在灾难性毁坏时重建和恢复数据库，逻辑完整性　

是指对数据库逻辑结构的保护，包括数据的语义完整性和操作完整　

性。前者是数据存取在逻辑上满足完整性约束，后者主要是指在并　

发事务中保证数据的一致性。　

１．３可用性　

数据库的可用性是指数据库不应拒绝授权用户对数据的正常　

操作，同时保证系统的运行效率并提供用户良好的人机交互。　

２　ＳＱＬＳＥＲＶＥＲ的数据库安全机制　

２．１审计功能　

数据库审计是监视和记录用户对数据库所施加的各种操作的　

机制。通过审计机制，可以自动记录用户操作，利用审计跟踪的信　

墨　

ＳＱＬ　Ｓｅｒｖｅｒ数据库安全策略研究　

刘　冰　罗来俊１　刘秋平１　刘邦桂ｚ　

（１江西理工大学南吕校区信息Ｔ程系，江西南昌　３３００１３；２广东广播电视大学汁算机系，广东广州　５１００９１）　

摘要：ＳＱＬ　Ｓｅｒｖｅｒ￣全管理机制是一个难点，本文分析　论述了ＳＱＬＳｅｒｖｅｒ２００５数据库采用的安全策略．以减少其受攻　击的风险。　关键词：ＳＱＬ　Ｓｅｒｖｅｒ数据库安全　安全策略　１．引言　随着计算机技术与网络的广泛应用，ＳＱＬＳｅｒｖｅｒ数据库在　各行各业也都得到了广泛应用。但是汁算机软／硬件故障、木马　病毒、黑客攻击等多种因素．都可导致数据库数据丢失、数据崩　溃和系统瘫痪。因此，对于数据库管理员来说．一个很重要的任　务就是科学有效地管理Ｓ０ＬＳｅｒｖｅｒＹ４￣据库，并保证其安全。　ＳＱＩ　Ｓｅｒｖｅｒ　２００５是Ｍｉｅｒｏｓｏｆｔ公司推出的数据库管理系统。　与前面几个版本相比，ＳＱＬ　Ｓｅｒｖｅｒ　２００５通过数据库加密、高级　安全配置、密码政策和细化许可控制等安全策略，为数据提供　

第五步：在代码窗口中编写用于捕捉ＰＰＴ幻灯片开始播放　的事件，以及计时程序代码。　Ｐｕｂｌｉｃ　ＷｉｔｈＥｖｅｎｔｓ　Ａｐｐ　Ａｓ　Ａｐｐｌｉｃａｔｉｏｎ　Ｐｒｉｖａｔｅ　ｊｓ　Ａｓ　Ｂｏｏｌｅａｎ。开始或停止倒计时程序　‘ＰＰＴ开始播放幻灯片时　Ｐｒｉｖａｔｅ　Ｓｕｂ　ＡｐｐＳＩｉｄｅＳｈ０ｗＢｅｇｉｎ（ＢｙＶａｌ　Ｗｎ　Ａｓ　Ｓｌｉｄｅ　Ｓｈｏｗ　Ｗｉｎｄｏｗ）　Ｄｉｍ　ｔｔ　Ａｓ　Ｉｎｔｅｇｅｒ　Ｄｉｍ　Ｘ．Ｙ　Ａｓ　Ｉｎｔｅｇｅｒ　Ｄｉｍ　Ｓｔａｒｔ　Ａｓ　Ｓｉｎｇｌｅ　ｔｔ＝２７００。５分钟倒计时，初始值为３００秒　ｊｓ＝Ｔｒｕｅ‘让倒计时程序开始］一作　

Ｓｔａｒｔ＝Ｔｉｍｅｒ。获得系统时间，可以精确到０．００１秒　Ｄｏ　Ｗｈｉｌｅ　ｊｓ＝Ｔｒｎｅ　ＩｆＴｉｍｅｒ＞＝Ｓｔａｒｔ＋１　Ｔｈｅｎ‘如果与前一次记录的初始时　间相差１秒时　Ｓｔａｒｔ＝Ｔｉｍｅｔ‘重新记录初始时问　ｔｔ＝ｔｔ—ｌ。剩余总秒数少１秒　Ｉｆｔｔ＜＝０Ｔｈｅｎｉｓ＝Ｆａｌｓｅ‘如果倒计时完成时，停止倒让时　Ｘ＝Ｉｎｔ（ｔｔ／６０）‘剩余总秒数化为分：秒，并显示在各幻灯片　Ｙ＝ｔｔＭｏｄ　６０　Ｓｌｉｄｅ１．ＴｅｘｔＢｏｘ１．Ｔｅｘｔ＝ＣＳｔｒ（Ｘ＆”：”＆Ｙ）　Ｓｌｉｄｅ２．ＴｅｘｔＢｏｘ１．Ｔｅｘｔ＝ＣＳｔｒ（Ｘ＆”：”＆Ｙ）　Ｓｌｉｄｅ３．ＴｅｘｔＢｏｘ１．Ｔｅｘｔ＝ＣＳｔｒ（Ｘ＆”：”＆Ｙ）　Ｅｌｓｅ　ＤｏＥｖｅｎｔｓ　ＥｎｄＩｆ　Ｌｏｏｐ　Ｅｎｄ　Ｓｕｂ‘ＰＦＦ结束播放幻灯片时，停止倒计时　Ｐｒｉｖａｔｅ　Ｓｕｂ　Ａｐｐ　ＳｌｉｄｅＳｈｏｗＥｎｄ（ＢｙＶａｌ　Ｐｒｅｓ　Ａｓ　Ｐｒｅｓｅｎｔａ—　ｔｉｏｎ）　ｉｉｓｈｉ－－Ｆａｌｓｅ　Ｅｎｄ　Ｓｕｂ　第五步：在编辑窗口中选择菜单“插入一模块”，在属性窗　口中把“模块１”名称改为“ＣｌａｓｓＭｏｄｕｌｅ”。在代码窗口中编写用　于初始化刚才制作的ＥｖｅｎｔＣｌａｓｓＭｏｄｕｌｅ模块的程序代码。　Ｄｉｍ　Ｘ　Ａｓ　Ｎｅｗ　ＥｖｅｎｔＣｌａｓｓＭｏｄｕｌｅ　创建一个类对象，并　把它与Ｐ　连接　Ｓｕｂ　ＩｎｉｔｉａｌｉｚｅＡｐｐ（）　Ｓｅｔ　Ｘ．Ａｐｐ＝Ａｐｐｌｉｃａｔｉｏｎ　Ｅｎｄ　Ｓｕｂ　第六步：双击工程资源管理器中的Ｓｌｉｄｅ１对象，在代码窗　口中编写代码。　Ｐｒｉｖａｔｅ　Ｓｕｂ　Ｉｍａｇｅ１一ＭｏｕｓｅＭｏｖｅ（ＢｙＶａｌ　Ｂｕｔｔｏｎ　Ａｓ　Ｉｎｔｅｇｅｒ，　ＢｙＶａｌ　Ｓｈｉｆｔ　Ａｓ　Ｉｎｔｅｇｅｒ，ＢｙＶａｌ　Ｘ　Ａｓ　Ｓｉｎｇｌｅ，ＢｙＶａｌ　Ｙ　Ａｓ　Ｓｉｎｇｌｅ）　ＩｎｉｔｉａｌｉｚｅＡｐｐ　二、在幻灯片母版中使用Ｆ１ａｓｈ计时器　１．使用“控件”插．＆．Ｆｌａｓｈ计时器　第一步：选择菜单栏“视图一母版一幻灯片母版”，在幻灯　片母版窗口选择菜单栏“视图一工具栏一控件工具箱”　第二步：在“控件工具箱”当中选择“其他控件”按钮．在随　后打开的控件选项界面中．选择“Ｓｈｏｃｋｗａｖｅ　ＦｌａｓｈＯｂｊｅｅｔ”选　项，出现“＋”字光标，再将该光标移动￣１｜ＰｏｗｅｒＰｏｉｎｔ的编辑区域　中，画出适合大小的矩形框　第三步：右击矩形框，在快捷菜单中选择“属性”，出现属　性页。找到“ＭＯＶＩＥ”项，在其巾输入完整的Ｆｌａｓｈ地址，例如：Ｅ：　＼计时器．ｓｗｆ，注意后缀名一定要填写完整。　２．“插入对象”　采用这种方式．在播放幻灯片时会弹出一个播放窗口，它　可以响应所有的Ｆｌａｓｈ鼠标事件。还可以根据需要在播放的过　程中调整窗口的大小。它的缺点是播放完了以后要点击『关　闭１按钮来关闭窗口。操作步骤如下：　第一步：运行ＰｏｗｅｒＰｏｉｎｔ程序，打开要插入动画的幻灯片。　第二步：在菜单中选择“插入”选项．从打开的下拉菜单中　选择“对象”。在弹出的“插入对象”对话框中选择“由文件创　建”，单击ｆ浏览］，选中需要插入的Ｆｌａｓｈ动画文件，最后单击　『确定１返回幻灯片。　第三步：完成上面操作后，幻灯片上就出现了一个Ｆｌａｓｈ文　件的图标，我们可以更改图标的大小或者移动它的位置。在这　个网标上有击鼠标，选叶１“动作设置”命令。在弹出的窗口中选　择“单击鼠标”或“鼠标移动”两个标签都可以．再点击“对象动　作”，在下：『＝＝）＝菜单中选择“激活内容”，最后单击［确定］，完成插　入动画的操作。　三、使用幻灯片的“加载宏”功能．添加计时项　下载一个“计时器．ｐｐａ”文件．启用宏．在幻灯片菜单栏中　便添加了一个“计时器”项　操作步骤如下：　第一步：选择菜单栏“工具一宏一安全性”，将安全级别设　置为“低”。　第二步：选择菜单栏“工具一加载宏”，在弹出的对话框中　进行添加，然后关闭对话框。　第三步：在以上操作完成后，菜单栏中便添加了“计时器”　选项。可以选择此选项，进行时间及计时方式的设置。　

SQL Server数据库安全漏洞及防范策略的探讨

作者：裴大容

来源：《计算机光盘软件与应用》2013年第19期

摘 要：本文在阐述数据库机构的基础上，对数据库存在的安全漏洞进行了分析，并针对漏洞提出了相应的管理策略。

关键词：安全漏洞；管理策略

中图分类号：TP311.13

随着社会信息化程度的不断提高，各行各业对信息系统的依赖性越来越高，数据库作为信息系统的核心担当着重要的角色。尤其在一些对数据可靠性要求很高的行业如银行、证券、电信等，如果发生意外停机或数据丢失其损失会十分惨重。数据库作为数据资料的存储和管理的仓库，对系统的稳定运行起着关键的支撑作用，数据库存储的数据越来越庞大，而且重要性和机密性越来越强，数据库系统也成为黑客攻击的主要目标，一旦数据资料遭到破坏或者入侵，系统将无法提供正常的服务甚至机密泄露。因此，数据库的安全对于整个系统的稳定运行至关重要。

1 数据库安全漏洞

安全漏洞是指受限制的计算机、组件、应用程序或其他联机资源的无意中留下的不受保护的入口点。漏洞是硬件软件或使用策略上的缺陷，病毒和黑客通过漏洞对计算机进行攻击。数据库的漏洞主要有以下几方面：

1.1 弱用户名或密码

SQL Server服务器级有两种身份验证模式：混合验证模式、windows集成验证模式。Windows身份验证模式是SQL Server 2000中的默认身份验证模式。在Windows身份验证模式下，SQL Server 2000仅依赖用户的Windows身份验证。在混合模式下，可以使用Windows身份验证或SQL Server身份验证对用户进行验证。SQL Server身份验证的用户的用户名和密码经过验证后才能登陆，当用户名和密码的复杂程度不够高，健壮性不强时，通过暴力破解，攻击者不断地输入用户名和密码组合，直到找到可以登录的一组，非法入侵数据库。