信息安全概论教学课件作者李剑张然第15章节数据库系统安全课件

《信息安全概论教学课件作者李剑张然第15章节数据库系统安全课件》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第15章数据库系统安全李剑北京邮电大学信息安全中心E-mail:lijian@bupt.edu.cn电话：130－01936882版权所有，盗版必纠概论随着计算机技术的飞速发展，数据库的应用十分广泛，深入到各个领域，但随之而来产生了数据的安全问题。各种应用系统的数据库中大量数据的安全问题、敏感数据的防窃取和防篡改问题，越来越引起人们的高度重视。数据库系统作为信息的聚集体，是计算机信息系统的核心部件，其安全性至关重要，关系到企业兴衰、国家安全。因此，如何有效地保证数据库系统的安全，实现数据的保密性、完整性和有效性，已经成为业界人士探索研究

2、的重要课题之一，本章就数据库系统安全做讨论。版权所有，盗版必纠目录第15章数据库系统安全15.1数据库系统安全概述15.2针对数据库系统的攻击15.2.1弱口令攻击15.2.2利用漏洞对数据库发起的攻击15.2.3SQLSerever的单字节溢出攻击15.2.4SQL注入攻击15.3数据库攻击的防范措施15.3.1数据库攻击防范概述15.3.2SQL注入攻击的防范思考题版权所有，盗版必纠15.1数据库系统安全概述1.数据库安全的意义数据库是当今信息存储的一个重要形式，数据库系统已经被广泛的应用与政府、军事、金融等众多领域。如果对与针对数

3、据库的攻击不加以遏制，轻则干扰人们的日常生活，重则造成巨大的经济损失，甚至威胁到国家的安全。研究数据库安全的意义在于：(1)目前的对数据库的安全问题重视不足。现在对于安全威胁的防范多集中在对于主机和操作系统的防护，例如配置防火墙和防病毒软件，而对数据库安全则关注甚少。(2)数据库才是攻击者的主要目标。目前的数据库系统中存储着大量的重要数据，例如军事机密、商业秘密、个人交易账号和口令等等。大多数攻击者的攻击目标正是获取这些秘密数据。另外，从网络攻击者的角度来研究安全防御措施，通过分析与利用攻击者的实施方法，把握攻击者的心理，对网络攻击进行

4、深入研究，提高安全检测、主动防御的能力都具有重要意义。版权所有，盗版必纠15.1数据库系统安全概述2.数据库系统的安全威胁根据违反数据库安全性所导致的后果，安全威胁可以分为以下几类：(1)非授权的信息泄露：未获授权的用户有意或无意得到信息。通过对授权访问的数据进行推导分析获取非授权的信息。(2)非授权的数据修改：包括所有通过数据处理和修改而违反信息完整性的行为。但是非授权修改不一定会涉及到非授权的信息泄露，因为对于入侵者而言即使不读出数据库中的数据亦可以进行破坏。(3)拒绝服务：包括会影响用户访问数据或使用资源的行为。版权所有，盗版必纠

5、15.1数据库系统安全概述3.数据库系统安全层次数据库系统的安全可以从以下五个层次来说明：(1)物理层的安全性数据库所在节点必须在物理上得到可靠的保护。(2)用户层的安全性哪些用户可以使用数据库，使用数据库的哪些数据对象，具有什么样的权限等。(3)操作系统层的安全性数据库所在的主机的操作系统的弱点将可能提供恶意攻击数据库的入口。(4)网络层的安全性Oracle9i数据库主要是面向网络提供服务，因此，网络软件的安全性和网络数据传输的安全性至关重要。(5)数据库系统层的安全性通过对用户授予特定的访问数据库对象的权利的办法来确保数据库系统层的

6、安全。版权所有，盗版必纠15.1数据库系统安全概述4.数据库系统的安全需求根据上述的数据库安全威胁，提出相应的数据库安全需求：(1)防止非法数据访问这是数据库安全最关键的需求之一。数据库管理系统必须根据用户或应用的授权来检查访问请求，以保证仅允许授权的用户访问数据库。数据库的访问控制要比操作系统中的文件访问控制复杂得多。首先，控制的对象有更细的粒度，例如表、记录、属性等；其次，数据库中的数据是语义相关的，所以用户可以不直接访问数据项而间接获取数据内容。版权所有，盗版必纠15.1数据库系统安全概述(2)防止推导推导是指用户通过授权访问的数

7、据，经过推导而得出的机密信息，而按照安全策略该用户根本无权访问机密信息。特别是在统计数据库中，用户容易从统计后的信息中推出某些个体信息。(3)保证完整性保证数据库的完整性，即保证数据库不被非法修改，以及不会因为病毒、系统中的错误等导致存储数据遭破坏。这种保护通过访问控制、备份/恢复等安全机制共同实现。保证数据的操作完整性，即在并发事务中保证数据库中数据的逻辑一致性。数据库库管理系统中的并发管理器子系统负责实现操作的完整性。保证数据的语言完整性，即在修改数据时保证新值在一定范围内以确保逻辑上的完整性。对数据值的约束通过完整性约束来描述。可

8、以针对数据库来定义完整性约束（定义数据库处于正确状态的条件），也可以针对变换来定义完整性约束（定义修改数据库时需要验证的条件）。版权所有，盗版必纠15.1数据库系统安全概述(4)审计和日志为了保证数据库中的