oracle建立数据库连接
数据库安全性问题一直是围绕着数据库管理员的噩梦，数据库数据的丢失以及数据库被非法用户的侵入使得数据库管理员身心疲惫。本文围绕数据库的安全性问题提出了一些安全性策略，希望对数据库管理员有所帮助。
  数据库安全性问题应包括两个部分：一是数据库数据的安全，它应能确保当数据库系统停机时，当数据库数据存储媒体被破坏时以及当数据库用户误操作时，数据库数据信息不至于丢失。二是数据库系统不被非法用户侵入，它应尽可能地堵住潜在的各种漏洞，防止非法用户利用它们侵入数据库系统。
  对于数据库数据的安全问题，数据库管理员可以参考有关系统双机热备份功能以及数据库的备份和恢复的资料。以下主要就数据库系统不被非法用户侵入这个问题做进一步的阐述。
 
  相关安全性的阐述
 
  1．用户组和安全性
  在操作系统下建立用户组是保证数据库安全性的一种有效方法。oracle程序为了安全性目的一般分为两类：一类是所有的用户都可执行，另一类只有dba可执行。在unix环境下组设置的配置文件是/etc/group，关于这个文件如何配置，可以参阅unix的有关手册，以下是保证oracle数据库安全性的几种方法：
  （1） 在安装oracle server前，创建数据库管理员组（dba）而且分配root和oracle软件拥有者的用户id给这个组。dba能执行的程序只有710权限。在安装过程中sql*dba系统权限命令被自动分配给dba组。
  （2） 允许一部分unix用户有限制地访问oracle服务器系统，增加一个由授权用户组成的oracle组，确保给oracle服务器实用例程oracle组id，公用的可执行程序，比如sql*plus、sql*forms等，应该可被这组执行，然后这个实用例程的权限为710，它将允许同组的用户执行，而其他用户不能。
  （3） 改变那些不会影响数据库安全性的程序的权限为711。
  2．oracle服务器实用例程的安全性
  以下是保护oracle服务器不被非法用户使用的几条建议：
  （1） 确保$oracle_home/bin目录下的所有程序的拥有权归oracle软件拥有者所有；
  （2）给所有用户实用编程（sql*plus、sqi*forms、exp、imp等）711权限，使服务器上所有的用户都可访问oracle服务器；
  （3）给所有的dba实用例程（比如sql*dba）700权限。
  3．oracle服务器和unix组
  当访问本地服务器时，可以通过在操作系统下把oracle服务器的角映射到unix的组的方式来使用unix管理服务器的安全性，这种方法适应于本地访问。
  在unix中指定oracle服务器角的格式如下：
  ora_sid_role[_dla]
  4．sql*dba命令的安全性
  5．数据库文件的安全性
  oracle软件的拥有者应该设置这些数据库文件（$oracle_home/dbs/*.dbf）的使用权限为0600，即文件的拥有者可读可写，同组的和其他组的用户没有写的权限。
  oracle软件的拥有者应该拥有包含数据库文件的目录，为了增加安全性，建议收回同组和其他组用户对这些文件的可读权限。
  6．网络安全性
  当处理网络安全性时，以下是额外要考虑的几个问题：
  ● 在网络上使用密码
  在网上的远端用户可以通过加密或不加密方式键入密码，当使用不加密方式键入密码时，密码很有可能被非法用户截获，破坏了系统的安全性。
  ● 网络上的dba权限控制
 
  建立安全性策略
 
  1．系统安全性策略
  ● 管理数据库用户
  数据库用户是访问oracle数据库信息的途径，因此，应该很好地维护管理数据库用户的安全性。按照数据库系统的大小和管理数据库用户所需的工作量，数据库安全性管理者可能只是拥有create、alter或drop数据库用户的一个特殊用户，或者是拥有这些权限的一组用户，应注意的是，只有那些值得信任的个人才应该有管理数据库用户的权限。
  ● 用户身份确认
  数据库用户可以通过操作系统，网络服务，或数据库进行身份确认，通过主机操作系统进行用户身份认证的优点有：用户能更快，更方便地联入数据库;通过操作系统对用户身份确认
进行集中控制，如果操作系统与数据库用户信息一致，那么oracle无须存储和管理用户名以及密码；用户进入数据库和操作系统审计信息一致。
  ● 操作系统安全性
  数据库管理员必须有create和delete文件的操作系统权限；一般数据库用户不应该有create或delete与数据库相关文件的操作系统权限；如果操作系统能为数据库用户分配角，那么安全管理者必须有修改操作系统账户安全性区域的权限。
  2．数据的安全性策略
  数据的安全性考虑应基于数据的重要性。如果数据不是很重要，那么数据的安全性策略可以稍稍放松一些。然而，如果数据很重要，那么应该有一个谨慎的安全性策略，用它来维护对数据对象访问的有效控制。
  3．用户安全性策略
  ● 一般用户的安全性
  首先是密码的安全性。如果用户是通过数据库进行用户身份的确认，那么建议使用密码加密的方式与数据库进行连接。这种方式的设置方法如下：在客户端的oracle.ini文件中设置ora_encrypt_login数为true；在服务器端的a文件中设置dbling_encypt_login参数为true。
  其次是权限管理。对于那些用户很多，应用程序和数据对象很丰富的数据库，应充分利用“角”这个机制所带的方便性对权限进行有效管理。对于复杂的系统环境，“角”能大大地简化权限的管理。
  ● 终端用户的安全性
  另外还必须针对终端用户制定安全性策略。例如，对于一个有很多用户的大规模数据库，安全性管理者可以决定用户组分类，为这些用户组创建用户角，把所需的权限和应用程序角授予每一个用户角，以及为用户分配相应的用户角。当处理特殊的应用要求时，安全性管理者也必须明确地把一些特定的权限要求授予用户。可以使用“角”对终端用户进行权限管理。
  4．数据库管理者安全性策略
  ● 保护作为sys和system用户的连接
  当数据库创建好以后，立即更改有管理权限的sys和system用户的密码，防止非法用户访问数据库。当作为sys和system用户连入数据库后，用户有强大的权限用各种方式对数据库进行改动。
  ● 保护管理者与数据库的连接
  5．应用程序开发者的安全性策略
  ● 应用程序开发者及其权限
  数据库应用程序开发者是惟一一类需要特殊权限组完成自己工作的数据库用户。然而，为了限制开发者对数据库的操作，只应该把一些特定的系统权限授予开发者。
  ● 应用程序开发者的环境
  程序开发者不应与终端用户竞争数据库资源；应用程序开发者不能损害数据库其他应用产品。
  ● free和controlled应用程序开发
  应用程序开发者有两种权限：一是free development，允许创建新的模式对象;二是controlled development，不允许创建新的模式对象，而由数据库管理者创建，它保证了数据库管理者能完全控制数据空间的使用以及访问数据库信息的途径。
  但有时应用程序开发者也需这两种权限的混和。
  ● 应用程序开发者的角和权限
  数据库安全性管理者能创建角来管理典型的应用程序开发者的权限要求。create系统权限常常授予应用程序开发者，以致于他们能创建他们自己的数据对象。数据对象角几乎不会授予应用程序开发者使用的角。
  ● 加强应用程序开发者的空间限制
  作为数据库安全性管理者，应该特别地为每个应用程序开发者设置以下一些限制：开发者可以创建表或索引的表空间;在每一个表空间中，开发者所拥有的空间份额。
  应用程序管理的安全性在有许多数据库应用程序的数据库系统中，可能需要有一个应用程序管理者来保证，应用程序管理者应负责以下的任务：为每一个应用程序创建角以及管理每一个应用程序的角；创建和管理数据库应用程序使用的数据对象；需要的话，维护和更新应用程序代码和oracle的存储过程和程序包。

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。