数据库安全文献翻译x

黄河科技学院毕业设计(文献翻译)第1页
英文译文文
数据库安安全
PaullMoorriisonn
Amerricaa
PARTT1
“为什么么要确保保数据库库服务安安全呢??任何人人都不能能访问-这这是一个个非军事事区的保保护防火火墙”,当我们们被建议议使用一一个带有有安全检检查机制制的装置置时,这这是通常的反反应。事事实上,在在防护一个个组织的的信息方方面,数数据库的的安全是是至高无无上的,因因为它可可能会间间接接触触比我们们意识到到的更广广泛的用用户。
这是两篇篇研究数数据库安安全文章章中的第第一篇。在在这篇文文章中我我们将讨讨论一般般数据库库安全概概念和和和比较普普遍的问问题。在在下篇文文章,我我们将把把焦点放放在特定定的MiicroosofftSSQL和和Oraaclee的安全全关注上上。
近来数据据库安全全已成为为一个热热门话题题。随着着越来越越多的人人关注计计算机安安全,我我们发现现,防火火墙和网网络服务务器比以以前都更更加安全全化了(虽虽然这并并不等于于说现在在不再有有许多不不安全的的网络存存在)。因因此,重重点是加加大对技技术的考虑力度度,譬如以更细细腻的审审查态度度对待数数据库。
◆一般般安全意意识
在我们讨讨论有关关数据库库安全问问题之前前,确保保底层操操作系统统和支撑撑技术的的安全是是审慎而而且必要要的。如如果一个个vannillla操作系统统无法为为数据库库提供一一个稳妥妥可靠的的安全基基础,花费太太多努力力去确保保数据库库安全是是不值得得的。当当安装操操作系统统时,有有许多好好的文献献资料可可以参考考。
经常遇到到的一个个普遍问题题,就是是作为网网络服务务器托管管Intternnet((orInttrannet))的同一服服务器上上数据库库的应用用。虽然然这可能能节省的的购买一一个单独独的服务务器费用用,但这这严重影影响了安安全问题题。如果果这是确确定的,当数据库开放地连接到互联网这种情况被证实了。最近的一个例子,我记得是一个Apache网络服务器系统服务组织在互联网上提供的,与Oracle数据库在互联网上提供有关端口1521。在调查这个问题时进一步被发现,访问该Oracle服务器是没有服务器加以制止
黄河科技学院毕业设计(文献翻译)第2页
之类的保护措施的(包括缺乏密码)。从互联网发展前景看,这个数据库是不被推崇的,但默认设置的使用以及粗糙的安全措施,使服务器更加脆弱。
上面提到到的问题题并不是是严格地地数据库库问题,还还可以被被归类为为构建机机制和防防火墙保保护问题题,但最最终它确确是数据据库,这这是毫不不妥协的的。安全全方面的的考虑从从面向网络的各各部分来来看而被被迫作出出的。你你不能依依靠任何何他人或或任何别别的事以以保护你你的数据据库安全全。
◆由于于SQLL和Orraclle开发发的漏洞洞给攻击击工具一一个得以以使用的的空间。
我在最近近为客户做的的一项安安全评估估中偶然发现现一个数数据库安安全方面面的有趣趣的是。我我们正在在进行对对使用一一个数据据库后端端(SQQL)以以存放客客户端的的细节的的企业内内部应用用软件的的测试。安安全审查查过程进展展顺利,访问控制基于Windows认证。只有通过认证的Windows用户能够看到属于他们的数据。这个应用软件本身好像对输入要求进行处理,拒绝直接进入资料库的所有尝试。
之后我们们在工作作的办公公室偶然然发现一一个该应用软件件的备份份。这个个媒体装装有SQQL数据据库的备份,这这是我们们重新存存储到笔笔记本电电脑上的的。所有有安全控控制均到那些些原先并并未恢复复数据库库的位置置上,而而且我们们能够在在适当的的位置无无任何限限制地浏览完完整的数数据库,以以保护敏敏感的数数据。这这可能像像是一种种妥协的的系统安安全的方方式,但但确实是是重要的的。往往往并不是采采取直接接的方法法攻击一一个目标标,并且且最终结果果是相同同的;系系统妥协协。数据据库备份份可以存储在在服务器器上,从从而有利利于间接接地访问问数据。
以上问题题有一个个简单的的办法来来解决。在在SQLL20000可可以为备份设定定使用密密码保护护。如果果备份使使用了密密码保护护,当创创建密码码时就必须使使用密码码。这是是一种有有效而且且不太复复杂的方方法阻止止备份数数据的简简单捕获获。然而而这意味味着密码码必须记记住!
◆当前前趋势
在IT安安全方面面有许多多当前趋趋势,这这些中的的不少都都与数据据库安全全联系起起来。数数据库安安全方面面的焦点点正吸引引着攻击击者的注注意力。由于SQQL和OOraccle开开发的漏漏洞给攻攻击工具具一个得得以使用用的空间间。这些些工具的的出现提提高了赌赌注,我我们已经经看到,攻攻击主要要是针对对服务器器暴露到到互联网网的特定数据据库端口口。
贯穿安全全业的一一个普遍遍问题是是应用软软件安全全,特别别是定制的的Webb应用程程序。随随着Weeb应用用程序的的功能变变得越来来越复杂杂,它带带来了应用程程序编码方面的的安全漏洞洞的更大大的潜
黄河科技学院毕业设计(文献翻译)第4页
在在威胁。为为了满足足应用软软件的功功能性要要求,后后端数据据存储通通常被用用来安排排网页内内容的格格式。这这就需要要更复杂杂的后端端数据编编码。开开发者使使用不同同风格的的代码开开发,其其中一部部分没有安安全意识识,这也也许是开开发错误误的源头头。
SQL注注入就是是当前ITT安全业业的一个个热门话话题。随随着愈来来愈多的的以期缩缩短时间间的开发发数据库库的方式式和手段段的出现现,目前前在技术安安全论坛坛中,争争论是很很平常的的。SQQL注入入是一个个容易让让人误导导的术语语,因为为该概念念也适用于于其他的的数据库库,包括括Oraaclee,DBB2和SSybaa系系统。
◆什么是是SQLL注入??
SQL注注入的是是软件开开发人员员所不希希望出现现的与资资料库使使用代码码或指令令发送手手段的交交流方法法。这是是发现在在Webb应用软软件最常常见的形形式。任任何用户户输入应应用软件件所不允允许的内内容是攻攻击的一一个常见见来源。
在座很多多朋友已已经看到到了当访访问网站站时通常常的错误误消息框框,而且且往往显显示用户户输入没没有得到到正确处处理。一一旦出现现这种类类型的错错误,攻攻击者将将把焦点点放在更更具体的的输入字字符串上上。具体体的与安安全有关关的编码码技术在在使用组组织时应加入入编码标标准。由于这种类类型的脆脆弱性所所造成的的损害,可可以很深深刻的,尽尽管这会会取决于于该应用用软件与与数据库库关联的的特权级级别。如如果该软软件以管管理者类类型权限限访问数数据,然然后恶意意运行命命令也会会是这一一级别的的访问权权限,此时系系统妥协协是不可可避免的的。还有有这个问问题类似似于操作作系统的的安全规规则,在那那里,项项目应该该以最低的的权限运运行,而而且这是是必要的的。如果果是正常的的用户访访问,然然后启用用这个限限制。
同样的问问题,SSQL的的安全也也不完全全是一个个数据库库的问题题。特定定的数据据库命令令或要求求,不应应该允许许通过应应用层。这这是可以以通过"安安全码""的方式式加以预防防的。这是一个个场外话话题,但但应该被被应用的一些基基本步骤骤的详细细设计是是有必要要的。
第一步,在在获取任任何申请请时须验验证和控控制用户户输入。可可能的情情况下,严格的类类型应被被设定以以控制具体体数据(例例如,期期望得到到数值数数据,字字符串类类型数据据等),并并在可能能实现的的情况下下,如果果数据是以以字符型型为基础础的,需要禁禁止特定定的非字字母数字字字符。如如果这是是不能实现现的,应该该做出争争取使用用替代字字符的考考虑(例例如,使使用单引引号,这这在SSQL命命令中时时通常被被使用的的)。
在使用您您的组织织时具体的的与安全全有关的的编码技技术应加加入编码码标准。如如果所有有开发商商都使
黄河科技学院毕业设计(文献翻译)第4页
用用相同的的基线标标准,特特定具体体的安全全措施,这这将大大大减少SSQL注注入妥协协的风险。
能够使用用的另一种种简单的的方法,是是清除数数据库中中不再需需要的所所有程序序。这些些限制了数数据库中中不再需需要的或或者多于于过剩的的被恶意意利用的的程度。这这类似于于消除操操作系统统内不需要要的服务务程序,是是一种常常见的安安全实践践。
◆总结
总之,我我已做出出的以上上的大多多数观点点是安全全概念的的一般意意识,并并没有具具体到某某个数据据库。然然而,所所有这些些确实应应用于数数据库,而且如果这些基本的安全措施被应用,你的数据库安全属性将大大改善。在下一篇关于数据库的安全的文章中,将侧重于具体的SQL和Oracle安全问题,有为DBAs和开发商提供的详细例子和意见。
PARTT2
这是第二二篇文章章,审查了了数据库库的安全全。在上上篇文章章我们讨讨论了一一般数据据库安全全概念和和共同面面临的问问题。在在这篇文文章我们们将集中中于特定定的MiicroosofftSSQL和和Oraaclee的安全全问题,同同样重要要的是缓缓解这些些问题的的解决方方案。
数据库安安全与一般ITT安全问问题有许许多相似似之处,都有一些简单的安全措措施和步步骤,容容易实施施,从而而大大提提高安全全性。虽虽然这些些看起来来像普通通常识,但是令人惊讶的是,我们都看到有多少次,常见的安全措施没有落实以至于造成的安全风险。
◆用户账账户和密密码安全全
在IT安安全方面面的一个个首要基本本规则,便是“确保你你有一个个可靠的的密码”。在此此声明,我我已假定定首先一个个密码已已被设定定,虽然然这种情情况往往往并非如如此。在在去年的的文章中中,我略微谈谈到了关关于一般般安全意意识的问问题,但但我认为为再次强强调这个个问题是是有必要要的,而而且至关关重要。就就像操作作系统,人人们关注注的焦点点是内部数数据库的的账号安全全,其目目的在于于管理账账户。在SQLL内,这将将成为SSA账号号,在Orraclle内,这这可以是是SYSSDBAA或者是Orraclle账户。
SQLSA服服务账户户将“SA”作为密密码,这这是很常常见的,或者更糟糕糕的是一个空空白密码码,这同样很普遍。这这类密码码连最基基本的安安全规则则都懒于于限制。用用户在自己的的域账户上将不允允许有一一个空白白密码,所以为什么宝贵的系统资源,例如数据库容许被毫无保障。举例来说,一个空白的“SA”密码,使含有客户端软件任何用户(如微软的查询分析器或企业经理人去“管理”SQLServer和数据库)。
黄河科技学院毕业设计(文献翻译)第5页
数据库被被用来作作为Weeb应用用软件的的后端,缺缺乏密码码控制,将导致敏感资料的全盘妥协。随着系统级访问数据库,使得不仅要执行查询到数据库,创建/修改/删除表等,而且也要执行被称为存储程序的内容。
摘自:保保罗·莫里森森.数数据库安安全.萨萨姆斯出出版社出出版,220022
附:英文文原文
DataabasSeecurrityy
PaullMorrrisson
Amerricaa
PARTT1
“WhyydooIneeedttoscuuremydattabaarrverr?NNooonecannacccesssiit——itt’siinaaDMMZpprottecttedbytheefiirewwalll!”Thhisisofttentheereespoonewhhenitisreccommmenddedthaatssuchhdeeviccesareeinncluudeddwiithiinaaecurrityyheealtthcchecck.Infacct,dattabaaccuriityisparramoounttinndeefenndinngaanoorgaanizzatiionssinnforrmattionn,aasiitmmaybeinddireectllyeexpooddtooawidderauddienncethaanrreallizeed.
Thississthheffirsstoofttwoartticllesthaatwwilllexxamiinedattabaaccuriity..Innthhisartticllewwewwillldiiscuussgenneraalddataabasscuurittycconccepttsaandcommmonnprrobllemss.IIntthenexxtarrticcleweewwilllffocuusoonsspeccifiicMMicrrosooftSQLLanndOOraccleccuriityconncerrns..
Dataabasscuurittyhhasbeccomeeahotttoopiccinnreecenntttimees.Witthmmoreeanndmmoreepeeopllebbecoominngiincrreassingglyconncerrneddwiithcommputterccuriity,,weearreffinddinggthhatfirrewaallssanndWWebrrverrsaarebeiingccureedmmoreethhaneveer(tthouughthiisddoessnootmmeannthhattheereareenootsstilllaalaargeenuumbeeroofiinecurrennetwworkksoouttheere)).AAsssuchh,tthefoccusixppanddinggtoocoonsiiderrteechnnoloogieesssuchhassdaatabbaeswwithhamorreccritticaaleeye..
◆Commmonnnnccuriity
Befoorewedisscusssttheisssuessreelattinggtoodaatabbaeecurrityyittissprrudeenttohiggh-ligghttheeneecesssittyttoscuuretheeunnderrlyiingopeerattinggsyysteemaandsuppporrtinngttechhnollogiies..Ittissnootwwortthsspenndinngaalootoofeeffoortccuriingaddataabasiifaavaanilllaopeerattinggsyysteemiisffaillinggtooprroviideascuurebassisforrthhehharddeniingoftheedaata--baa..Thhereearreaalaargeenuumbeeroofeexceelleentdoccumeentssinnthheppubllicdommainndeetaiilinngmmeassureestthattshhoulldbbeeemplloyeedwwhenninnstaalliingvarriouusooperratiingsysstemms.
Onecommmonnprrobllemthaatiisoofteeneencoounttereediisttheexiisteenceeoffadattabaaonthees
黄河科技学院毕业设计(文献翻译)第6页
aamerrverrassawebberveerhhosttinggannInnterrnett(oorIIntrraneet)faccinggapppliicattionn.WWhillstthiismmaysavvetthecosstoofppurcchassinggapparaaterrverr,iitddoesserioousllyaaffeecttheeecurrityyoffthhessoluutioon.Wheerethiisiisiidenntiffiedd,iitiisoofteentthecastthattthheddataabasiisoopennlyconnneccteddtoothheIInteerneet.OneereecennteexammpleeIcannreecallliisaanAApaccheWebberveersrvvinggannorrgannizaatioonsIntternnetoffferiing,,wiithanOraacleedaatabbaeavvaillablleoonttheIntternnetonporrt115211.WWhenninnvesstiggatiingthiisiissuueffurttherrittwaasddisccoveereddthhatacccessstoothheOOracclerrverrwaasnnotprootecctedd(iinclludiinglacckoofppasssworrds)),wwhicchaallooweddthhesrvvertobestooppeed.TheedaatabbaewaasnnotreqquirredfroomaanIInteerneetffaciingperrspeectiive,,buutttheueoffdeefauulttttinngsanddccareelesssscuurittymmeassureesrrenddereedttherrverrvuulneerabble..
Thepoiintssmeentiioneedaabovveaarenottsttricctlyydaatabbaeisssuees,anddcooulddbeecllasssifiiedasarcchittectturaalaandfirrewaallprootecctiooniissuuesalsso,buttulltimmateelyitistheedaatabbaethhatiscommproomisd..Seecurrityycoonsiiderratiionsshaavetobemaddeffrommalllpparttsoofaapuubliicffaciingnett-wworkk.YYoucannnottreelyonsommeonneoorssomeethiingelswwithhinyouuroorgaanizzatiionprootecctinngyyourrdaatabbaefromexpposuure.
◆AtttacckttoollsaarenowwavvaillabllefforexpploiitinngwweakknessssinnSQQLaandOraaclee
Icaameacrrosssonneiinteeresstinngaaspeectofdattabaaccuriityreccenttlywhiilecaarryyinggouutaaecurrityyreevieewfforacclieent..Weeweereperrforrminngaateestagaainsstaaniintrraneetaappllicaatioon,whiichusdaddataabasbbackkennd((SQLL)ttosstorrecclieentdettaills.Theeecurrityyreevieewwwasprooceeedinngwwelll,wwithhacccessscconttrollsbbeinngbbaedoonWWinddowssautthennticcatiion..OnllyauutheentiicattedWinndowwsuurrswwereeabbletoeedaatabellongginggtoothhem..Thheaappllicaatiooniitelfeemeddtoobeehhanddlinngiinpuutrrequuestts,rejjecttinggalllaatteempttsttoaacceesstheedaata--baadirrecttly..Wetheenhapppennedtocommeaacroossabbackkupoftheeapppliicattionninnthheooffiiceinwhiichwewerreworrkinng.ThhismeddiaconntaiineddabacckuppoffthheSSQLdattabaa,,whhichhweereestooreddonntoourrlaaptoop.Alllecurrityycoontrrolsswhhichhweereinplaaceoorigginaallyyweerenottreestooreddwiiththeedaatabbaeanndwwewwereeabbletobroowethheccomppletteddataabas,witthnnorresttricctioonsinplaacetoprootecctttheensiitivveddataa.TThissmaaysemmliikeacconttrivvedwayyoffcoomprromiisinngttheccuriityoftheessysttem,,buutddoesshiighllighhtaaniimpoortaantpoiint..Ittissofftennnoottthedirrecttappprooachhthhatistakkentoatttackkatarrgett,aandulttimaatellyttheenddpoiintistheesaame;;syysteemccompprommie.AAbaackuupccopyyoftheedaatabbaemaaybbesstorredontheeerveer,anddthhusfacciliitattesacccessstoothheddataainndirrecttly..
Therreiisaasiimpllessoluutioonttottheproobleemiidenntiffieddabbovee.SSQL20000ccanbeconnfiggureedttouepaasswworddprroteectiionforrbbackkupss.IIftthebacckuppisscrreattedwitthppasssworrdpprottecttionn,tthisspaasswworddmuustbeuedwwhennreestoorinngtthepassswoord..Thhisisanefffecttiveea
黄河科技学院毕业设计(文献翻译)第7页
nnduuncoompllicaateddmeethoodoofsstopppinngssimpplecappturreoofbbackkupdatta.Itdoeeshhoweeverrmeeanthaattthepassswoordmuustbeereememmberred!!
◆Currrenttrendds
TherreaareannumbberofcurrrenntttrenndsinITccuriity,,wiithannumbberoftheebeiinglinnkeddtoodaatabbaeecurrityy.
Thefoccusondattabaaccuriityisnowwatttraactiingtheeatttenntioonoofttheatttackkerss.AAttaackttoollsaarenowwavvaillabllefforexpploiitinngwweakknessssinnSQQLaandOraaclee.TTheemeergeenceeofftthesttoollshhasraiiddthhesstakkesanddweehaaveeenffocuuddaattaackssaggainnstspeecifficdaata--baaporrtsonrrverrexpooddtoothheIInteerneet.
Onecommmonnthhemeeruunniingthrrougghttheccuriityinddusttryistheeffocuusoonaappllicaatioonccuriity,,anndiinppartticuularrbeespookeWebbaappllicaatioons..WiithhefunnctiionaalittyoofWWebapppliccatiionssbeecomminggmooreanddmoorecommpleex,itbriingssthheppoteentiialforrmooreccuriityweaakneesesiinbbesppokeeapppliicattionncoode..Innorrderrtoofuulfiilltheefuuncttionnaliityofapppliccatiionss,tthebacckenndddataasttoreesaarecommmonnlybeiinguedttofformmattheecoonteentofWebbpaagess.TThissreequiiressmoorecommpleexccodiingattheeapppliicattionnennd.Wiithdevvelooperrsuusinngddifffereentstyylessinncoodeddeveeloppmennt,sommeoofwwhicchaarenottassecurrityycoonscciouusaasootheer,thiisccanbetheesoourcceoofeexplloittablleeerroors..
SQLinjjecttionnissonnessuchhhootttopiicwwithhintheeITTecurrityyinndusstryyattthhemmomeent..Diiscuussiionssarrennowcommmonnplaaceamoongtecchniicallecurrityyfoorumms,witthmmoreeanndmmoreewaaysanddmeeanssoffexxplooitiingdattabaasscoominngttollighhtaalltheetiime..SQQLiinjeectiionisammislleaddinggteerm,,assthhecconccepttapppliiestoothherdattabaass,iinclludiingOraaclee,DDB2anddSyybas.
◆WhaatiisSSQLInjjecttionn?
SQLInjjecttionnisssiimpllytthemetthoddoffcoommuuniccatiionwitthaadaatabbaeussinggcoodeorcommmanndsnntvviaammethhodorapppliccatiionnottinntenndeddbyythheddeveelopper..ThhemmosttcoommoonforrmooftthississfoounddinnWeebaappllicaatioons..Annyuurrinnputtthhatishanndleedbbyttheapppliccatiionisaccommmonsouurceeoffatttacck.Oneesiimplleeexammple