18岁成年网站,人人爱人人艹,亚洲情se,黑丝一区

企業(yè)管理

 

    企業(yè)數(shù)據(jù)庫是承載企業(yè)信息資產(chǎn)安全的重要介質和平臺，即使在云和大數(shù)據(jù)時代，其仍然是信息安全工作者不可忽略的危險地帶。由于關系數(shù)據(jù)庫可以支持范圍廣泛的不同類型的應用程序和專利使用，他們通常在多個層次應用安全。安全的每一層被設計用于特定目的，并且可以用于提供授權規(guī)則。為了獲得訪問你最值得信賴的信息，用戶必須在其中的一個或多個層次具有相應的權限。作為一名數(shù)據(jù)庫或系統(tǒng)管理員，你的工作是要確保障礙是適當?shù)母叨?-也就是說，你的安全模型同時考慮到了安全性和可用性。本文將介紹如何從服務器、網(wǎng)絡、操作系統(tǒng)三個緯度考慮保障企業(yè)數(shù)據(jù)庫安全。
　　服務器級安全
　　數(shù)據(jù)庫應用程序是否安全，依賴于它所運行的服務器是否安全。因此，首先考慮數(shù)據(jù)庫被托管的物理服務器上的安全設置是非常重要的。在規(guī)模較小，配置簡單的組織，你可能只有一臺機器需要確保安全。大型組織可能要安置多臺服務器。這些服務器可能地理上是分布的，甚至是復雜的集群配置。
　　你應該采取保護服務器的第一步是確定哪些用戶和應用程序應該能夠訪問它?，F(xiàn)代數(shù)據(jù)庫平臺一般都是通過網(wǎng)絡進行訪問，并且大多數(shù)數(shù)據(jù)庫管理任務可以遠程執(zhí)行。因此，除了物理維護數(shù)據(jù)庫的硬件，沒有必要有人能夠直接物理訪問一個數(shù)據(jù)庫。這也是非常重要的物理保護數(shù)據(jù)庫以防止非授權用戶訪問數(shù)據(jù)庫文件和數(shù)據(jù)備份。如果非授權用戶可以獲得你服務器的物理訪問，就更難以防止進一步的破壞。
　　網(wǎng)絡級安全
　　如前所述，數(shù)據(jù)庫在各自的操作系統(tǒng)平臺上工作，為用戶提供他們所需要的數(shù)據(jù)。因此，一般的操作系統(tǒng)和網(wǎng)絡級的安全也適用于數(shù)據(jù)庫。如果基礎平臺是不安全的，這對于數(shù)據(jù)庫是顯著的漏洞。因為它們被設計為網(wǎng)絡應用程序，你必須采取合理步驟，以確保只有特定的客戶端可以訪問這些機器。
　　為保護數(shù)據(jù)庫的一些標準“最佳實踐”包括限制網(wǎng)絡和網(wǎng)絡地址直接訪問計算機。例如，你可能會實施路由規(guī)則和包過濾，以確保你的內部網(wǎng)絡上只有特定用戶才可以與服務器進行通信。
　　舉個例子，微軟的SQL Server數(shù)據(jù)庫平臺使用默認的1433 TCP端口為客戶端與數(shù)據(jù)庫之間進行通信。如果你明確知道有沒有必要讓你網(wǎng)絡的特定子網(wǎng)用戶能夠直接訪問該服務器，那么阻止網(wǎng)絡訪問此TCP端口是明智的。這樣做還可以防止惡意用戶和代碼（如病毒）從網(wǎng)絡上攻擊本機。另一個安全的做法是，改變服務器監(jiān)聽的默認端口。這可以很簡單地通過使用圖1所示的服務器網(wǎng)絡實用工具來完成。
　　當然，現(xiàn)實中很少數(shù)據(jù)庫是單獨工作的。一般情況下，這些系統(tǒng)常常由用戶通過任務關鍵型應用程序直接訪問。
　　保障數(shù)據(jù)庫中信息安全的另一種方法是使用加密。大多數(shù)現(xiàn)代數(shù)據(jù)庫支持客戶端和服務器之間的加密連接。雖然這些協(xié)議有時會顯著地增加處理和數(shù)據(jù)傳輸開銷（特別是對于大量結果集或非常繁忙的服務器），但在某些情況下可能需要提高安全性。此外，通過使用虛擬專用網(wǎng)絡（VPN），系統(tǒng)管理員可以確保敏感數(shù)據(jù)在傳輸過程中仍然受到保護。
　　根據(jù)實施， VPN解決方案可以提供的額外好處是使網(wǎng)絡管理員能夠無需客戶端或服務器重新配置而實現(xiàn)安全。數(shù)據(jù)加密也是網(wǎng)絡層以外領域的一個重要安全功能。通常情況下，數(shù)據(jù)庫管理員將他們的數(shù)據(jù)備份，并將存儲在文件服務器上。這些文件服務器可能不如作為承載數(shù)據(jù)“實時”副本的敏感數(shù)據(jù)庫安全。要記住這是非常重要的，默認情況下，大多數(shù)關系數(shù)據(jù)庫系統(tǒng)沒有為備份提供非常強大的安全功能。在大多數(shù)情況下，數(shù)據(jù)庫備份如實時數(shù)據(jù)庫本身具有同等價值，因此加密，妥善的管理文件系統(tǒng)權限，以及相關的最佳實踐應被遵循。最后，數(shù)據(jù)加密也能有效地在數(shù)據(jù)庫中使用。許多類型的系統(tǒng)存儲敏感數(shù)據(jù)，如信用卡號碼和密碼（用戶可能使用幾個不同的應用程序）。一個潛在的問題就在于這樣一個事實：數(shù)據(jù)庫開發(fā)人員和管理員常常需要為了做好自己的工作而擁有對這些數(shù)據(jù)庫表單的全部訪問權限。模糊數(shù)據(jù)的一種方法是加密儲存在數(shù)據(jù)庫表中的值。在這種方式中，授權用戶將能夠在需要時訪問和修改數(shù)據(jù)，但只限于調用應用程序能夠破譯并使它可用的數(shù)據(jù)。對于某些數(shù)據(jù)庫廠商，如Oracle,加密存儲在數(shù)據(jù)庫之外，若發(fā)生密鑰丟失，表列中的數(shù)據(jù)也將丟失。
　　操作系統(tǒng)安全
　　在大多數(shù)平臺上，數(shù)據(jù)庫安全與操作系統(tǒng)安全攜手并進。網(wǎng)絡配置設置，文件系統(tǒng)權限，認證機制和操作系統(tǒng)的加密功能都可以在確保數(shù)據(jù)庫保持安全中起到一定的作用。

    例如，在基于Windows的操作系統(tǒng)，只有NTFS文件系統(tǒng)提供了各級別的文件系統(tǒng)安全（FAT和FAT32分區(qū)不提供任何文件系統(tǒng)安全功能）。在使用集中目錄服務基礎架構環(huán)境中，系統(tǒng)管理員保持及時的權限設置，并確保盡快停用不必要的帳戶是非常重要的。幸運的是，許多現(xiàn)代關系型數(shù)據(jù)庫平臺，可以利用它們運行在操作系統(tǒng)上的優(yōu)勢。以下我們將更詳細討論。
　　大多數(shù)數(shù)據(jù)庫系統(tǒng)都要求用戶輸入一些驗證信息才可以訪問數(shù)據(jù)庫。數(shù)據(jù)庫安全的第一個層級可以基于一個標準的用戶名和密碼組合?；蛘?，以提高可管理性和單點登錄為目的，數(shù)據(jù)庫系統(tǒng)可以與企業(yè)現(xiàn)有認證系統(tǒng)集成。例如，微軟的Windows操作系統(tǒng)平臺上運行許多關系數(shù)據(jù)庫產(chǎn)品可以利用一個基于域的安全模型的安全功能。根據(jù)個人的用戶帳戶和組成員，他或她可以進行無縫的“通過驗證” ,不需要重新鍵入用戶名或密碼。其中這種方法眾多好處之一是可以集中管理用戶帳戶的能力。當一個用戶帳戶是在組織的目錄服務的級別被禁用，則不需要采用進一步的步驟防止用戶訪問數(shù)據(jù)庫系統(tǒng)。此外，組織越來越多地轉向基于生物特征的身份驗證（通過使用指紋識別，視網(wǎng)膜掃描，以及相關驗證方法），以及智能卡和基于令牌的認證。數(shù)據(jù)庫管理員可以利用這些機制所依托的操作系統(tǒng)，用于識別用戶。因此，集成安全是強烈推薦的，無論從易用性還是易于管理性而言。
　　值得注意的是：實施一個新數(shù)據(jù)庫的重要組成部分是在安裝過程中或安裝后立即更改默認密碼（和帳戶名，如果可能的話）。許多數(shù)據(jù)庫管理員決定，他們將“稍后完成這個任務”,但是這通常意味著它將被忽視。使用默認的用戶名和密碼相當于給予了惡意用戶入侵服務器的利刃。當你一旦安裝新的服務器，就請務必花幾分鐘來關閉這個潛在漏洞。
　　服務器登錄可以直接被授予權限。例如，用戶可以被給予關閉或重啟數(shù)據(jù)庫或在服務器上創(chuàng)建一個新的數(shù)據(jù)庫能力的權限。登入級權限一般適用于服務器作為一個整體，可以用來進行相關的備份和恢復，性能監(jiān)控，以及數(shù)據(jù)庫的創(chuàng)建和刪除任務。在某些情況下，用戶與服務器的登錄權限可能能夠授予這些權限給其他用戶。因此，充分了解你所依靠的數(shù)據(jù)庫平臺的安全體系結構，對保證你的信息安全是非常重要的。
　　要記住另一個重要的考慮是，大多數(shù)關系型數(shù)據(jù)庫平臺允許操作系統(tǒng)管理員具有對數(shù)據(jù)庫的許多隱性權限。例如，系統(tǒng)管理員可以啟動和停止服務，并可以移動或刪除數(shù)據(jù)庫文件。此外，一些數(shù)據(jù)庫平臺自動授予系統(tǒng)管理員數(shù)據(jù)庫的登錄并允許全部權限。雖然某些情況下這可能是可取的，但要執(zhí)行總體安全時必須牢記這點。在某些情況下，這一點很重要，并不是所有的系統(tǒng)管理員有權限訪問存儲在這些服務器上的敏感數(shù)據(jù)。以這種方式配置系統(tǒng)將是一個挑戰(zhàn)，而實施的具體方法會根據(jù)正在運行操作系統(tǒng)和數(shù)據(jù)庫平臺。
　　大多數(shù)情況下，一臺服務器的登錄只允許一個用戶連接到數(shù)據(jù)庫。它不會隱性允許用戶執(zhí)行數(shù)據(jù)庫內的任何特定的動作。