数据库原理及应用（第3版）课件：数据库系统安全.pptx

数据库系统安全;目录;教学目标;8.1.1数据库系统安全相关概念

1.数据安全的概念

数据安全是指以安全保护措施确保数据的机密性、完整性、可用性、可控性和可审查性。由于大量重要机密数据集中存储在数据库中，并供多用户共享，所以，必须加强对数据库访问的安全控制和数据安全防护。主要通过对数据库系统的身份认证、访问控制、存取与传输管控、加密、使用、应急处理及审计等安全机制和策略。

2.数据库及其系统安全的概念

数据库安全（DataBaseSecurity）通常是指物理数据库的完整性、逻辑数据库的完整性、存储数据的安全性、可审计性、访问控制、身份验证和可用性等。主要包括数据库本身的安全和数据及其文件安全等。数据库安全的特征主要是针对数据而言的，包括数据独立性、数据安全性、数据完整性、并发控制、故障恢复等。;;8.1.2数据库安全风险分析

主要表现在以下三个层面：

管理层面：企事业机构在建立健全相关组织和安全管理人员的职责、制度及流程等，内部员工日常操作标准规范等疏忽。或第三方维护人员操作监控失效等，致使安全事件发生时，无法追溯并定位真实的操作者。技术层面：数据库系统本身缺陷和隐患。或数据库系统内部操作不明，无法通过外部任何安全技术阻止内部用户恶意操作、滥用资源和泄露机密信息等行为。

审计层面：依赖于数据库日志文件的审计方法，存在很多缺陷，数据库审计功能的开启会影响数据库本身的性能、数据库日志文件本身存在被篡改风险，难体现审计信息真实性。

;;8.2数据库系统安全技术和机制;8.2.1数据库系统安全常用技术

常用的数据库系统安全常用技术包括三大类：

（1）预防保护类。主要包括身份认证、访问管理、加密、防恶意代码、防御和加固。

（2）检测跟踪类。主体对客体的访问行为需要进行监控和事件审计，防止在访问过程中可能产生的安全事故的各种举措，包括监控和审核跟踪。

（3）响应恢复类。网络或数据意外出现安全事件，应确保在最短的时间内对其事件进行应急响应和备份恢复，尽快将其影响降至最低。

;8.2.1数据库安全常用技术

常用8种数据库安全常用技术：

1）身份认证（IdentityandAuthentication）

2）访问管理（AccessManagement）

3）加密（Cryptography）

4）病毒防范（Anti-Malware）

5）加固（Hardening）

6）监控（Monitoring）

7）审核跟踪（AuditTrail）

8）备份恢复（BackupandRecovery）;;?注意：

各种用户对数据库系统进行操作，必须满足以下3个条件：

（1）身份验证。在登录服务器时，必须通过操作系统级的身份认证。

（2）用户管理。要求是本数据库系统用户，或是数据库系统的角色成员。

（3）权限管理。必须具有对数据库系统对象执行该操作的权限。

;8.3身份验证和访问控制;

;;;8.3.2数据库系统安全访问控制

SQLServer2022的安全访问控制包含通过SQLServer身份验证模式进入SQLServer实例，通过SQLServer安全性机制控制对SQLServer数据库及其对象的操作。;8.3身份验证和访问控制;;8.3.3用户与角色管理

2．角色的概念及管理

（1）角色的概念

角色（Role）是具有指定权限的用户（组），用于管理数据库访问权限。根据角色自身的设置不同，一个角色可以看作是一个数据库用户或一组用户。角色可以拥有数据库对象（如表）并可将这些对象上的权限赋予其它角色，以控制所拥有的具体访问对象的权限。另???，也可以将一个角色的成员（membership）权限赋予其它角色，便于允许成员角色使用它被赋予成员权限的角色的权限。

角色分为两类：服务器角色和数据库角色。此外，SQLServer2022中还有一种角色被称为应用程序角色。;8.3.3用户与角色管理

2．角色管理

（2）服务器角色

服务器角色也称为“固定服务器角色”，是系统内置的，由于各种用户不能创建新的服务器级角色。服务器级角色的权限作用域为服务器范围。

当SQLServer安装时创建服务器级别上应用的大量预定义的角色，每个角色对应着相应的管理权限。其固定服务器角色用于授权给数据库管理员DBA，拥有某种或某些角色的DBA就会获得与相应角色对应的服务器管理权限。用户可以向服务器角色中添加SQLServer登录名、Windows账户和Windows组。

（3）数据库角色

SQLServer2022中有两种类型的数据库级角色：数据库中预定义的“固定数据库角色”和可以创