数据库安全机制

安全机制名称

安全功能

标识和鉴别

用户属性定义，用户-主体绑定，鉴别失败处理，秘密的验证，鉴别的时机，多重鉴别机制设置等

访问控制

会话建立控制，系统权限设置，数据资源访问权限设置

安全审计

审计数据产生，用户身份关联，安全审计查阅，限制审计查阅，可选审计查阅，选择审计事件

备份与恢复

备份和恢复策略设置，备份数据的导入和导出

数据加密

加密算法参数设置，密钥生成和管理，数据库加密和解密操作

资源限制

持久存储空间分配最高配额，临时存储空间分配最高配额，特定事务持续使用时间或未使用时间限制

安全加固

漏洞修补，弱口令限制

安全管理

安全角色配置，安全功能管理

这些安全机制用于保障数据库的安全运行、数据资源安全以及系统容灾备份

数据库加密

数据库加密是指对数据库存储或传输的数据进行加密处理，以密文形式存储或传输，防止数据泄密，保护敏感数据的安全性。

数据库加密方式主要分为两种类型:

与数据库网上传输的数据，通常利用 SSL 协议来实现数据库存储的数据，通过数据库存储加密来实现。

按照加密组件与数据库管理系统的关系，数据库存储加密可以分成两种加密方式

库内加密：指在 DBMS 内部实现支持加密的模块库外加密：指在 DBMS 范围之外，由专门的加密部件完成加密/解密操作

数据库存储加密的常用技术方法

基于文件的数据库加密技术：将数据库文件作为整体，对整个数据库文件进行加密, 形成密文来保证数据的机密性基于记录的数据库加密技术：将数据库的每一个记录加密成密文并存放于数据库文件中基于字段的数据库加密技术：加密数据库的字段，以不同记录的不同字段为基本加密单元进行加密数据库防火墙

数据库防火墙通过 SQL 协议分析，根据预定义的禁止和许可策略让合法的 SQL 操作通过，阻断非法违规操作，形成数据库的外围防御圈，实现 SQL 危险操作的主动预防、实时审计。

面对来自外部的入侵行为，数据库防火墙提供 SQL 注入禁止和数据库虚拟补丁包功能。通过虚拟补丁包，数据库系统不用升级、打补丁，即可完成对主要数据库漏洞的防控。

数据库防火墙的安全作用

(1)屏蔽直接访问数据库的通道。数据库防火墙部署介于数据库服务器和应用服务器之间，屏蔽直接访问的通道，防止数据库隐通道对数据库的攻击。

(2)增强认证。应用程序对数据库的访问，必须经过数据库防火墙和数据库自身两层身份证。

(3)攻击检测。可实时检测用户对数据库进行的 SQL 注入和缓冲区溢出攻击，并报警或阻止攻击行为，记录攻击操作发生的时间、来源 IP、登录数据库的用户名、攻击代码等详细信息。

(4)防止漏洞利用。捕获和阻断数据库漏洞攻击行为， 如利用 SQL注入特征库可以捕获和阻断数据库SQL注入行为，实现虚拟化补丁，保护有漏洞的数据库系统。

(5)防止内部高危操作。系统维护人员、外包人员、开发人员等具有直接访问数据库的权限，可能有意无意地进行高危操作对数据造成破坏。通过数据库防火墙可以限定更新和删除影响行,限定无where的更新和删除操作，限定 drop，truncate 等高危操作避免大规模损失。

(6)防止敏感数据泄露。黑客、开发人员可以通过应用批量下载敏感数据， 内部维护人员可以远程或本地批量导出敏感数据。通过数据库防火墙可以限定数据查询和下载数量，限定敏感数据访问的用户、地点和时间。

(7)数据库安全审计。对数据库服务器的访问情况进行独立审计，审计信息可以包括用户名、程序名、IP 地址、请求的数据库、连接建立的时间、连接断开的时间、通信量大小、执行结果等信息。

数据库脱敏

数据库脱敏是指利用数据脱敏技术将数据库中的数据进行变换处理，在保持数据按需使用目标的同时，又能避免敏感数据外泄

数据脱敏指按照脱敏规则对敏感数据进行的变换，去除标识数据，数据实现匿名化处理，从而实现敏感数据的保护。

常见的数据脱敏技术方法

屏蔽变形替换 随机加密数据库漏洞扫描

数据库漏洞扫描模拟黑客使用的漏洞发现技术，对目标数据库的安全性尝试进行安全探测分析，收集数据库漏洞的详细信息，分析数据库系统的不安全配置，检查有弱口令的数据库用户。

通过数据库漏洞扫描，跟踪监控数据库安全危险状态变化，建立数据库安全基线，防止数据库安全危险恶化。

数据库漏洞扫描的商业产品

NGSQurrel for OracleXSecur-DBScam

学习参考资料：

信息安全工程师教程（第二版）

建群网培信息安全工程师系列视频教程

信息安全工程师5天修炼