论文部分内容阅读
摘要：自微软公司推出SQL Server关系数据库管理系统以来，其在越来越多的电子商务网站和企业信息平台中得以广泛使用。然而与之相关的信息安全问题也日益凸现和受到用户的密切关注。因此，为了保护SQL Server数据库避免来自各种途径的安全威胁，保障信息的安全，本文对其安全机制、安全策略和保障其安全的管理策略进行了探讨，提出了相应的解决措施和办法，以供参考。
关键词：SQL Server数据库；安全；管理；策略
中图分类号：TP311.138文献标识码：A文章编号：1007-9599 (2012) 02-0000-02
Discussion on the SQL Server Database Security and Management Strategies
Hu Jiahan,Li Jingfeng
(Hanjiang Group Danjiangkou Hydroelectric Power Plant,Danjiangkou442700,China)
Abstract:The Microsoft SQL Server relational database management system since been widely used in a growing number of e-commerce sites and enterprise information platform.However,the associated information security issues become more apparent by the close attention of the user.Therefore,in order to avoid security threats from a variety of ways to protect SQL Server database to ensure information security,this security mechanism,security policies and protection of their safety management strategy discussed the measures and methods to for reference.
Keywords:SQL Server database;Security;Management;Strategy
一、引言
目前，各类管理信息系统（MIS）已经应用于各种信息管理的领域，特别是在金融业，企业的ERP以及各种电子商务平台的应用更为广泛。与此密切相关的是管理信息系统的安全问题，对其安全的要求不低于计算机操作系统及网络的服务器，尤其是有些大型数据库存有很多重要和关键的数据，对其安全的要求更是不容忽视。SQL Server全称为Microsoft SQL Server，是美国微软公司在1997年推出的一种数据库管理系统，由于其集成于NT server，功能灵活强大且易用，受到了很多用户的喜爱。与此同时，SQL Server数据库的安全问题也受到了越来越多的用户的重视和关注。由于SQL Server数据库是一种端口型的数据库，使得黑客有可能通过非法手段和途径进入到数据库，避开操作系统安全机制，从而窃取和破坏数据，造成难以挽回的损失。因此，深入探讨SQL Server数据库的安全机制和安全、管理策略具有十分重要的意义。
二、SQL Server数据库安全缺陷和机制
（一）数据库的安全缺陷
与SQL Serve数据库安全机制密切相关的是数据库的安全缺陷问题。尽管微软公司已对SQL Server数据库配置了安全管理机制，但也会在一些情况下产生意想不到的安全缺陷。总结起来，SQL Server数据库存在的安全缺陷主要来自两个方面：一方面是系统本身的安全漏洞缺陷或者不正确的配置造成的安全隐患；另一方面是由于数据库的管理人员和用户的安全意识淡薄，从而给数据库的安全带来隐患。对于引起SQL Server数据库安全缺陷的系统安全漏洞，一般是由于计算机的硬件和软件以及协议在设计和实现的过程当中存在缺陷引起的。而由管理人员和用户对数据库的不当设置引起的安全缺陷则更为常见，主要有口令政策不当、交叉站点脚本、错误处理失当、数据泄露以及SQL注入等。例如，一些用户使用一些简单甚至默认的口令，由于口令的安全等级太低，很容易被黑客入侵和窃取重要数据。再如，如果数据库的缺陷严重，数据库有可能接受来自用户的未经验证或不纯净的数据所产生的SQL请求，SQL注入就会乘机而入，对数据库的安全构成威胁[1]。因此，了解与SQL Server数据库安全相关的这些缺陷，有助于数据库管理人员清楚该如何采取防范措施来减少和避免数据库的安全问题。
（二）数据库的安全机制
SQL的安全机制可以从下面三个级别进行划分，一是SQL Server的登陆安全，二是数据库访问安全，三是数据库对象使用安全[2]。通过这三个级别的安全机制，可以有效地组织外部的非法攻击和入侵，确保数据库的数据安全。用户必须要通过身份验证与权限认证这两个安全阶段后，才能正常合法使用SQL Server数据库。SQL Server数据库的身份认证是指数据库检验用户的登陆帐号和密码正确与否，以此来确定其能否连接到SQL Server上，若身份验证未通过，服务器就会拒绝用户的登陆请求。SQL Server数据库的权限认证是指用户只有在取得数据库的访问权限之后，才能在相应的权限许可下进行对数据库的相关操作。
三、提高SQL Server数据库安全性的策略
（一）系统和软件的安全策略
保障SQL Server数据库的安全策略具体包括使用安全的文件系统、确保系统安装安全以及处理好系统补丁三个方面的策略。首先选择最适合保障SQL Server数据库安全的文件系统，由于NTFS文件系统相对FAT文件系统更加稳定可靠和容易恢复，而且它还带有目录ACL和文件加密等，因此可以优先选用。其次是安裝SQL Server数据库时，应首先确保软件的纯净，没有插件和其他恶意代码，因此需要在安装前认真检查杀毒，确保软件安全时再进行安装。同时要及时做好系统和软件的补丁安装，微软会持续更新和发布系统的补丁，因此要根据系统的需要及时安装系统补丁，避免系统漏洞；同时也要及时安装SQL Server数据库的补丁，特别是SQL Server 2000版本，存在不少安全漏洞，用户安装后应及时安装及更新最新版本的补丁，同时，还可密切关注微软提供的免费安全通知服务，方便及时了解外来入侵的安全问题及解决办法[3]。
（二）授权和认证安全策略
要确保SQL Server数据库的信息安全，做好其授权和认证安全策略是非常重要的。SQL Server数据库使用从角色到用户这样的授权体系。即是先明确用户角色，然后将用户配置到数据库的角色中，最后是给角色分配相应的权限。因此，必须严格按照安全规范做好SQL Server数据库的授权安全策略。对于数据库的认证，很有必要注意其密码策略。一是必须设置好安全的密码，不能过于简单，特别是数据库管理员的密码不仅要求安全强度高，还需要定期进行密码修改，以确保密码的可靠安全。另外，数据库管理也还需要保护好账号的安全，防止多人有管理员的权限，并且在登陆时应尽量使用NT验证登陆的方式，避免由此带来安全隐患。还有一个值得一提的有效安全策略就是使用协议加密，因为未经加密的网络信息传输容易暴露和被截取。SQL Server数据库使用Tabular Data Stream协议进行网络的数据交换，为了更好的确保网络信息传输的安全，最好是使用SSL加密协议。例如，要在SQL Server 2000上采用SSL加密协议的话，可以在服务器计算机上找到“Microsoft SQL Server”中的“服务器网络实用工具”，点击“强制协议加密”，再逐步完成后面的配置即可。
（三）数据库日志和网络接入策略
所谓数据库日志是指数据库中已经发生的修改及进行修改的事务的记录，可以用其来恢复事务，因此有必要重视和加强在数据库日志的工作。把SQL Server与Internet进行联网，要注意防止黑客窃取传输信息，因此可以采用如下的方法进行预防：把SQL Server与代理服务器进行连接，代理服务器是一个独立的应用程序，可以提供对Internet的安全访问，从而阻止身份不明的用户连接专用网，还可以对监听端口权限和访问的控制来保证关键数据的安全。另外，必要时最好在配置时将原端口加以改变或隐藏其服务。
四、保障SQL Server数据库安全的管理策略
管理好数据库日志策略。由于数据库系统及操作系统的日志里面，有详细的账号登陆事件，因此通过经常查看SQL Server的日志，可以及时检查可疑登录事件的发生与否。
（1）管理好存储过程的策略。太多的存储过程易被人用来提升权限和进行测试，特别是sp_cmdshell存储过程很容易进入操作系统，对操作系统而言无疑是一个隐患，因此很必要将其删除。另外还要注意对存储过程处理的确认，以免破坏数据库或者应用程序。
（2）通过各种途径建立数据的安全性策略。这里着重谈谈如何从视图、服务器角色及数据库角色等方面如何做好建立数据安全性。数据库中的数据是通过基本表来表现的，若用户被赋予访问表的权限越大，对数据库中的数据安全所造成的威胁也就越大，而通过建立数据视图的方法则可以有效保护数据的安全。对数据库管理的角色可分为创建人、安全管理人、系统管理人和服务器管理人等，不同的角色对保障数据库中数据的安全都有重要的作用，因此需要特别慎重地考虑用户与角色的配置，预防配置不当给数据安全造成隐患。同理，管理人在对数据库角色的配置上也要小心和慎重。
（3）TCP/IP的端口设置及限制IP策略。上文也涉及提到TCP/IP的端口设置问题，为了保障数据安全，做好该端口设置是很重要的。因为1433端口是SQL Server默认的监听端口，因此需要在实例属性中配置TCP/IP的属性，把默认端口改成其他端口。同时由于1434端口不受限制，也要在TCP/IP属性中将其设置为隐藏。通过利用windows系统提供的安全机制，可以对来自Internet的其他IP进行限制，也可以有效地确保数据库中信息安全。
（4）数据备份策略。由于数据库的安全保护中仍然面临不少潜在的不安全因素，例如软硬件故障、操作失误、病毒和黑客攻击以及还有其他不可预知的威胁，很容易导致数据库遭到破坏，甚至造成系统崩溃，造成无法挽回的损失[4]。因此，为了确保数据库中关键数据和重要信息的安全，做好数据备份无疑是非常重要的。对此，数据库管理人员最好把安放在单位内网最安全的区域，同时，有必要时还需做好对数据库进行异机备份，以防止机器发生异常故障，从而充分保障数据库中的信息安全。
（5）做好数据库管理人员的职能培训和完善机房安全管理制度策略。数据库管理人员是确保数据库信息安全的重要参与者，其职业道德、数据安全观念意识和职业技能的好坏直接关系到重要数据和信息的安全，因此很有必要重视其职业素质的培训，同时也需要逐步完善机房的安全管理制度，从制度上严格执行数据安全的规范操作。
五、结语
SQL Server数据库管理系统的安全与計算机操作系统的安全和网络系统的安全密切相关，任何一个环节出现了问题，都会对数据库的数据和信息安全造成危害，因此需要全面了解SQL Server数据库管理系统的安全机制，有针对性地探讨其安全和管理策略。另外，由于数据库版本的不断更新及网络技术的快速发展，数据库管理系统的安全性也会面临新的问题，这就意味着对SQL Server数据库的管理和维护将是一个动态的长期过程。
参考文献：
[1]吴丽娟.浅析SQL Server数据库的安全和管理策略[J].信息安全与技术,2011,6:22-24
[2]孟盛.SQL Server数据库安全系统分析[J].价值工程,2011,12:177
[3]胡登卫.SQL Server数据库安全策略研究[J].南阳师范学院学报,2008,7,9:49-53
[4]彭丽娜.浅谈包头市气象局SQL Server数据库的备份策略[J].内蒙古气象,2011,4:62-64
关键词：SQL Server数据库；安全；管理；策略
中图分类号：TP311.138文献标识码：A文章编号：1007-9599 (2012) 02-0000-02
Discussion on the SQL Server Database Security and Management Strategies
Hu Jiahan,Li Jingfeng
(Hanjiang Group Danjiangkou Hydroelectric Power Plant,Danjiangkou442700,China)
Abstract:The Microsoft SQL Server relational database management system since been widely used in a growing number of e-commerce sites and enterprise information platform.However,the associated information security issues become more apparent by the close attention of the user.Therefore,in order to avoid security threats from a variety of ways to protect SQL Server database to ensure information security,this security mechanism,security policies and protection of their safety management strategy discussed the measures and methods to for reference.
Keywords:SQL Server database;Security;Management;Strategy
一、引言
目前，各类管理信息系统（MIS）已经应用于各种信息管理的领域，特别是在金融业，企业的ERP以及各种电子商务平台的应用更为广泛。与此密切相关的是管理信息系统的安全问题，对其安全的要求不低于计算机操作系统及网络的服务器，尤其是有些大型数据库存有很多重要和关键的数据，对其安全的要求更是不容忽视。SQL Server全称为Microsoft SQL Server，是美国微软公司在1997年推出的一种数据库管理系统，由于其集成于NT server，功能灵活强大且易用，受到了很多用户的喜爱。与此同时，SQL Server数据库的安全问题也受到了越来越多的用户的重视和关注。由于SQL Server数据库是一种端口型的数据库，使得黑客有可能通过非法手段和途径进入到数据库，避开操作系统安全机制，从而窃取和破坏数据，造成难以挽回的损失。因此，深入探讨SQL Server数据库的安全机制和安全、管理策略具有十分重要的意义。
二、SQL Server数据库安全缺陷和机制
（一）数据库的安全缺陷
与SQL Serve数据库安全机制密切相关的是数据库的安全缺陷问题。尽管微软公司已对SQL Server数据库配置了安全管理机制，但也会在一些情况下产生意想不到的安全缺陷。总结起来，SQL Server数据库存在的安全缺陷主要来自两个方面：一方面是系统本身的安全漏洞缺陷或者不正确的配置造成的安全隐患；另一方面是由于数据库的管理人员和用户的安全意识淡薄，从而给数据库的安全带来隐患。对于引起SQL Server数据库安全缺陷的系统安全漏洞，一般是由于计算机的硬件和软件以及协议在设计和实现的过程当中存在缺陷引起的。而由管理人员和用户对数据库的不当设置引起的安全缺陷则更为常见，主要有口令政策不当、交叉站点脚本、错误处理失当、数据泄露以及SQL注入等。例如，一些用户使用一些简单甚至默认的口令，由于口令的安全等级太低，很容易被黑客入侵和窃取重要数据。再如，如果数据库的缺陷严重，数据库有可能接受来自用户的未经验证或不纯净的数据所产生的SQL请求，SQL注入就会乘机而入，对数据库的安全构成威胁[1]。因此，了解与SQL Server数据库安全相关的这些缺陷，有助于数据库管理人员清楚该如何采取防范措施来减少和避免数据库的安全问题。
（二）数据库的安全机制
SQL的安全机制可以从下面三个级别进行划分，一是SQL Server的登陆安全，二是数据库访问安全，三是数据库对象使用安全[2]。通过这三个级别的安全机制，可以有效地组织外部的非法攻击和入侵，确保数据库的数据安全。用户必须要通过身份验证与权限认证这两个安全阶段后，才能正常合法使用SQL Server数据库。SQL Server数据库的身份认证是指数据库检验用户的登陆帐号和密码正确与否，以此来确定其能否连接到SQL Server上，若身份验证未通过，服务器就会拒绝用户的登陆请求。SQL Server数据库的权限认证是指用户只有在取得数据库的访问权限之后，才能在相应的权限许可下进行对数据库的相关操作。
三、提高SQL Server数据库安全性的策略
（一）系统和软件的安全策略
保障SQL Server数据库的安全策略具体包括使用安全的文件系统、确保系统安装安全以及处理好系统补丁三个方面的策略。首先选择最适合保障SQL Server数据库安全的文件系统，由于NTFS文件系统相对FAT文件系统更加稳定可靠和容易恢复，而且它还带有目录ACL和文件加密等，因此可以优先选用。其次是安裝SQL Server数据库时，应首先确保软件的纯净，没有插件和其他恶意代码，因此需要在安装前认真检查杀毒，确保软件安全时再进行安装。同时要及时做好系统和软件的补丁安装，微软会持续更新和发布系统的补丁，因此要根据系统的需要及时安装系统补丁，避免系统漏洞；同时也要及时安装SQL Server数据库的补丁，特别是SQL Server 2000版本，存在不少安全漏洞，用户安装后应及时安装及更新最新版本的补丁，同时，还可密切关注微软提供的免费安全通知服务，方便及时了解外来入侵的安全问题及解决办法[3]。
（二）授权和认证安全策略
要确保SQL Server数据库的信息安全，做好其授权和认证安全策略是非常重要的。SQL Server数据库使用从角色到用户这样的授权体系。即是先明确用户角色，然后将用户配置到数据库的角色中，最后是给角色分配相应的权限。因此，必须严格按照安全规范做好SQL Server数据库的授权安全策略。对于数据库的认证，很有必要注意其密码策略。一是必须设置好安全的密码，不能过于简单，特别是数据库管理员的密码不仅要求安全强度高，还需要定期进行密码修改，以确保密码的可靠安全。另外，数据库管理也还需要保护好账号的安全，防止多人有管理员的权限，并且在登陆时应尽量使用NT验证登陆的方式，避免由此带来安全隐患。还有一个值得一提的有效安全策略就是使用协议加密，因为未经加密的网络信息传输容易暴露和被截取。SQL Server数据库使用Tabular Data Stream协议进行网络的数据交换，为了更好的确保网络信息传输的安全，最好是使用SSL加密协议。例如，要在SQL Server 2000上采用SSL加密协议的话，可以在服务器计算机上找到“Microsoft SQL Server”中的“服务器网络实用工具”，点击“强制协议加密”，再逐步完成后面的配置即可。
（三）数据库日志和网络接入策略
所谓数据库日志是指数据库中已经发生的修改及进行修改的事务的记录，可以用其来恢复事务，因此有必要重视和加强在数据库日志的工作。把SQL Server与Internet进行联网，要注意防止黑客窃取传输信息，因此可以采用如下的方法进行预防：把SQL Server与代理服务器进行连接，代理服务器是一个独立的应用程序，可以提供对Internet的安全访问，从而阻止身份不明的用户连接专用网，还可以对监听端口权限和访问的控制来保证关键数据的安全。另外，必要时最好在配置时将原端口加以改变或隐藏其服务。
四、保障SQL Server数据库安全的管理策略
管理好数据库日志策略。由于数据库系统及操作系统的日志里面，有详细的账号登陆事件，因此通过经常查看SQL Server的日志，可以及时检查可疑登录事件的发生与否。
（1）管理好存储过程的策略。太多的存储过程易被人用来提升权限和进行测试，特别是sp_cmdshell存储过程很容易进入操作系统，对操作系统而言无疑是一个隐患，因此很必要将其删除。另外还要注意对存储过程处理的确认，以免破坏数据库或者应用程序。
（2）通过各种途径建立数据的安全性策略。这里着重谈谈如何从视图、服务器角色及数据库角色等方面如何做好建立数据安全性。数据库中的数据是通过基本表来表现的，若用户被赋予访问表的权限越大，对数据库中的数据安全所造成的威胁也就越大，而通过建立数据视图的方法则可以有效保护数据的安全。对数据库管理的角色可分为创建人、安全管理人、系统管理人和服务器管理人等，不同的角色对保障数据库中数据的安全都有重要的作用，因此需要特别慎重地考虑用户与角色的配置，预防配置不当给数据安全造成隐患。同理，管理人在对数据库角色的配置上也要小心和慎重。
（3）TCP/IP的端口设置及限制IP策略。上文也涉及提到TCP/IP的端口设置问题，为了保障数据安全，做好该端口设置是很重要的。因为1433端口是SQL Server默认的监听端口，因此需要在实例属性中配置TCP/IP的属性，把默认端口改成其他端口。同时由于1434端口不受限制，也要在TCP/IP属性中将其设置为隐藏。通过利用windows系统提供的安全机制，可以对来自Internet的其他IP进行限制，也可以有效地确保数据库中信息安全。
（4）数据备份策略。由于数据库的安全保护中仍然面临不少潜在的不安全因素，例如软硬件故障、操作失误、病毒和黑客攻击以及还有其他不可预知的威胁，很容易导致数据库遭到破坏，甚至造成系统崩溃，造成无法挽回的损失[4]。因此，为了确保数据库中关键数据和重要信息的安全，做好数据备份无疑是非常重要的。对此，数据库管理人员最好把安放在单位内网最安全的区域，同时，有必要时还需做好对数据库进行异机备份，以防止机器发生异常故障，从而充分保障数据库中的信息安全。
（5）做好数据库管理人员的职能培训和完善机房安全管理制度策略。数据库管理人员是确保数据库信息安全的重要参与者，其职业道德、数据安全观念意识和职业技能的好坏直接关系到重要数据和信息的安全，因此很有必要重视其职业素质的培训，同时也需要逐步完善机房的安全管理制度，从制度上严格执行数据安全的规范操作。
五、结语
SQL Server数据库管理系统的安全与計算机操作系统的安全和网络系统的安全密切相关，任何一个环节出现了问题，都会对数据库的数据和信息安全造成危害，因此需要全面了解SQL Server数据库管理系统的安全机制，有针对性地探讨其安全和管理策略。另外，由于数据库版本的不断更新及网络技术的快速发展，数据库管理系统的安全性也会面临新的问题，这就意味着对SQL Server数据库的管理和维护将是一个动态的长期过程。
参考文献：
[1]吴丽娟.浅析SQL Server数据库的安全和管理策略[J].信息安全与技术,2011,6:22-24
[2]孟盛.SQL Server数据库安全系统分析[J].价值工程,2011,12:177
[3]胡登卫.SQL Server数据库安全策略研究[J].南阳师范学院学报,2008,7,9:49-53
[4]彭丽娜.浅谈包头市气象局SQL Server数据库的备份策略[J].内蒙古气象,2011,4:62-64