Web数据库技术应用教程（第二版） 王承君5446-缺第12章 第11章新.pptVIP

Web数据库技术应用教程（第二版） 王承君 主编 中国水利水电出版社 本章学习目标 11.1 数据库安全措施 11.1.1 数据库安全模型 11.1.2 审计追踪和数据备份 11.1.3 数据库备份恢复策略 11.1.4 视图机制和数据加密 11.2 Web服务器和网络的安全措施 11.2.1 操作系统的安全性 11.2.2 Web服务器的安全 11.3其它安全手段 11.3.1 防止程序注入漏洞 11.3.2 防止程序源代码泄露 11.3.3 防止数据库文件被下载的漏洞 小结 第11章 Web数据库的安全 本章学习目标 11.1 数据库安全措施 1 数据库安全模型 2 审计追踪和数据备份 3 数据库备份恢复策略 4 视图机制和数据加密 11.2 Web服务器和 网络的安全措施 1 操作系统的安全性 2 Web服务器的安全 11.3其它安全手段 1 防止程序注入漏洞 2 防止源代码泄露 3 防止数据库文件 被下载的漏洞 本章小结 通过本章的学习，了解Web数据库系统常见的安全问题，掌握必要的防范措施，重点了解如下内容： l 采取哪些基本措施保证数据库的安全。 l 采取哪些基本措施保证WEB服务器和网络的安全。 l 了解一些常用的安全手段。 数据库自身的安全是保证Web访问数据库安全的根本。数据库的安全应从事前预防和事后追踪两个方面进行考虑。事前预防通常包括数据库安全模型、视图机制、数据加密、数据库备份等几个方面，事后追踪通常从审计追踪、数据恢复等方面进行。 （1) 安全认证 （2）访问控制 （3）存取控制 （4）数据加密 审计是一种监视措施，跟踪记录有关数据的访问活动。审计追踪把用户对数据库的所有操作自动记录下来，存放在审计日志中（Audit Log）。记录的内容一般包括：操作类型（如修改、查询、删除），操作终端标识与操作者标识，操作日期和时间，操作所涉及到相关数据（如基本表、视图、记录、属性等），数据库的前象和后象等。利用这些信息，可以进一步找出非法存取数据的库人、时间和内容等。 数据库系统管理系统的备份和恢复机制就是保证在数据库系统出故障时，能够将数据库系统还原到正常状态。 数据备份（建立冗余数据）是指定期或不定期地对数据库进行复制。可以将数据复制到本地机制上，也可以复制到其他机器上。恢复方法通常是可以利用利用备份技术、事务日志技术、镜像技术完成。 视图：为不同的用户定义不同的视图，可以限制各个用户的访问范围。通过视图机制把要保护的数据对无权存取这些数据的用户隐藏起来，从而自动地对数据库提供一定程度的安全保护。 数据加密（Data Encryption）是防止数据库中数据存储和传输中失密的有效手段。加密的基本思想是根据一定的算法将原始数据（明文plaintext）加密成为不可直接识别的格式（密文，ciphertext），数据以密文的方式存储和传播。 Web数据库的安全威胁涉及许多方面，是一个全局性的问题，而且黑客的攻击手段和方法不断翻新，因此要根据企业的实际需求综合考虑各种技术，构建一个有机的结合体。 如何加强Web服务器的安全机制，建立高安全性能的可靠的Web服务器，已成为网络管理的重要组成部分。不同的WEB服务器其安全性能和安全措施也不一样，IIS（Internet Information Server）作为当今流行的Web服务器之一，提供了强大的Internet和Intranet服务功能，因此下面的研究也针对IIS来进行。通过具体环境中的使用和研究，认为在以下几个方面应引起特别注意。 操作系统的系统的安全是Web服务器安全的基本保证。操作系统的安全性从文件系统、操作权限、网络协议等方面考虑。下面以Windows操作系统为例进行说明。 （1）应用NTFS文件系统 （2）共享权限的修改 （3）为系统管理员账号更名 （4）取消TCP/IP上的NetBIOS绑定 Web服务器的安全是Web数据库安全的必要条件。Web服务器的安全应从安装规划、访问控制、通信协议等方面考虑。下面以IIS Web服务器的安全防范进行阐述。 （1）安装时应注意的安全问题 （2）用户的安全性 （3）IIS三种形式认证的安全性 （4）访问权限控制 （5）IP地址的控制 （6）端口安全性的实现 （7）IP转发的安全性 （8）SSL安全机制 虽然Web服务器和数据库从系统升级、加装安全补丁等方式不断来加强系统的安全，但并不能解决Web服务器和数据库所有的安全问题，下面的方法从另外的渠道来加强Web数据库的安全。 注入漏洞是目前比较流行的攻击方式，也是新手最容易忽略的漏洞，很多网站把密码放到