信息安全知識競賽培訓_數(shù)據(jù)庫-免費閱讀
【正文】 39。 ?更改用戶口令 ? alter user 用戶名 identified by 新口令 推薦站點 ?? ? ? 內(nèi)容提要 ?數(shù)據(jù)庫概述 ?數(shù)據(jù)庫安全概述 ?數(shù)據(jù)庫安全技術(shù) ?典型數(shù)據(jù)庫安全 ? SQL Server數(shù)據(jù)庫安全 ? Oracle數(shù)據(jù)庫安全 ?SQL Injection安全問題 SQL Injection ?漏洞原理：在數(shù)據(jù)庫應(yīng)用的編程過程中 ， 由于程序員沒有對用戶輸入數(shù)據(jù)進行規(guī)范檢查 ， 導(dǎo)致攻擊者能夠通過構(gòu)造惡意輸入數(shù)據(jù) ， 操作數(shù)據(jù)庫執(zhí)行 ， 甚至能直接攻擊操作系統(tǒng) ?SQL Injection（ SQL注入 ） ， 就是利用某些數(shù)據(jù)庫的外部應(yīng)用把特定的數(shù)據(jù)命令插入到實際的數(shù)據(jù)庫操作語言當中 ， 從而達到入侵數(shù)據(jù)庫乃至操作系統(tǒng)的目的 。 ? 如果 LIMIT為 NULL，建議修改失敗的登錄嘗試 ?ALTER PROFILE DEFAULT LIMIT FAILED_LOGIN_ATTEMPTS 3。PASSWORD_VERIFY_FUNCTION 39。C:\Program Files\Microsoft SQL Server\MSSQL\Binn\39。xp_cmdshell39。 ? 混合模式（ Windows身份驗證和 SQL Server 身份驗證） ? 混合模式使用戶得以使用 Windows 身份驗證或 SQL Server 身份驗證與 SQL Server 實例連接。 數(shù)據(jù)庫的安全性 ?與系統(tǒng)緊密相關(guān)但更難正確配置和保護 ?一些安全漏洞不僅威脅數(shù)據(jù)庫的安全，也威脅到操作系統(tǒng)和其他可信任的系統(tǒng) ?對數(shù)據(jù)庫的安全重視程度遠比不上對待操作系統(tǒng)和網(wǎng)絡(luò) 數(shù)據(jù)庫面臨的安全威脅 ?凡是對數(shù)據(jù)庫內(nèi)數(shù)據(jù)的非授權(quán)訪問（如讀?。┗蚍鞘跈?quán)寫入（修改、刪除、增加等）都對數(shù)據(jù)庫造成了威脅和破壞 ?在正常需要期間，造成授權(quán)用戶不能得到數(shù)據(jù)庫服務(wù)時也對數(shù)據(jù)庫造成了威脅和破壞 數(shù)據(jù)庫的安全威脅形式 ?黑客正在關(guān)注數(shù)據(jù)庫安全 ?蠕蟲和病毒開始針對數(shù)據(jù)庫系統(tǒng) ?數(shù)據(jù)庫開發(fā)和應(yīng)用存在大量的安全問題 ?默認口令和配置在數(shù)據(jù)庫中大量存在 ?增長的業(yè)務(wù)應(yīng)用發(fā)展 典型數(shù)據(jù)庫應(yīng)用與攻擊 ?典型數(shù)據(jù)庫應(yīng)用與攻擊 應(yīng)用服務(wù)器 中間件 數(shù)據(jù)庫服務(wù)器 Inter等 應(yīng) 用 網(wǎng)絡(luò) Attack 數(shù)據(jù)庫的安全要求 ?數(shù)據(jù)完整性、可用性、機密性 ?可審計性 ?用戶認證 ?訪問控制 數(shù)據(jù)庫的安全需求 ?對操作系統(tǒng)的安全需求 ? 防止對 DBMS的非法訪問和修改 ? 保護存儲的數(shù)據(jù)、文件的安全性 ? 對數(shù)據(jù)庫用戶的認證 ?對數(shù)據(jù)庫系統(tǒng)本身的安全需求 ? 用戶認證管理、訪問控制、審計 ? 數(shù)據(jù)庫的穩(wěn)定性 ? 保證數(shù)據(jù)的安全性與完整性，完善的恢復(fù)功能 ? 數(shù)據(jù)加密 ?對數(shù)據(jù)庫應(yīng)用系統(tǒng)的安全需求 ? 訪問控制、認證管理 ? 對數(shù)據(jù)庫的保護防止非法訪問和修改 ? 自身的穩(wěn)定性 內(nèi)容提要 ?數(shù)據(jù)庫概述 ?數(shù)據(jù)庫安全概述 ?數(shù)據(jù)庫安全技術(shù) ?典型數(shù)據(jù)庫安全 ? SQL Server數(shù)據(jù)庫安全 ? Oracle數(shù)據(jù)庫安全 ?SQL Injection安全問題 數(shù)據(jù)庫基本安全構(gòu)架（一） ?數(shù)據(jù)庫的安全模型 ? 自主安全模型（ DAC） ? 用戶對信息的存取控制是基于用戶的鑒別和確定的存取訪問控制規(guī)則 ? 每個用戶都要給予對系統(tǒng)中每個存取對象的存取權(quán)限 ? 有權(quán)限的用戶可自主將權(quán)限傳授給其他用戶 ? 典型代表：存取矩陣模型 ? 強制安全模型（ MAC） ? 主體和客體分配不同的安全屬性 ? 只有管理員才能修改安全屬性 ? 主要應(yīng)用在對敏感信息的保護 ? 典型代表： BLP模型（ BelllLa Padula） 數(shù)據(jù)庫基本安全構(gòu)架（二） ?信息流控制 ? 對象之間的流動信息或信息流程的監(jiān)控和管理 ? 防止高級別對象到低級別對象的流動，比如拷貝操作 ? 要求對所有元素、組成成分等都要劃分類別和級別 ?推理控制 ? 防止通過間接的方式越權(quán)獲取數(shù)據(jù)，比如信息竊取 ?存取控制 ? 主體是用戶、進程等，客體是數(shù)據(jù)、表、記錄、元素、字段等 ? DAC和 MAC 數(shù)據(jù)庫加密技術(shù)（一） ?庫外加密 ? 將數(shù)據(jù)庫的文件作為加密對象 ?優(yōu)點： ? 對 DBMS的要求少 ?缺點： ? 效率低 ? 數(shù)據(jù)解密需要很大的時間和空間代價 數(shù)據(jù)庫加密技術(shù)（二） ?庫內(nèi)加密 ? 加密對象為數(shù)據(jù)庫中存儲的數(shù)據(jù)，比如表、記錄、元素、數(shù)據(jù)等。 數(shù)據(jù)庫基礎(chǔ) ? 數(shù)據(jù)庫是按照數(shù)據(jù)結(jié)構(gòu)來組織、存儲和管理數(shù)據(jù)的倉庫。并以此開發(fā) System R，該項目直到 1980年才正式推出。 ?1973年加州大學伯克利分校的 Michael Stonebraker和Eugene Wong利用 System R已發(fā)
教學課件相關(guān)推薦
鄂ICP備17016276號-1