网络数据库安全防护重要措施探究

[摘 要]当前，数据库的管理系统逐渐的从单机扩展到整个网络环境，针对数据的收集和储存以及处理与后期的传播方式都从集中性迈向了全面分布式模式。企业在使用数据库管理系统的时候，尤为重视的是数据库信息的安全性。本文在此从网络数据库安全的重要性出发，从几个不同的角度对如何做好网络数据库安全防护做了详细的研究。

[关键词]数据库，网络，防护措施

中图分类号：TP311.13 文献标识码：A 文章编号：1009-914X（2016）21-0155-01

前言：随着互联网的快速发展，计算机网络数据库系统应用技术得到广泛应用，从前期的小型网络数据库管理发展到今天的大数据时代，在这个发展过程中，不断地出现对于数据库的泄露、崩溃等各类安全事件，造成巨大的经验损失和社会影响。

一、 网络数据库安全简介

1、 数据库系统概述

数据库管理系统（英语：Database Management System，简称英语：DBMS） 是一种针对对象数据库，为管理数据库而设计的大型电脑软件管理系统。具有代表性的数据管理系统有Oracle、Microsoft SQL Server、MySQL等。数据库管理系统是对数据进行管理的工具，能对大量相关数据进行有组织、动态地存储，为信息资源共享以及数据处理提供更加快捷便利方法，是计算机系统引进数据库技术后的简称。硬件系统、数据库集合、数据库管理系统及相关软件、用户和数据库管理员等5部分构成了整个数据库系统。

2、 网络数据库安全所面临的问题

由数据库管理软件（为用户及应用程序提供数据访问，并对数据库管理、维护等功能）和数据库两部分构成一般的数据库系统。在网络背景下数据库及其管理系统作为数据信息存储地和被访问地，必须可以对信息数据的安全访问、存储提供保障，且需具备安全防范的能力。作为一个安全可靠的数据库管理系统必须具备：a.保密性；b.完整性；c.可用性；d.动态跟踪信息能力。

二、 网络数据库安全的重要性

1、 影响数据库中保存数据的安全

网络数据库作为网络信息管理系统的核心，其系统常保留很多关键的数据信息，比如敏感的金融数据以及财务数据、技术所有权的归属数据、工程施工数据分析以及影响行业工作的决策数据等。同时，网络数据还是一些企业日常运营的资源基础。因此，网络数据库的安全对保存数据库中的数据资源有着重要的作用。

2、 影响数据服务器主机乃至整个局域网的安全

由于现有的数据库系统可以从数据服务器的端口寻找资源地址，导致任何人只要拥有一定的查询工具就可以对网络数据进行使用，并通过服务器主机和数据端口的直接连接，使得人员对服务器的使用避开了系统的安全监测。同时，对于数据系统中被人们熟知的默认账号没有设置访问限制，并且还可以在操作系统中开启后门、设置监听程序，从而对整个局域网的控制带来了危害。

三、 网络数据库的几个安全防范措施

1、 数据库自身的安全维护

一方面，避免暴库技术对数据库的影响。当前入侵数据库比较常见的技术是“%5c”暴库技术，即打开网页时，把网址中的"/"换成"%5c"，然后提交，就可以暴出数据库的路径。因此，可以通过调整IIS的默认设置、或者在IIS上建立一个虚拟目录。不让访问者知道真实的实际路径，确保网站不因变换地址而影响使用。也可以在数据库相对地址和它的目录绝对地址之间使用"＼"（"%5c"）达到暴不出库目的，仍得到正常页面。使用暴库技术还会导致数据库中资料被下载，由于IIS服务器对于各个错误执行显示具体情况，同时将正在执行的操作切断，但是在其服务器的默认设置里面显示会将错误信息反馈给系统用户。为避免这种情况的发生，可以将数据库文件后面的后缀名改为ASP或ASA的格式，或者是将数据库的名字前面加上#（IE无法下载带有#号的文件），起到简单的加密作用。另一方面，用户密码进行加密处理，通常采用MD5进行加密，黑客即使能够获取加密情况，但由于原始密码的无法破译，也使他们无法获取数据信息。但是这要求用户对资料进行重新设置、加密和存储，避免出现为简单省事，而仅仅结合网页使用简单密码的情况，保障信息安全。

2、 身份认证

在面向多用户开放共享的网络环境下，访问数据库系统的用户必须要求进行身份认证，以防止非法用户访问。这是网络数据库安全系统防止非法用户侵入的第一道防线。当前流行的几种RDBMS中，身份认证一般有三级：系统登录、数据库连接和数据库对象使用。系统登录一般由网络操作系统提供检查，要求用户输入用户名和口令加以验证。通过系统安全检查后用户才可以处理业务流程。当要求访问数据库时，就要求数据库管理系统验证当前用户身份是否可以进行数据库访问。在取得数据库登陆身份后，对数据库中的数据对象进行操作之前，数据库管理系统要再次检验用户对数据库对象的访问权限，以核实该用户是否有权对该数据库对象进行指定的操作。

3、 访问控制技术

访问控制是对授权用户存取访问权限的确定、授予和实施，其目的是在保证系统安全的前提下，最大限度地共享资源。实施访问控制就是按照安全要求，预先给不同的用户指定相应的安全属性，用以标明主体访问权限即可读、可写、查询、添加、修改、删除等操作的组合，还有安全的访问过程等。可以通过对角色的限定、用户的管理以及权限的分层对数据库系统进行安全访问控制，通常数据库系统角色可以分为服务器角色、数据库角色，权限可以分为操作系统级别、数据库系统级别、数据库级别，不同的角色、不同的级别将授予不同的访问权限，从而保证具备特殊数据访问权限的用户能够登录到数据库服务器，访问数据以及对数据库对象实施权限范围内的操作，并且拒绝所有非授权用户的非法操作。

4、 防火墙和入侵检测