Oracle數(shù)據(jù)庫安全解決方案及技術綜述教學提綱

1、精選優(yōu)質文檔-傾情為你奉上Oracle數(shù)據(jù)庫安全解決方案及技術綜述學 院:電子與信息工程學院專 業(yè):xxxxxxxx學 號:xxxxxx學生姓名:xxxxx指導教師:xxxxxx日 期:xxxxxxxOracle數(shù)據(jù)庫安全解決方案及技術綜述1. 背景介紹Ø 隨著網(wǎng)絡技術的飛速發(fā)展。網(wǎng)絡安全問題日漸突出。數(shù)據(jù)庫技術自20世紀60年代產(chǎn)生至今，也已得到了快速的發(fā)展和廣泛應用，數(shù)據(jù)庫中由于數(shù)據(jù)大量集中存放，且為眾多用戶直接共享，安全性問題尤為突出。 Ø 數(shù)據(jù)庫是按照數(shù)據(jù)結構來組織、存儲和管理數(shù)據(jù)的倉庫，它產(chǎn)生于距今五十年前。經(jīng)過幾十年的發(fā)展，數(shù)據(jù)庫技術在理論上得到不斷完

2、善的同時，也廣泛地投入到財務、教育、電子政務、金融等領域中得到大規(guī)模的應用。目前，市場上不僅有能滿足個人用戶需要的桌面小型數(shù)據(jù)庫管理系統(tǒng)，也有能提供大規(guī)模數(shù)據(jù)管理功能、應用在網(wǎng)絡環(huán)境的大中型數(shù)據(jù)庫管理系統(tǒng)。2. 數(shù)據(jù)庫系統(tǒng)安全概述 u 安全威脅  當前對數(shù)據(jù)庫的主要安全威脅有物理威脅和邏輯威脅：物理威脅主要是像各種外力，如：恐怖事件，火災等造成的數(shù)據(jù)庫服務器故障或數(shù)據(jù)庫中存儲介質的損壞造成的數(shù)據(jù)丟失。邏輯威脅主要是指對信息的未授權存取，如：惡意用戶侵入某銀行數(shù)據(jù)庫系統(tǒng)竊取信用卡數(shù)據(jù)信息。u 數(shù)據(jù)庫安全技術  目前對數(shù)據(jù)庫安全物理威脅的主要解決方

3、案包括數(shù)據(jù)備份恢復、數(shù)據(jù)導入導出、數(shù)據(jù)庫的災難恢復，計算機的集群和磁盤陣列等技術，在此本文不進行討論。本文以Oracle數(shù)據(jù)庫為例闡述對邏輯威脅的主要解決方法，包括身份認證、存取控制、網(wǎng)絡加密、數(shù)據(jù)加密、審計等技術。 u 數(shù)據(jù)庫系統(tǒng)的安全需求 數(shù)據(jù)庫的完整性主要包括物理完整性和邏輯完整性。物理完整性主要包括物理完整性和邏輯完整性。物理完整性是指保證數(shù)據(jù)庫的數(shù)據(jù)不受物理故障，如硬件故障、掉電的影響，并有可能在災難毀壞時重建和恢復數(shù)據(jù)庫。邏輯完整性是指對數(shù)據(jù)庫邏輯結構的保護，包括數(shù)據(jù)的語義完整性和操作完整性。前者主要指數(shù)據(jù)存取在邏輯上滿足完整性約束，后者主要指在并發(fā)事務中保證數(shù)

4、據(jù)的邏輯一致性。數(shù)據(jù)庫的保密性指不允許未經(jīng)授權的用戶存取數(shù)據(jù)；數(shù)據(jù)庫的可用性則是指不應拒絕授權用戶對數(shù)據(jù)庫的正常操作，同時保證系統(tǒng)的運行效率并提供用戶友好的人機交互。  一般而言，數(shù)據(jù)庫的保密性和可用性是一對矛盾。對這一矛盾的分析與解決構成了數(shù)據(jù)庫系統(tǒng)的安全模型和一系列安全機制的主要目標。 數(shù)據(jù)庫系統(tǒng)的安全需求 3. Oracle的安全策略 3.1系統(tǒng)安全性策略 系統(tǒng)安全策略的定義1為：系統(tǒng)安全策略是數(shù)據(jù)庫系統(tǒng)為達到安全目標和相應的安全級別所定義的安全技術、方法、機制的總和。DBMS將系統(tǒng)安全策略體現(xiàn)在其軟件之中，最后由DBA

5、0;給予實現(xiàn)，主要體現(xiàn)在安全管理。Oracle9i的系統(tǒng)安全策略主要功能如下： （1） 系統(tǒng)與數(shù)據(jù)的安全性策略 數(shù)據(jù)庫用戶管理（DBU)。數(shù)據(jù)庫主要是由 DBU訪問的。DBA可授權DBU應用Create、Alter、Drop語句對數(shù)據(jù)庫對象的操作權限，用戶身份驗證。數(shù)據(jù)庫用戶可以通過操作系統(tǒng)、 網(wǎng)絡服務、 數(shù)據(jù)庫或者安全套接字層SSL進行身份確認。 (2) 操作系統(tǒng)（IOS安全性   由于Oracle數(shù)據(jù)庫和應用程序是運行在網(wǎng)絡操作系統(tǒng)（NOS）之上，然后進行 安全認證的。所以前兩者的安全性需要與操作系統(tǒng)安全一同考

6、慮。DBA必須具有對NOS 的文件進行Create和Delete的權限而數(shù)據(jù)庫用戶卻不具有。如果操作系統(tǒng)為數(shù)據(jù)庫用戶分配角色，則DBA必須有修改操作系統(tǒng)賬戶安全區(qū)域的操作系統(tǒng)權限。3.2 用戶驗證 : Oracle 采用數(shù)據(jù)庫驗證、外部驗證和企業(yè)驗證三種用戶驗證方式。 ² 數(shù)據(jù)庫驗證  當創(chuàng)建用戶和指定口令時，便使用數(shù)據(jù)庫驗證，同時具有了口令管理能力。Oracle 通過在一個概要文件中設置參數(shù)并把該文件分配給一個用戶的方式來實現(xiàn)的。一個概要文件可以限制會話的數(shù)量、每個會話使用的CPU時間、調用次數(shù)、讀的次

7、數(shù)、空閑時間以及連接時間。概要文件可以防止破壞者利用所有的資源以拒絕服務的攻擊方式破壞系統(tǒng)。      ² 外部驗證  外部驗證是指在Oracle之外的驗證，即網(wǎng)絡操作系統(tǒng)（NOS）和網(wǎng)絡驗證服務。使用外部驗證后在Oracle就無需再驗證。若選此項，則在init.ora文件設置相關參數(shù)通知 Oracle。使用 NOS 進行驗證的優(yōu)點是，用戶更快更方便地連接數(shù)據(jù)庫；對用戶驗證進行集中控制；用戶信息只有一份副本并保存在NOS中，Oracle中無需保存，當然兩者用戶應是相同的，同時

8、審計信息只保存在NOS中。網(wǎng)絡驗證服務屬于高級安全技術。主要應用網(wǎng)絡安全服務，例如 Kerberos或PKI等。 ² 企業(yè)驗證  企業(yè)驗證應用于網(wǎng)絡環(huán)境下的分布式數(shù)據(jù)庫。分布式環(huán)境存在多個數(shù)據(jù)庫服務器，它們組成資源的總和定義為全局資源。可以使用全局資源（任何一個數(shù)據(jù)庫服務器）的用戶定義為全局用戶。企業(yè)驗證是全局用戶使用全局資源的驗證，即Oracle 安全服務（OSS）。由 Oracle 安全服務器完成。用安全信息和全局資源存儲在網(wǎng)絡（LAN/Intranet/Internet）的目錄中，存儲該目錄的服務器稱為目錄服

9、務器。通常使用輕量目錄協(xié)議（LDAP）訪問該服務器，使用全局口令登錄到Oracle 分布式數(shù)據(jù)庫的用戶稱為全局用戶?？蓪⑷钟脩舻臋嘞薅x為不同的角色即全局角色。全局角色的全體組成企業(yè)角色。 Oracle 安全服務器OSS 實現(xiàn)全局用戶的登錄過程：  (1) 全局用戶登錄到 Oracle分布式數(shù)據(jù)庫系統(tǒng)中；(2) OSS動態(tài)地將某個全局角色分配給該用戶；  (3) 該全局角色所具有的權限即可訪問該權限的數(shù)據(jù)庫服務器。換言之，系統(tǒng)中的多個數(shù)據(jù)庫服務器具有不同的權限，它們與全局角

10、色存在對應（映射）關系。最簡單的是一對一映射，最復雜的是多對多映射。 ² 用戶許可   用戶登錄到一個數(shù)據(jù)庫服務器到退出期間稱為會話。Oracle可通過設置來限制會話數(shù)量。會話數(shù)量的設置稱為并發(fā)許可（協(xié)議）。許可是并發(fā)使用的，由此許可指定的是并發(fā)用戶的最大數(shù)量，即同時連接到數(shù)據(jù)庫（服務器）的用戶會話數(shù)量。通過命名用戶的許可， 可以限制可訪問一個數(shù)據(jù)庫的命名用戶數(shù)量。  系統(tǒng)運行期間可以跟蹤實際會話數(shù)量，也能改變并發(fā)會話的最大數(shù)量。當達到上限時， 只有DBA能夠連接到數(shù)據(jù)庫。而對于一般用戶，Oracle會給

11、他發(fā)送一條消息，顯示到達最大數(shù)量的限制，同時將該消息寫入到警告文件中。除此之外，還可以設置并發(fā)會話的警告限制數(shù)量。在到達該值時，一般用戶還可以繼續(xù)建立新的會話直到達到最大限制值。然后，Oracle給每個連接的警告文件寫一條消息，并且給一般用戶發(fā)送一條快要達到最大限制的消息。 通過命名用戶許可，限制指定的數(shù)據(jù)庫服務器上使用Oracle的命名用戶數(shù)量。使用這個許可就是在啟動實例以前，設置在數(shù)據(jù)庫可以創(chuàng)建的用戶數(shù)量。當實例運行時，也可以改變這個最大值或完全停用這個限制。 4.數(shù)據(jù)安全性策略  主要包括在對象級控制數(shù)據(jù)庫訪問和使用的機制。主要有決定哪個用戶訪問特

12、定的模式對象，在對象上允許每個用戶的特定類型操作，也可以定義審計每個模式對象的操作。為數(shù)據(jù)庫建立安全等級，例如，如果允許其他用戶建立任何模式對象，或將對象的存取權限授予系統(tǒng)中的其他用戶，這樣的安全性是很差的。另外，當希望只有DBA 有權限建立對象， 并向角色和用戶授予對象的存取權限時，必須嚴格控制數(shù)據(jù)庫的安全。  數(shù)據(jù)的重要性決定了數(shù)據(jù)和數(shù)據(jù)庫的安全性。如果數(shù)據(jù)的重要性差，那么數(shù)據(jù)的安全性略差一些。反之，就應該有嚴格的安全性策略。用戶來維護對數(shù)據(jù)對象訪問的有效控制。數(shù)據(jù)安全的實現(xiàn)方法主要有：用戶賬號、對象授權、角色、細粒度存取控制和相關應用程序上下文控制

13、。細粒度存取控制最簡單的情況是在SQL語句中加了一個WHERE條件， 用它來限制用戶對表和視圖里元組數(shù)據(jù)的存取。應用程序上下文是一個安全數(shù)據(jù)緩沖，用來存儲存取控制決定的信息。 5.用戶安全性策略  在Oracle數(shù)據(jù)庫中， 將用戶分為一般用戶、最終用戶、管理員（DBA）、應用程序員和應用程序管理員。 由于一般用戶和管理員具有相對的普遍性，在次只針對一般用戶和管理員的安全性策略進行介紹。5.1 DBA的安全性策略 當系統(tǒng)規(guī)模較小時，只需一個DBA，則系統(tǒng)安全管理員SSA也是DBA。當系統(tǒng)規(guī)模很大時，系統(tǒng)擁有多個DBA，這時兩者

14、是分開的。安全管理員將相關管理權限分成幾個組， 然后將不同的角色授予相應的DBA。  當創(chuàng)建數(shù)據(jù)庫后，立即更改有管理權限的sys和system 用戶的口令，防止非法用戶訪問數(shù)據(jù)庫。當作為sys和system用戶連入數(shù)據(jù)庫后，用戶有強大的權限用各種方式對數(shù)據(jù)庫進行改動。  只有DBA能用管理權限連入數(shù)據(jù)庫，并保證只有 DBA 能作SYSDBA角色的成員,因為SYSDBA可以沒有任何限制地操作和恢復數(shù)據(jù)庫及數(shù)據(jù)庫對象。 6.Oracle提供的安全機制  數(shù)據(jù)庫的安全性可以分為兩類，即數(shù)據(jù)庫

15、系統(tǒng)安全性和數(shù)據(jù)庫數(shù)據(jù)安全性 6.1系統(tǒng)安全性層面 系統(tǒng)安全性是指在系統(tǒng)級控制數(shù)據(jù)庫的存取和使用的機制。包括：我們熟練的掌握計算機應用，我們可以在網(wǎng)上搜索一些流行因素，還可以把自己小店里的商品拿到網(wǎng)上去賣，為我們小店提供了多種經(jīng)營方式。用戶名口令的組合是否有效；用戶是否具有連接數(shù)據(jù)庫的授權；用戶以執(zhí)行哪些操作；用戶可用的磁盤空間的數(shù)量：用戶的資源限制；數(shù)據(jù)庫審計是否有效。  ll （2） 文化優(yōu)勢數(shù)據(jù)備份  （5) 資金問題Oracle提供了比較完備的數(shù)據(jù)備份技術。具體請參見Oracle9i使用手冊。 ll 300-400元

16、1632%身份認證  “碧芝”最吸引人的是那些小巧的珠子、亮片等，都是平日里不常見的。據(jù)店長梁小姐介紹，店內(nèi)的飾珠有威尼斯印第安的玻璃珠、秘魯?shù)奶罩?、奧地利的施華洛世奇水晶、法國的仿金片、日本的夢幻珠等，五彩繽紛，流光異彩。按照飾珠的質地可分為玻璃、骨質、角質、陶制、水晶、仿金、木制等種類，其造型更是千姿百態(tài)：珠型、圓柱型、動物造型、多邊形、圖騰形象等，美不勝收。全部都是進口的，從幾毛錢一個到幾十元一個的珠子，做一個成品飾物大約需要幾十元，當然，還要決定于你的心意 盡管售價不菲，卻仍沒擋住喜歡它的人。在網(wǎng)絡環(huán)境下多用戶系統(tǒng)中，身份認證是安全機制中重要環(huán)節(jié)。身份認證包括標識和

17、驗證，標識是指用戶向系統(tǒng)出示自己的身份證明，常用的方法是輸入用戶名和口令；驗證則是系統(tǒng)驗證用戶的身份證明。Oracle允許不同類型的驗證，以Oracle數(shù)據(jù)庫為基礎的驗證允許擁有用戶賬戶ID和密碼，密碼以加密的格式存儲在數(shù)據(jù)字典中。Oracle也支持基于主機操作系統(tǒng)的用戶賬號轉為Oracle賬戶的驗證。此外，Oracle高級安全選件還提供更加安全的驗證方法3，如：NTS、KERBEROSS、RADIUS等驗證方式。 l 存取控制  我們女生之所以會鐘愛飾品，也許是因為它的新穎，可愛，實惠，時尚，簡單等。的確，手工藝品價格適中。也許還有更多理由和意義。那么大學生最喜

18、歡哪種手工藝品呢?此次調查統(tǒng)計如下圖（1-3）數(shù)據(jù)庫的存取控制機制是定義和控制用戶對數(shù)據(jù)庫數(shù)據(jù)的存取訪問權限，以確保只授權給有資格的用戶訪問數(shù)據(jù)庫的權限并防止和杜絕對數(shù)據(jù)庫中數(shù)據(jù)的非授權訪問。數(shù)據(jù)庫管理系統(tǒng)需要對精細的數(shù)據(jù)粒度加以控制，數(shù)據(jù)庫中的粒度有記錄、表格、屬性、字段和值等。Oracle可利用權限、角色、概要文件、細粒度訪問等技術提供存取控制支持。 l 權限 調研要解決的問題：默認情況下新的Oracle用戶不具備任何權限。新用戶在登錄數(shù)據(jù)庫以及運行數(shù)據(jù)庫操作前必須被授予權限。Oracle數(shù)據(jù)庫包含系統(tǒng)權限和對象權限。系統(tǒng)權限允許用戶建立和使用對象，但不授權訪問真正的數(shù)

19、據(jù)庫對象。系統(tǒng)權限允許用戶運行如：ALTER TABLE，CREATE TABLE等權限。對象權限被用來允許訪問特殊的數(shù)據(jù)庫對象，如表或視圖。Oracle允許對象的擁有者將他們擁有的針對這些對象的權限授予其他用戶或角色。 l 角色 角色是用來簡化用戶權限分派的管理任務，用戶可以被指派多個角色。將權限組織到角色中后再利用角色對一個或多個用戶授權使授權管理變得更加容易。Oracle擁有一些特定權限的默認角色。如：Connect角色允許用戶登錄和建立自己的表、索引等；Resource角色允許用戶建立觸發(fā)器和存儲過程等對象。數(shù)據(jù)庫管理員DBA角色被授予所有管理數(shù)

20、據(jù)庫和用戶的系統(tǒng)權限。用戶為方便管理可以建立自定義的角色。 l 概要文件 Oracle利用概要文件來允許管理員針對一些系統(tǒng)資源，密碼的利用。這些概要文件可以被定義、命名、然后指派給特定的用戶或用戶組。概要文件可以用來設置用戶在特定的系統(tǒng)資源上的限制，如CPU時間、同時建立的有效會話數(shù)、特定用戶建立會話的最大時間等。此外，概要文件也可以用來強制定義密碼規(guī)則，如密碼有效期、密碼格式、在若干次登錄失敗嘗試后鎖定賬戶，也可以利用自定義密碼格式規(guī)則函數(shù)來限制密碼的設置規(guī)則。 l 細粒度訪問  1、榮曉華、孫喜林消費者行為學東北財經(jīng)大學出版社 2003年2

21、月Oracle提供了細粒度訪問控制機制Oracle Label Security5，可實施對單個表或整個模式上的行級訪問控制。要利用Oracle Label Security，需要創(chuàng)建一個或多個安全策略，其中每一個安全策略都包含一組標簽。標簽用來標明哪些用戶能夠訪問什么類型數(shù)據(jù)。在創(chuàng)建了一個策略之后，將該策略應用于需要保護的表，并將這些標簽授予用戶。當Oracle數(shù)據(jù)庫在解析SQL語句時會檢測表是否受到某個安全策略的保護，根據(jù)用戶的訪問權限數(shù)據(jù)庫向該SQL。語句的WHERE子句中添加安全性謂詞。所有這些都發(fā)生在Oracle數(shù)據(jù)庫引擎的內(nèi)部。所以不管該SQ

22、L。語句的來源如何，用戶都不可能繞過該安全性機制，從而達到行級安全的訪問控制。 l 審計  任何的數(shù)據(jù)庫系統(tǒng)都不可能是絕對安全的，可以利用Oracle數(shù)據(jù)庫系統(tǒng)的審計功能，監(jiān)視和記錄所選擇用戶的活動情況，數(shù)據(jù)庫的審計記錄存放在SYS方案的AUD$表中。開啟審計功能后會影響一些數(shù)據(jù)庫的性能，在初始狀態(tài)Oracle對審計功能是關閉的。要開啟審計功能，可在初始化參數(shù)中將參數(shù)“AUDITTRAII。”值設置為“DB或TRUE”。Oracle支持三種類型的審計：語句審計、權限審計和方案對象審計。語句審計是針對DDL、DML語句的審計，如“AUDIT TABI。E”

23、的語句審計對所有的CREATE和DROP TABLE語句都進行審計；權限審計是對系統(tǒng)權限的審計，如只針對“CREATETABLE”的權限審計，則只審計CREATE TABLE語句；方案對象審計是針對特定的DMI。語句和特定方案對象的GRANT、REVOKE語句的審計。 因為是連鎖店，老板的“野心”是開到便利店那樣隨處可見。所以辦了積分卡，方便女孩子到任何一家“漂亮女生”購物，以求便宜再便宜。 從Oracle9i后支持細粒度審計，可以用于監(jiān)視基于內(nèi)容的數(shù)據(jù)訪問。此外，也可利用數(shù)據(jù)庫提供的觸發(fā)器功能進行編程自定義審計方案，如可以用觸發(fā)器編寫登錄，注銷以及其他

24、數(shù)據(jù)庫事件的Oracle審計信息。 根本不知道6.2 數(shù)據(jù)安全性層面   在多用戶數(shù)據(jù)庫系統(tǒng)中，數(shù)據(jù)安全性包括：防止非授權用戶對數(shù)據(jù)進行存取操作：防止非授權用戶對模式對象的存取操作；控制系統(tǒng)資源的使用；控制磁盤的使用；審計用戶的操作 l 數(shù)據(jù)加密  一般而言數(shù)據(jù)庫系統(tǒng)提供的基本安全技術能夠滿足大多數(shù)的應用，但對于一些重要部門或敏感領域的應用，僅靠上述這些措施是難以完全保證數(shù)據(jù)的安全性，某些用戶尤其是一些內(nèi)部用戶仍可能非法獲取用戶名、口令字，或利用其他方法越權使用數(shù)據(jù)庫，因此有必要對數(shù)據(jù)庫中存儲的重要數(shù)據(jù)進行加密處理。數(shù)據(jù)庫密

25、碼系統(tǒng)要求將明文數(shù)據(jù)加密成密文數(shù)據(jù)，數(shù)據(jù)庫中存儲密文數(shù)據(jù)，查詢時將密文數(shù)據(jù)取出解密得到明文信息。Oracle9i提供了特殊DBMS-OBFUSCATIONTOOL KIT 包， 在 Oraclel10g中又增加了DBMSCRYPT0包用于數(shù)據(jù)加密解密，支持DES、AES等多種加密解密算法。7. Oracle的安全管理操作 ² 創(chuàng)建概要文件   創(chuàng)建一個概要文件 user_limited, 把它提供給用戶 normal_user"使用如果連續(xù)3次與normal_user的連接失敗,該賬戶將自動由oracle鎖定，再使用normal_user賬戶的正確口令，系統(tǒng)會提示出錯