1、精選優質文檔-傾情為你奉上Oracle數據庫安全解決方案及技術綜述學 院:電子與信息工程學院專 業:xxxxxxxx學 號:xxxxxx學生姓名:xxxxx指導教師:xxxxxx日 期:xxxxxxxOracle數據庫安全解決方案及技術綜述1. 背景介紹Ø 隨著網絡技術的飛速發展。網絡安全問題日漸突出。數據庫技術自20世紀60年代產生至今，也已得到了快速的發展和廣泛應用，數據庫中由于數據大量集中存放，且為眾多用戶直接共享，安全性問題尤為突出。 Ø 數據庫是按照數據結構來組織、存儲和管理數據的倉庫，它產生于距今五十年前。經過幾十年的發展，數據庫技術在理論上得到不斷完

2、善的同時，也廣泛地投入到財務、教育、電子政務、金融等領域中得到大規模的應用。目前，市場上不僅有能滿足個人用戶需要的桌面小型數據庫管理系統，也有能提供大規模數據管理功能、應用在網絡環境的大中型數據庫管理系統。2. 數據庫系統安全概述 u 安全威脅  當前對數據庫的主要安全威脅有物理威脅和邏輯威脅：物理威脅主要是像各種外力，如：恐怖事件，火災等造成的數據庫服務器故障或數據庫中存儲介質的損壞造成的數據丟失。邏輯威脅主要是指對信息的未授權存取，如：惡意用戶侵入某銀行數據庫系統竊取信用卡數據信息。u 數據庫安全技術  目前對數據庫安全物理威脅的主要解決方

3、案包括數據備份恢復、數據導入導出、數據庫的災難恢復，計算機的集群和磁盤陣列等技術，在此本文不進行討論。本文以Oracle數據庫為例闡述對邏輯威脅的主要解決方法，包括身份認證、存取控制、網絡加密、數據加密、審計等技術。 u 數據庫系統的安全需求 數據庫的完整性主要包括物理完整性和邏輯完整性。物理完整性主要包括物理完整性和邏輯完整性。物理完整性是指保證數據庫的數據不受物理故障，如硬件故障、掉電的影響，并有可能在災難毀壞時重建和恢復數據庫。邏輯完整性是指對數據庫邏輯結構的保護，包括數據的語義完整性和操作完整性。前者主要指數據存取在邏輯上滿足完整性約束，后者主要指在并發事務中保證數

4、據的邏輯一致性。數據庫的保密性指不允許未經授權的用戶存取數據；數據庫的可用性則是指不應拒絕授權用戶對數據庫的正常操作，同時保證系統的運行效率并提供用戶友好的人機交互。  一般而言，數據庫的保密性和可用性是一對矛盾。對這一矛盾的分析與解決構成了數據庫系統的安全模型和一系列安全機制的主要目標。 數據庫系統的安全需求 3. Oracle的安全策略 3.1系統安全性策略 系統安全策略的定義1為：系統安全策略是數據庫系統為達到安全目標和相應的安全級別所定義的安全技術、方法、機制的總和。DBMS將系統安全策略體現在其軟件之中，最后由DBA

5、0;給予實現，主要體現在安全管理。Oracle9i的系統安全策略主要功能如下： （1） 系統與數據的安全性策略 數據庫用戶管理（DBU)。數據庫主要是由 DBU訪問的。DBA可授權DBU應用Create、Alter、Drop語句對數據庫對象的操作權限，用戶身份驗證。數據庫用戶可以通過操作系統、 網絡服務、 數據庫或者安全套接字層SSL進行身份確認。 (2) 操作系統（IOS安全性   由于Oracle數據庫和應用程序是運行在網絡操作系統（NOS）之上，然后進行 安全認證的。所以前兩者的安全性需要與操作系統安全一同考

6、慮。DBA必須具有對NOS 的文件進行Create和Delete的權限而數據庫用戶卻不具有。如果操作系統為數據庫用戶分配角色，則DBA必須有修改操作系統賬戶安全區域的操作系統權限。3.2 用戶驗證 : Oracle 采用數據庫驗證、外部驗證和企業驗證三種用戶驗證方式。 ² 數據庫驗證  當創建用戶和指定口令時，便使用數據庫驗證，同時具有了口令管理能力。Oracle 通過在一個概要文件中設置參數并把該文件分配給一個用戶的方式來實現的。一個概要文件可以限制會話的數量、每個會話使用的CPU時間、調用次數、讀的次

7、數、空閑時間以及連接時間。概要文件可以防止破壞者利用所有的資源以拒絕服務的攻擊方式破壞系統。      ² 外部驗證  外部驗證是指在Oracle之外的驗證，即網絡操作系統（NOS）和網絡驗證服務。使用外部驗證后在Oracle就無需再驗證。若選此項，則在init.ora文件設置相關參數通知 Oracle。使用 NOS 進行驗證的優點是，用戶更快更方便地連接數據庫；對用戶驗證進行集中控制；用戶信息只有一份副本并保存在NOS中，Oracle中無需保存，當然兩者用戶應是相同的，同時

8、審計信息只保存在NOS中。網絡驗證服務屬于高級安全技術。主要應用網絡安全服務，例如 Kerberos或PKI等。 ² 企業驗證  企業驗證應用于網絡環境下的分布式數據庫。分布式環境存在多個數據庫服務器，它們組成資源的總和定義為全局資源。可以使用全局資源（任何一個數據庫服務器）的用戶定義為全局用戶。企業驗證是全局用戶使用全局資源的驗證，即Oracle 安全服務（OSS）。由 Oracle 安全服務器完成。用安全信息和全局資源存儲在網絡（LAN/Intranet/Internet）的目錄中，存儲該目錄的服務器稱為目錄服

9、務器。通常使用輕量目錄協議（LDAP）訪問該服務器，使用全局口令登錄到Oracle 分布式數據庫的用戶稱為全局用戶。可將全局用戶的權限定義為不同的角色即全局角色。全局角色的全體組成企業角色。 Oracle 安全服務器OSS 實現全局用戶的登錄過程：  (1) 全局用戶登錄到 Oracle分布式數據庫系統中；(2) OSS動態地將某個全局角色分配給該用戶；  (3) 該全局角色所具有的權限即可訪問該權限的數據庫服務器。換言之，系統中的多個數據庫服務器具有不同的權限，它們與全局角

10、色存在對應（映射）關系。最簡單的是一對一映射，最復雜的是多對多映射。 ² 用戶許可   用戶登錄到一個數據庫服務器到退出期間稱為會話。Oracle可通過設置來限制會話數量。會話數量的設置稱為并發許可（協議）。許可是并發使用的，由此許可指定的是并發用戶的最大數量，即同時連接到數據庫（服務器）的用戶會話數量。通過命名用戶的許可， 可以限制可訪問一個數據庫的命名用戶數量。  系統運行期間可以跟蹤實際會話數量，也能改變并發會話的最大數量。當達到上限時， 只有DBA能夠連接到數據庫。而對于一般用戶，Oracle會給

11、他發送一條消息，顯示到達最大數量的限制，同時將該消息寫入到警告文件中。除此之外，還可以設置并發會話的警告限制數量。在到達該值時，一般用戶還可以繼續建立新的會話直到達到最大限制值。然后，Oracle給每個連接的警告文件寫一條消息，并且給一般用戶發送一條快要達到最大限制的消息。 通過命名用戶許可，限制指定的數據庫服務器上使用Oracle的命名用戶數量。使用這個許可就是在啟動實例以前，設置在數據庫可以創建的用戶數量。當實例運行時，也可以改變這個最大值或完全停用這個限制。 4.數據安全性策略  主要包括在對象級控制數據庫訪問和使用的機制。主要有決定哪個用戶訪問特

12、定的模式對象，在對象上允許每個用戶的特定類型操作，也可以定義審計每個模式對象的操作。為數據庫建立安全等級，例如，如果允許其他用戶建立任何模式對象，或將對象的存取權限授予系統中的其他用戶，這樣的安全性是很差的。另外，當希望只有DBA 有權限建立對象， 并向角色和用戶授予對象的存取權限時，必須嚴格控制數據庫的安全。  數據的重要性決定了數據和數據庫的安全性。如果數據的重要性差，那么數據的安全性略差一些。反之，就應該有嚴格的安全性策略。用戶來維護對數據對象訪問的有效控制。數據安全的實現方法主要有：用戶賬號、對象授權、角色、細粒度存取控制和相關應用程序上下文控制

13、。細粒度存取控制最簡單的情況是在SQL語句中加了一個WHERE條件， 用它來限制用戶對表和視圖里元組數據的存取。應用程序上下文是一個安全數據緩沖，用來存儲存取控制決定的信息。 5.用戶安全性策略  在Oracle數據庫中， 將用戶分為一般用戶、最終用戶、管理員（DBA）、應用程序員和應用程序管理員。 由于一般用戶和管理員具有相對的普遍性，在次只針對一般用戶和管理員的安全性策略進行介紹。5.1 DBA的安全性策略 當系統規模較小時，只需一個DBA，則系統安全管理員SSA也是DBA。當系統規模很大時，系統擁有多個DBA，這時兩者

14、是分開的。安全管理員將相關管理權限分成幾個組， 然后將不同的角色授予相應的DBA。  當創建數據庫后，立即更改有管理權限的sys和system 用戶的口令，防止非法用戶訪問數據庫。當作為sys和system用戶連入數據庫后，用戶有強大的權限用各種方式對數據庫進行改動。  只有DBA能用管理權限連入數據庫，并保證只有 DBA 能作SYSDBA角色的成員,因為SYSDBA可以沒有任何限制地操作和恢復數據庫及數據庫對象。 6.Oracle提供的安全機制  數據庫的安全性可以分為兩類，即數據庫

15、系統安全性和數據庫數據安全性 6.1系統安全性層面 系統安全性是指在系統級控制數據庫的存取和使用的機制。包括：我們熟練的掌握計算機應用，我們可以在網上搜索一些流行因素，還可以把自己小店里的商品拿到網上去賣，為我們小店提供了多種經營方式。用戶名口令的組合是否有效；用戶是否具有連接數據庫的授權；用戶以執行哪些操作；用戶可用的磁盤空間的數量：用戶的資源限制；數據庫審計是否有效。  ll （2） 文化優勢數據備份  （5) 資金問題Oracle提供了比較完備的數據備份技術。具體請參見Oracle9i使用手冊。 ll 300-400元

16、1632%身份認證  “碧芝”最吸引人的是那些小巧的珠子、亮片等，都是平日里不常見的。據店長梁小姐介紹，店內的飾珠有威尼斯印第安的玻璃珠、秘魯的陶珠、奧地利的施華洛世奇水晶、法國的仿金片、日本的夢幻珠等，五彩繽紛，流光異彩。按照飾珠的質地可分為玻璃、骨質、角質、陶制、水晶、仿金、木制等種類，其造型更是千姿百態：珠型、圓柱型、動物造型、多邊形、圖騰形象等，美不勝收。全部都是進口的，從幾毛錢一個到幾十元一個的珠子，做一個成品飾物大約需要幾十元，當然，還要決定于你的心意 盡管售價不菲，卻仍沒擋住喜歡它的人。在網絡環境下多用戶系統中，身份認證是安全機制中重要環節。身份認證包括標識和

17、驗證，標識是指用戶向系統出示自己的身份證明，常用的方法是輸入用戶名和口令；驗證則是系統驗證用戶的身份證明。Oracle允許不同類型的驗證，以Oracle數據庫為基礎的驗證允許擁有用戶賬戶ID和密碼，密碼以加密的格式存儲在數據字典中。Oracle也支持基于主機操作系統的用戶賬號轉為Oracle賬戶的驗證。此外，Oracle高級安全選件還提供更加安全的驗證方法3，如：NTS、KERBEROSS、RADIUS等驗證方式。 l 存取控制  我們女生之所以會鐘愛飾品，也許是因為它的新穎，可愛，實惠，時尚，簡單等。的確，手工藝品價格適中。也許還有更多理由和意義。那么大學生最喜

18、歡哪種手工藝品呢?此次調查統計如下圖（1-3）數據庫的存取控制機制是定義和控制用戶對數據庫數據的存取訪問權限，以確保只授權給有資格的用戶訪問數據庫的權限并防止和杜絕對數據庫中數據的非授權訪問。數據庫管理系統需要對精細的數據粒度加以控制，數據庫中的粒度有記錄、表格、屬性、字段和值等。Oracle可利用權限、角色、概要文件、細粒度訪問等技術提供存取控制支持。 l 權限 調研要解決的問題：默認情況下新的Oracle用戶不具備任何權限。新用戶在登錄數據庫以及運行數據庫操作前必須被授予權限。Oracle數據庫包含系統權限和對象權限。系統權限允許用戶建立和使用對象，但不授權訪問真正的數

19、據庫對象。系統權限允許用戶運行如：ALTER TABLE，CREATE TABLE等權限。對象權限被用來允許訪問特殊的數據庫對象，如表或視圖。Oracle允許對象的擁有者將他們擁有的針對這些對象的權限授予其他用戶或角色。 l 角色 角色是用來簡化用戶權限分派的管理任務，用戶可以被指派多個角色。將權限組織到角色中后再利用角色對一個或多個用戶授權使授權管理變得更加容易。Oracle擁有一些特定權限的默認角色。如：Connect角色允許用戶登錄和建立自己的表、索引等；Resource角色允許用戶建立觸發器和存儲過程等對象。數據庫管理員DBA角色被授予所有管理數

20、據庫和用戶的系統權限。用戶為方便管理可以建立自定義的角色。 l 概要文件 Oracle利用概要文件來允許管理員針對一些系統資源，密碼的利用。這些概要文件可以被定義、命名、然后指派給特定的用戶或用戶組。概要文件可以用來設置用戶在特定的系統資源上的限制，如CPU時間、同時建立的有效會話數、特定用戶建立會話的最大時間等。此外，概要文件也可以用來強制定義密碼規則，如密碼有效期、密碼格式、在若干次登錄失敗嘗試后鎖定賬戶，也可以利用自定義密碼格式規則函數來限制密碼的設置規則。 l 細粒度訪問  1、榮曉華、孫喜林消費者行為學東北財經大學出版社 2003年2

21、月Oracle提供了細粒度訪問控制機制Oracle Label Security5，可實施對單個表或整個模式上的行級訪問控制。要利用Oracle Label Security，需要創建一個或多個安全策略，其中每一個安全策略都包含一組標簽。標簽用來標明哪些用戶能夠訪問什么類型數據。在創建了一個策略之后，將該策略應用于需要保護的表，并將這些標簽授予用戶。當Oracle數據庫在解析SQL語句時會檢測表是否受到某個安全策略的保護，根據用戶的訪問權限數據庫向該SQL。語句的WHERE子句中添加安全性謂詞。所有這些都發生在Oracle數據庫引擎的內部。所以不管該SQ

22、L。語句的來源如何，用戶都不可能繞過該安全性機制，從而達到行級安全的訪問控制。 l 審計  任何的數據庫系統都不可能是絕對安全的，可以利用Oracle數據庫系統的審計功能，監視和記錄所選擇用戶的活動情況，數據庫的審計記錄存放在SYS方案的AUD$表中。開啟審計功能后會影響一些數據庫的性能，在初始狀態Oracle對審計功能是關閉的。要開啟審計功能，可在初始化參數中將參數“AUDITTRAII。”值設置為“DB或TRUE”。Oracle支持三種類型的審計：語句審計、權限審計和方案對象審計。語句審計是針對DDL、DML語句的審計，如“AUDIT TABI。E”

23、的語句審計對所有的CREATE和DROP TABLE語句都進行審計；權限審計是對系統權限的審計，如只針對“CREATETABLE”的權限審計，則只審計CREATE TABLE語句；方案對象審計是針對特定的DMI。語句和特定方案對象的GRANT、REVOKE語句的審計。 因為是連鎖店，老板的“野心”是開到便利店那樣隨處可見。所以辦了積分卡，方便女孩子到任何一家“漂亮女生”購物，以求便宜再便宜。 從Oracle9i后支持細粒度審計，可以用于監視基于內容的數據訪問。此外，也可利用數據庫提供的觸發器功能進行編程自定義審計方案，如可以用觸發器編寫登錄，注銷以及其他

24、數據庫事件的Oracle審計信息。 根本不知道6.2 數據安全性層面   在多用戶數據庫系統中，數據安全性包括：防止非授權用戶對數據進行存取操作：防止非授權用戶對模式對象的存取操作；控制系統資源的使用；控制磁盤的使用；審計用戶的操作 l 數據加密  一般而言數據庫系統提供的基本安全技術能夠滿足大多數的應用，但對于一些重要部門或敏感領域的應用，僅靠上述這些措施是難以完全保證數據的安全性，某些用戶尤其是一些內部用戶仍可能非法獲取用戶名、口令字，或利用其他方法越權使用數據庫，因此有必要對數據庫中存儲的重要數據進行加密處理。數據庫密

25、碼系統要求將明文數據加密成密文數據，數據庫中存儲密文數據，查詢時將密文數據取出解密得到明文信息。Oracle9i提供了特殊DBMS-OBFUSCATIONTOOL KIT 包， 在 Oraclel10g中又增加了DBMSCRYPT0包用于數據加密解密，支持DES、AES等多種加密解密算法。7. Oracle的安全管理操作 ² 創建概要文件   創建一個概要文件 user_limited, 把它提供給用戶 normal_user"使用如果連續3次與normal_user的連接失敗,該賬戶將自動由oracle鎖定，再使用normal_user賬戶的正確口令，系統會提示出錯