数据库安全技术探究.docVIP

数据库安全技术探究 　　摘要：探讨数据库相关的安全技术，介绍当前数据库安全中的数据库安全控制、强制存取控制、安全管理技术、据库备份与恢复、审计等，最后指出数据库安全存在的主要问题和未来研究的方向。 　　关键词：数据库安全；数据库管理系统 　　中图分类号：TP3　文献标识码：A　文章编号：1671-7597(2010)1210082-01 　　 　　我们知道，大量的数据存放于数据库系统中，并且为众多用户共享，很容易造成信息的泄漏，信息的窃取或篡改，从而造成企业不可估量的损失，甚至危及国家的安全。随着计算机科学技术的发展以及普及和数据库技术、数据库本身的广泛应用，数据库安全已是当前信息社会特别关注的严重问题。现在迫在眉睫的问题是：如何保证和加强数据库安全性和保密性。 　　 　　1、数据库安全概述 　　 　　保护数据以防止非法的使用所造成数据的泄密和破坏是数据的安全性的主要任务。数据库安全性包含两方面：第一方面是电脑系统运行安全，一些网络非法用户通过网络手段破坏电脑操作系统的正常运行，甚至导致电脑系统瘫痪。另一方面是指系统数据库数据信息安全，网络黑客通过木马，使用恶意程序等对数据库数据篡改入侵，或盗取数据信息。 　　 　　2、数据库安全机制及其强化 　　 　　2.1　数据库安全控制 　　管理员在传统的数据库系统中权限很高，他既负责系统管理和安全管理，又可以访问数据库中的所有数据。管理员的权限过于集中使安全管理机制存在隐患但集中管理权限太高，对系统本身也带来了不安全因素。我们可以使用分散的安全管理机制。在安全管理方面，数据库管理可以分为数据库管理员与数据库安全管理员，实行分而治之。数据库管理员主要职责是自主存取控制及系统维护与管理方面的工作，安全管理员主要是负责强制存取控制。这种管理体制使得数据库管理更细致，各尽其责，减少数据库的风险，从而进一步的保证数据库的安全性。 　　2.2　强制存取控制 　　系统为保证数据库数据的高安全性，采取强制存取检测手段，是安全策略中重要的一环。强制存取控制对数据有严格密级分类的部门，例如信息、政府或军事部门。在强制存取控制中，DBMS所管理的全部实体被分为主体和客体两大类。主体是系统中的活动实体，既包括DBMS所管理的实际用户，也包括代表用户的各进程。客体是系统中的被动实体，是受主体操纵的，包括文件、基表、索引、视图等等。对于主体和客体，DBMS为它们每个实例(值)指派一个敏感度标记。主客体各自被赋予相应的安全级，主体的安全级反映主体的可信度，而客体的安全级反映客体所含信息的敏感程度。强制存取控制主要能够防止木马和恶意程序的攻击。但强制控制并不能完全解决特洛伊木马问题，可以有其它途径从保密级程序向非保密级程序进行信息传递。 　　2.3　数据库备份与恢复 　　数据库的备份与恢复是整个数据信息安全的基础，是系统安全的重要保障。增强系统可靠性，能够最大限度地减少软硬件故障而导致数据信息的丢失。随着安全技术的快速发展，安全系统要求能对已经遭受破坏的系统进行尽可能完整有效的系统恢复，把损失降低到最小程度。数据库备份与恢复是系统安全事后补救一项措施，但要真正恢复到用户所要求的系统安全状态将非常困难，尚有待进一步的研究和发展。因此，数据库的安全必须在源头把好关，审计工作同样必不可少。 　　2.4　审计 　　审计是检验数据库系统安全的重要组成部分，是在数据库系统工作期间，系统将所有数据库的运行数据记录下来的过程，通常存放在日志文件中，以便日后的调查和分析。虽然数据库安全系统采取了存取控制、数据加密等安全技术，但是从软件工程技术上看，目前我们还不能证明一个安全系统的安全强度。因此，作为重要的补充手段，审计跟踪是安全系统不可缺少的一部分，也是数据库系统的最后一道重要的安全防线。 　　 　　3、数据库加密技术是信息安全的根本措施。 　　 　　3.1　密钥管理 　　密钥管理是一项综合性的技术，密钥管理包括密钥的生成、分发、存储、销毁、使用等一系列过程。密钥管理的基本原则是：所有保密信息藏于密钥之中。一般我们用密钥来控制加密算法，一旦密钥丢失，非法用户就容易窃取到密钥中的信息。对非法用户而言，通过窃取密钥管理的途径远比破译密码要容易。因此，为提高系统的安全性必须加强密钥管理。关于密码管理需要考虑的环节包括：密钥生成、密钥分发、验证密钥、更新密钥、存储密钥、备份密钥。我们在密钥管理中，数据库系统中的数据加密密钥的时间和用户不应随意改变。即数据一旦保存于数据库，并保持长时间不变，密钥也应该不变。而且，主密钥在不同用户访问同一数据应该保持一致，即使用户口令改变，主密钥也应保持不变。这些特征使密钥管理更为复杂，也使密钥的保护显得尤为重要。可以采用以下几种技术： 　　1)对所有的用户进