企業(yè)數(shù)據(jù)庫是承載企業(yè)信息資產(chǎn)安然的首要介質(zhì)和平臺，即便在云和大年夜數(shù)據(jù)期間，其仍然是信息安然工作者不成忽視的危險地帶。因為關(guān)系數(shù)據(jù)庫可以撐持范圍遍及的不合類型的 利用法度和專利利用，他們凡是在多個層次利用安然。安然的每層被設(shè)計用于特定目標(biāo)，并且可以用于供給授權(quán)法則。為了獲得拜候你最值得相信的信息，用戶必 須在此中的一個或多個層次具有響應(yīng)的權(quán)限。作為一名數(shù)據(jù)庫或系統(tǒng)治理員，你的工作是要確保障礙是恰當(dāng)?shù)母叨取簿褪钦f，你的安然模型同時考慮到了安然性 和可用性。本文將介紹若何從辦事器、收集、把持系統(tǒng)三個緯度考慮保障企業(yè)數(shù)據(jù)庫安然。
辦事器級安然
數(shù)據(jù)庫利用法度是不是安然，依托于它所運(yùn)行的辦事器是不是安然。是以，起首考慮數(shù)據(jù)庫被托管的物理辦事器上的安然設(shè)置是很是首要的。在范圍較小，建設(shè)簡單的組 織，你可能只有一臺機(jī)械需要確保安然。大年夜型組織可能要安設(shè)多臺辦事器。這些辦事器可能地輿上是漫衍的，乃至是復(fù)雜的集群建設(shè)。
你應(yīng)當(dāng)采納呵護(hù)辦事器的第一步是肯定哪些用戶和利用法度應(yīng)當(dāng)可以或許拜候它?，F(xiàn)代數(shù)據(jù)庫平臺一般都是經(jīng)由過程收集進(jìn)行拜候，并且大年夜大都數(shù)據(jù)庫治理任務(wù)可以長途執(zhí) 行。是以，除物理保護(hù)數(shù)據(jù)庫的硬件，沒有需要有人可以或許直接物理拜候一個數(shù)據(jù)庫。這也是很是首要的物理呵護(hù)數(shù)據(jù)庫以避免非授權(quán)用戶拜候數(shù)據(jù)庫文件和數(shù)據(jù)備 份。假定非授權(quán)用戶可以獲得你辦事器的物理拜候，就更難以避免進(jìn)一步的粉碎。
收集級安然
如前所述，數(shù)據(jù)庫在各自的把持系統(tǒng)平臺上工作，為用戶供給他們所需要的數(shù)據(jù)。是以，一般的把持系統(tǒng)和收集級的安然也合用于數(shù)據(jù)庫。假定根本平臺是不服安 的，這對數(shù)據(jù)庫是較著的縫隙。因為它們被設(shè)計為收集利用法度，你必需采納合理步調(diào)，以確保只有特定的客戶端可以拜候這些機(jī)械。
為呵護(hù)數(shù)據(jù)庫的一些尺度“最好實踐”包含限制收集和收集地址直接拜候計較機(jī)。例如，你可能會實施路由法則和包過濾，以確保你的內(nèi)部收集上只有特定用戶才可以與辦事器進(jìn)行通信。
舉個例子，微軟的SQL Server數(shù)據(jù)庫平臺利用默許的1433 TCP端口為客戶端與數(shù)據(jù)庫之間進(jìn)行通信。假定你明白知道有沒有需要讓你收集的特定子網(wǎng)用戶可以或許直接拜候該辦事器，那么禁止收集拜候此TCP端口是明智 的。如許做還可以避免歹意用戶和代碼(如病毒)從收集上報復(fù)打擊本機(jī)。另外一個安然的做法是，改變辦事器監(jiān)聽的默許端口。這可以很簡單地經(jīng)由過程利用圖1所示的辦事 器收集合用東西來完成。
圖1利用辦事器收集東西來建設(shè)安裝Microsoft SQL Server收集和談設(shè)置
當(dāng)然，實際中很少數(shù)據(jù)庫是伶仃工作的。一般環(huán)境下，這些系統(tǒng)常常由用戶經(jīng)由過程任務(wù)關(guān)頭型利用法度直接拜候。
保障數(shù)據(jù)庫中信息安然的另外一種編制是利用加密。大年夜大都現(xiàn)代數(shù)據(jù)庫撐持客戶端和辦事器之間的加密連接。當(dāng)然這些和談有時會較著地增加措置和數(shù)據(jù)傳輸開消(特 別是對大年夜量成果集或很是繁忙的辦事器)，但在某些環(huán)境下可能需要進(jìn)步安然性。別的，經(jīng)由過程利用虛擬專用收集(VPN)，系統(tǒng)治理員可以確保敏感數(shù)據(jù)在傳輸 過程中仍然遭到呵護(hù)。
按照實施， VPN解決方案可以供給的額外好處是使收集治理員可以或許無需客戶端或辦事正視新建設(shè)而實現(xiàn)安然。數(shù)據(jù)加密也是收集層以外范疇的一個首要安然功能。凡是環(huán)境 下，數(shù)據(jù)庫治理員將他們的數(shù)據(jù)備份，并將存儲在文件辦事器上。這些文件辦事器可能不如作為承載數(shù)據(jù)“及時”副本的敏感數(shù)據(jù)庫安然。要記住這是很是首要的， 默許環(huán)境下，大年夜大都關(guān)系數(shù)據(jù)庫系統(tǒng)沒有為備份供給很是強(qiáng)大年夜的安然功能。在大年夜大都環(huán)境下，數(shù)據(jù)庫備份照及時數(shù)據(jù)庫本身具有劃一價值，是以加密，妥當(dāng)?shù)闹卫砦?件系統(tǒng)權(quán)限，和相干的最好實踐應(yīng)被遵守。最后，數(shù)據(jù)加密也能有效地在數(shù)據(jù)庫中利用。良多類型的系統(tǒng)存儲敏感數(shù)據(jù)，如諾言卡號碼和暗碼(用戶可能利用幾個 不合的利用法度)。一個暗藏的標(biāo)題問題就在于如許一個事實：數(shù)據(jù)庫開辟人員和治理員常常需要為了做好本身的工作而具有對這些數(shù)據(jù)庫表單的全數(shù)拜候權(quán)限。恍惚數(shù) 據(jù)的一種編制是加密儲存在數(shù)據(jù)庫表中的值。在這類編制中，授權(quán)用戶將可以或許在需要時拜候和點(diǎn)竄數(shù)據(jù)，但只限于調(diào)用利用法度可以或許破譯并使它可用的數(shù)據(jù)。對某 些數(shù)據(jù)庫廠商，如Oracle，加密存儲在數(shù)據(jù)庫以外，若產(chǎn)生密鑰丟掉，表列中的數(shù)據(jù)也將丟掉。
把持系統(tǒng)安然
在大年夜大都平臺上，數(shù)據(jù)庫安然與把持系統(tǒng)安然聯(lián)袂并進(jìn)。收集建設(shè)設(shè)置，文件系統(tǒng)權(quán)限，認(rèn)證機(jī)制和把持系統(tǒng)的加密功能都可以在確保數(shù)據(jù)庫保持安然中起到必然的 感化。例如，在基于Windows的把持系統(tǒng)，只有NTFS文件系統(tǒng)供給了各級別的文件系統(tǒng)安然(FAT和FAT32分區(qū)不供給任何文件系統(tǒng)安然功能)。 在利用集中目次辦事根本架構(gòu)環(huán)境中，系統(tǒng)治理員連健壯時的權(quán)限設(shè)置，并確保盡快停用不需要的帳戶是很是首要的。榮幸的是，良多現(xiàn)代關(guān)系型數(shù)據(jù)庫平臺，可以 操縱它們運(yùn)行在把持系統(tǒng)上的優(yōu)勢。以下我們將更具體味商。
大年夜大都數(shù)據(jù)庫系統(tǒng)都要求用戶輸進(jìn)一些驗證信息才可以拜候數(shù)據(jù)庫。數(shù)據(jù)庫安然的第一個層級可以基于一個尺度的用戶名和暗碼組合。或，以進(jìn)步可治理性和單點(diǎn) 登錄為目標(biāo)，數(shù)據(jù)庫系統(tǒng)可以與企業(yè)現(xiàn)有認(rèn)證系統(tǒng)集成。例如，微軟的Windows把持系統(tǒng)平臺上運(yùn)行良多關(guān)系數(shù)據(jù)庫產(chǎn)品可以操縱一個基于域的安然模型的安 全功能。按照小我的用戶帳戶和構(gòu)成員，他或她可以進(jìn)行無縫的“經(jīng)由過程驗證” ，不需要從頭鍵進(jìn)用戶名或暗碼。此中這類編制浩繁好處之一是可以集中治理用戶帳戶的能力。當(dāng)一個用戶帳戶是在組織的目次辦事的級別被禁用，則不需要采取進(jìn) 一步的步調(diào)避免用戶拜候數(shù)據(jù)庫系統(tǒng)。別的，組織愈來愈多地轉(zhuǎn)向基于生物特點(diǎn)的身份驗證(經(jīng)由過程利用指紋辨認(rèn)，視網(wǎng)膜掃描，和相干驗證編制)，和智能卡和 基于令牌的認(rèn)證。數(shù)據(jù)庫治理員可以操縱這些機(jī)制所依托的把持系統(tǒng)，用于辨認(rèn)用戶。是以，集成安然是強(qiáng)烈保舉的，不管從易用性仍是易于治理性而言。
值得寄望的是：實施一個新數(shù)據(jù)庫的首要構(gòu)成部門是在安裝過程中或安裝后當(dāng)即更改默許暗碼(和帳戶名，假定可能的話)。很大都據(jù)庫治理員決定，他們將“稍后 完成這個任務(wù)”，可是這凡是意味著它將被忽視。利用默許的用戶名和暗碼相當(dāng)于賜與了歹意用戶進(jìn)侵辦事器的利刃。當(dāng)你一旦安裝新的辦事器，就請務(wù)必花幾分鐘 來封鎖這個暗藏縫隙。
辦事器登錄可以直接被授予權(quán)限。例如，用戶可以被賜與封鎖或重啟數(shù)據(jù)庫或在辦事器上成立一個新的數(shù)據(jù)庫能力的權(quán)限。登進(jìn)級權(quán)限一般合用于辦事器作為一個整 體，可以用來進(jìn)行相干的備份和恢復(fù)，機(jī)能監(jiān)控，和數(shù)據(jù)庫的成立和刪除任務(wù)。在某些環(huán)境下，用戶與辦事器的登錄權(quán)限可能可以或許授予這些權(quán)限給其他用戶。因 此，充分體味你所依托的數(shù)據(jù)庫平臺的安然系統(tǒng)布局，對包管你的信息安然是很是首要的。
要記住另外一個首要的考慮是，大年夜大都關(guān)系型數(shù)據(jù)庫平臺承諾把持系統(tǒng)治理員具有對數(shù)據(jù)庫的良多隱性權(quán)限。例如，系統(tǒng)治理員可以啟動和遏制辦事，并可以移動或刪 除數(shù)據(jù)庫文件。別的，一些數(shù)據(jù)庫平臺主動授予系統(tǒng)治理員數(shù)據(jù)庫的登錄并承諾全數(shù)權(quán)限。當(dāng)然某些環(huán)境下這多是可取的，但要履行整體安然時必需服膺這點(diǎn)。在 某些環(huán)境下，這一點(diǎn)很首要，其實不是所有的系統(tǒng)治理員有權(quán)限拜候存儲在這些辦事器上的敏感數(shù)據(jù)。以這類編制建設(shè)系統(tǒng)將是一個挑戰(zhàn)，而實施的具體編制會按照正 在運(yùn)行把持系統(tǒng)和數(shù)據(jù)庫平臺。
大年夜大都環(huán)境下，一臺辦事器的登錄只承諾一個用戶連接到數(shù)據(jù)庫。它不會隱性承諾用戶履行數(shù)據(jù)庫內(nèi)的任何特定的動作。