关于数据库安全问题的探索与研究

刘霜++李娜

摘要：随着当今计算机化的覆盖范围越来越广，该文对于目前数据库安全方面存在的问题进行探究，首先要认识到去重视数据库安全的必要性，再分析数据库安全的四个特点，总结不同行业使用的数据库存在的安全隐患，提出数据库的几大安全问题，在这基础上，提出了一些相关的解决方案。

关键词：数据库；安全问题；解决方案

中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2016）17-0005-02

数据库通常指的是计算机存储数据和进行操作处理的通用形式，已经成为当今各行各业信息管理系统的核心

1 重视数据库安全的必要性

互联网被评为上世界最伟大的发明，它的发明带动了全世界翻天覆地的改变，在互联网时代的最开始，主要是IT行业首先接受这种软件服务化的工作模式，而随着互联网技术的不断进步开展，一些技术部门逐渐开发了一系列以普通用户为服务主体的数据库服务，简称DAS，如SimpleDB、Relational Datebase（RDS）和Datastore等等。这些平台虽然是采用了不同数据模型的技术实现的，但是有着共同的特点，都为普通用户节省了软硬件采购和日常维护管理数据库的时间和精力，这就为用户提供了简单快捷的数据库服务。这就说明数据库安全问题随着技术的进步发展，开始与普通百姓的生活息息相关，已经与每个普通人的利益问题紧密相连了。

当数据库安全性得到提高，得以提供高质量的信息资源，可靠的数据结果，这将大大提高用户的满意度，这就为数据库开发商赢得更大的市场份额，提高了竞争力。一些传统的服务行业，如邮政服务、商业银行和股票市场等，比较注重信息资源保存的安全性以及客户自身的个人信息的隐私度，而一些互联网行业，如网站行业中的网上购物网站和旅游信息服务网站，用户则注重消息来源的可靠性，网站质量中信息质量、系统质量以及线上和线下的服务质量。有研究从质量评估的指标体系角度提出将信息资源质量划分为信息资源内容质量、信息资源表达形式质量、信息资源系统质量和信息资源效用质量四个方面，包括信息资源的正确性、完整性、相关性、新颖性、准确性、易用性、精简性、标准化程度、系统的完备性、可获取性、快速响应性、可靠性、资源的可用性、适量性、利用率和价值增值性16 个指标维度，较为全面地构建了信息资源质量评价的指标体系[3]。这就说明，数据库安全系数的大小与信息资源质量相关，也就与用户满意度直接相关联，这也就是数据库开发者需要重视的环节。

在各行业中数据库中的信息可能包含了一些特大数据、国家及军事机密、商业机密、个人隐私等重要的数据，美国国际数据公司一项名为“数字世界”的调查显示，2010 年全球共产生近1.2 泽它（zetta，10 的21 次方）字节的数字信息。而未来10 年，全球总体信息量将是现在的44 倍[2]。在这种信息爆炸的时代，信息安全的是至关重要的，对维护信息安全投入的资金自然也是指数上升。当计算机受到黑客入侵，黑客往往是针对数据库进行攻击，以获得最大效益。因此当数据库安全受到威胁时，对于个人财产安全、公司企业的商业安全甚至是国家军事方面是有巨大威胁的。一些计算机破坏报告中提及在往年的数据丢失案例中，有35%是数据库受到破坏；而对数据入侵进行统计，对数据库入侵案例则高达80%，除此以外，数据库的破坏往往会对被入侵的受害体系造成致命的打击。这一切都警示着我们要加强对数据库安全问题的重视。在探究数据库安全问题时，我们还要认识了解数据库安全的一些特点。

2 数据库安全的特征

本文将提出安全系数较高的数据库一些相应的特点，分别是数据的安全性，数据的完整性，数据库的并发操作形式和良好的故障应急机制。

2.1 数据的安全特性

数据库中需要受到特殊保护的部分信息数据与其余部分通常是隔开的，而登陆的用户在访问数据库时，整个过程如标识信息，视图机制和鉴别校对等等都应根据授权规则进行操作。另外，对于数据库中的数据实行存储修改的操作则必须强制经过审计环节而达到目的。

2.2 数据的完整性

数据完整性的含义指所有存储的数据值均处于正确的状态，假若数据库中有不正确的数据值存在，就可以说数据库丧失了完整性。再细分则包含了数据的精确性和可靠性，又可以分成四种类型，即：实体完整性、域完整性、参照完整性以及用户自定义完整性。数据库可以采用多种方法去保证数据的完整性，如外键、规则、约束以及触发器。

2.3 并发控制操作

多用户数据库系统即：数据库中的资源常常是供多用户共享的，同时还可以允许多个用户不同地但同时对数据库的系统实行操作使用。在同一时刻进行操作的用户端可达到数百个之多，这可以使数据库的信息资源得到充分利用，发挥共享的特点。在同一时刻，多个用户并行地读取和存储数据库时，假若对这种并发操作不进行控制，就可能会有不正确的读取或存储行为，破坏数据库的完整性。因此并发控制机制的好坏是评价数据库管理系统性能的一个重要指标。

2.4 故障应急机制

对数据库系统的保护措施有很多，但是我们都知道计算机的硬件故障或是工作人员的操作失误这些事情是不可避免的，而对于这些突发情况的发生将会对数据库中的数据完整性造成破坏，甚至是全部丢失，因此良好的故障应急机制是非常有必要的，可以将损失降到最低，另外备份工作一定要按照规定严格执行，因为故障恢复都给予数据备份，但是对于大小不同的数据库应当采用不同的应急机制。

3 数据库的安全隐患

如今，信息资源已经逐步迈向云计算时代，数据库的规模越来越庞大，那么可攻击范围相应增大，同时也面临着新的隐患问题与挑战。与国外相比，国内在数据库安全工作上的研究起步相对晚，但是目前也取得一定的进步，达到国标GB17859-1999第三级别的国产数据库，即相当于TCSEC B1级的，有可信COBASE（北京大学、中国人民大学和华中科技大学）、达梦数据库系列（华中科技大学）和Openbase Secure（东北大学）等等。但是一些严重的隐患问题仍是亟待解决。计算机数据库安全问题上是多方面的，数据库的安全隐患是多方面的。有操作层面上的、管理层面上的和系统自身的弊端。

3.1 操作层面上

病毒入侵操作系统是首先得到关注的隐患问题，例如曾经肆虐的特洛伊木马程序，当特洛伊木马程序入侵了操作系统后就会极大地威胁了数据库系统，因为只要特洛伊木马程序未被成功彻底清除，及时更改了进入数据库界面的密码，如前依旧可以得到最新的密码消息。另外，工作人员操作过程中有着一定信息安全检索需求，检索数据是用户对数据库最基本的需求之一。而云计算的普遍说明了信息数据的体积之庞大，海量的信息检索要求难度就随之提高了。对于一些海量信息处理可能无法满足一些关键词检索、数据库SQL查询的检索要求。这也是操作系统上的一切缺陷漏洞。还是海量信息的存储管理上，验证一些数据片段的完整性可以通过经典的签名算法和HMAC算法等。

3.2 管理层面

数据库管理上，对于一些过时的安全模型没有及时淘汰，还有一些比较容易疏忽的信道问题，信道问题指的是利用特定的安全控制机制去检测和彻底消除，如信息流控制和推理控制。还有就是需要完善DBMS的多级安全保护体制，对多级安全数据库语义也应该采取进一步研究。

主要是用户对于信息网络安全上的重视程度较弱，没有足够的意识，也就没有付诸到去落实管理措施，使得网络安全问题事件越来越频繁地发生，这就是管理者疏忽造成的。因为入侵者可以轻松对数据库系统的薄弱环节和漏洞进行攻击，所以对数据库安全可以和入侵检测系统、防火墙等其他的安全成品配套使用研究，从管理层面提高数据库的安全系数。另外数据库管理员还要及时修复补丁，适当限制对数据库服务器进行访问的权限也将提高管理效率。最后也是最主要的是提高用户的网络安全防范意识和基本的网络安全防范措施。

4 解决数据库安全问题的研究方向

当前数据库系统模型越来越趋向多样化，而在多样化时期， 对数据库安全研究的内容则有了更广泛的空间，如：数据库细粒度访问控制模型研究、研究对数据库的入侵检测以及恢复、数据库漏洞扫描技术研究和SQL注入攻击及防范技术研究等。

4.1 进行用户分类

授予不同的数据库管理权限给不同类型的数据登录用户，实行读取和存储分类权限，能够避免数据被随意篡改，有效保护数据的完整性。通常可以分为三类，数据库管理员权限类、数据库登录权限类和资源管理权限类。拥有数据库登录权限的用户，顾名思义是拥有登录进入数据库管理系统的权利，实验其中的各项工具和应用程序，一般这种权限仅限于查阅部分数据库信息而不能改动数据库其中的任何数据。而具有资源管理权限类的用户，除了拥有数据库登录权限外，还拥有权力可以创建特定的数据库表和索引等属于数据库课题的权限，此外还可以申请审计，在权限范围内进行查询修订数据，将自己所具的权限授予其他用户。最后也是权力最为广的数据库管理员权限类，除了上述二者的权限外，可以说具有数据库管理的一切权限。RBAC 与传统访问控制的差别在于在用户和访问许可权之间引入了角色这一层。角色是一组用户和一组操作权限的集合， 角色中所属的用户可以有权执行这些操作权限。用户与角色间是多对多的关系， 角色与访问许可权之间也是多对多关系[4]。

4.2 安全模型的研究

对于旧的安全模型在实际应用中存在的问题实行研究，对于新模型的建立要注重两方面，第一是重视建设数据库安全所代表的交叉学科，因此数据库安全研究涉及了数据库技术和信息安全这两大学科，之间是相互区别的又是紧密联系的，如果没有去充分理解数据库的理论知识以及扎实掌握实现技术方面的技能，就不可能设计出具有实用价值的数据库安全产品，例如安全数据库管理系统。所以要求开发人员有这两个专业的一定相关基础知识。

安全模型的研究可以从标识和鉴别角度、访问控制、信息流控制、推理控制、审计和加密工作中综合设计。

数据库的安全问题是多方面的，其安全技术也不是相互独立的而是彼此依赖，相互扶持的，所以我们不论是在寻找问题上或是技术研究上都应该全方位的考虑问题进行研究。数据库时当代数据管理中最为先进的技术，也是计算机科学中的重要分支，因此数据库安全的重要性更是不言而喻，对于数据库安全方面的研究本文只是进行一些探索性工作，进一步研究还需要更多努力。

参考文献：

[1] Charles P.Pfleeger，Shari Lawrence Pfleeger. Security in Computing（4th Edition）[M].Prentice Hall，2006.

[2] 张敏.数据库安全研究现状与展望[J].中国科学院院，2011（008）：303-309.

[3] 査先进，陈明红.信息资源质量评估研究[J].中国图书馆学报，2010，36（3）：46-55.

[4] 朱良根，雷振甲，张玉清.数据库安全技术研究[J].计算机应用研究，2004（9）：127-138.