数据库安全性的分析和优化
来源:用户上传
作者:
摘 要：数据库是所有信息网络系统的核心，而数据库安全性指的就是其中所存储数据的安全，建立数据库安全保护体系则是重中之重，是保障数据的安全基石。
关键词：数据库;安全;网络;优化
一、背景
在互联网+背景下，线上业务越来越广泛，各行各业的数据库在信息化进程中也积聚了海量数据，包括金融商业信息、政府企业信息以及个人账号和密码等极具价值而敏感的内容，这些数据为社会提供更加智能迅捷服务的同时，也成为不法人员的关注目标，一旦数据库系统被侵入导致信息数据泄漏，会产生严重的后果。所以，如何从制度和技术等方面确保数据库的安全性尤为重要。
在信息网络系统的应用中，数据库系统是所有信息网络系统的核心，而数据库的安全性就是指其中所存储数据的安全，是网络安全、信息安全的重要组成部分。
针对如今在线业务普遍的情况，各行各业在建立和实际使用数据库过程中，都会意识到数据库安全的必要性和重要性，但因受到方方面面因素的影响，如系统或制度漏洞、开发者和使用者在开发、系统集成应用程序不当、人工操作错误、感染恶意代码的升级包更新数据库的时候仍会犯一些错误，给计算机网络数据库带来一定的安全隐患，让不法人员有机可乘，受到各种各样的攻击威胁。本文针对几个数据库存在的相关安全问题进行分析，提出相应的优化策略。
二、問题分析及优化
1.完善安全管理制度与体系
现在涉及信息安全方面的法律法规还不够完善，打击和执法力度不足，造成信息犯罪成本低。另外有些单位虽有规章制度，但大多流于形式和应付检查，导致信息安全相关管理岗位为非专业人员、管理措施不到位、工作流程随意性大，甚至是形同虚设。
政府有关部门应高度重视社会上出现的各种网络信息安全问题，紧跟社会发展并及时出台更加完善和具体的法律法规，针对网络信息犯罪、非法获取或泄露重要、敏感、机密的数据信息，侵害国家及个人合法利益的行为，必须严厉追究相应的法律责任。
数据库的管理方在采取各类优化、加密与保护措施的基础上，进一步建设并完善相关的安全管理制度与体系，并严格实施贯彻到数据库管理工作的各个方面。加强各级管理人员在法律和制度上的网络安全意识，如设立专职安全管理岗位，明确区分安全管理职责、系统管理与维护职责，进行安全管理培训和专业岗位技能培训，进一步提升各级管理人员的综合素质，从而提高数据库安全管理效能。
2.加强权限控制
在很多系统维护中，数据库管理员对用户（或应用程序）直接授权，容易使用户（或应用程序）被授予不恰当或过高访问权限，这些权限可能会被恶意滥用;另外黑客也可以利用数据库平台软件漏洞将普通用户的权限转换为管理员权限。
为确保计算机数据库的安全性，需要加强对计算机后台的管理，并加强对访问权限的控制。如今比较广泛应用的权限控制是基于角色访问控制模型（RBAC），是目前公认的解决权限控制最有效的方法。角色是其思想核心，必须以业务定义分配角色。根据实际业务逻辑的独特权限需求，不能通过单一的基于角色的访问控制方式实现，应利用粗细粒度相结合的方式才是一套完整的权限控制机制。这样由表单模板授权、应用场景授权、工作流授权等“粗粒度”的授权完成初步的授权控制，然后再由表单实例授权、表单作者授权和扩展授权等“细粒度”授权控制实现权限控制。粗细粒度的权限控制可以按照业务应用的要求进行各种“和”“或”的组合设计实现权限控制。
3.备份加密
对数据库安全来说一般存在两种类型的威胁：外部和内部。对于外部而言现在对数据库加密的机制和技术应用已经比较成熟。但目前大多数数据备份都是明文备份，在这种情况下，一旦明文备份数据被带出内部环境，将面临泄密风险;另一方面，内部高权限用户对于数据的访问权限过高，同样存在备份数据被恶意利用的风险。在过去已经发生的若干起数据信息泄密中，基本上都是因数据库备份的硬盘或磁带被盗，因为以明文形式备份的数据库存储介质对于成功的非法入侵者和合法身份的“内鬼”是没有任何防护的。
因此在数据安全治理体系中针对这种情况，建议建立对所有数据库备份或敏感数据库备份也进行加密。将数据库备份进行加密方式存储，无论受到外部攻击，还是内部人员恶意拷贝加密备份文件，在未得到授权的情况下都无法对数据内容进行提取或破解。实际市场中部分供应商已经建议在未来的DBMS产品中应该支持创建加密功能的备份。
4.数据传输加密
各行各业线上应用需求的扩张，极大地推动了数据库数据通过各种有线和无线网络跨地区互联和跨行业共享，由于互联网的开放性和匿名性，数据在通过网络传输交换过程中，非法人员可以截获信息并加以篡改或非法利用，给单位和个人造成巨大危害，因此需要采用严格的数据传输加密技术，以防止数据遭到攻击、篡改、泄露和破坏。
对于数据传输加密技术，主要包括链路加密技术、节点加密技术和端到端加密技术。链路加密技术和节点加密技术都是在数据通信线路传输过程中的各个节点中依次不断进行数据解密与再次加密，能够有效地划分数据信息传输的网络路线，极大提高数据传输过程中安全性。端到端加密技术则是在源点进行加密，在整个线路中都是以密文方式传输无须解密，直到数据传输完成到达终点进行解密。无论采用哪种加密方法在数据传输过程中即便遭到非法窃取，面对复杂的数据加密算法也无法被快速破解，从而极大提高数据传输过程的安全性。
5.安全审计
有的用户过分注重数据库运行性能而未开启安全审计功能，这样做是不正确并且危险的。
实现安全审计，可以极大保障数据库系统中信息的可控性、完整性、可用性、机密性和不可否认性（抗抵赖）。对数据库网络系统中的所有网络资源和使用情况（包括网络设备、数据库、主机、安全设备、操作系统等）进行安全审计，自动记录下一切发生的事件情况，通过对日志数据的收集、积累和分析，能够尽早发现系统内发生的异常情况，如系统问题、非法篡改和数据泄漏等情况，能够追责和定责，可以很快找出非法存取数据的时间、内容以及相关的人。而且这些审计数据要符合数据的独立性、完整性和安全性。从软件工程的角度看，目前通过数据加密、存取控制等安全手段对数据库数据进行保护是不够的。因此，作为传统安全防护技术的重要补充功能，安全审计是数据库系统安全不可缺少的一部分，也是数据库系统中至关重要的一道安全防线。 根据审计角度和实现技术的不同进行划分，分为集中操作运维审计、网络行为审计、主机审计、应用系统审计、合规性审计、日志审计六大类。
6.及时修补系统漏洞
利用数据库漏洞是系统外攻击者最常见的攻击途径，通过系统漏洞攻击入侵数据库系统，除了造成数据泄露造成损失，还可能对整个网络造成系统性风险。如2003年的SQLSlammer蠕虫病毒在几分钟内感染了超过90%的弱防护设备，该病毒还可以在几分钟内感染破坏成千上万的数据库。通过利用在微软SQLServer数据库中发现的漏洞进行传播，导致全球范围内的互联网瘫痪。这种蠕虫病毒攻击成功的案例充分說明了及时修补系统漏洞保护数据库安全的重要性。
若要防止数据库受到攻击，需要将软件定期更新程序（修复程序）和入侵防御系统（IPS）结合使用。供应商提供的更新程序可以消除在数据库平台中逐渐发现的漏洞。软件更新程序是按一定周期提供的，企业也是按一定周期实现这些更新的。如果升级补丁后影响到系统前台应用，也可以使用数据库防火墙虚拟补丁来实现网络层的数据库漏洞防护。
7.网络隔离技术
随着线下业务替代为在线业务日益普及以及内网与外网（公网）数据互通的要求，需要存取处于内网数据库中的信息对公网公众服务，从而使数据库信息面临来自公网的各种威胁，其安全性必须要得到保障。因此，既要保证数据库信息安全，还要使在线业务顺利发展，就要做好网络隔离工作。
网络隔离（数据交换）技术的目标是通过居于内外网中间的软硬件将系统外部有害的攻击与内网安全隔离，在保证网络内部数据库安全和外部安全使用的前提下，完成内外网间数据的安全交换。网络系统一般是由外网、居于中间地位的专用隔离交换单元（网络）和内网三部分组成，三部分相对独立不连通。专用隔离交换单元（网络）在任何一时刻仅连通内网或者外网，与内、外网两者间的连接由硬（软）件控制高速切换。这种设计既保证了内网和外网的网络物理隔离要求，又实现数据的动态交换，从而保证数据库的安全性。根据网络规模和复杂性，常用的网络隔离技术有多重安全网关、防火墙、安全隔离网闸、交换网络等几种，目前应用比较广泛是安全隔离网闸技术。
综上所述，数据库的安全方法是一个综合复杂的系统工程，它涉及的层（方）面很多，需要兼顾性能影响和安全效果两个方面，构建一个绝对安全的数据库体系是很难做到的，而且随着不断进步的技术，数据库系统会面临着更加严重的安全挑战。因此，为了更加有效地提高数据库系统的安全性，只有不断发现问题并在法律、制度和安全技术等方面改进优化才能保证数据库系统的安全。
参考文献
1.韩文超，高海康，刘亮，等.管道完整性管理系统的权限控制设计.油气储运，2016，35（9）.
2.龚辉波，谢黎.电力通信管理系统中权限控制的设计与实现.电力信息与通信技术，2015，13（2）.
3.刘瑞霞，董明玉.加强安全审计保障网络信息安全.信息通信，2015（9）.
（责任编辑：兰卡）
转载注明来源:https://www.xzbu.com/1/view-14763462.htm
