信息安全知識(shí)競(jìng)賽培訓(xùn)_數(shù)據(jù)庫(kù)-預(yù)覽頁(yè)
【正文】 ?黑客正在關(guān)注數(shù)據(jù)庫(kù)安全 ?蠕蟲和病毒開始針對(duì)數(shù)據(jù)庫(kù)系統(tǒng) ?數(shù)據(jù)庫(kù)開發(fā)和應(yīng)用存在大量的安全問題 ?默認(rèn)口令和配置在數(shù)據(jù)庫(kù)中大量存在 ?增長(zhǎng)的業(yè)務(wù)應(yīng)用發(fā)展 典型數(shù)據(jù)庫(kù)應(yīng)用與攻擊 ?典型數(shù)據(jù)庫(kù)應(yīng)用與攻擊 應(yīng)用服務(wù)器 中間件 數(shù)據(jù)庫(kù)服務(wù)器 Inter等 應(yīng) 用 網(wǎng)絡(luò) Attack 數(shù)據(jù)庫(kù)的安全要求 ?數(shù)據(jù)完整性、可用性、機(jī)密性 ?可審計(jì)性 ?用戶認(rèn)證 ?訪問控制 數(shù)據(jù)庫(kù)的安全需求 ?對(duì)操作系統(tǒng)的安全需求 ? 防止對(duì) DBMS的非法訪問和修改 ? 保護(hù)存儲(chǔ)的數(shù)據(jù)、文件的安全性 ? 對(duì)數(shù)據(jù)庫(kù)用戶的認(rèn)證 ?對(duì)數(shù)據(jù)庫(kù)系統(tǒng)本身的安全需求 ? 用戶認(rèn)證管理、訪問控制、審計(jì) ? 數(shù)據(jù)庫(kù)的穩(wěn)定性 ? 保證數(shù)據(jù)的安全性與完整性，完善的恢復(fù)功能 ? 數(shù)據(jù)加密 ?對(duì)數(shù)據(jù)庫(kù)應(yīng)用系統(tǒng)的安全需求 ? 訪問控制、認(rèn)證管理 ? 對(duì)數(shù)據(jù)庫(kù)的保護(hù)防止非法訪問和修改 ? 自身的穩(wěn)定性 內(nèi)容提要 ?數(shù)據(jù)庫(kù)概述 ?數(shù)據(jù)庫(kù)安全概述 ?數(shù)據(jù)庫(kù)安全技術(shù) ?典型數(shù)據(jù)庫(kù)安全 ? SQL Server數(shù)據(jù)庫(kù)安全 ? Oracle數(shù)據(jù)庫(kù)安全 ?SQL Injection安全問題 數(shù)據(jù)庫(kù)基本安全構(gòu)架（一） ?數(shù)據(jù)庫(kù)的安全模型 ? 自主安全模型（ DAC） ? 用戶對(duì)信息的存取控制是基于用戶的鑒別和確定的存取訪問控制規(guī)則 ? 每個(gè)用戶都要給予對(duì)系統(tǒng)中每個(gè)存取對(duì)象的存取權(quán)限 ? 有權(quán)限的用戶可自主將權(quán)限傳授給其他用戶 ? 典型代表：存取矩陣模型 ? 強(qiáng)制安全模型（ MAC） ? 主體和客體分配不同的安全屬性 ? 只有管理員才能修改安全屬性 ? 主要應(yīng)用在對(duì)敏感信息的保護(hù) ? 典型代表： BLP模型（ BelllLa Padula） 數(shù)據(jù)庫(kù)基本安全構(gòu)架（二） ?信息流控制 ? 對(duì)象之間的流動(dòng)信息或信息流程的監(jiān)控和管理 ? 防止高級(jí)別對(duì)象到低級(jí)別對(duì)象的流動(dòng)，比如拷貝操作 ? 要求對(duì)所有元素、組成成分等都要?jiǎng)澐诸悇e和級(jí)別 ?推理控制 ? 防止通過間接的方式越權(quán)獲取數(shù)據(jù)，比如信息竊取 ?存取控制 ? 主體是用戶、進(jìn)程等，客體是數(shù)據(jù)、表、記錄、元素、字段等 ? DAC和 MAC 數(shù)據(jù)庫(kù)加密技術(shù)（一） ?庫(kù)外加密 ? 將數(shù)據(jù)庫(kù)的文件作為加密對(duì)象 ?優(yōu)點(diǎn)： ? 對(duì) DBMS的要求少 ?缺點(diǎn)： ? 效率低 ? 數(shù)據(jù)解密需要很大的時(shí)間和空間代價(jià) 數(shù)據(jù)庫(kù)加密技術(shù)（二） ?庫(kù)內(nèi)加密 ? 加密對(duì)象為數(shù)據(jù)庫(kù)中存儲(chǔ)的數(shù)據(jù)，比如表、記錄、元素、數(shù)據(jù)等。 ? 第二層次的安全權(quán)限允許用戶與一個(gè)特定的數(shù)據(jù)庫(kù)相連接。 ? 混合模式（ Windows身份驗(yàn)證和 SQL Server 身份驗(yàn)證） ? 混合模式使用戶得以使用 Windows 身份驗(yàn)證或 SQL Server 身份驗(yàn)證與 SQL Server 實(shí)例連接。xp_cmdshell39。xp_cmdshell39。DLL39。C:\Program Files\Microsoft SQL Server\MSSQL\Binn\39。 ?參考： .htm 賬戶管理 ?列舉可見用戶 ? select username from all_users ?列舉所有用戶 ? select username from dba_users ?檢查用戶配置 ? select username,profile,account_status from dba_users ?為 Oracle數(shù)據(jù)庫(kù)安全考慮，在多人共同對(duì)數(shù)據(jù)庫(kù)進(jìn)行維護(hù)時(shí)，應(yīng)分別重新定義角色。PASSWORD_VERIFY_FUNCTION 39。PASSWORD_LIFE_TIME39。 ? 如果 LIMIT為 NULL，建議修改失敗的登錄嘗試 ?ALTER PROFILE DEFAULT LIMIT FAILED_LOGIN_ATTEMPTS 3。 ?UTL_SMTP權(quán)限 ? SQL revoke execute on utl_SMTP from public。 ?更改用戶口令 ? alter user 用戶名 identified by 新口令 推薦站點(diǎn) ?? ? ? 內(nèi)容提要 ?數(shù)據(jù)庫(kù)概述 ?數(shù)據(jù)庫(kù)安全概述 ?數(shù)據(jù)庫(kù)安全技術(shù) ?典型數(shù)據(jù)庫(kù)安全 ? SQL Server數(shù)據(jù)庫(kù)安全 ? Oracle數(shù)據(jù)庫(kù)安全 ?SQL Injection安全問題 SQL Injection ?漏洞原理：在數(shù)據(jù)庫(kù)應(yīng)用的編程過程中 ， 由于程序員沒有對(duì)用戶輸入數(shù)據(jù)進(jìn)行規(guī)范檢查 ， 導(dǎo)致攻擊者能夠通過構(gòu)造惡意輸入數(shù)據(jù) ， 操作數(shù)據(jù)庫(kù)執(zhí)行 ， 甚至能直接攻擊操作系統(tǒng) ?SQL Injection（ SQL注入 ） ， 就是利用某些數(shù)據(jù)庫(kù)的外部應(yīng)用把特定的數(shù)據(jù)命令插入到實(shí)際的數(shù)據(jù)庫(kù)操作語(yǔ)言當(dāng)中 ， 從而達(dá)到入侵?jǐn)?shù)據(jù)庫(kù)乃至操作系統(tǒng)的目的 。 39。 39。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1