使用服務(wù)器網(wǎng)絡(luò)工具來配置安裝Microsoft SQL Server網(wǎng)絡(luò)協(xié)議設(shè)置

當(dāng)然，現(xiàn)實(shí)中很少數(shù)據(jù)庫是單獨(dú)工作的。一般情況下，這些系統(tǒng)常常由用戶通過任務(wù)關(guān)鍵型應(yīng)用程序直接訪問。

保障數(shù)據(jù)庫中信息安全的另一種方法是使用加密。大多數(shù)現(xiàn)代數(shù)據(jù)庫支持客戶端和服務(wù)器之間的加密連接。雖然這些協(xié)議有時會顯著地增加處理和數(shù)據(jù)傳輸開銷(特 別是對于大量結(jié)果集或非常繁忙的服務(wù)器)，但在某些情況下可能需要提高安全性。此外，通過使用虛擬專用網(wǎng)絡(luò)(VPN)，系統(tǒng)管理員可以確保敏感數(shù)據(jù)在傳輸 過程中仍然受到保護(hù)。

根據(jù)實(shí)施， VPN解決方案可以提供的額外好處是使網(wǎng)絡(luò)管理員能夠無需客戶端或服務(wù)器重新配置而實(shí)現(xiàn)安全。數(shù)據(jù)加密也是網(wǎng)絡(luò)層以外領(lǐng)域的一個重要安全功能。通常情況 下，數(shù)據(jù)庫管理員將他們的數(shù)據(jù)備份，并將存儲在文件服務(wù)器上。這些文件服務(wù)器可能不如作為承載數(shù)據(jù)“實(shí)時”副本的敏感數(shù)據(jù)庫安全。要記住這是非常重要的， 默認(rèn)情況下，大多數(shù)關(guān)系數(shù)據(jù)庫系統(tǒng)沒有為備份提供非常強(qiáng)大的安全功能。在大多數(shù)情況下，數(shù)據(jù)庫備份如實(shí)時數(shù)據(jù)庫本身具有同等價(jià)值，因此加密，妥善的管理文 件系統(tǒng)權(quán)限，以及相關(guān)的最佳實(shí)踐應(yīng)被遵循。最后，數(shù)據(jù)加密也能有效地在數(shù)據(jù)庫中使用。許多類型的系統(tǒng)存儲敏感數(shù)據(jù)，如信用卡號碼和密碼(用戶可能使用幾個 不同的應(yīng)用程序)。一個潛在的問題就在于這樣一個事實(shí)：數(shù)據(jù)庫開發(fā)人員和管理員常常需要為了做好自己的工作而擁有對這些數(shù)據(jù)庫表單的全部訪問權(quán)限。模糊數(shù) 據(jù)的一種方法是加密儲存在數(shù)據(jù)庫表中的值。在這種方式中，授權(quán)用戶將能夠在需要時訪問和修改數(shù)據(jù)，但只限于調(diào)用應(yīng)用程序能夠破譯并使它可用的數(shù)據(jù)。對于某 些數(shù)據(jù)庫廠商，如Oracle，加密存儲在數(shù)據(jù)庫之外，若發(fā)生密鑰丟失，表列中的數(shù)據(jù)也將丟失。

操作系統(tǒng)安全

在大多數(shù)平臺上，數(shù)據(jù)庫安全與操作系統(tǒng)安全攜手并進(jìn)。網(wǎng)絡(luò)配置設(shè)置，文件系統(tǒng)權(quán)限，認(rèn)證機(jī)制和操作系統(tǒng)的加密功能都可以在確保數(shù)據(jù)庫保持安全中起到一定的 作用。例如，在基于Windows的操作系統(tǒng)，只有NTFS文件系統(tǒng)提供了各級別的文件系統(tǒng)安全(FAT和FAT32分區(qū)不提供任何文件系統(tǒng)安全功能)。 在使用集中目錄服務(wù)基礎(chǔ)架構(gòu)環(huán)境中，系統(tǒng)管理員保持及時的權(quán)限設(shè)置，并確保盡快停用不必要的帳戶是非常重要的。幸運(yùn)的是，許多現(xiàn)代關(guān)系型數(shù)據(jù)庫平臺，可以 利用它們運(yùn)行在操作系統(tǒng)上的優(yōu)勢。以下我們將更詳細(xì)討論。

大多數(shù)數(shù)據(jù)庫系統(tǒng)都要求用戶輸入一些驗(yàn)證信息才可以訪問數(shù)據(jù)庫。數(shù)據(jù)庫安全的第一個層級可以基于一個標(biāo)準(zhǔn)的用戶名和密碼組合?；蛘?，以提高可管理性和單點(diǎn) 登錄為目的，數(shù)據(jù)庫系統(tǒng)可以與企業(yè)現(xiàn)有認(rèn)證系統(tǒng)集成。例如，微軟的Windows操作系統(tǒng)平臺上運(yùn)行許多關(guān)系數(shù)據(jù)庫產(chǎn)品可以利用一個基于域的安全模型的安 全功能。根據(jù)個人的用戶帳戶和組成員，他或她可以進(jìn)行無縫的“通過驗(yàn)證” ，不需要重新鍵入用戶名或密碼。其中這種方法眾多好處之一是可以集中管理用戶帳戶的能力。當(dāng)一個用戶帳戶是在組織的目錄服務(wù)的級別被禁用，則不需要采用進(jìn) 一步的步驟防止用戶訪問數(shù)據(jù)庫系統(tǒng)。此外，組織越來越多地轉(zhuǎn)向基于生物特征的身份驗(yàn)證(通過使用指紋識別，視網(wǎng)膜掃描，以及相關(guān)驗(yàn)證方法)，以及智能卡和 基于令牌的認(rèn)證。數(shù)據(jù)庫管理員可以利用這些機(jī)制所依托的操作系統(tǒng)，用于識別用戶。因此，集成安全是強(qiáng)烈推薦的，無論從易用性還是易于管理性而言。

值得注意的是：實(shí)施一個新數(shù)據(jù)庫的重要組成部分是在安裝過程中或安裝后立即更改默認(rèn)密碼(和帳戶名，如果可能的話)。許多數(shù)據(jù)庫管理員決定，他們將“稍后 完成這個任務(wù)”，但是這通常意味著它將被忽視。使用默認(rèn)的用戶名和密碼相當(dāng)于給予了惡意用戶入侵服務(wù)器的利刃。當(dāng)你一旦安裝新的服務(wù)器，就請務(wù)必花幾分鐘 來關(guān)閉這個潛在漏洞。

服務(wù)器登錄可以直接被授予權(quán)限。例如，用戶可以被給予關(guān)閉或重啟數(shù)據(jù)庫或在服務(wù)器上創(chuàng)建一個新的數(shù)據(jù)庫能力的權(quán)限。登入級權(quán)限一般適用于服務(wù)器作為一個整 體，可以用來進(jìn)行相關(guān)的備份和恢復(fù)，性能監(jiān)控，以及數(shù)據(jù)庫的創(chuàng)建和刪除任務(wù)。在某些情況下，用戶與服務(wù)器的登錄權(quán)限可能能夠授予這些權(quán)限給其他用戶。因 此，充分了解你所依靠的數(shù)據(jù)庫平臺的安全體系結(jié)構(gòu)，對保證你的信息安全是非常重要的。

要記住另一個重要的考慮是，大多數(shù)關(guān)系型數(shù)據(jù)庫平臺允許操作系統(tǒng)管理員具有對數(shù)據(jù)庫的許多隱性權(quán)限。例如，系統(tǒng)管理員可以啟動和停止服務(wù)，并可以移動或刪 除數(shù)據(jù)庫文件。此外，一些數(shù)據(jù)庫平臺自動授予系統(tǒng)管理員數(shù)據(jù)庫的登錄并允許全部權(quán)限。雖然某些情況下這可能是可取的，但要執(zhí)行總體安全時必須牢記這點(diǎn)。在 某些情況下，這一點(diǎn)很重要，并不是所有的系統(tǒng)管理員有權(quán)限訪問存儲在這些服務(wù)器上的敏感數(shù)據(jù)。以這種方式配置系統(tǒng)將是一個挑戰(zhàn)，而實(shí)施的具體方法會根據(jù)正 在運(yùn)行操作系統(tǒng)和數(shù)據(jù)庫平臺。

大多數(shù)情況下，一臺服務(wù)器的登錄只允許一個用戶連接到數(shù)據(jù)庫。它不會隱性允許用戶執(zhí)行數(shù)據(jù)庫內(nèi)的任何特定的動作。

sunyingying