cisp0206数据库及应用安全v30兵

数据库及应用安全北京谷安天下科技有限公司胡权兵版本：3.0发布日期：2014-12-1生效日期：2015-1-1课程安排调查串讲练习答疑问卷调查二维码调查目的：了解大家对本课程知识掌握程度了解大家预习情况根据调查结果适度调整课程安排问卷Web网址：CISP知识体系结构信息安全保障信息安全工程信息安全法规标准信息安全技术信息安全管理信息安全保障信息安全工程信息安全法规政策和标准信息安全管理基础与管理体系信息安全控制措施信息安全风险管理应急响应与灾难恢复密码学应用密码学基础鉴别与访问控制网络安全操作系统安全数据库及应用安全安全攻击与防护安全漏洞与恶意代码软件安全开发知识体系结构CISP知识体系结构2个重要知识点通信安全计算机安全信息系统安全信息安全保障信息安全的4个发展阶段信息信息及所处环境信息的载体信息的载体信息的载体所处的环境学习思路与方法学习思路开发、数据、应用知识域信息安全知识域（管理+技术工程+人员）知识域技术+安全域技术安全保障模型保障要素管理技术工程人员安全特性保密性完整性可用性生命周期规划组织开发采购实施交付运行维护废弃课程内容6操作系统与数据库安全知识体知识域数据库安全知识子域数据库系统概述数据库安全概述应用安全应用安全概述常用互联网服务安全Web应用安全办公软件使用安全应用安全数据库运行安全防护操作系统安全WhatWhatHowWhatHowHowHow知识域：数据库安全知识子域：数据库系统概述了解数据库基本概念和主要功能了解构化查询语言SQL的功能了解数据库管理系统（DBMS）的一般架构77数据库概述数据库安全运行安全数据库安全主要内容概念、功能SQLDBMS数据库系统基本概念数据库：长期储存在计算机内的、有组织的、可共享的数据集合DBMS（DataBaseManagementSystem）：一种操纵和管理数据库的大型软件，用于建立、使用和维护数据库，它对数据库进行统一的管理和控制，以保证数据库的安全性和完整性8图书管理员图书馆用户请求DBMSDatabase程序数据库用户请求数据库系统关系9关系型数据库系统特点数据结构化和共享性库、表、字段结构化查询语言（SQL）数据独立性物理独立性（数据库与存储）逻辑独立性（数据库与应用）数据的完整性约束实体完整性（通过主键约束条件）参照完整性（通过主外键约束条件）用户自定义完整性（通过CHECK子句）数据由DBMS统一管理和控制查询引擎、事务控制、数据存储模块/组件10结构化查询语言SQLSQL语句格式基本语句约30条。每条语句都请求DBMS完成一个动作11DELETE

FROMsalesrepsWHERESales<20000.00动词表名子句关键字列名常数表达式结构化查询语言SQLSQL语句分类12SQL功能操作符数据定义CREATE，DROP，ALTER数据查询SELECT数据操纵INSERT，UPDATE，DELETE数据控制GRANT，REVOKE，DENY事务控制BEGIN，COMMIT，ROLLBACK嵌入式/服务器端编程DECLARE,EXPLAIN,OPEN,FETCH,CLOSE,PREPARE,EXECUTE,DESCRIBE知识域：数据库安全知识子域：数据库安全概述了解数据库的一般安全需求了解数据库的常见安全措施：用户标识和鉴别、访问控制、数据加密和安全审计理解数据库完整性要求，理解DBMS为了实现完整性保护必须提供：定义完整性约束条件的机制、完整性检查的方法和违约处理的机制理解数据库备份和恢复机制的重要性，了解常见的数据冗余技术和数据库恢复策略知识域：数据库安全141414数据库概述数据库安全运行安全数据库安全主要内容数据库一般安全需求

常见安全措施

完整性要求备份与恢复（可用性）数据库安全机密性数据泄露完整性执行不正确的修改操作（插入、删除、更新等）可用性数据库死锁，性能下降或无法访问…15数据库安全需求物理数据库完整性逻辑数据库完整性数据单元安全性可审计访问控制16机密性完整性可用性数据库安全措施用户标识与鉴别授权与访问控制数据加密安全审计……17用户标识与鉴别用户鉴别操作系统数据库第三方用户管理策略默认账号管理账户锁定策略18用户口令有效期与宽限期管理策略自定义口令策略验证口令历史管理账户锁定策略策略设置数据库安全措施-访问控制设置用户对不同的数据对象允许的操作权限系统权限（数据库实例级或数据库级）模式权限（数据库对象：表、视图等）数据对象权限（数据对象：记录级）19用户权限登记DD合法权限检查授权规则授权规则用户发出操作请求定义用户权限DBMS的存取控制子系统福利角色薪酬角色人事主管招聘职员薪酬职员薪酬权限福利权限数据库安全措施-资源控制CPU资源会话资源每用户Session连接超时死锁控制存储资源数据存储空间限制临时存储空间限制20数据库安全措施-数据加密数据加密方式传输加密存储加密数据存储加密层级OS层加密DBMS内核层加密DBMS外层加密21数据库安全措施-安全审计数据库审计日志数据库审计（也称标准审计）用户级审计：安全审计员设置，用户行为审计系统级审计：管理员设置，用户授权或系统级权限操作审计细粒度审计监视对数据对象的操作22数据库完整性-完整性约束数据库完整性保证：完整性约束完整性约束条件实体完整性（PRIMARYKEY定义，唯一、不为空）域完整性（表定义中的CHECK、FOREIGNKEY约束、DEFAULT、NOTNULL定义）参照完整性（FOREIGNKEY定义，关联）用户定义完整性（生成时定义，非空、唯一、布尔）完整性检查违约处理机制23数据备份与恢复备份：数据冗余技术数据转储日志文件恢复：从冗余数据中实施数据库恢复事务故障的恢复（事务处理）系统故障的恢复（事务处理）介质故障的恢复（通过转储数据恢复）24知识域：数据库安全知识子域：数据库运行安全防护理解数据库威胁与防护特点理解数据库事前安全防护、事中安全监控以及事后安全审计的方法25数据库概述数据库安全运行安全数据库安全主要内容威胁与防护方法：事情防、事中管、事后审数据库面临安全威胁过度的特权滥用合法的特权滥用特权提升平台及数据库漏洞SQL注入不健全的审计拒绝服务攻击数据库通信协议漏洞不健全的认证数据泄露26安全策略权限管理远程攻击不健全的审计不健全的验证数据泄露平台漏洞数据库漏洞SQL注入拒绝服务攻击特权提升过度的特权滥用合法的特权滥用数据库软件漏洞数据库安全防护层层设防：防护体系建设27DBSQL请求用户标识与鉴别DBMS存取控制数据加密审计追踪各种应用安全边界查询引擎DBMS选件事务引擎数据库安全防护检查、监控、审计28数据库安全防护事前检测:安全特性检测29知识库检测引擎服务扫描渗透测试安全审计漏洞利用审计报告检测人员策略专家配置检测策略扫描数据库服务外部渗透性测试进行全面的安全审计扫描分析审计结果，设计漏洞利用方式生成一份详细的审计报告制定检测策略从策略库中选择检测策略数据库安全特性检查安全配置补丁协议（端口、传输协议）账号用户名及密码口令策略权限存储过程触发器备份30数据库安全特性检查数据库最佳实践数据库安全漏洞美国国防部、国防信息系统中心等研究机构给出的主流数据库安全配置指南数据库厂商提供的安全指南

Oracle/Sqlserver/MySQL…数据库安全特性检查工具美国应用安全公司的AppDetective英国下一代软件公司的NGSSQuirrel31

数据库安全防护事中运行监控:数据库运行安全监控32数据库安全防护事后审计：数据库审计关注的问题审计对象（对谁进行审计）标准审计（系统级、用户级）细粒度审计（对象级）审计内容（对什么行为进行审计）访问数据库应用程序、位置及用户信息，包括用户操作、操作日期与时间、操作涉及的相关数据、操作是否成功等33知识域：应用安全知识子域：应用安全概述

理解应用安全的概念了解常见应用安全威胁了解等级保护规范应用安全防护要点34安全概述Web应用安全网络服务安全办公软件安全应用安全主要内容应用安全的概念应用安全的威胁等级保护应用安全基本概念应用安全目标合法用户能够通过安全策略合法地访问业务资源非法用户无法访问、篡改任何受保护的资源35技术要求物理安全网络安全主机安全应用安全数据安全应用安全问题构建在网络、系统安全基础上（参考：网络安全、操作系统安全课程）安全问题关注应用软件自身安全（参考：软件安全开发课程）应用系统支撑软件安全应用协议安全36常见应用安全威胁网络层面拒绝服务、电子欺骗、嗅探、……系统层面Web服务漏洞、配置错误、……应用层面代码缺陷(SQL注入、XSS……）资源管理……业务层面钓鱼、流程缺陷37应用安全防护模型OSI通信协议应用安全防护模型鉴别访问控制数据机密性数据完整性抗抵赖等级保护应用安全防护11个控制点五级等级保护：第一级：用户自主保护级；第二级：系统审计保护级；第三级：安全标记保护级；第四级：结构化保护级；第五级：访问验证保护级；等级保护与分级保护区别？38控制点一级二级三级四级身份鉴别√√√√安全标记

√访问控制√√√√可信路经

√安全审计

√√√剩余信息保护

√√通信完整性√√√√通信保密性

√√√抗抵赖

√√软件容错√√√√资源控制

√√√等级保护应用安全要求应用系统的安全就是保护系统的各种应用程序安全运行。包括基本应用，如：消息发送、web浏览等；业务应用，如：电子商务、电子政务等应用安全具体包括：9个控制点身份鉴别（S）、访问控制（S）、安全审计（G）、剩余信息保护（S）、通信完整性（S）、通信保密性（S）、抗抵赖（G）、软件容错（A）、资源控制（A）39《信息安全-信息系统安全等级保护基本要求》P26等级保护应用安全要求40身份鉴别基本的身份鉴别访问控制安全策略最小授权原则安全审计运行情况审计（用户级）审计报表剩余信息保护空间释放及信息清除组合鉴别技术敏感标记的设置及操作审计过程的保护通信完整性校验码技术密码技术软件容错自动保护功能资源控制资源分配限制、资源分配优先级最小服务水平的检测及报警数据有效性检验、部分运行保护对用户会话数及系统最大并发会话数的限制审计记录的保护通信保密性初始化验证整个报文及会话过程加密敏感信息加密抗抵赖40知识域：应用安全知识子域：Web应用安全理解Web工作机制及Web应用安全问题产生的原因了解常见Web服务运行平台的安全配置要点了解互联网浏览面临的安全威胁及应对方法了解Web安全防护产品如Web应用防火墙和网页防篡改产品的功能和特点41安全概述Web应用安全网络服务安全办公软件安全应用安全主要内容工作机制及安全原因Web服务器安全配置浏览器安全Web安全防护产品Web安全问题根源WEB服务器端安全问题（支撑软件、应用程序）Web客户端（浏览器）Web协议（Http）42终端用户应用服务器数据库服务器Web应用（IIS、Apache）……应用传输协议HTTP……应用客户端浏览器（IE、Firefox）Web服务支撑软件安全问题Web服务支撑软件软件自身安全漏洞例：IIS5.0超长URL拒绝服务漏洞例：Unicode解码漏洞软件配置缺陷默认账号、口令不安全的配置例：IIS配置允许远程写入举例：生产环境Session丢失问题的调查报告43Web程序安全问题输入输出处理会话控制文件系统处理用户访问机制日志处理…44是人开发的就可能存在安全隐患WEB应用程序是程序员开发的WEB协议安全问题信息泄漏明文传输（用户名和口令、向服务器提交的数据）弱验证简单的认证缺乏状态跟踪无状态的协议Session存在安全隐患45Web应用协议-HTTPHTTP(超文本传输协议)一种通信协议使用超文本标记语言(HTML)将资源从服务器传送到客户端超文本传输协议特点请求、响应模式协议简单，客户端只需传输请求方法和路径无连接（一个请求一个连接，完成后断开）无状态46HTTP协议工作过程HTTP请求（Requests）一个HTTP请求包含三个部分方法，URL，协议/版本（Method-URI-Protocol/Version）请求包头(Requestheaders)实体包（Entitybody）HTTP响应（Responses）一个HTTP响应也包含三个部分协议状态代码描叙（Protocol-Statuscode-Description）响应包头（Responseheaders）实体包（Entitybody）47HTTP协议工作过程HTTP请求范例

POST/servlet/default.JSPHTTP/1.1

Accept:text/plain;text/HTML

Accept-Language:en-gb

Connection:Keep-Alive

Host:localhost

Referer:

User-Agent:Mozilla/4.0(compatible;MSIE6.0;WindowsNT5.1)

Content-Length:33

Content-Type:application/x-www-form-urlencoded

Accept-Encoding:gzip,deflateLastName=Franks&FirstName=Michael48HTTP协议工作过程-响应范例HTTP响应范例

HTTP/1.1200OK

Server:Microsoft-IIS/6.0

Date:Mon,3Jan201013:13:33GMT

Content-Type:text/HTML

Last-Modified:Mon,11Jan201013:23:42GMT

Content-Length:112

etoCISP.49第一行的响应包头和请求包头很相似。第一行说明协议是使用的HTTP1.1，响应请求已成功(200表示成功)，一切已OK响应包头和请求包头相似，也包含一些有用的信息。响应的实体是HTML那一部分的内容。包头和实体也都是被CRLF序列分离开的Web应用安全解决Web支撑软件安装安全补丁或升级软件安全配置Web应用程序安全软件开发Web客户端安全补丁或者升级软件安全浏览Web协议安全协议（Https）50Web支撑软件-IIS安全配置身份验证传输安全目录安全日志安全性能调整51IIS安全配置-身份验证Web访问用户身份设置启用匿名（默认）匿名身份：iuser_计算机名称案例：错误的匿名访问需要身份验证访问控制IP地址访问控制52IIS安全配置-传输安全使用https保证会话安全登录验证重要操作Https的优点使用SSL加密传输信息端口443，会话过程中包括传输加密、身份认证等53IIS安全配置-目录安全主目录设置Web文件存放在非系统分区（防止存储物理损坏）删除不使用的虚拟目录目录权限控制不允许远程目录写入具备修改权限的目录去掉执行权限具备执行权限的目录尽量不允许修改举例说明：IIS、NTFS写入权限设置54主目录及目录安全性55Web文件存放位置（不宜使用默认目录）严格控制权限1、严禁写入！2、慎用目录浏览IIS安全配置-日志安全日志记录项尽可能多日志的路径非系统盘足够大的空间单独的日志分区日志的访问权限System可以写入，不可读Administrator可读不可修改其他用户无权限56IIS安全配置-其他设置性能并发连接数设置带宽限制CPU限制Web站点设置IP地址/端口主机头名称连接控制日志文档错误返回页面定制57Web支撑软件-Apache安全配置安装最新版本，最小化安装传输安全保护安全配置（httpd.conf）控制Apache运行权限目录安全限制Apache访问其他目录无关的内容关闭目录浏览其他设置控制连接最大请求数定制错误返回页面……58举例说明：httpd.conf配置安全互联网浏览面临的安全风险网页挂马及恶意脚本网络欺诈及钓鱼隐私泄露……59互联网浏览安全风险-网页挂马60将木马伪装为页面元素利用脚本运行的漏洞伪装为缺失的组件通过脚本运行调用某些COM组件利用软件漏洞例如：在渲染页面内容的过程中利用格式溢出释放或下载木马互联网浏览安全风险-网页欺诈/钓鱼欺骗域名正确：欺骗：欺骗性内容打折中奖61网页欺诈/钓鱼案例62互联网浏览安全风险-隐私泄露诱骗注册用户名/密码邮箱密码问题、答案免费赠送电话地址姓名……63互联网浏览安全防护-安全意识良好的安全意识浏览器安全防护安全的浏览器网站访问防护脚本执行控制Cookie控制……64浏览器安全防护-安全浏览器使用安全的浏览器应用在浏览器中使用已经成为趋势安全应在浏览器中解决65浏览器安全防护-网站访问防护避免访问不安全网站根据网站安全级别设置防护IE：浏览级别Firefox：行为阻止和行为控制……66浏览器安全防护-脚本运行控制不可控的脚本是安全的巨大威胁限制脚本运行限制插件自动运行限制控件的自动运行……67浏览器安全防护-cookie安全什么是Cookie弥补http缺陷的的机制，用于存储信息的一段文本存储用户登录信息威胁泄漏用户敏感数据或隐私68浏览器安全防护-cookie安全设置IE设置隐私保护级别退出时删除cookieFirefox不记录cookie其他69浏览器安全防护-隐私保护隐私保护IE不自动保存浏览历史不自动保存用户名/密码Firefox隐私浏览窗口其他70互联网浏览安全防护-安全意识心态（小心驶得万年船）了解隐私的重要性尊重他人私密达到保护个人私密意识（任何东西都是有价值的）能知道什么是需要保护的能知道需要保护的东西的价值操作（我为什么要给你，你为什么需要）能不提供的就不提供不是必须的信息虚假提供71WEB安全防护产品-应用防火墙Web应用防火墙WebApplicationFirewall，WAF，也称Web防火墙是指通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一类产品，用以解决Web应用层出现的安全问题主要常见功能拦截审计HTTP数据流Web应用访问控制Web应用加固72网页防篡改产品功能监控Web服务器上的页面文件，防止被篡改原理备份文件对比摘要文件对比删改操作触发系统底层过滤73知识域：应用安全知识子域：常用互联网服务安全了解电子邮件应用的安全缺陷和防御措施了解FTP应用安全缺陷和防御措施了解远程管理的安全问题及防御措施了解域名应用的安全问题及防御措施7474安全概述Web应用安全网络服务安全办公软件安全应用安全主要内容电子邮件应用FTP应用远程管理域名应用电子邮件应用应用协议SMTP：简单邮件传输协议，用于邮件发送及中转POP3:邮局协议，用于邮件接收电子邮件协议的特点协议简单，客户端请求命令请求、响应模式75TCP连接HELLOMAILRCPTDATAQUIT……25邮件服务器客户机SMTP协议工作过程76工作过程（1）建立TCP连接。（2）客户端向服务器发送HELO命令以标识发件人自己的身份，然后客户端发送MAIL命令。（3）服务器端以OK作为响应，表示准备接收。（4）客户端发送RCPT命令。（5）服务器端表示是否愿意为收件人接收邮件。（6）协商结束，发送邮件，用命令DATA发送输入内容。（7）结束此次发送，用QUIT命令退出。电子邮件协议安全问题信息泄露用户账号/口令用户邮件内容用户身份验证不足垃圾邮件社会工程学77电子邮件应用安全问题邮件服务器拒绝服务：大量的邮件浪费服务器的资源垃圾邮件：浪费服务器资源，导致服务器被加入拒绝名单邮件客户端邮件病毒客户端漏洞信息泄露78安全协议PGP（PrettyGoodPrivacy）S/MIME（SecureMultipurposeInternetMailExtension）安全策略配置确保服务器软件版本最新关闭开放式转发反向域名验证身份验证……电子邮件安全应用-服务器端79电子邮件安全应用-邮件客户