数据库安全设计与分析

1、井冈山大学网络安全课程设计报告选题名称数据库的安全与分析学院电子与信息工程_专业网络工程_班级网络工程 13 本(1)姓名何依_学号130913029_日期2016.10.08_目录一、背景与目的.3.二、实施方案概要.3.1、用户权限.3.2、访问权限.3.3、再次校对.4.4、登录.4.三、技术与理论.4.1、三层式数据访问机制 .4.2、数据加密处理机制 .4.3、数据库系统的安全策略： .5.四、课程设计实施.6.1、第一步.6.2、第二步.8.3、第三步.9.4、第四步 .1.0.5、第五步 .1.1.五、课程设计结果分析 .1.1六、总结 .1.2.背景与目的无论是从十大酒店泄露大

2、量开房信息， 到工商银行的快捷支付漏洞导致用户 存款消失，这一种种触目惊心的事件表明数据库的安全性能对于整个社会来说是 十分重要的，数据库安全是对顾客的权益的安全保障， 也是国家、企业以及更多 的人的安全保障，从而数据库的安全性非常值得重视。对于数据库的安全我将进行以下分析，旨在了解更多的数据库安全技术和对 常见的数据库攻击的一些防范措施， 并借鉴到今后的实际开发项目中去， 更好的 保护客户的权益。二、实施方案概要本次的数据库主要基于我们比较熟悉的SQLSever进行。为了保障用户的数据的存储安全，保障数据的访问安全，我们应该对拘束看 的用户采取监控的机制，分布式的处理各种应用类型的数据即采取

3、三层式数据库 连接的机制。1、用户权限当一个数据库被建立后，它将被指定给一个所有者，即运行建立数据库语句 的用户。通常，只有所有者（或者超级用户）才能对该数据库中的对象进行任何 操作，为了能让其它用户使用该数据库，需要进行权限设置。应用程序不能使用 所有者或者超级用户的账号来连接到数据库，因为这些用户可以执行任何查询， 例如，修改数据结构（如删除表格）或者删除所有的内容，一旦发生黑客事件数 据库的安全将会岌岌可危。2、访问权限可以为应用程序不同的部分建立不同的数据库账号，使得它们职能对数据库 对象行使非常有限的权限。对这些账号应该只赋予最需要的权限，同时应该防止 相同的用户能够在不同的使用情况

4、与数据库进行交流。 这也就是说，如果某一个 入侵者利用这些账号中的某一个获得了访问数据库的权限， 他们也仅仅能够影响 到的应用程序力所能及的范围。对于一般的系统而言，基本上采用统一的用户名 称、用户密码进行登陆。这个阶段的登陆主要用于获取数据库的对应访问用户、 密码及其对应访问权限3、再次校对登陆成功后，读取用户本地机的注册信息、密码校验信息，然后到通用用户 对应的数据表中去读取对应的记录。 该记录主要为新的用户名和密码。 获取对应 权限、用户和密码后，断开数据库连接，然后按新的数据库用户和密码进行连接。4、登录连接成功后，开始个人用户的登陆三、技术与理论主要的技术为：三层式数据访问机制、数据

5、加密处理机制、数据库系统安全策略1、三层式数据访问机制（1）通用用户方式登陆。对于通用用户而言，所有用户均只有一个表的访问权 限，并且对该表只能读取和修改。（2 ）本地注册（或安装）信息的读取和专用数据库用户密码的对应获取。根据安装类型， 获取对应的（数据库）用户和密码，此用户一般有多个表的操作权限。（3）断开通用连接，以新的用户和密码进行登陆。登陆成功后，再用个人用户 帐号和密码进行登陆处理。2、数据加密处理机制（1）数据加密处理机制主要对数据库的访问密码和个人密码进行加密处理。（2）基数数据加密主要方式为：采用数据基数数组方式进行加密与解密。变动加解密机制时，只需修改对应 的基数位置或基

6、数 值 即 可 。 实 现 方 式 简 单 方 便 ， 而 解 密 则 极 为 困 难数据库系统提供的上述措施难以完全保证数据安全性，某些用户仍可能非法获取用户名、口令字，或利用其他方法越权使用数据库，甚至直接窃取或篡改数据库信息。因此，有必要对数据库中存储的重要数据进行加密处理，安全保护存储数据。数据加密就是将明文数据M经过一定的交换变成密文数据C,解密是加 密的逆过程。数据库密码系统要求将M加密成C, C存储到数据库中，查询时将C取出解密得到NI。数据库数据加/解密处理过程，基于密钥的算法通常有两类：对称加密算法和公开密钥算法（又称非对称加密算法）。3、数据库系统的安全策略：（1）在数据库

7、系统中，存取控制是实施安全策略常用的手段，为了保证用户只能存取有权存取的数据，系统要求对每个用户定义存取权限（即授权）。存取权限包括两个方面的内容，即要存取的数据对象和对此数据对象进行哪些类型的操 作（读、写、删、改等）。在非关系数据库中，用户只能对数据进行操作，存取控制的数据对象也只限于数据本身。 而关系数据库系统中，数据库管理员可以把 建立和修改基本表的权限授予用户，用户可利用权限建立和修改基本表、索引、 视图。因此，关系系统中存取控制的数据对象不仅有数据本身，还有存储模式、 概念模式、子模式等内容。（2）存取控制对系统中的对象进行了两种划分：一个是主体，一个是客体。主 体是系统中的活动实

8、体，包括DBMS所管理的实际用户、代表用户的各进程。 客体是系统中受主体操纵的被动实体，包括文件、基本表、索引、视图等。存取控制就是在主体欲对客体进行存取时，检查主体的合法性（即权限），确保数据不被非法查询和修改。存取控制模型分为自主存取控制、 强制存取控制和基于角 色的存取控制。无论哪种控制都是有关不同权限的用户对不同数据进行不同操作 权限的控制问题。（3）日志记录是十分重要的，管理员可以通过对日志的维护了解用户所进行的 操作，另外日志记录也是进行安全入侵检测的必须数据。 审计主要是跟踪记录某 些保密数据的访问活动。为了使日志记录的消息不丢失，可将存放日志的数据库 置于与主机分离的机器上，允

9、许添加和读取数据库，但不允许修改。四、课程设计实施1第一步使用SQLServer2008建立新的数据库。当一个数据库被建立后，指疋给一个 所有者，即运行建立数据库语句的用户。只有所有者（或者超级用户）才能对该 数据库中的对象进行任何操作，用户可以执行任何查询。例如，修改数据结构（如删除表格）或者删除所有的内容。可以为应用程序 不同的部分建立不同的数据库账号，使得它们职能对数据库对象行使非常有限的 权限。对这些账号应该只赋予最需要的权限， 同时应该防止相同的用户能够在不 同的使用情况与数Herr 工昌降医OJ.It? IPI 4Mf2：_Jlif4DLlSLlU Ilf L莹束宕j*li cyI

10、*wtPrrc*33 CTifLcp rWWSAvlicySiciiLLMid ti LLcyrifllEw tculiQTSLOG D贰- Jti 11 z btrCdz ti icn Mi rat iMI良0CTIrtEfi c-atrff4i!址S_WU且；w caSL DLjZrt i fiBIJTLTTWVIJTtriHTKimiDamGiiiaflAT.R5SgLf5QLZP?3S5Fi,1PC2OL5Q4171L C4Adr.Ld； .irUttaactlJUdlimBSSMYsis*1?嘉irfflj( (L.4 LII Ili. iy也E “di a 朝匚I ItJ .I崔-

11、给削阳幼据库进行交流。裁堂址1吨mSQLWPR杓勺肝昔占马沁Z9 5CL Server 壮*0程身t站址盘式 岀孩无01）丿（3如姥柚fWfCElE至初顾0%加锻和）肝芍直代虧尸HEYrSQLEXPRESSH. dbo.User.Tabk*疋殳资擦管理器详耶息列名数据类型允许创值$ UserIDintnUserAccou ntnchar(lO)UserPasswordnchar(lO)UserNamenchar(lO)IfusebitTELnchar(14)P这是用户的权限设置，每一个用户都有着不同 的权限，对数据库有不同的访间权限fes C2审孩幷芳a)R4hBiiit5WW

12、Q：)34ifHl 以 4 这1H 对屣务4S 的安全住透行邊宜fr全2、第二步将事物事件分类，使用视图（view）、触发器（trigger）或者规则（rule）。对 每一个独立的数据库客户重新设置权限。使用触发器可以来透明地和自动地处理字段，因为该特性可以在调试应用程序地问题或者追踪后台事物时提供便利信息。Jseth a n gethi n g出+i+，日l L-2 屋序 JtFF _J 默认值+1 一 j e-rvi Broker+1 匕盍全性EQLQueryLsql - l._cmethiing (sa (S3)*日 create 匸 xlggez myxrigger on AddTab

13、le for updateasif ewlsts select froir ddfablewhere Tahlatr.e=1,Goods Table1rcllback|3、第三步在数据库里使用PWDENCRY算法进行数据加密，因为PWDENCRY是一种单 向的加密技术，没法对其加密的数据进行解密，所以这些数据一般都是用于数据 验证的的功能。3 结果GoodsTypelD氐歹I庠)if IJw11 j 1mm KII ink| M7B4FECEE3B2DEWE3O72F52C5)BWMWWD2139.122M1X)3BCBD6M64C6M76BCn6141S3C14EfiflO3F7(M25fi

14、A44.133kO8KB907O2F74JDF51肝46C2丈39DD二WEI ADDMF1,144M10O4A6DA61 Fff21 AA9D87E E52C1ED33B 0 EMDB DE32 7CF.一155(kO1)F530C7/VIODBEB1B2C47A3E1B75FA16DCFCB72BE.16(k10OBS4CA1BFB5B5714622A441E2AflEE43FW125DC10D366.177B2AX535B62DCaQ2B3F0,1頤加窗厉的St帝|4、第四步最高权限将被指定给一个所有者，设计不同的访问权限，以便不同类型的用户使用的功能不同所以对其访问的限制。 这也就是说

15、，如果某一个入侵者利用这些账号中的某一个获得了访问数据库的权限，他们也仅仅能够影响到的应用程序力所能及的范围LtegiAscouriUflerRaeawrd LesrlaTnfussTEL1i 1 1312913Q9130A1丽1HULL2213091诃佈叵亨1NULL1ST3W1WQ113O9UB1AY1IHULL4T3M1JO211309121caal118398915TIMINS询“阳訓EH1201狮1池茁阿辺1咄対屉hgg?21T34W13C1S 13U91M伍光趙1Ifi39799fi45I!25T3ft9130111309liJ113907471629a2t3O9lSG211311

16、购碍曲1029t3O913lC1130913011879G&37二塔宇_：A急基W）燥科社眼只死进知5、第五步在每一次操作数据库之后进行日志的记录， 并且在一定时间内对日记进行备 份，以防丢失。五、课程设计结果分析在SQLServer数据库安全设计的过程中，除了可以设置身份认证、加密程序， 还可以设置SQLServer数据库的访问控制，将不同的用户给予不同的权限，在SQLServer的安全设计中，进行数据库的访问，可以对用户的数据库的图标、目 录、应用、进行限制，可以针对增删查改等权限进行控制。在SQLServer数据库安全设计中，数据库访问控制的设计是核心，事物事件的分类是关键、数据的 加密是手段，这些都是SQLServer数据库安全管理的有效手段。SQLServer数据 库的安全还可以通过网络连接加强安全设计，将计算机系统的安全机制加强后对SQLServer的接入IP进行限制。对SQLServer数据可进行安全设计，在数据库 被访问的过程中，只有自己的IP在可以接入等。六、总结通过这一次的课程设计，我在网上进行的多方面的资料查找，查看的了大量 关于数据库安全设计的文章和博文， 开阔了自己的眼界， 同时我也学到了许多