【文章內容簡介】 全機制 1） Windows NT認證模式 SQL Server數(shù)據(jù)庫系統(tǒng)通常運行在 Windows NT服務器平臺上，而 NT作為網(wǎng)絡操作系統(tǒng)，本身就具備管理登錄、驗證用戶合法性的能力，因此 Windows NT認證模式正是利用了這一用戶安全性和帳號管理的機制，允許 SQL Server也可以使用NT的用戶名和口令。 在這種模式下，用戶只需要通過 Windows NT的認證，就可以連接到 SQL Server，而 SQL Server本身也就不需要管理一套登錄數(shù)據(jù)。 2）混合認證模式 ? 在 SQL Server認證模式下， SQL Server服務器要對登錄的用戶名進行身份驗證。 ? 當采用混合模式時， SQL Server系統(tǒng)即允許windows nt帳號登錄，也允許使用 SQL Server帳號登錄。 ? 對于 Windows 9x系列的操作系統(tǒng)只能使用 SQL Server認證模式，在 Windows NT或 Windows2023上運行時，系統(tǒng)管理員設定登錄認證模式的類型可為Windows NT認證模式和混合模式。 1）建立 Windows NT認證模式登錄賬號 ? 第一步：控制面板 → 管理工具 → “計算機管理” → “本地用戶和組” ? 第二步：右擊“用戶” → “新用戶”，輸入用戶名及密碼，單擊“創(chuàng)建”。 ? 第三步：打開 SQL Server服務器目錄樹，選擇“安全性” → “登錄名” → “新建登錄名”。 ? 第四步：在“常規(guī)”選項中選擇用戶名“ WZ\wang” ，選擇 Windows身份驗證，單擊“確定。 在此輸入用戶名 刪除 Windows NT認證模式登錄賬號 步驟如下： (1) 以系統(tǒng)管理員身份進入企業(yè)管理器，并展開目錄樹； (2) 在目錄樹的 “ 登錄名 ” 節(jié)點下，選中待刪除的名稱 “ wang”， 2）建立混合認證模式下 SQL Server登錄賬號 ?在 Windows NT 或 windows 2023環(huán)境下，如果要使用 SQL Server登錄帳號登錄 SQL Server， 首先應該將 SQL Server的認證模式設置為混合模式。 具體步驟為： (1) 右擊要登錄的 SQL Server服務器圖標，選擇菜單項“屬性”，出現(xiàn) SQL Server服務器屬性配置窗口。 (2) 選擇“安全性”選項卡，選擇身份驗證方式為“ SQL Server和 Windows身份驗證”，選擇“確定”按鈕。 （ 3）打開對象資源管理器目錄樹，選擇“安全性” → “登錄” → “新建登錄名”； （ 4）在“常規(guī)”選項中輸入用戶名“ cheng” 及密碼 ； 輸入用戶名cheng 輸入密碼 SQL Server 2023密碼復雜性策略： 1. 不得包含全部或部分（ =3）用戶帳號名； 2. 長度至少 6個字符； 3. 密碼包含 4類字符：英文大寫字母、小寫 字母、 10個基本數(shù)字，非字母字符（！ 等） （ 5）在“服務器角色”界面，暫時保持 Public角色； （ 6）在“用戶映射”界面，選中數(shù)據(jù)庫“ stu” ，并分配數(shù)據(jù)庫角色，如下圖： ? 測試 SQL帳號能否連接到服務器： ? 選擇“新建連接”，在“連接到服務器”界面測試。 SQL Server數(shù)據(jù)庫的安全機制 ? 前面所介紹的都是服務器賬號的管理，若一個用戶登錄到 SQL Server服務器，還不能對數(shù)據(jù)庫進行操作，因為系統(tǒng)管理員還沒有為他在數(shù)據(jù)庫中建立一個用戶名； ? 一個登錄賬號在不同的數(shù)據(jù)庫中可以映射成不同的用戶，從而可以具有不同的權限；每個數(shù)據(jù)庫中都有兩個默認的用戶： dbo和guest 。 1）新建數(shù)據(jù)庫用戶 ? 連接對象資源管理器，選擇目錄樹數(shù)據(jù)庫“ stu”→ 安全性 → 用戶 → “新建用戶”。 登錄名和用戶名 ? 登錄名代表是服務器的權限； ? 用戶名代表是數(shù)據(jù)庫上的權限； ? 用戶使用登錄名登錄服務器后，按照登錄名的服務器權限可以操作服務器；使用登錄名映射的用戶名可以操作數(shù)據(jù)庫。兩者可相同也可不同，一般情況下選擇相同。 2）為數(shù)據(jù)庫用戶分配權限 ? 權限用來控制用戶如何訪問數(shù)據(jù)庫對象。 ? 一個用戶可以同時屬于具有不同權限的多個角色，這些不同的權限提供了對同一數(shù)據(jù)庫對象的不同的訪問級別。 ? SQL Server 2023中的權限分為三種： ? 語句權限：是否可以執(zhí)行一些數(shù)據(jù)定義語句 ? 隱含權限：系統(tǒng)預定義的服務器角色或 dbo和數(shù)據(jù)庫對象擁有者所擁有的權限 ? 對象權限： ※ 對象權限是指用戶對數(shù)據(jù)庫中的表、存儲過程、視圖等數(shù)據(jù)對象的操作權限。具體包括： ? 對表和視圖 ,是否可執(zhí)行 SELECT、 INSERT、 UPDATE、DELETE ? 對表和視圖的列，是否可執(zhí)行 SELECT、 UPDATE ? 對存儲過程，是否可執(zhí)行 EXEC 一個用戶或角色的權限可以有以下三種存在形式： ? 授權 (Granted) ? 回收 (Revoked) ? 拒絕 (Deny) 例 1：把查詢 student表分配給數(shù)據(jù)庫用戶“ wang” 。 例 2：把查詢 course表及修改課程號的權限分配給數(shù)據(jù)庫用戶“ cheng” 。 例 3：把對表 student的 insert的權限分配給用戶“ cheng” ，并允許將此權限再授予其他用戶。 例 4：把對表 student的 Alter的權限同時分配給用戶cheng及 wang。 3）創(chuàng)建及管理數(shù)據(jù)庫角色 ? 數(shù)據(jù)庫角色是為某一用戶或某一組用戶授予不同級別的管理或訪問數(shù)據(jù)庫以及數(shù)據(jù)庫對象的權限 ，這些權限是數(shù)據(jù)庫專有的，并且還可以使一個用戶具有屬于同一數(shù)據(jù)庫的多個角色。 ? SQL Server 2023提供了三種類型的數(shù)據(jù)庫角色 ? 固定數(shù)據(jù)庫角色 ? 用戶自定義數(shù)據(jù)庫角色 固定數(shù)據(jù)庫角色 創(chuàng)建用戶自定義數(shù)據(jù)庫角色 創(chuàng)建數(shù)據(jù)庫角色： ? 登錄到 SQL Server服務器，選擇數(shù)據(jù)庫 “ stu”→ 安全性 → 角色 → 新建數(shù)據(jù)庫角色 ； ? 在常規(guī)選項中輸入角色名稱 role及登錄名 cheng； 對數(shù)據(jù)庫角色賦予權限（如對學生表進行插入記錄）： ? 在安全對象選項中單擊“添加”，選擇“特定數(shù)據(jù)對象”，選擇對象類型（表），選擇對象名稱 student； ? 在安全對象選項中選擇權限 insert。 對數(shù)據(jù)庫角色添加數(shù)據(jù)庫用戶 ? 在常規(guī)選項中選擇“添加用戶”即可完成。 例 1:在數(shù)據(jù)庫 stu上定義一個數(shù)據(jù)庫角色 role，該角色中有數(shù)據(jù)庫用戶 stu stu2，對數(shù)據(jù)表 student可進行查詢操作。 具體操作步驟為： stu stu2； role并賦予查詢表 student的權限； 。 連接對象資源管理器目錄樹，選擇數(shù)據(jù)庫“ stu”→安全性 → 用戶 → “新建用戶”（ stu1和 stu2）。 i） 創(chuàng)建數(shù)據(jù)庫用戶 ii） 創(chuàng)建數(shù)據(jù)庫角色 并賦予權限 ?選擇數(shù)據(jù)庫 “ stu”→ 安全性 → 角色 → 新建數(shù)據(jù)庫角色； ?在 【 常規(guī) 】 選項中輸入角色名 role及所有者 cheng； ?在 【 安全對象 】 選項中單擊 “ 添加安全對象 ” ，選擇對象類型 “ 表 ” ，選中數(shù)據(jù)表 ” student”，單擊確定； ?繼續(xù)在 【 安全對象 】 選項中選擇數(shù)據(jù)表 student的權限（ select）； iii）將數(shù)據(jù)庫用戶加入數(shù)據(jù)庫角色 ?選擇數(shù)據(jù)庫 “ stu”→ 安全性 → 角色 → 數(shù)據(jù)庫角色； ?雙擊角色名 role； ?在 ” 常規(guī) “ 選項中單擊 ” 添加角色成員 “ ，依次選中數(shù)據(jù)庫用戶即可。 注意： 刪除用戶自定義的數(shù)據(jù)庫角色時，首先應刪除該角色的所有成員。 六、其他數(shù)據(jù)庫安全性控制 ? 強制存取控制方法（ MAC） ? 視圖機制 ? 審計 ? 數(shù)據(jù)加密 ? 統(tǒng)計數(shù)據(jù)庫安全性 強制存取控制方法 ? 自主存取控制（ DAC）缺點 ： ? 可能存在數(shù)據(jù)的“無意泄露”； ? 原因：這種機制僅僅通過對數(shù)據(jù)的存取權限來進行安全控制，而數(shù)據(jù)本身并無安全性標記； ? 解決：對系統(tǒng)控制下的所有主客體實施強制存取控制策略。 ? 強制存取控制（ MAC) ? 保證更高程度的安全性 ? 用戶能不能直接感知或進行控制 ? 適用于對數(shù)據(jù)有嚴格而固定密級分類的部門 ? 軍事部門 ? 政府部門 視圖機制 ? 把要保密的數(shù)據(jù)對無權存取這些數(shù)據(jù)的用戶隱藏起來，對數(shù)據(jù)提供一定程度的安全保護 ? 主要功能是提供數(shù)據(jù)獨立性，無法完全滿足要求； ? 間接實現(xiàn)了支持存取謂詞的用戶權限定義； 例 1：建立計算機系學生的視圖，把對該視圖的 SELECT權限授于王平，把該視圖上的所有操作權限授于張明。 先建立計算機系學生的視圖： CREATE VIEW CS_Student AS SELECT * FROM Student WHERE Sdept=39。CS‘ 再定義存取權限： GRANT SELECT ON CS_Student TO 王平 GRANT ALL PRIVILIGES ON CS_Student TO 張明 審計（ Audit） ? 什么是審計 ? 審計日志（ Audit Log） ? 將用戶對數(shù)據(jù)庫的所有操作記錄在上面 ? DBA利用審計日志 ? 找出非法存取數(shù)據(jù)的人、時間和內容 ? C2以上安全級別的 DBMS必須具有 ? 審計分為 ? 用戶級審計 ?針對自己創(chuàng)建的數(shù)據(jù)庫表或視圖進行審計 ?記錄所有用戶對這些表或視圖的一切成功和（或）不成功的訪問要求以及各種類型的 SQL操作 ? 系統(tǒng)級審計 ?DBA設置 ?監(jiān)測成功或失敗的登錄要求 ?監(jiān)測 GRANT和 REVOKE操作以及其他數(shù)據(jù)庫級權限下的操作 數(shù)據(jù)加密 ? 數(shù)據(jù)加密 ? 防止數(shù)據(jù)庫中數(shù)據(jù)在存儲和傳輸中失密的有效手段 ? 加密的基本思想 ? 加密方法 ? 替換方法 ? 置換方法 ? 混合 方法 ? DBMS中的數(shù)據(jù)加密 統(tǒng)計數(shù)據(jù)庫安全性 ? 統(tǒng)計數(shù)據(jù)庫 ? 允許用戶查詢聚集類型的信息（如合計、平均值等） ? 不允許查詢單個記錄信息 ? 統(tǒng)計數(shù)據(jù)庫中特殊的安全性問題 ? 隱蔽的信息通道 ? 能從合法的查詢中推導出不合法的信息 ? 三大規(guī)則： ? 規(guī)則 1：任何查詢至少要涉及 N(N足夠大 )個以上的記錄 ? 規(guī)則 2：任意兩個查詢的相交數(shù)據(jù)項不能超過 M個 ? 規(guī)則 3：任一用戶的查詢次數(shù)不能超過 1+(N2)/M 操作系統(tǒng)的安全設置 Windows 2023/XP注冊表 2 、設置審核策略 3 、賬號安全策略 4 、密碼策略 5 、安全日志 文件系統(tǒng)的安全 7 、 IIS服務安全配置 8 、其他安全設置 1 、 Windows 2023/XP注冊表 ? 注冊表由來 ? 注冊表的結構 ? 注冊表的根鍵、主鍵與子鍵 ? 注冊表的數(shù)據(jù)類型 ? 注冊表文件的位置 （ 1）注冊表的由來 ? 在 Windows ，注冊表是一個極小文件，其文件名為 ，里面只存放了某些文件類型的應用程序關聯(lián)， 大部分的設置放在 、 INI文件中 。由于這些初始化文件不便于管理和維護，時常出現(xiàn)一些因 INI文件遭到破壞而導致系統(tǒng)無法的啟動的問題。為了使系統(tǒng)運行得更為穩(wěn)定、健壯， Windows 95/98設計師們借用了 Windows NT中的注冊表的思想，將注冊表引入到 Windows 95/98操作系統(tǒng)中，而且將 INI文件中的大部分設置也移植到注冊表中，因此，注冊表在 Windows95/98及之后的操作系統(tǒng)啟動、運行過程中起著重要的作用。 ? 注冊表是一個記錄 32位驅動的設置和位置的 數(shù)據(jù)庫 。當操作系統(tǒng)需要存取硬件設備時，操作系統(tǒng)需要知道從哪里找到它們的文件名、版本號、其他設置和信息，沒有注冊表對設備的記錄，它們就不能被使用。 ? 當一個用戶準備運行一個應用程序的時候，注冊表提供應用程序信息給操作系統(tǒng)，這樣應用程序可以被找到，正確數(shù)據(jù)文