◆蔡岳良

?

管理信息系統(tǒng)中數(shù)據(jù)庫安全的實現(xiàn)方法探析

◆蔡岳良

（廣東技術(shù)師范學院天河學院 廣東 510540）

隨著管理系統(tǒng)（MIS）應用在越來越多的領域中不斷發(fā)揮出其自身的特點和優(yōu)勢，我們也必須承認，它的安全問題也已經(jīng)令相關領域的工作人員受到極大困擾。本文從幾個角度探討了管理信息系統(tǒng)中數(shù)據(jù)庫的安全控制，包括訪問者身份的鑒別、存取控制、采用數(shù)據(jù)備份與恢復策略，著重采用雙擊備份技術(shù)以及建立虛擬目錄、隱藏源程序代碼等技術(shù)手段，從一定的技術(shù)方面提出了實現(xiàn)管理信息系統(tǒng)中數(shù)據(jù)庫安全的具體方法。

管理信息系統(tǒng)；數(shù)據(jù)庫；安全技術(shù)

0 引言

隨著管理信息系統(tǒng)在其相應的計算機技術(shù)領域內(nèi)發(fā)揮出更多的優(yōu)勢和特色，MIS系統(tǒng)日漸被更多的企事業(yè)單位、高校等機構(gòu)認可并采用。據(jù)相關資料證明，大部分管理信息系統(tǒng)的內(nèi)層往往與單位內(nèi)部的局域網(wǎng)連接，外網(wǎng)與廣域網(wǎng)相互連接，因此，如何有效地保護MIS的系統(tǒng)安全是一個十分重要的問題。由于應用這個系統(tǒng)的用戶往往都是通過網(wǎng)絡將數(shù)據(jù)傳輸和處理，其中不乏一些十分重要的信息。因此，如果MIS系統(tǒng)缺乏有效的保護手段和措施，將會非常容易被惡意地篡改和截取。同時，如果沒有有效的技術(shù)保護手段，互聯(lián)網(wǎng)上的任何用戶都有可能通過竊取密碼和口令來訪問這個系統(tǒng)。如果保護不當，用戶名和密碼也可以通在網(wǎng)絡傳輸?shù)倪^程中被竊取和毀壞。最重要的一點是，在數(shù)據(jù)庫中儲存著大量的有效信息，數(shù)據(jù)庫是整個信息系統(tǒng)的核心，保護數(shù)據(jù)庫的安全是非常重要的工作。因此，如何有效防止未經(jīng)授權(quán)用戶訪問數(shù)據(jù)庫，如何實時掌握授權(quán)用戶對信息系統(tǒng)的訪問情況都是實現(xiàn)信息系統(tǒng)安全所必須要解決的問題。數(shù)據(jù)庫的安全主要包括兩大點，一是存貯安全，二是訪問安全。其中存貯安全是指通過備份相關數(shù)據(jù)防止因存貯介質(zhì)損壞而導致整個系統(tǒng)癱瘓。

而訪問安全是指有效控制非授權(quán)用戶對系統(tǒng)的訪問，堅決阻止非授權(quán)用戶訪問資源，防止數(shù)據(jù)資料被竊取、數(shù)據(jù)庫的相關口令被外泄。

以下著重從技術(shù)層面談一下如何保護信息系統(tǒng)的安全。

1 數(shù)據(jù)庫的用戶分析

1.1 數(shù)據(jù)庫的管理員

擁有最高權(quán)限，創(chuàng)建并維護數(shù)據(jù)庫，發(fā)放用戶訪問權(quán)限，從事數(shù)據(jù)庫的備份與恢復等。

1.2 系統(tǒng)的開發(fā)人員

設計并開發(fā)系統(tǒng)的應用程序，可以進行基表的修改與創(chuàng)建，由于會有使用數(shù)據(jù)庫的需求，因此具有高訪問權(quán)限。

1.3 子系統(tǒng)的管理員

信息系統(tǒng)會被劃分為許多個子系統(tǒng)，每個子系統(tǒng)都有自己的管理員，職責是為內(nèi)部用戶發(fā)放權(quán)限，它與數(shù)據(jù)庫用戶存在明顯不同，區(qū)別是子系統(tǒng)的管理員只能登錄程序而不能進入數(shù)據(jù)庫。

1.4 處理日常事物的操作者

根據(jù)系統(tǒng)管理員發(fā)放的賬號可以登錄客戶應用端，進行日常普通事務的處理。

2 保護數(shù)據(jù)庫安全的技術(shù)措施

2.1 通過驗證身份防止非法用戶進入系統(tǒng)

大部分系統(tǒng)都可以識別擁有權(quán)限的用戶（這些用戶都可以正常登錄系統(tǒng)），同時也可以阻止未登錄成功的用戶無法進入系統(tǒng)。但是在某些時候，一些懂得計算機知識的用戶可以在沒有成功登錄系統(tǒng)的情況下通過在瀏覽器中輸入特定的網(wǎng)頁來登錄他們需要的頁面，目的往往是非法地操作系統(tǒng)。為了防止非法用戶采取這樣的方式登錄系統(tǒng)進行非法作業(yè)，我們可以在網(wǎng)頁中加入驗證用戶身份的要求，如果出現(xiàn)異常情況，這樣的用戶就可以被強制退出。除此之外，也可以同過設置口令的方式來進行用戶的身份識別，這種方式比較常見，也比較便捷，建議口令值隱蔽到數(shù)據(jù)庫中即可，不要嵌入到程序中，否則修改時會涉及到程序。口令也有其安全性較差的一面，它容易被猜測出來。因此，存放口令的文件應該經(jīng)過細致的加密工作。

2.2 建議設置管理員的權(quán)限

說到底，數(shù)據(jù)庫的安全性就是控制用戶對于數(shù)據(jù)庫的訪問，在這里，筆者建議設置一個獨立的模塊，只有系統(tǒng)管理員可以使用。管理員可以修改用戶的權(quán)限和相關的信息，但不能修改用戶的密碼。同時，筆者建議每個功能模塊對于某一用戶有如下權(quán)限：（1）無權(quán)使用本模塊；（2）便于查詢有效信息；（3）輸入與查詢兼而有之；（4）可隨時刪除；（5）可修改與可查詢；（6）全部功能可使用等。需要注意的是，功能模塊名、用戶名與權(quán)限編碼可用同一數(shù)據(jù)庫保存。

2.3 在兩臺機器上對信息加以備份

為保證主數(shù)據(jù)庫受到攻擊后能及時得到修復，筆者建議將數(shù)據(jù)庫安裝在另一臺機器上，以便數(shù)據(jù)庫的重要信息庫可以得到備份，當主數(shù)據(jù)庫受到攻擊時，由于信息已經(jīng)得到備份，因此會把對數(shù)據(jù)的傷害降到最低，并在幾分鐘內(nèi)能完成數(shù)據(jù)的恢復。

2.4 操作系統(tǒng)和數(shù)據(jù)庫可以分別安裝

在這里，ghost是個很好的幫手，我們可以將操作系統(tǒng)和數(shù)據(jù)庫分別安裝，并且裝在不同的驅(qū)動器上。這樣一來，即使系統(tǒng)遭遇攻擊而全面癱瘓仍然問題不大，也就是說，當問題發(fā)生時，短短的20分鐘以內(nèi)，系統(tǒng)就可以恢復成原來的狀態(tài)。

2.5 虛擬目錄的建立有助于隱藏重要信息

Internet支持虛擬目錄的創(chuàng)建并可以對其進行有效管理，而虛擬目錄的建立對于Web站點具有十分重要的意義。某些用戶通過查看源代碼可以獲得相應的路徑信息，此時，也許是Web頁面中的路徑暴露了相關目錄的信息，這極易使系統(tǒng)遭遇到惡意攻擊。在這樣的情況下，虛擬目錄的創(chuàng)建具有重要的意義，它可以隱藏目錄的重要信息。因此，只要兩臺計算機設置相同的虛擬目錄就可以在不改動頁面代碼的情況下移動Web頁面。這樣做不僅方便對Web頁面的管理，也提高了相應程序的安全性，防止重要內(nèi)容被未授權(quán)用戶非法訪問。

2.6 防止惡意攻擊

由于Web網(wǎng)總是處于弱者的角色，因此攻擊者大都喜歡攻擊Web網(wǎng)，對Web網(wǎng)下手。這其中的一個重要原因這種攻擊可以傷害到無辜的站點并牽連到許多受害者，從而達到惡意的攻擊目的。

事實證明，互聯(lián)網(wǎng)中的最容易受到攻擊的就是Web網(wǎng)，而這種事情產(chǎn)生的結(jié)果就是用戶成為受害者。而產(chǎn)生這種情況的源頭正是因為用戶在瀏覽一些網(wǎng)站會不小心泄露自己的密碼，因而成為受害者，同時，這樣的事情還會導致網(wǎng)站的所有者和管理員也成為無辜的受害者。在近半年的SQL注入式攻擊中，有一點十分明顯，就是后端的數(shù)據(jù)庫總是被一些惡意代碼感染，而清理這種病毒并不是十分容易，往往在清理完畢后的幾個小時內(nèi)，數(shù)據(jù)庫仍有再次被感染的危險。在此，筆者根據(jù)經(jīng)驗總結(jié)出一些小技巧，盡量使得攻擊變得最小化。第一點：盡量安全地開發(fā)應用程序，同時利用專業(yè)軟件定時查找出包含漏洞的頁面，除此之外，要注意對現(xiàn)有的應用程序做出有效評估。第二點：密切跟蹤URL查詢串。相關資料證明，SQL的攻擊大部分都是通過請求HTTP發(fā)生的，密切跟蹤URL查詢串將有助于確認攻擊的來源，識別攻擊的方向。第三點：使用第三方軟件，一定要遵循最佳方法。也就是說，無論企事業(yè)單位還是任何單位，在使用第三方開發(fā)的軟件的過程中，一定要確保遵循的是最好的方法，同時，一定要特別關注程序測試的結(jié)果以及第三方開發(fā)軟件的力量和軟件的升級能力。由前面的三點筆者總結(jié)出最后一點，也就是如何保護Web程序。我們知道，現(xiàn)在市面上有很多產(chǎn)品可以保護Web網(wǎng)不受到攻擊，但他們不能成為代替安全程序的最好的方法，對于SQL注入式攻擊和其他的一些惡意攻擊我們沒有特別有效的方法，但是我們不能氣餒，更應該注意對用戶的指導和教育，并循序漸進地實施一些行之有效的辦法，以上這些辦法可以在一定層面上減輕或者阻止注入式攻擊對web網(wǎng)的傷害。

3 結(jié)語

管理信息系統(tǒng)中數(shù)據(jù)庫（MIS數(shù)據(jù)庫）的安全保密是十分重要的，對每一個有可能接觸到數(shù)據(jù)庫的人都應該提高警惕。我們平時保護數(shù)據(jù)庫的安全除了從技術(shù)層面考慮到種種可能產(chǎn)生的危害和結(jié)果之外，還應加強對計算機機房的管理和所有能夠接觸到計算機的有關人員的法制意識培養(yǎng)以及道德觀念教育，只有不斷地提升相關人員的道德意識和法制觀念，才能在更高的程度上保證管理信息系統(tǒng)數(shù)據(jù)庫的安全。另外，注意實時備份數(shù)據(jù)是對遭受破壞的系統(tǒng)數(shù)據(jù)進行補救的比較有效的手段。

[1]林志斌.數(shù)據(jù)庫安全性若干問題的探討[J].微型機與應用，1998.

[2]（美）David Lockman.健蓮工作室譯.輕松掌握Oracle 8數(shù)據(jù)庫開發(fā).電子工業(yè)出版社，1999.