文档介绍：第九章数据库的安全性和完整性
计算机系统的安全性
计算机系统的安全性是指为计算机系统建立和采取的各种安全保护措施,以保护计算机系统中的硬件、软件和数据,防止其因偶然或恶意的原因使系统遭到破坏,数据遭到更改或泄漏等。
计算机系统安全问题的分类
技术安全类
技术安全是指计算机系统中采用具有一定安全性的硬件、软件来实现对计算机系统及其所存数据的安全保护,当计算机受到有意的或无意的攻击时仍能保证系统的正常运行,保证系统内的数据不增加、不丢失、不泄露。
管理安全类
技术安全之外的,诸如软硬件意外故障、场地的意外事故、管理不善导致的计算机设备和数据介质的物理破坏、丢失等安全问题视为管理安全。
政策法律类
指政府部门建立的有关计算机犯罪、数据安全保密的法律道德准则和政策法规、法令。
可信计算机评测标准
1985年,美国国防部制定了可信计算机评估标准TCSEC(puter System Evaluation Criteria)。1991年4月,美国国家计算机安全中心NCSC发布《可信计算机系统评估标准关于数据库系统的解释TDI(Trusted Database Interpretation),将TCSEC扩展到数据库管理系统。它们从安全策略、责任、保证、文档四个方面描述了安全级别划分的指标。
可信计算机评测标准(续I)
安全级别
定义
A1
验证设计(Verified Design)
B3
安全域(Security Domain)
B2
结构化保护(Structural Protection)
B1
标记安全保护(Labeled Security Protection)
C2
受控存取保护(Controlled Access Protection)
C1
自主安全保护(Discretionary Security Protection)
D
最小保护(Minimal Protection)
对数据库的安全威胁
原则上,凡是造成对数据库内存储数据的非授权访问–读取,或非授权的写入–增加、删除、修改等,都属于对数据库的数据安全造成了威胁或破坏。另一方面,凡是影响授权用户以正常方式使用数据库系统的数据服务的,也称之为造成侵犯,对数据库的安全形成了威胁或破坏。
对数据库的安全威胁的分类
偶然地、无意地接触或修改DBMS管理下的数据
自然的或意外的事故
硬件或软件的故障/错误导致数据丢失
人为的失误,如错误的输入和应用系统的不正常使用。
对数据库的安全威胁的分类(I)
蓄意的侵犯和敌意的攻击
授权用户可能滥用其权力
信息的非正常扩散-泄密
由授权读取的数据推论出不应访问的数据
对信息的非正常修改
敌对方的攻击,内部的或外部的非授权用户从不同渠道进行攻击。
敌对方对软件和硬件的蛮力破坏
绕过DBMS直接对数据进行读写
病毒、特洛伊木马、天窗
通过各种途径干扰DBMS的正常工作状态,使之在正当用户提出数据请求时,不能正常提供服务。
数据库的安全性
数据库的安全性是指保护数据库以防止不合法的使用所造成的数据泄漏、更改和破坏。它包括两个方面的含义:
向授权用户提供可靠的信息服务。
同时,拒绝非授权的对数据的存取访问请求,保证数据库管理下的数据的可用性、完整性和一致性,进而保护数据库所有者和使用者的合法权益。
数据库安全性控制
数据库安全控制涉及多个方面,它可分为内部安全控制和外部安全控制。内部安全控制由计算机系统的软硬件实现。它必须与管理系统物理存取的适当的外部安全控制相配合。
实体安全控制
人员安全控制
过程安全控制