基于Web的数据库应用系统的安全性策略

基于Web的数据库应用系统的安全性策略

摘要：基于web的数据库应用系统，以其界面美观适用，操作简单便捷，有着非常好的应用前景。其安全性是开发商和用户都非常关注的一个问题。因此，本文就如何有效的加强web数据库系统的安全性作了一定的分析和简单的设计，文中从9个方面展开叙述，旨在能应用到各种普通的中小型的web数据库应用系统，确保网络数据库的安全。

关键词：web；数据库；安全

中图分类号：tp391 文献标识码：a 文章编号：1007-9599 （2013） 02-0000-02

随着互联网的迅猛发展，各种网络平台日趋成熟，如网络银行、网络教学、网络购物、网络调查等等已经逐渐为世人所接受并且已融入了人们的日常生活中。近年来，web技术以其特有的优势赢得了市场，一是能将文本、图像、声音等多媒体信息资源通过用户的浏览、查询实现各站点的共享；二是该技术简单易学、与平台无关、在全球范围可用等。数据库技术发展到今天，与web技术想结合成为web数据库应用系统，界面美观适用，操作简单便捷。但安全性不容乐观。原因如下：一是数据库系统作为信息的聚集体，是计算机系统的核心部件，其安全性直接关系到企业的兴衰，国家安全，因此其安全问题非常重要。二是在网络方面，由于internet技术本身没有提供任何安全机制，只有web站点和internet连通，就

可能被任何人访问。因此，本文就如何有效的加强web数据库系统的安全性作了一定的分析和简单的设计，文中强调应从9个方面进行防范，确保网络数据库的安全。

1 web数据库应用系统存在的安全威胁及安全要求

web数据库应用系统在实际操作过程中，海量的数据存放和繁琐的管理过程必然带来诸多的不安全因素。凡是涉及到对数据库存储数据的非法访问都对数据安全造成威胁。数据库系统的安全威胁大致可以分为以下几类：一是技术手段的威胁：如用户身份的假冒，非授权的试用以及黑客的恶意攻击或盗用等；二是硬件设施的故障，如机器故障，服务器设备的损坏或数据的丢失等；三是操作人员的错误和系统管理人员的维护错误。

由于网络数据库应用系统是通过web页面与后台数据库交互信息的，数据的存取以及在网络上的传输都存在着诸多的安全隐患。不同于传统的数据库应用系统只限于本系统的用户进行操作，在共享电子资源的同时必然存在着被篡改、存取丢失数据和在网络传输过程中的丢包、被窃听、被截获等不安全因素。因此，在开发网络数据库应用系统时必须考虑web数据库安全性等问题。其安全要求如下：

1.保证数据的完整性。数据必须是正确有效数据，数据的操作过程是规范合法的。

2.保证数据的安全性。数据在使用过程中保证数据不被窃取盗

用，不被人为篡改、破坏，不被跟踪攻击。 2 基于web的数据库应用系统的安全性策略

为了实现一个web数据库应用系统的安全，尽力排除不安全因素，可以从以下几个方面建立安全性防护体系：

2.1 客户端安全。客户应用程序是网络数据库安全性的重要方面。客户端应用程序可以控制用户的合法登录、身份验证等，还可以直接设置数据，可采用基于com+组件应用程序实现的用户身份鉴定技术，达到提高应用端的安全管理的效果。

2.2 服务器端安全。采用基于unix操作系统的数据库管理系统，能有效的克服数据易被篡改和破坏的问题。当网络上的数据传送到服务端，请求响应时，服务器端必须立即启动检测机制，检查其合法性。同时，最好能对对方的操作予以跟踪，及时发现是否存在非法操作。一旦发现非法存取数据，服务器端立即启动报警机制，关闭对方的存取权限。以确保数据的完整和安全。

2.3 数据库本身的安全。为了确保数据库本身的安全，应从以下几个方面全方位考虑：首先选择一个适合自身系统的安全性较高的数据库管理软件，众多软件比较，一般可选用db2作为我们的数据库管理系统，其安全性相对更高。其次选择好数据库的安全性实施方案：采用数据库服务器的用户身份鉴定和权限控制技术，数据库服务器与应用系统两级权限控制技术；最后为确保数据文件的安全，应对数据文件进行加密。

2.4 加强外部网络的安全。一是加强网络通信协议的安全，如ip地址欺骗、icmp等攻击，他们大都属于拒绝服务攻击。利用源地址验证技术可以阻塞ip欺骗，而icmp攻击等可以安装相应的补丁来保证数据库系统的安全；二是构筑防火墙，在内部网络和外部网之间构造保护墙，阻止对信息资源的非法访问；三是各种用户标识和身份认证；四是采用审计追踪技术，根据网络状态及时发现网络的攻击迹象，及时发现和查找黑客的信息和攻击情况；五是采用并发控制技术，利用封锁机制，使用户只能读取数据而不能修改数据，直到用户释放共享锁，从而保证数据的完整性；六是采用入侵检测技术，基于网络的入侵检测和基于主机的入侵检测联合使用，提供集成化的攻击签名/检测/报告和事件相关联功能；七是实施加密机制：在网络通信过程中将重要内容实施加密。

2.5 计算机设备的安全管理。对计算机自身的管理也是安全性的一个方面，客户端的计算机和服务器端的计算机都应设置好用户的使用权限并管理好事务日志记录，以便出现问题及时恢复或追踪审查，定时检查电脑的各个性能，若发现有硬件或软件方面的损坏，应及时更新或升级，以便造成不必要的数据丢失。应配备专门的并且专业的计算机管理人员，进行严格的管理和对系统的维护及定期的系统性能测试检查。

2.6 程序设计的管理，防范漏洞的产生。在编制web数据库应用程序时，应充分考虑程序本身的漏洞，以及如何避免，尽可能做

到高容错性以及在不同情况下的应变能力。由于c/s的数据库应用系统是多用户多任务的，因此开发人员在开发时应充分考虑以下几个问题：如何对众多的操作人员进行标识与鉴定（特别是在要对系统中的信息进行修改的操作人员）？如何决定一个操作人员应该进入哪一个工作环境？

2.7 相关人员的有效管理，避免人为的安全隐患。对技术操作人员应进行标识和鉴定，为每一个操作人员在数据库管理系统中创建一个数据库管理系统帐号，即每一个操作员的工号都对应一个真实的数据库服务器帐号；在数据库中创建一个用户表（操作员表），每一操作人员在此表中都又一个记录，在连接数据库服务器时，这一记录都对应一个唯一的数据库管理系统帐号。

程序设计人员应具备一定的职业道德和职业精神，防止私自在程序设计过程中安置病毒，人为制造诸多安全因素或遗留安全漏洞。这里包括明知会有安全漏洞或安全威胁，而不去考虑如何解决或不做任何解释说明。

对信息系统的监护人员，如公安机关、政府工作人员以及单位自身内部的所有可能会触及信息系统的人员，应该加强法律法规意识以及鉴别风险危害的意识，把不必要、不应该的威胁尽可能避免。 不断完善法规制度，对机房的管理，以及信息审查员应落实安全责任，严密监控网络安全漏洞和系统升级管理制度。 2.8 数据备份。数据备份与数据恢复是数据库应用系统的安全

环节之一，适时做好数据备份，以防止意外的发生，建立健全的及时有效的数据恢复机制是必不可少的。可采用向前滚动恢复机制，以确保数据的高完备性。

2.9 必要的情况建立起监理机制。鉴于网络安全的重要性，可以考虑在网络应用系统这一块，建立起完善的安全监理机制。采用监理机制，成立专门的网络安全、信息系统安全的监理机构，全天候的监控网络，监控系统，及时发现并阻击安全威胁，把所有的不安全因素控制在发生之前。 参考文献：

[1]王惠琴，李明.基于web数据库安全机制的研究[j].计算机工程与设计，2002，7：12-14.

[2]罗可，吴一凡.数据库安全问题[j].长沙电力学院学报（自然科学版），1999，14（2）：173-175.