关于企业管理信息系统数据库使用及安全的探讨_论文发表__58期刊(2)

分类：计算机信息管理论文范文 时间：关注：(1)

制策略等。默认的口令策略可导致口令薄弱、长时间不更改口令，使系统面临暴力破解风险；默认安装的组件提供了不必要的服务，开放的服务越多，系统面临的风险也就越大。
　　2.4危险存储过程
　　大型关系数据库系统在设计时为提供更多高级、复杂的功能，一般都内置了许多有用的存储过程，利用这些存储过程可以通过数据库系统访问操作系统文件、执行操作系统命令、访问网络、下载文件、发送邮件等。在提供强大功能的同时，也带来了巨大的安全风险，黑客在对企业信息系统进行渗透攻击时常常借助这些存储过程，以获取主机权限。
　　2.5敏感信息泄漏
　　敏感信息泄漏包括数据库服务banner信息泄漏和用户敏感数据泄漏，前者向潜在攻击者泄漏了数据库的版本、服务名称、运行情况等内容，从而为攻击者提供了大量有价值的信息；后者是指数据库中存储的各种敏感数据（如：用户名/口令、企业敏感数据等）未经加密或加密强度不足，从而扩大了敏感数据的知情范围，给企业带来损失或造成社会不安定因素。
　　2.6审计策略不严
　　大型关系数据库都提供了强大的日志审计功能，但一般默认关闭。企业信息系统中的数据库系统日志审计几乎都未启用，从而无法跟踪重要数据库事件，尤其不利于在攻击事件发生后的事故分析和追踪。
　　2.7综合防护措施薄弱
　　数据库系统都是运行在一个特定的环境之下，因此综合防护措施同样非常重要。然而，企业信息系统对数据库系统的综合防护措施不足，还存在未对数据库设置严格访问控制策略、一些应用服务或网站与数据库服务共用一台服务器、边界防火墙未关闭数据库服务相关的端口等现象，从而使系统面临更多的风险。
　　3、数据库系统安全策略
　　3.1存取控制
　　存取控制是从计算机系统的处理功能方面对数据提供保护。数据库安全性的基本原则是控制用户对数据库的访问。只有被识别的被允许的用户才有输入、删除、修改和查询信息的权利。通常采用下面
　　两种方法进行存取控制:
　　(1)按功能模块对用户授权每个功能模块对于某一用户有如下权限:①无权进入本模块。②可查询。③可输入,可查询。④可删除,可查询。⑤可修改,可查询。⑥全部功能可使用等。功能模块名、用户名与权限编码可用一数据库保存。
　　(2)将数据库系统权限赋予用户目前,许多流行的数据库系统均有创建用户、角色和给用户、角色赋予不同系统权限的功能。如:
　　ORACLE有80多个系统权限,可分成两个方面:①system权限是指能够使用户执行下面这些语句———CREATETABLE、CREATEUSER、ALTERINDEX的权限。②object权限是指在一个指定的数据库对象(如一个表或索引)中,与一个特定的数据库对象(如一个表或索引)中,与一个特定的操作(如SELECT或UPDATE)相联系的权限。
　　3.2资源管理
　　资源管理的内容很多,其中最重要的是控制用户对资源的开销。此外,还包括用户对段和磁盘镜像的使用。将日志段与数据段分开以及建立磁盘镜像将方便数据库的恢复;同时使用特殊的段来保存特别敏感的数据也是一种安全措施。
　　3.3数据库备份与恢复
　　数据库的备份与恢复是整个安全的基础之一,是信息安全的一个重要内容。它是增强系统可靠性,最大限度地减少硬件,软件故障造成数据丢失的必不可少的手段。
　　3.4审计
　　审计是一个可信赖的数据库系统的重要组成部分。通过审计,与安全相关的系统活动就被记录到审计跟踪里,审计跟踪可以用来检测系统的穿透度和资源的非法使用。通过检查审计跟踪,系统安全员可以检查访问数据库中对象的方式,并且监控特定用户的活动。
　　3.5及时升级补丁
　　数据库管理员应关注数据库系统厂商定期发表的安全公告，由具备资质的公司评估其风险，制定补丁升级方案，在确保不影响系统正常运行的情况下，审慎实施。
　　3.6数据加密
　　在信息系统中,为了

• 共3页:
• 上一页
• 1
• 2
• 3
• 下一页