04数据库安全性

22
②命令权限
又叫系统权限，是指数据库用户能够对数据库系统进行某种特定的操作的 权力。 由数据库管理员授予其他用户。 可授权的命令有： CREATE TABLE、CREATE VIEW、 CREATE DEFAULT、 CREATE PROCEDURE、CREATE FUNCTION、CREATE RULE等。 CREATE DATABASE权限一般不授予给用户，它只为服务器管理员保留。
是指数据库用户在指定的数据库对象（表、属性列、视图等）上进行某种 特定的操作的权力。 由创建基本表、视图等数据库对象的用户授予其他用户。
◦ 对属性列和视图的操作权限主要有：查询权（SELECT）、插入权（INSERT）、修改权 （UPDATE）和删除权（DELETE）。
◦ 对表的操作权限主要有：查询权（SELECT）、插入权（INSERT）、修改权（UPDATE）、 删除权（DELETE）、修改表（ALTER）和建立索引权（INDEX）。
23
角色
角色是多种权限的集合，可以把角色授予用户或其他角色。当要为某一用户同时授予或收 回多项权限时，则可以把这些权限定义为一个角色，对此角色进行操作。这样就避免了许 多重复性的工作，简化了管理数据库用户权限的工作。 角色的意义如同现实生活中的职位，数据库管理员将操作数据库的权限赋予角色，就好象 把职权赋予了一个职位。然后，数据库管理员可将角色再赋给数据库用户或登录帐户，从 而使他们拥有了相应的权限。 用户可以拥有多个角色。
32
【例7】收回所有用户对表SC的查询权限 REVOKE SELECT ON SC FROM PUBLIC 【例8】把用户U5对SC表的INSERT权限收回，并废除其可授予其它用户的权力。 REVOKE INSERT ON SC FROM U5 CASCADE 系统只收回其他用户直接或间接从U5(包括u5)处获得的权限
20
权限
当数据库对象刚刚创建完后，只有拥有者dbo（database owner）可以访问它。 任何其他用户（超级用户除外）想访问该对象必须首先获得拥有者赋予他们的权限。 权限可分为：
◦ 对象权限（Object Permission） ◦ 命令权限（Statement Permission）
21
①对象权限
35
2.2 强制存取控制
Mandatory Access Control（MAC）：
自主存取控制策略中仅通过对数据的存取权限来进行安全控制，而数据本 身并无安全性标记。要解决之一问题，就需要对系统控制下的所有主客体 实施强制存取控制策略。 MAC提供更高程度的安全性，不是用户能够直接感知或进行控制的。此时 DBMS中所管理的全部实体被分为主体和客体两大类。 1、主体：系统中的活动实体，包括用户、代表用户的进程 2、客体：系统中的被动实体，是受主题操纵的，包括文件、表、索引、视 图等。
29
一次完成多种授权 【例4】把查询表Student和修改学生年龄的 权限授给用户U4 GRANT SELECT ,UPDATE(Sage) ON Student TO U4 授予关于属性列的权限时必须明确指出相应属性列名
ቤተ መጻሕፍቲ ባይዱ30
允许传递被授予的权限
【例5】把对表SC的INSERT权限授予U5用户，并允许其将此权限再授予其他用户。 GRANT INSERT ON SC TO U5 WITH GRANT OPTION U如5U不5可仅以拥将有此对S权C限的授INS予ERUT6权：限，还可以传播此权限，即由U5发类似的GRANT命令给其他用户。 GRANT INSERT ON SC TO U6 WITH GRANT OPTION 同样，U6还可以将此权限授予U7： GRANT INSERT ON SC TO U7 因U6未给U7传播权限，故U7不能再传播此权限。
静态口令鉴别 动态口令鉴别 生物特征鉴别 智能卡鉴别
8
1、用户身份鉴别
1）静态口令鉴别 简单、易攻击。DBMS从口令的复杂度，口令的管理、存储及传输等方面提高安全性。
2）动态口令鉴别 相对高一些。一次一密。动态口令生成的常用方式如短信密码、动态令牌方式。
3）生物特征鉴别 安全性更高。如指纹、虹膜、掌纹等。
36
2.2 强制存取控制
DBMS为每个主体和客体指派一个敏感度标记： TS（Top Secret） S（Secret） C（Confidential） P（Public） 存取规则： （1）仅当主体的许可证级别大于或等于客体的密级时，该主体才能读取 相应的客体； （2）仅当主体的许可证级别小于或等于客体的密级时，该主体才能写相 应的客体。
4
SQL Server的安全性机制
操作系统安全性
服务器登录安全性
用户
客户机
数据库服务器
数据库访问安全性
数据表
数据库对象 使用安全性
数据库
5
数据库管理系统安全性控制模型
简单身入份侵鉴别检测
身审份计鉴别
身份鉴别
SQL层 推理控制
强制存取控制
自主存取控制
数据库用户
数据层 用户数据信息 用户数据备份信息 安全数据信息 安全数据备份信息
17
④必要时关闭防火墙（端口问题：1433）、杀毒软件
18
二、授权
基本思想是给用户授予不同类型的权限，在必要时，可以收回授权。 使用户能够进行的数据库操作以及所操作的数据限定在指定的范围内，禁 止用户超越权限对数据库进行非法的操作，从而保证数据库的安全性。
19
DBMS实现授权的过程
数据表的属主或DBA把授权决定告知系统（通过SQL的GRANT和REVOKE）。 DBMS把授权的结果存入数据字典。 当用户提出操作请求时，DBMS根据授权定义进行检查，以决定是否执行操作请求。
①确保目标服务器支持SQL Server身份验证
14
连接不成功的几种处置方法
15
②确保目标服务器是支持远程调用的
16
③确保目标服务器的SQL Server网络配置启用了TCP/IP和Named Pipes协议
◦ 设置方法：在目标服务器端打开“SQL Server配置管理器”窗口，在窗口左侧展开 “SQL Server 2005网络配置”|“MSSQLSERVER的协议”，在窗口右侧把Named Pipes和 TCP/IP的状态都设置为启用。
12
客户端的任务
建立与数据库服务器的连接
◦ 打开“对象资源管理器”，选择本地数据库服务器节点（通常为根节点）； ◦ 单击右键，选择“连接”； ◦ 选择“SQL Server身份认证”，填写登录名和密码； ◦ 按“确定”，可见授权连接的数据库服务器节点，展开该节点可访问授权数据库中的数
据。
13
连接不成功的几种处置方法
37
2.2 强制存取控制
强制存取控制是对数据本身进行密级标记，无论数据如何复制，标记与数 据是一个不可分的整体，只有符合密级标记要求的用户才可以操纵数据， 从而提供了更高级别的安全性。
较高安全性级别提供的安全保护要包含较低级别的所有保护，因此在实现 强制存取控制时要首先实现自主存取控制，二者共同构成数据库管理系统 的安全机制。（DAC MAC）
4）智能卡鉴别 具有硬件加密功能。实际应用中一般采用个人身份识别码（PIN）和智能卡相结合的
方式。
9
2、存取控制
数据库安全最重要的一点就是确保只授权给有资格的用户访问数据库的权 限，同时令所有未被授权的人员无法接近数据。这主要是通过数据库系统 的存取控制机制实现。——存取控制子系统。 包括：定义用户权限和合法权限检查两部分。 1）定义用户权限，将其登记到数据字典中。被称作安全规则或授权规则。 2）当用户发出存取数据库的操作请求（包括操作类型、对象和用户）后， DBMS查找数据字典，根据安全规则进行合法权限检查。
6
SQL Server的安全性机制
1、用户身份鉴别
◦ 静态口令、动态口令、生物特征、智能卡
2、存取控制
◦ 自主存取控制 ◦ 强制存取控制
3、审计 4、视图 5、数据加密
7
1、用户身份鉴别
DBMS的最外层安全保护措施。 每个用户在系统中有一个用户标识：包括用户名和用户标识号（UID）。 用户身份鉴别是指由系统提供一定的方式让用户标识自己的名字或身份，每次用 户要求进入系统时，由系统进行核对，通过鉴定后才提供使用数据库管理系统的 权限。 方法包括：
26
说明：
列名用于指定要授权的数据库对象的一列或多列。如果不指定列名，被授权的用户将在数 据库对象的所有列上均拥有指定的特权。 ON子句用于指定要授予对象权限的数据库对象名，可以是基本表名、视图名等。 注意：一次只能给一个对象授权，且不需要加<对象类型>（如：TABLE、VIEW）的说明 WITH GRANT OPTION为可选项，指定后则允许被授权的用户将权限再授予其他用户或角色。
38
3、审计
审计功能是把用户对数据库的所有操作自动记录下来放入审计日志（audit log）中，审计员可以利用审计日志监控数据库中的各种行为，重现导致数 据库现有状况的一系列事件，找出非法存取数据的人、时间、内容等。
39
小结
DBA拥有对数据库中所有对象的所有权限，并可以根据应用的需要将不同的权限授予不同 的用户。 用户对自己建立的基本表和视图拥有全部的操作权限，并且可以用GRANT语句把其中某些 权限授予其他用户。 被授权的用户如果有“继续授权”的许可，还可以把获得的权限再授予其他用户。 所有授予出去的权力在必要时又都可以用REVOKE语句收回。
31
(2) 收回对象权限
格式： REVOKE <对象权限>[(列名[,列名]…)][,<对象权限>]… ON <对象名> FROM <用户名>|<角色>|PUBLIC[,<用户名>|<角色>]… [CASCADE] 功能：从指定用户那里收回对指定对象的指定权限 【例6】把用户U4修改学生年龄的权限收回 REVOKE UPDATE(Sage) ON Student FROM U4