北京 2013-11-01－－摘要：“數(shù)據(jù)庫內(nèi)部安全”和“數(shù)據(jù)庫外部安全”形成了數(shù)據(jù)庫安全的體系結(jié)構(gòu)。這個體系結(jié)構(gòu)既包含數(shù)據(jù)庫自身的安全機制，也包含第三方的安全機制。

當我們談到“數(shù)據(jù)庫安全”時，我們往往只會想到數(shù)據(jù)庫用戶（如Oracle的超級用戶sys），以及這些用戶擁有的系統(tǒng)權(quán)限（SYSDBA、SYSOPER、ALTER SYSTEM、CREATE TABLE等等）和對象權(quán)限（SELECT、INSERT、UPDATE、DELETE等）。沒錯，這些是數(shù)據(jù)庫安全的范疇，但是僅僅依靠這些機制，能夠保證數(shù)據(jù)庫安全嗎？答案當然是：不能！這些是數(shù)據(jù)庫內(nèi)部的安全，而數(shù)據(jù)庫的安全同樣需要來自外部的保證。也就是說，數(shù)據(jù)庫的“內(nèi)部安全”和“外部安全”形成了數(shù)據(jù)庫的真正安全。

“數(shù)據(jù)庫內(nèi)部安全”和“數(shù)據(jù)庫外部安全”形成了數(shù)據(jù)庫安全的體系結(jié)構(gòu)。這個體系結(jié)構(gòu)既包含數(shù)據(jù)庫自身的安全機制，也包含第三方的安全機制。該體系結(jié)構(gòu)包括如下部分。

路由器：路由器用于連接內(nèi)網(wǎng)和外網(wǎng)，從內(nèi)網(wǎng)進入外網(wǎng)的數(shù)據(jù)要經(jīng)過路由器，從外網(wǎng)進來的數(shù)據(jù)也要經(jīng)過路由器，因此，路由器的安全十分重要。

WEB服務(wù)器：WEB服務(wù)器（應(yīng)用服務(wù)器）的安全也尤為重要，因為它們直接連接數(shù)據(jù)庫，一些非法用戶通過攻擊WEB服務(wù)器或者應(yīng)用服務(wù)器獲得數(shù)據(jù)庫的信息。

主機：數(shù)據(jù)庫所在的主機安全也很重要，一旦獲得主機的控制權(quán)，黑客將輕易控制數(shù)據(jù)庫。主機上也可以安裝軟件防火墻，此外，還可以采取其它措施（包括技術(shù)性的和非技術(shù)性的）來確保主機的安全。

監(jiān)聽器：客戶端在訪問數(shù)據(jù)庫之前，要通過監(jiān)聽器進行連接，監(jiān)聽器有時候也會成為“泄密者”，因此，我們要經(jīng)常研究和防范監(jiān)聽器的安全風(fēng)險。

認證機制：在連接數(shù)據(jù)庫時，需要對用戶進行認證，可以使用數(shù)據(jù)庫自身的認證機制，也可以使用操作系統(tǒng)認證和外部認證。外部認證機制有KERBEROS、RADIUS、SSL等。

加密：數(shù)據(jù)在網(wǎng)絡(luò)的傳輸過程中，我們可以對數(shù)據(jù)進行加密，可以用RC4、DES、Triple-DES、AES等對網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)進行加密，這樣的加密是網(wǎng)絡(luò)層面的，并不是數(shù)據(jù)庫層面。在數(shù)據(jù)庫層面，我們可以對特定的表進行加密，也可以對整個表空間進行加密，此外，也可以對存儲過程或者函數(shù)進行加密，Oracle提供了工具wrap來加密包括存儲過程、函數(shù)、包等的PL/SQL源代碼。數(shù)據(jù)字典也可以被加密。

Oracle應(yīng)用：為了“掩蓋”數(shù)據(jù)的真相，Oracle通過視圖掩蓋基表，通過虛擬私有數(shù)據(jù)庫控制用戶對特定數(shù)據(jù)的訪問。Oracle Label Security也用來限制用戶對數(shù)據(jù)的訪問。談到數(shù)據(jù)庫安全時，也不能不談到Oracle Database Vault，它存在一定的應(yīng)用場景中，用于限制超級用戶。

審計：審計是數(shù)據(jù)庫安全最重要的一個環(huán)節(jié)之一，它對數(shù)據(jù)庫的用戶行為進行監(jiān)控，除了Oracle自帶的審計功能，我們也可以使用第三方的產(chǎn)品，如Guardium。Guardium除了具有審計的功能，還具有數(shù)據(jù)庫防火墻的功能。

啟明星辰公司數(shù)據(jù)庫審計專家點評

此文對數(shù)據(jù)庫安全進行了多方面的考慮，內(nèi)容豐富，是非常好的科普文章。作者不僅從訪問控制、認證、數(shù)據(jù)加密等角度闡述數(shù)據(jù)庫自身安全，也考慮了應(yīng)用服務(wù)器和外網(wǎng)等內(nèi)容。數(shù)據(jù)庫安全在國內(nèi)已經(jīng)有了很好的發(fā)展，相關(guān)產(chǎn)品除了國外的Oracle Database Vault、Guardium等產(chǎn)品，國內(nèi)的啟明星辰天玥、國都興業(yè)慧眼等數(shù)據(jù)庫安全產(chǎn)品也值得關(guān)注，國際知名咨詢機構(gòu)Frost &Sullivan對2012年中國數(shù)據(jù)庫安全市場的分析報告顯示，啟明星辰天玥產(chǎn)品市場占有率排名第一。