数据库安全测评常见问题分析与对策

陈冰岛

[摘 要]随着Oracle数据库在各行各业中的广泛应用，其安全问题给行业的发展带来了较大的困扰，故加强Oracle数据库的安全管理具有非常重要的现实意义。要实现对Oracle数据库的安全运用，掌握其安全问题就显得尤其重要，为此，在本文中对存在的问题进行了分析，同时提出了相应的解决策略。

[关键词]Oracle数据库；安全问题；管理；策略

中图分类号：TP311.13；TP309 文献标识码：A 文章编号：1009-914X（2016）25-0161-01

21世纪的社会发展决定于社会朝着多元化和信息化快速的发展，信息化在未来社会取决定性作用，而信息安全管理又是重中之重。Oracle是当前一种非常流行的数据库系统，其是由多个子系统构成的，并且在进行数据的存放时，也是分为多个不同的服务器进行存放，在进行使用和访问的过程中，其数据是出于多用户共享的状态，故对Oracle数据库安全问题进行分析，是当前学界所共同关注的重要话题。现结合笔者多年关于Oracle数据库安全问题的了解，对其存在的安全问题进行简单分析，并提出相应的应对建议。

1 Oracle数据库安全问题

Oracle数据库安全问题主要是指非法用户对数据信息进行篡改、窃取和破坏等行为，对非法用户的越权访问权限进行限制，是有效提升数据库安全性的关键。Oracle数据库为了实现对数据安全的保护，其可通过访问权限设置、数据库加密等方式加来安全防护手段，尽管Oracle数据库本身的安全机制非常高，但却无法真正承诺百分百的安全性，非法用户往往能够根据数据库系统的弱点和漏洞来实现对数据库信息的破坏和窃取。通常情况下，数据库安全保障机制更多是对提高预防效果，并且在保障用户合法使用的前提下，对外部用户身份进行检验，通过这种方法来实现对末授权操作的预防。但就实际情况来看，在Oracle数据库的运用中，仍然出现各种安全问题，主要表现为以下几方面：

1.1 用户认证安全问题

Oracle数据库系统可为用户提供相应的身份认证机制，用户根据系统所设定的账号和密码对实现对数据库的访问，但某用户通过非法的手法获得用户的账号和密码，那么当用户通过权限认证后，同样能够对数据库进行访问，并且能够在用户的使用权限上实现对数据库的操作，由此可知，在安全机制中，针对普通用户的安全认证尚不完善。

1.2 数据存取控制安全问题

即便是用户的操作权限非常高，也并不是指该用户能够对数据库系统进行随意的操作，在权力和权限之间还存在着相互对应的关系，并且其还应当受到权力的制约。但就实际情况来看，若某数据库用户能够获得管理员的密码和账号，那么其操作就可以不受到时间和空间的制约，这就使得该用户能够对数据库系统中，原有的数据信息进行任意操作，与此同时，而面对这种情况，即便时安全访问机制也无法有效展现其对数据库的保护机制。

1.3 人为疏忽

经过数据库访问机制授权的用户，在对数据库进行存取的过程中，无意出现的错误操作等，或者由于应用程序中bug所导致的错误操作等。

2 Oracle数据库安全问题的应对策略

2.1 用户操作系统的安全管理

在对数据库系统进行安全管理时，对用户操作系统的优化也是很重要的方面， 这主要是防止一些未经授权的用户直接对数据库进行访问，从而增加意想不到的安全隐患。用户管理运行模式可对用户的访问进行管理，避免合法用户的权益受到非正常侵害。其常规的保护措施有多种：加强对用户账号的管理、 加强对用户授权的管理、加强对角色的管理等，其中角色管理是维持系统安全运行的最重要途径。在通常情况下，对数据库的访问一般会存在多个用户同时访问的情形，为保证系统有一个良好有序的运行状态，应考虑建立角色，对同一类型的用户进行集中管理，允许用户之间的权限有一定的区别，设定的角色不同， 可访问的权限也不同，规定一部分用户可以进行访问，未经授权的用户不得访问相关页面。Oracle数据库管理系统一般有3种角色：第一种是Connect，一般只允许用户建立自身索引，而且用户只能登录自己的简表，主要是用作临时访问；第二种是Resource，这是一种较高级的权限，可以建立储存器和触发器，能访问较多的页面； 第三种是DBA，可以对全部用户进行访问，而且拥有一定的管理权限，强化对数据库的整体管理。这3种不同的角色都有着不同的权限， 这种分类管理的方式，可以降低数据库管理人员的技术工作难度。

为了不影响数据库性能的正常发挥，还可以通过创建用户账号的方式加强数据库的安全管理。用户访问时，首先需要进行账号登录，或者输入动态口令，用户只有重置访问权限，才能对数据库中的信息进行读取，这种方法既可以预防外来用户对数据库的人为破坏，又可以预防无关人员随意地访问数据库，从而避免由此带来的安全威胁。在数据库安全管理中心这种方法应用得比较多， 用户通过创建账号， 注册自己的用户名，并得到相关口令，而且二者必须同时得到验证，才能成功登录，对数据库进行访问。口令具有限制的作用，输入用户名确认的过程就是匹配文件的过程，用户登录成功后会得到一定权限，执行一定命令，这种口令管理的方法，在实际工作中收到了良好的效果。

Oracle数据库安全管理的核心是设置权限，加强授权管理，对用户进行分类管理，由于用户的类型很多， 所以要针对不同用户制定出不同的管理方式， 用户大致分为两种：一种是普通用户；另一种是管理人员DBA，普通用户只能对数据库的一部分信息进行查看，管理人员被授予的权限比较多，也有管理普通用户的权限，而且还有根据数据结构对系统进行优化的权限。

2.2 入侵检测系统

入侵检测系统主要是指通过对系统进行监控管理，对未授权访问中出现的异常操作进行识别，同时对攻击行为进行预防的系统。在数据库中打造一个具有预防和抵御非法用户、动态监管入侵行为等作用的安全机制，是提高Oracle数据库安全性的重要方法。在本文中所指出的入侵检测系统是还主要是指，在Oracle数据库系统中，对用户的行为和使用情况等进行监控，以此来实现对用户是否安全，或者是否为外部非法用户越权访问，或者是否由于系统缺陷导致外来用户出现恶意入侵的判断。

2.3 数据库的加密

在数据库安全性中，加密是保护Oracle数据库的最后一道防线或者最关键的一道防线。在Oracle数据库管理中，主要是以文件的方式来实现管理，若出现非法用户入侵的情况，那么入侵者能够借由存在的数据库漏洞来对数据库中的文件进行篡改、破坏和窃取，这些行为的隐蔽性非常的高，常规情况下，很难发现数据库已出现安全问题。针对这种安全问题，通过分层加密的方式来加强数据库管理系统的控制，其能够更好的实现对系统安全性能的提升，即便是首层的密码被解决，后面的几层密码仍然能够实现对Oracle数据库安全的保障。当然，在对Oracle数据库进行加密处理后，即便是出现了数据不慎被盗取或者丢失的情况，也很难实现对数据的传播和阅读。在进行加密处理中，可以分别在操作系统层、数据库管理系统内层以及管理系统外层来进行三层密码的设置。

2.4 数据库的备份和恢复技术

Oracle数据库的企业的应用中，多将数据库资源分为公开资源、内部资源和核心资源这三大类，故在对数据库资源进行备份时，应针对不同的资源要求给予相应的备份策略。在Oracle数据库应用中，数据备份是非常重要的工作内容，而Oracle数据库在进行备份时，主要采用逻辑备份和物理备份两种方法来实现。通过有效的备份管理，即便是出现黑客入侵、系统故障或者病毒等导致数据库受到攻击，那么也能够根据备份资源来进行及时的恢复。而在对Oracle数据库资源进行恢复中，根据不同的故障可实施不同的恢复，主要包括了磁盘失败恢复、实例失败恢复和操作错误恢复等。

3 结论

随着Oracle数据库在各行各业中的广泛应用，其安全问题给行业的发展带来了较大的困扰，故加强Oracle数据库的安全管理具有非常重要的现实意义。要实现对Oracle数据库的安全运用，掌握其安全问题就显得尤其重要，为此，在本文中对存在的问题进行了分析，同时提出了相应的解决策略。

参考文献：

[1] 何子龙.Oracle数据库安全及安全策略研究[J].现代计算机（专业版），2015，05（01）：22-26.

[2] 李红，刘志杰，谢晓尧.Oracle分布式数据库系统及网络安全策略研究[J].贵州师范大学学报（自然科学版），2011，51（3）：88-92.

[3] 王东芝，杨占文，魏陆军.浅谈数据库安全应用的认识与分析探讨 [J]. 江西信息产业知识学报，2011（01）.