信息安全知識(shí)競賽培訓(xùn)_數(shù)據(jù)庫-文庫吧
2025-01-01 13:47 本頁面
【正文】 構(gòu)架（一） ?數(shù)據(jù)庫的安全模型 ? 自主安全模型（ DAC） ? 用戶對信息的存取控制是基于用戶的鑒別和確定的存取訪問控制規(guī)則 ? 每個(gè)用戶都要給予對系統(tǒng)中每個(gè)存取對象的存取權(quán)限 ? 有權(quán)限的用戶可自主將權(quán)限傳授給其他用戶 ? 典型代表：存取矩陣模型 ? 強(qiáng)制安全模型（ MAC） ? 主體和客體分配不同的安全屬性 ? 只有管理員才能修改安全屬性 ? 主要應(yīng)用在對敏感信息的保護(hù) ? 典型代表： BLP模型（ BelllLa Padula） 數(shù)據(jù)庫基本安全構(gòu)架（二） ?信息流控制 ? 對象之間的流動(dòng)信息或信息流程的監(jiān)控和管理 ? 防止高級別對象到低級別對象的流動(dòng)，比如拷貝操作 ? 要求對所有元素、組成成分等都要?jiǎng)澐诸悇e和級別 ?推理控制 ? 防止通過間接的方式越權(quán)獲取數(shù)據(jù)，比如信息竊取 ?存取控制 ? 主體是用戶、進(jìn)程等，客體是數(shù)據(jù)、表、記錄、元素、字段等 ? DAC和 MAC 數(shù)據(jù)庫加密技術(shù)（一） ?庫外加密 ? 將數(shù)據(jù)庫的文件作為加密對象 ?優(yōu)點(diǎn)： ? 對 DBMS的要求少 ?缺點(diǎn)： ? 效率低 ? 數(shù)據(jù)解密需要很大的時(shí)間和空間代價(jià) 數(shù)據(jù)庫加密技術(shù)（二） ?庫內(nèi)加密 ? 加密對象為數(shù)據(jù)庫中存儲(chǔ)的數(shù)據(jù)，比如表、記錄、元素、數(shù)據(jù)等。 ?優(yōu)點(diǎn)： ? 加密的粒度可細(xì)化 ? 效率較高 ?缺點(diǎn)： ? 針對性較強(qiáng) 數(shù)據(jù)庫加密技術(shù)（三） ?硬件加密 ? 在物理存儲(chǔ)器與數(shù)據(jù)庫系統(tǒng)之間的硬件加密裝置 ? 加密解密操作由硬件中間設(shè)備完成 ?缺點(diǎn)： ? 硬件之間的兼容問題 ? 系統(tǒng)變得更復(fù)雜 內(nèi)容提要 ?數(shù)據(jù)庫概述 ?數(shù)據(jù)庫安全概述 ?數(shù)據(jù)庫安全技術(shù) ?典型數(shù)據(jù)庫安全 ? SQL Server數(shù)據(jù)庫安全 ? Oracle數(shù)據(jù)庫安全 ?SQL Injection安全問題 SQL Server介紹 ? 1987年微軟與 Sybase合作 ,并使用 Sybase的技術(shù)開發(fā) OS/2平臺(tái)的數(shù)據(jù)庫 ? 1989年， SQL ? 1992年，推出 OS/2平臺(tái)的 ? 1993年，發(fā)布基于 NT平臺(tái)的 SQLServer ? 1994年，微軟脫離 Sybase自行開發(fā)數(shù)據(jù)庫 ,并與 95和 96年分別發(fā)布了 ? 基于關(guān)系型數(shù)據(jù)庫的大型數(shù)據(jù)庫系統(tǒng) ? 廣泛應(yīng)用于電子商務(wù)、金融等行業(yè) ? 最新產(chǎn)品為 SQL Server 2021 SQL Server安全特性 ?利用了 Windows操作系統(tǒng)的集成安全性； ?基于角色的服務(wù)器、數(shù)據(jù)庫和應(yīng)用程序配置安全性； ?集成的安全性審核工具可以跟蹤 18個(gè)不同的安全事件及其子事件； ?文件和網(wǎng)絡(luò)加密支持，包括 SSL、 Kerberos及委托； ?SQL Server 2021通過 C2級安全性認(rèn)證； 主要安全問題 ?嚴(yán)重的安全漏洞 ? 拒絕服務(wù)漏洞 ? UDP緩沖區(qū)溢出漏洞 ?SQL Slammer蠕蟲 ?默認(rèn)的 sa空口令 ?“ 明文 ” 傳輸問題 ?數(shù)據(jù)庫應(yīng)用中存在的 SQL Injection SQL Server安全管理要點(diǎn) ?賬號 ?資源 ?系統(tǒng) ?審核及日志 ?數(shù)據(jù)庫應(yīng)用 帳號管理 ?檢查數(shù)據(jù)庫賬號 ?檢查無用的數(shù)據(jù)庫賬號 ?檢查弱口令賬號 口令檢查 ?本地賬號檢查 ? 檢查空口令賬戶： Select name from syslogins where password is null ? 腳本 : ?密碼破解工具 ? ? ? ASI產(chǎn)品 ? 其他漏洞掃描工具 口令傳輸弱加密問題 ?登錄密碼在網(wǎng)絡(luò)中傳輸是 “ 加密 ” 的 ?事實(shí)上： ? 加密是 “ 弱 ” 的 ? 基本等同于明文傳輸 ?密碼嗅探工具 ? 數(shù)據(jù)庫資源管理 ?檢查數(shù)據(jù)庫安裝目錄的文件安全性 ?檢查數(shù)據(jù)庫文件的安全性 系統(tǒng)配置管理 ?補(bǔ)丁安裝 ?安全層次和身份驗(yàn)證模式 ?數(shù)據(jù)庫的網(wǎng)絡(luò)配置 ?擴(kuò)展存儲(chǔ)過程檢查 數(shù)據(jù)庫補(bǔ)丁 ?察看數(shù)據(jù)庫版本 ? 執(zhí)行 xp_msver ?最新版本 ? SQL Server2021： ? SQL Server 2021： ? SQL Server ： ?在 SQL Server安裝 SP3補(bǔ)丁時(shí)，必須在系統(tǒng)中已經(jīng)安裝了 SP1或 SP2。 安全層次和身份驗(yàn)證模式 ? SQL Server支持三級安全層次： ? 第一個(gè)層次是，用戶必須登錄到 SQL Server，或者已經(jīng)成功登錄了一個(gè)映射到SQL Server的 NT帳號。在 SQL Server登錄成功并不意味著用戶已經(jīng)可以訪問 SQL Server上的數(shù)據(jù)庫。 ? 第二層次的安全權(quán)限允許用戶與一個(gè)特定的數(shù)據(jù)庫相連接。 ? 第三個(gè)層次的安全權(quán)限允許用戶擁有對指定數(shù)據(jù)庫中一個(gè)對象的訪問
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1