【文章內(nèi)容簡介】 置情況建議操作：可利用操作系統(tǒng)提供的用戶驗(yàn)證。操作結(jié)果：無 口令文件驗(yàn)證編號(hào)： 406 名稱： 口令文件驗(yàn)證 重要等級(jí)： 高基本信息：在大多數(shù)情況下， DB2 用戶可以由操作系統(tǒng)驗(yàn)證。檢測內(nèi)容：8 / 28? 檢查口令文件情況建議操作：確?？诹钗募筒僮飨到y(tǒng)的安全。操作結(jié)果：無 對(duì)象權(quán)限編號(hào)： 407 名稱： 對(duì)象權(quán)限 重要等級(jí)： 高基本信息：9 / 28檢測內(nèi)容：? 檢查對(duì)象權(quán)限建議操作：合理配置用戶的對(duì)象權(quán)限。操作結(jié)果：確保權(quán)限最小化10 / 28 登陸口令編號(hào)： 408 名稱： 登陸口令 重要等級(jí)： 高基本信息：當(dāng)從一個(gè)客戶機(jī)連接到數(shù)據(jù)庫服務(wù)器，或者通過數(shù)據(jù)庫鏈接從一個(gè)數(shù)據(jù)庫連接到另一個(gè)數(shù)據(jù)庫時(shí)，除非指定其他形式，否則 DB2 將以非加密的形式傳輸輸入的口令。對(duì)于 DB2，可以設(shè)置參數(shù)來強(qiáng)制在傳輸前將口令值加密。檢測內(nèi)容：? 檢查是否設(shè)置了口令加密建議操作：若要啟用口令加密，需設(shè)置以下參數(shù)：若客戶機(jī)認(rèn)證是 DCS_ENCRYPT 或 SERVER_ENCRYPT， 可傳送用戶 ID 和加密的口令來認(rèn)證客戶機(jī)。若在客戶機(jī)中指定 SERVER_ENCRYPT，在服務(wù)器中指定 SERVER， 由于認(rèn)證級(jí)別不匹配會(huì)返回一個(gè)錯(cuò)誤操作結(jié)果：確保登陸安全 特定漏洞加固方法一、 對(duì)傳輸數(shù)據(jù)進(jìn)行加密如果需要對(duì)客戶端和服務(wù)器端傳輸?shù)臄?shù)據(jù)進(jìn)行加密，以防數(shù)據(jù)竊聽，可以修改客戶端和服務(wù)器端的配置文件，對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行加密，以避免明文在網(wǎng)絡(luò)上的傳輸。具體請(qǐng)參閱 DB2 SQL REFERRENCE二、對(duì)于訪問數(shù)據(jù)庫的客戶端 IP 地址進(jìn)行配置。11 / 28數(shù)據(jù)庫監(jiān)聽客戶端 IP 地址的連接記錄，存儲(chǔ)在/etc/services 文件里，請(qǐng)管理員定期查看和分析該日志文件。在/etc/services 目錄下修改 db2cdb2inst1 的端口號(hào)：db2cdb2inst1 50000/tcp對(duì)于訪問數(shù)據(jù)庫客戶端 IP 的限制，借助操作系統(tǒng)或者防火墻等設(shè)備實(shí)現(xiàn)也是可行的。三、安裝最新補(bǔ)丁程序DB2 雖然具有很高的安全性，但是不可避免還有安全漏洞，一個(gè)比較安全的辦法是時(shí)刻關(guān)注 DB2 的安全公告，并及時(shí)安裝安全補(bǔ)丁。安全公告和補(bǔ)丁位置如下：由于涉及 DB2 數(shù)據(jù)庫的業(yè)務(wù)都是非常關(guān)鍵的，在安裝安全補(bǔ)丁前一定要做好備份工作，聯(lián)系 IBM 公司或者你的開發(fā)商，定時(shí)做補(bǔ)丁升級(jí)是非常必要的。四、對(duì)敏感的數(shù)據(jù)庫活動(dòng)實(shí)施審計(jì)對(duì)敏感的數(shù)據(jù)庫活動(dòng)，如刪除表等進(jìn)行審計(jì)。DB2 提供的數(shù)據(jù)庫審計(jì)類型有：? 語句審計(jì)：監(jiān)視由一個(gè)或者多個(gè)特定用戶或者所有用戶提交的 SQL語句。這種類型的審計(jì)范圍非常廣。? 特權(quán)審計(jì)：監(jiān)視數(shù)據(jù)庫里一個(gè)或者多個(gè)特定用戶或者所有用戶使用的系統(tǒng)權(quán)限，比如 audit create table。這種類型的審計(jì)范圍是中等的。模式對(duì)象審計(jì)：監(jiān)視一個(gè)模式里在一個(gè)或者多個(gè)對(duì)象上發(fā)生的行為，比如：audit insert into EMPLOYEES。這種類型的審計(jì)是非常有重點(diǎn)的，范圍狹窄。五、用戶管理51 過多的用戶被授予 DBA 的權(quán)限12 / 28授權(quán)是一個(gè)過程，通過這個(gè)過程 DB2 獲取有關(guān)一個(gè)已認(rèn)證的 DB2 用戶的信息，此信息指示該用戶可執(zhí)行的數(shù)據(jù)庫操作，以及可以存取的數(shù)據(jù)對(duì)象。執(zhí)行每個(gè)用戶請(qǐng)求時(shí)，根據(jù)所涉及的對(duì)象和操作，可能有多個(gè)授權(quán)檢查。 使用 DB2 設(shè)施來執(zhí)行授權(quán)。DB2 表和配置文件用于記錄與每個(gè)授權(quán)名相關(guān)的許可權(quán)。將一個(gè)已認(rèn)證的用戶的授權(quán)名和此用戶所屬的那些組的授權(quán)名，與記錄的許可權(quán)比較。根據(jù)這個(gè)比較，DB2 決定是否允許執(zhí)行請(qǐng)求的存取。 DB2 記錄了兩種類型的許可權(quán)：特權(quán)和權(quán)限級(jí)。特權(quán)為授權(quán)名定義單個(gè)許可權(quán)，它使用戶能夠創(chuàng)建或存取數(shù)據(jù)庫資源。特權(quán)存儲(chǔ)在數(shù)據(jù)庫目錄中。 權(quán)限級(jí)提供將特權(quán)分組的一個(gè)方法，并控制更高級(jí)別的數(shù)據(jù)庫管理程序的維護(hù)和實(shí)用程序操作。數(shù)據(jù)庫特定的權(quán)限存儲(chǔ)在數(shù)據(jù)庫目錄中；系統(tǒng)權(quán)限與組成員資格相關(guān)聯(lián)，并存儲(chǔ)在一個(gè)給定實(shí)例的數(shù)據(jù)庫管理程序配置文件中。 組提供了一個(gè)簡便的方法，來對(duì)一組用戶執(zhí)行授權(quán)，而不必單獨(dú)對(duì)每個(gè)用戶授予或撤消特權(quán)。除非另有指定，否則，組授權(quán)名可以用在為了授權(quán)而使用授權(quán)名的任何地方。通常，對(duì)于動(dòng)態(tài) SQL 和非數(shù)據(jù)庫對(duì)象授權(quán)（如實(shí)例級(jí)命令和實(shí)用程序），考慮使用組成員資格，但對(duì)于靜態(tài) SQL，則不考慮使用它。這種一般情況的例外是，當(dāng)授予 PUBLIC 特權(quán)時(shí)：在處理靜態(tài) SQL 時(shí)要考慮它們。DB2 文檔中的適當(dāng)?shù)胤教岬搅私M成員資格不適用的特殊情況。 特權(quán)使用戶能夠創(chuàng)建或存取數(shù)據(jù)庫資源。 權(quán)限級(jí)提供一個(gè)方法，以將特權(quán)及高級(jí)數(shù)據(jù)庫管理程序維護(hù)和實(shí)用程序操作分組。這兩者一起用于控制對(duì)數(shù)據(jù)庫管理程序和它的數(shù)據(jù)庫對(duì)象的存取。用戶只能存取那些他們具有適當(dāng)授權(quán) （即必需的特權(quán)或權(quán)限）的對(duì)象。 存在下列權(quán)限： ? 系統(tǒng)管理權(quán)限 (SYSADM) ? 數(shù)據(jù)庫管理權(quán)限 (DBADM) ? 系統(tǒng)控制權(quán)限 (SYSCTRL) ? 系統(tǒng)維護(hù)權(quán)限 (SYSMAINT)。 存在下列類型的特權(quán)： 13 / 28? 數(shù)據(jù)庫特權(quán) ? 模式特權(quán) ? 表空間特權(quán) ? 表和視圖特權(quán) ? 別名特權(quán) ? 服務(wù)器特權(quán) ? 程序包特權(quán) ? 索引特權(quán)。 52 存在把權(quán)限授給 PUBLIC 的情況刪除不需要的帳號(hào)；對(duì)于不明確是否能刪除的用戶可以暫時(shí)鎖定該用戶，或賦予非常復(fù)雜的口令。刪除用戶及其所有的數(shù)據(jù)對(duì)象命令：drop user dbuser cascade。取消用戶角色權(quán)限：revoke connect from dbuser。53 連接時(shí)使用空口令。修改口令文件 PROFILE，防止利用空口令或默認(rèn)口令進(jìn)行連接。六、關(guān)閉遠(yuǎn)程數(shù)據(jù)庫驗(yàn)證遠(yuǎn)程數(shù)據(jù)庫驗(yàn)證只用于當(dāng)你信任客戶端用戶時(shí)采用。這種驗(yàn)證機(jī)制是：用戶在客戶端驗(yàn)證，當(dāng)用戶登錄數(shù)據(jù)庫時(shí)不再需要用服務(wù)器端數(shù)據(jù)庫密碼驗(yàn)證，故稱為遠(yuǎn)程數(shù)據(jù)庫驗(yàn)證。為加強(qiáng)安全起見，關(guān)閉遠(yuǎn)程數(shù)據(jù)庫驗(yàn)證。 14 / 28第四章 附錄：數(shù)據(jù)庫安全問題及解決方案 數(shù)據(jù)庫安全問題電子商務(wù)的流行和 Inter 的普遍性改變了機(jī)構(gòu)運(yùn)營商務(wù)的方式、人們進(jìn)行通信的手段。這些改變帶來了推動(dòng)商業(yè)決策的新技術(shù)。安全性漸漸從內(nèi)部集成解決方案組轉(zhuǎn)變成了電子商務(wù)實(shí)施的主要必需條件。目前世界上很多企業(yè)和機(jī)構(gòu)正在充分利用 Inter，優(yōu)化運(yùn)作，并以相同的方式與供應(yīng)商、合作伙伴、內(nèi)部用戶和客戶直接進(jìn)行通信。然而，這些新的商業(yè)運(yùn)作模式為它們帶來了機(jī)遇同時(shí)也帶來了各種挑戰(zhàn)。不同類別的用戶需要以不同的方式訪問數(shù)據(jù)。合作伙伴必須能夠看到某些有限的數(shù)據(jù)，員工能夠?yàn)g覽公司機(jī)密信息，而客戶只能看到與其相關(guān)的信息； 同時(shí) Inter 的發(fā)展使企業(yè)級(jí)應(yīng)用系統(tǒng)的用戶數(shù)量呈指數(shù)級(jí)增長, 為企業(yè)級(jí)的用戶管理帶來了挑戰(zhàn)。簡而言之，Inter 時(shí)代安全性的挑戰(zhàn)包括：了解用戶、設(shè)置用戶訪問權(quán)限、對(duì)機(jī)密數(shù)據(jù)進(jìn)行保密、提供安全的網(wǎng)絡(luò)服務(wù)。借助 DB2EE amp。 DB2 EEE 的功能，管理員和集成商能夠克服這些 Inter 安全性挑戰(zhàn)，DB2 為基于 Inter 的企業(yè)范圍應(yīng)用解決方案提供了極其安全的環(huán)境。 數(shù)據(jù)安全基本需求數(shù)據(jù)安全的需求概括來講就是：正確的人能夠及時(shí)地存取到正確的數(shù)據(jù)?；镜臄?shù)據(jù)安全需求有下面三方面：? 數(shù)據(jù)機(jī)密性? 數(shù)據(jù)完整性? 數(shù)據(jù)可訪問15 / 28數(shù)據(jù)機(jī)密