安全漏洞挖掘与防护课件：系统安全技术.ppt

**（3）可用性是指不应拒绝授权用户对数据库的正常操作请求，保证系统的运行效率并提供用户友好的人机交互。实际上，数据库的保密性和可用性是一对矛盾，对这一矛盾的分析与解决构成了数据库系统的安全模型和一系列安全机制的主要目标。3．数据库安全的重要性主要有以下几方面的原因：（1）在一个数据库内有着大量的数据，这些数据可被所有的用户共同使用（2）数据库内数据的冗余度很小，一旦对数据进行了修改，原来存储的数值就会被破坏，而且几乎没有同等的数据来帮助恢复数据原来的值（3）通常情况下，数据库是联机工作的**4．数据库安全需求对用户来说，最重要的是数据库中的数据。数据库的安全首先要保证数据的安全，数据的安全可分为物理介质的安全和存储介质上数据的逻辑安全两大类。物理介质只要被破坏，那几乎是无法再恢复的，只能小心保管和使用。数据库的逻辑安全是指在不改变现有的DBMS的情况下，对现有数据的应用或对新数据的应用。它对数据库系统的一个最为重要的要求是其应用系统内数据的独立性。**数据库安全性的要求主要有6种：（1）数据库的完整性（2）数据元素的完整性（3）审计性（4）可获取性（5）访问控制（6）用户认证数据库的安全功能、安全区域和安全过程*5.数据库安全控制技术*（1）身份认证技术数据库安全控制主要包含身份认证、访问控制、权限管理和角色管理四方面。方法是由系统提供一定的方式让用户标识自己的名字或身份。常用的方法有：用一个用户名或者用户标识号来标明用户身份。系统内部记录着所有合法用户的标识，系统验证此用户是否合法用户。SQLServer系统身份认证方式示意图SQLServer可以识别两类的身份验证方式，即：SQLServer身份认证（SQLServerAuthentication）方式和Windows身份认证（WindowsAuthentication）方式。**（2）访问控制(策略)知需策略：根据用户对数据库内数据的需求，让用户得到与自己身份相当的对数据库内数据访问控制权限。最大程度上的共享策略：数据库系统由于安全的需要对数据的访问控制有严格的控制和保护措施，但在这种共享策略的指导下，能使数据信息在最大可能的程度上给所有用户共享，但也不是所有用户都能对所有数据都能访问控制，而是只有与其身份相当的用户才能对其权限下的数据进行访问控制。**（3）权限管理当用户成为数据库中的合法用户之后，除了具有一些系统表的查询权之外，并不对数据库中的用户对象具有任何操作权。下一步就需要为数据库中的用户授予适当的操作权。在SQLserver2000中，权限分为对象权限、语句权限和隐含权限三种。对象权限是指用户对数据库中的表、视图、存储过程等对象的操作权。例如：是否允许查询、增加、删除、和修改数据等。具体包括以下三个方面：

对于表和视图，可以使用select、insert、update、和delete权限；

对于表和视图字段，可以使用select和update权限；

对于存储过程，可以使用execute权限。**语句权限相当于数据定义语言的语句权限，这种权限专指是否允许执行语句createtable等创建与数据库对象有关的操作。隐含权限是由SQLserver预定义的服务器角色、数据库角色、数据库拥有者和数据库对象拥有者所具有的权限，隐含权限相当于内置权限，不再需要明确的授予这些权限。例如，数据库拥有者自动的拥有对数据库进行一切操作的权限。权限的管理包含以下三个内容：

授予权限：允许用户或角色具有某种操作权；

收回权限：不允许用户或角色具有某种操作权，或者收回曾经授予的权限；

拒绝访问：拒绝某用户或角色具有某种操作权，即使用户或角色由于继承而获得这种操作权，也不允许执行相应操作。*（4）角色管理系统角色根据其作用范围的不同，分为固定的服务器角色和固定的数据库角色，服务器角色是为整个服务器设置的，而数据库角色是为具体的数据库设置的。在SQLserver2000中，角色分为系统预定义的固定角色和用户根据自己需要定义的用户角色。*10.3网络系统安全技术*1ISO/OSI安全体系结构1982年，开放系统互联（OSI）基本模型建立之初，就开始进行OSI安全体系结构的研究。1989年12月ISO颁