基于Oracle数据库安全问题研究.docVIP

基于Oracle数据库安全问题研究 　　摘要：Oracle数据库是当前应用范围最广的数据库系统之一，其系统安全性也倍受关注。本文将从Oracle数据库的特点出发来分析Oracle数据库存在的一些安全问题，然后提出一些相应的解决策略。 　　关键词：Oracle 数据库安全 安全策略 　　中图分类号： 文献标识码：A 文章编号：1007-9416（2013）01-0173-02 　　由于Oracle数据库是目前比较流行的关系型数据库，它的性能卓越，功能强大，操作也比较容易，因此越来越被广大爱好者使用。但随着应用的增多，数据信息的大量增加，数据库的安全性受到多方面的威胁，包括对数据库中信息的窃取、篡改和破坏、黑客的攻击和病毒的侵害等，均会造成数据库中的数据大量丢失。因此，如何做好Oracle数据库的安全，使数据库系统免遭破坏，是当前数据库管理人员必须解决的问题。 　　1 Oracle数据库的的特点 　　（1）支持多用户、大事务量的事务处理：以Oracle公司公布的数据为例，Oracle8可以支持2万人的并发用户数，支持的数据量为512PB（1024×1024GB），并充分利用硬件设备、支持多用户并发操作、保证数据一致性。 　　（2）数据安全性和完整性控制：Oracle通过权限控制用户对于数据库的存取、实施数据库审计、追踪，以监控数据库的使用状况。 　　（3）提供对于数据库操作的接口：Oracle提供了应用程序、软件、高级语言、异种数据库等对数据库来进行存取。 　　（4）支持分布式数据处理：从Oracle7开始，Oracle数据库就支持分布式数据处理。使用分布式计算环境，可以充分利用计算机网络系统，使不同地域的硬件、数据资源实现共享。 　　（5）可移植性、可兼容性、可连接性：Oracle数据库可以在不同的操作系统上运行，当从一种操作系统移植到另外的操作系统时，只修改少量的代码，其代码的修改率仅为4%。 　　2 Oracle数据库存在的一些安全问题 　　2.1 数据库环境安全配置不合理 　　许多数据库人员在安装配置Oracle系统时没有十分重视，在配置过程中存在用户口令过于简单，DBA口令有多人知道，监听没有设置口令，存在安全问题的内置包没有撤销相应的权限，Oracle各类文件没有设置合理的安全许等问题。 　　2.2 不重视数据库安全规划与设计 　　由于许多Oracle管理员没有掌握较复杂的Oracle安全使用内容，因此在使用过程中赋予某些账户过高的权限，导致许多Oracle数据库在安全问题上存在潜在的漏洞，归纳主要有以下几个方面：没有根据用户的组织与用户情况进行严密的规划与设计；创建用户与对用户授权由DBA随意操作；对当前Oracle系统内各用户及其权限没有办法全面审核；为了开发方便，授予过高的Oracle系统权限等等。 　　2.3 不重视数据库的审计 　　审计是数据库提供的一种用于记录数据库活动的操作记录，它可以对出现问题后进行追踪和分析，但是很多管理员在数据库审计方面认为Oracle数据库已经很安全，不需要设置审计，其次就是即使启用了审计，也没有配备相关的审计人员；在还有就是审计一般只对普通用户进行，没有针对特权用户，审计产生的数据没有存储在安全的地方等等。 　　2.4 特权用户权限不受制止 　　虽然Oracle数据库提供相互制约的安全管理功能，但是很多用户并不关心这个，往往是采用默认权限的方式来管理自己的数据库，这就导致了Oracle系统DBA权限的用户过多，有的甚至没有对特权用户的权限进行限制；在还有就是高权限的用户甚至可修改审计数据，有的用户还有可能绕过应用程序获取对重要数据的直接访问等问题。 　　2.5 关键数据不加密问题 　　虽然Oracle数据库的许多版本都提供数据加密功能，但是很多使用者认为数据加密会影响性能，数据加密在访问时有点麻烦，数据加密处理要慢些，所以喜欢采用备份结果不采用加密，这就导致了许多重要数据都暴露在DBA眼下，当然，也可能暴露居心不良的人员眼下。 　　3 Oracle数据库安全问题的解决策略 　　3.1 用户及权限的管理策略 　　对于用户权限的管理我们可以建立不同的用户组和用户口令来进行验证，这样就可以有效地防止非法的Oracle用户进入数据库系统，对于用户管理，建议采取如下策略： 　　（1）数据库的管理者是拥有特殊权利的用户，他可以对数据库中的数据进行create、alter或drop，在此进一步强调对SYS和SYSTEM两个特殊账户的保密管理。 　　（2）对于一般用户权限，数据库管理员通常会为这些用户创建用户角色组，把所需的权限和应用程序角色分配给每一个用户。 　　（3）对于数据库应用程序开发者来说，他们是一类需要特殊权限来完成自己工作的数