数据的安全保护

曾照华，王晓霞

(太原理工大学阳泉学院 信息系，山西 阳泉 045000)

信息技术及互联网时代的到来，给世界人民的生活、工作带来了极大的便利。网络技术使得人们随时随地可从多种互联网接入模式获取所需的各种有效信息。而在人们使用网络带来便利的同时，个人信息在不安全的网络环境中更容易被非法的窃取。近期以来，因个人信息被非法窃取引发的问题不断出现，又一次将信息安全提到人们的视野中。在网络时代，数据库技术中如何保护信息的安全是这个时代非常重要的问题。

1 数据库技术简介及数据库安全

数据库技术是计算机技术的重要分支，自20 世纪60 年代出现后，发展趋势非常迅速，是现代计算机领域最有力的支撑技术之一。数据库对信息数据的有效管理，为计算机在各个领域的应用起到了关键性的作用。数据库管理系统(DBMS)对大量的数据进行科学的组织和管理，而在网络环境中，数据库的应用多采用客户机/服务器(C/S)服务模式，为互联网用户提供数据的共享［1］。

1.1 网络环境数据库的主要特点

1)多人使用 网络系统中，服务器中的数据库中数据提供多个用户同时访问，单个用户对数据库的操作都会对其余用户使用产生影响。

2)更新频繁 数据库中数据更新速度更加频繁。

3)数据量大 数据库文件经常有几十kB 到几个GB的容量。

4)可靠性要求 网络环境下，对数据库要求有较高的可靠性。

1.2 数据库系统的安全要求

1)数据文件的独立存储 数据要求独立于应用程序，数据库文件的存储要求独立，数据库逻辑结构独立于用户的应用程序。

2)数据安全保护 要求保护的数据与其它部分隔离，安全保护的数据不能被未被授权的用户获取。

3)数据完整性 数据库中的数据要求具有正确性，有效性和一致性。

4)在多用户操作的条件下进行并发控制，以保护数据的正确性。

5)数据可恢复要求 在出现物理，逻辑损失时，可恢复原有数据。

2 数据安全所受威胁类型及数据存储的安全措施中的问题

在开放的网络环境下，数据的安全保护工作就显的尤为重要。在网络中，黑客及非法用户利用数据库管理员的疏忽或木马病毒等方法，对数据库的数据信息进行攻击。

2.1 网络攻击对数据库构成的威胁

1)篡改 黑客使用技术手段将数据库中的原有数据进行修改，使数据失去原有的有效性，真实性。

2)损坏 黑客或计算机病毒将数据库中原有的数据进行删除，移动，破坏。

3)窃取 黑客在未经授权情况下，将数据库中存储的数据通过网络传输到自已的电脑中。

2.2 数据保护的安全措施

1)用户管理 登录数据库的用户必须有唯一可标识出身份的账号与密码，数据库对将要登录的用户进行身份验证，只有通过身份验证的用户，才为合法的用户，准其登录到系统。

2)授权 登录系统的用户，对数据库进行操作必须经过授权，未经授权的操作将被系统拒绝。数据库系统一般不会对每个用户授权，系统会将一定的权限授予各定的用户组，称为角色。用户按分配入某一角色，将自动具有所在用户组的权限。

3)数据分级 有些数据库系统对安全性的处理是把数据分级。对于每一个数据对象，都设置了一定的保密级别。同级的用户只能查看同级或低于本级的数据。

4)数据加密 对一些较为保密的文件进行数据的加密处理也是一种很好的保护数据的措施［2］。可使用一定的加密算法并定义加密使用的密钥对将要保护的数据进行加密，加密后的明文变为无意义的密文。对于加密和解密使用的密钥要绝对保密，以防泄漏。

2.3 数据保护问题

1)账号设置安全性不足。许多用户在账号密码设置时，不具有足够的密码强度，另如具有一些默认的帐户是公开的，这些默认帐户可由任何人登录，对这种帐户没有进行权限的设置。

2)角色设置不够完全。在数据库对于用户的管理使用的是分组的形式，称之为角色。不同的角色有着不同的操作权限。角色设置过于简单，如只设置系统管理员，具有最高权限，用户具有最低权限，也可造成数据系统的安全问题。

3)审计跟踪的缺乏。审计跟踪对了解用户行为对数据的影响是很重要。设置安全审计对监视数据访问是安全保护的必要手段。

4)忽略数据备份与还原。尽管采用各种保护措施，但在一些情况下，还是不可避免的有数据被损坏，篡改。所以，及时对数据进行备份，在数据损坏的情况下，可用备份对数据进行有效的恢复。

3 数据库安全保护设置策略

对数据库安全设置中可能出现漏洞，在进行数据库安全设置中，可采用如下策略:

1)在进行角色划分时，采用最小权限和特权分离的原则，对普通用户根据需要设置最小的权限足够使用即可，这样可防止权力的溢用。设置安全管理员角色，随时对权限的设置进行监视［3］。系统默认帐号设置适当权限，修改登录密码。还可根据需要设分层权限的角色。

2)对重要数据使用加密技术进行加密处理。当合法用户查看数据时，可使用解密软件和密钥对数据解密，此措施可防止非法登录的用户对受保护数据的查询和篡改。

3)使用数据库自身工具，对登录的用户的操作进行审查，阻止非常规操作，例如，SQLserver 中的Delete 触发器，可对用户删除操作进行检查，如此操作违反有关原则，则操作将被拒绝，并回滚事件。视图可控制用户提取数据，并简化数据库用户管理。这些数据库工具的合理使用，不仅可提高数据库使用效率，还可改善数据库的安全性能。

4)数据库安全审计跟踪机制，对于监视用户行为是非常重要的机制［4］。开启数据库安全审计，随时查看用户操作，对操作可能造成的影响进行有效分析，是对数据安全保护的有效手段。

5)锁是数据库中为防止多个用户同时访问数据库互相干扰而设置的访问控制机制。数据库安全设置中，加入各类锁设置，可有效防止多个用户同时访问，修改数据时产生的数据安全问题。

6)及时备份数据库。备份数据对于应急时的数据恢复是重要的，对数据的备份有数据备份，日志备份，差异备份等，定期对数据、日志备份。在数据遇到损坏、篡改时，进行还原恢复，是对数据的有效保护手段。

7)使用应用程序的安全性保证数据的安全。某些数据库中的数据出于保密，只能使用特定的应用程序打开，应用程序需使用口令打开数据库，称为应用程序角色。在数据库安全设置中，对于一些要求保密的数据，可创建应用程序角色，当数据只能被这些应用程序操作时，可进一步确保数据的安全。

4 结束语

互联网时代，由于数据库安全设置的措施不当引发的数据泄露所造成的损害是危险的。根据数据保护的需要，为数据库选择适当的安全保护配置，可保护个人信息的安全，为信息安全提供安全屏障。

［1］李洋.计算机网络安全及应对措施［J］.信息技术，2012，2(3) ：2－3.

［2］张心明.信息安全管理体系及其架构［J］.现代安全情报，2004(4) ：204－205.

［3］任浩.Web 数据库安全技术研究［J］.Software Guide，2006，4：28－29.

［4］何小英.网络安全之解析与防范［J］.信息安全，2012，3(4) ：3－4.