數(shù)據(jù)庫安全技術(shù)講課(第4章)

1、數(shù)據(jù)庫安全技術(shù)主講人：周杰1、SQLServer2008安全機(jī)制2、身份驗(yàn)證3、角色4、架構(gòu)5、授權(quán)6、權(quán)限管理7、1433端口8、擴(kuò)展存儲(chǔ)過程9、數(shù)據(jù)加密10、數(shù)據(jù)審核第四章安全管理3層安全機(jī)制1、服務(wù)器級(jí)別的安全機(jī)制Sql server 賬號(hào) 、Windows賬號(hào)2、數(shù)據(jù)庫級(jí)別的安全機(jī)制系統(tǒng)賬號(hào)到數(shù)據(jù)庫的映射角色3、數(shù)據(jù)對(duì)象級(jí)別的安全機(jī)制數(shù)據(jù)對(duì)象的控制權(quán)限架構(gòu)1、安全機(jī)制1、Windows身份驗(yàn)證利用Windows賬號(hào)登錄2、混合模式Windows身份驗(yàn)證+SQL Server身份驗(yàn)證模式SQL Server用戶2、身份驗(yàn)證3、角色角色是對(duì)權(quán)限的一種集中管理方式1、固定服務(wù)器角色作用域?yàn)榉?/p>

2、務(wù)器范圍獨(dú)立于各個(gè)數(shù)據(jù)庫無法更改權(quán)限不能自定義2、固定數(shù)據(jù)庫角色作用域?yàn)閿?shù)據(jù)庫范圍無法更改權(quán)限可自定義定義：形成單個(gè)命名空間數(shù)據(jù)庫實(shí)體的集合，可以看成一個(gè)存放數(shù)據(jù)庫中對(duì)象的一個(gè)容器，包含表、視圖、存儲(chǔ)過程等，位于數(shù)據(jù)庫內(nèi)部。表的完整訪問路徑：服務(wù)器名.數(shù)據(jù)庫名.架構(gòu)名.對(duì)象名，如Student.dbo.xsb可自定義用戶與架構(gòu)分離4、架構(gòu)默認(rèn)架構(gòu)dbo 數(shù)據(jù)庫所有者 (dbo) 是具有在數(shù)據(jù)庫中執(zhí)行所有活動(dòng)的暗示性權(quán)限的用戶。將固定服務(wù)器角色 sysadmin 的任何成員都映射到每個(gè)數(shù)據(jù)庫內(nèi)稱為 dbo 的一個(gè)特殊用戶上。另外，由固定服務(wù)器角色 sysadmin 的任何成員創(chuàng)建的任何對(duì)象都自動(dòng)

3、屬于 dbo。4、架構(gòu)遵循權(quán)限最小化授權(quán)原則1、新建的用戶是沒有操作權(quán)限的2、服務(wù)器角色映射（選擇服務(wù)器角色）3、用戶映射（選擇操作的數(shù)據(jù)庫和架構(gòu)）5、用戶授權(quán)（1）服務(wù)器級(jí)別：在實(shí)例級(jí)上設(shè)置的權(quán)限。如創(chuàng)建數(shù)據(jù)庫、查看數(shù)據(jù)庫、服務(wù)器設(shè)置等（2）數(shù)據(jù)庫級(jí)別：在數(shù)據(jù)庫級(jí)上設(shè)置的權(quán)限。如備份數(shù)據(jù)庫、創(chuàng)建表、創(chuàng)建默認(rèn)值、創(chuàng)建過程、創(chuàng)建函數(shù)、創(chuàng)建架構(gòu)、創(chuàng)建角色等 （3）數(shù)據(jù)庫對(duì)象級(jí)別：在數(shù)據(jù)庫表級(jí)別上設(shè)置權(quán)限。如：查看表定義，更改、更新、刪除、插入、選擇、引用等。（4）數(shù)據(jù)庫對(duì)象字段權(quán)限：用戶對(duì)數(shù)據(jù)庫中指定表字段的操作權(quán)限，主要有select和update。6、數(shù)據(jù)庫權(quán)限管理1、授予Happy用戶服務(wù)器

4、權(quán)限6、數(shù)據(jù)庫權(quán)限管理2、授予Happy數(shù)據(jù)庫權(quán)限6、數(shù)據(jù)庫權(quán)限管理3、授予Happy數(shù)據(jù)表權(quán)限6、數(shù)據(jù)庫權(quán)限管理1、授予權(quán)限（Grant）例如：Grant select on student to Happy描述：賦予Happy用戶對(duì)student表的查詢權(quán)限例如：Grant select on Student(xh,xm) to Happy描述：賦予Happy用戶對(duì)student表的xh和xm列查詢權(quán)限例如：Grant create table to Happy描述：賦予Happy用戶創(chuàng)建表的權(quán)限，配合grant alter on schema:dbo to Happy使用,必須先給dbo

5、賦予權(quán)限。2、回收權(quán)限（Rovoke）例如：Rovoke select on student to Happy描述：從Happy用戶收回對(duì)student的查詢權(quán)限6、SQL權(quán)限管理1、1433端口SQL Server默認(rèn)的端口眾所周知被攻擊的主要目標(biāo)2、更換端口修改為10000 65535的端口號(hào)重啟數(shù)據(jù)庫服務(wù)生效7、1433端口SQL Server2008有一些預(yù)留的存儲(chǔ)過程，這些存儲(chǔ)過程的權(quán)限非常大。一旦數(shù)據(jù)庫被攻擊，可以利用這些存儲(chǔ)過程破壞操作系統(tǒng)。exec sp_configure xp_cmdshell,0-禁用xp_cmdshell exec sp_configure xp_cmd

6、shell,1-啟用xp_cmdshell8、禁用擴(kuò)展存儲(chǔ)過程定義：通過密鑰對(duì)原始數(shù)據(jù)進(jìn)行模糊處理的過程明文-加密-密文密文-解密-明文對(duì)稱加密：加密密鑰和解密密鑰相同非對(duì)稱加密：加密密鑰和解密密鑰不同庫內(nèi)加密：利用SQLServer加密并保存庫外加密：利用其他應(yīng)用程序加密，SQL Server保存加密結(jié)果9、數(shù)據(jù)加密1、證書加密與解密主要用于重要信息的加密和解密，如身份證號(hào)碼、手機(jī)號(hào)、信用卡卡號(hào)等重要信息（1）創(chuàng)建證書（2）利用證書加密（3）利用證書解密9、數(shù)據(jù)加密2、MD5加密主要用于重要信息、但不需要解密的信息，如密碼。（1）不可逆解密（2）16位和32位（16位更安全）9、數(shù)據(jù)加密3、

7、MD5庫外加密%UserName=trim(request(UserName)接收用戶輸入的用戶名Password=trim(request(Password)接收用戶輸入的密碼Md5Password=md5(Password,32) MD5對(duì)Password進(jìn)行32加密Response.Write 用戶名： & username & 輸出獲得的用戶名Response.Write 密碼: & Password & 輸出加密前的密碼Response.Write 密碼（MD5加密后）: & Md5Password輸出加密后的密碼Response.End程序停止%9、數(shù)據(jù)加密4、數(shù)據(jù)庫加密TDE加密是數(shù)據(jù)庫級(jí)別的加密，數(shù)據(jù)的加密和解密是以頁為單位，由數(shù)據(jù)引擎執(zhí)行的，在寫入時(shí)進(jìn)行加密，在讀出時(shí)進(jìn)行解密，這是SQL Server2008安全選項(xiàng)中最激動(dòng)人心的功能。（1）創(chuàng)建證書（2）開啟數(shù)據(jù)庫加密9、數(shù)據(jù)加密審核：誰在什么時(shí)候做了什么事情2008版本之前登錄審核、C2審核，SQL跟蹤10、數(shù)據(jù)審核1、登錄審核10、數(shù)