數(shù)據(jù)庫服務(wù)器安全的權(quán)限操控戰(zhàn)略（一）

任何服務(wù)器安全與功能是兩個主題。作為企業(yè)信息化安全人員，其主要任務(wù)便是怎么樣在確保服務(wù)器功能前提下又進步服務(wù)器安全性。而要做到這一點，服務(wù)器的拜訪權(quán)限操控戰(zhàn)略無疑是其間的一個重要環(huán)節(jié)。筆者企業(yè)近上了一臺新的數(shù)據(jù)庫服務(wù)器，我為他規(guī)劃了一些權(quán)限操控手段。這些辦法雖然不能夠百分之百的確保數(shù)據(jù)庫服務(wù)器的安全性，可是，這些仍然是數(shù)據(jù)庫服務(wù)器安全戰(zhàn)略中必不可少的要素。他對進步數(shù)據(jù)庫服務(wù)器的安全性有著不可磨滅的效果。

 

　　其實這些操控戰(zhàn)略，不光對數(shù)據(jù)庫服務(wù)器有用；對其他的使用服務(wù)器仍然具有參考價值。

 

　　1、給用戶頒發(fā)其所需求的小權(quán)限

 

　　不要給數(shù)據(jù)庫用戶供給比其需求的還要多的權(quán)限。換句話說，只給用戶真實需求的、為高效和簡潔地完結(jié)作業(yè)所需求的權(quán)限。這個道理很簡單了解。這就好像防止職業(yè)貪婪一樣。

 

　　如從數(shù)據(jù)庫服務(wù)器的視點來考慮這個問題，這就要求數(shù)據(jù)庫辦理員在設(shè)置用戶拜訪權(quán)限的時分，注意如下幾個方面的問題。

 

　　一是要約束數(shù)據(jù)庫辦理員用戶的數(shù)量。在任何一個服務(wù)器中，辦理員具有高的權(quán)限。為了讓數(shù)據(jù)庫維持正常的運轉(zhuǎn)，有必要給數(shù)據(jù)庫裝備辦理員賬戶。不然的話，當數(shù)據(jù)庫呈現(xiàn)毛病的時分，就沒有適宜的用戶對其進行保護了�？墒�，這個辦理員賬戶的數(shù)量要嚴厲進行約束。不能為了貪圖方便，把各個用戶都設(shè)置成為辦理員。如筆者企業(yè)，在一臺數(shù)據(jù)庫服務(wù)器中運行著兩個實例，可是，只有一個數(shù)據(jù)庫辦理員擔任數(shù)據(jù)庫的日常保護。所以，就只有一個辦理員賬戶。

 

　　二是選擇適宜的賬戶連接到數(shù)據(jù)庫。一般數(shù)據(jù)庫的拜訪權(quán)限能夠經(jīng)過兩種辦法進行操控。一是經(jīng)過前臺使用程序。也便是說，其連接到數(shù)據(jù)庫是一個一致的賬戶，如辦理員賬戶；可是，在前臺使用程序中設(shè)置了一些關(guān)卡，來操控用戶的拜訪權(quán)限。這種辦法雖然能夠減少前臺程序開發(fā)的作業(yè)量，可是，關(guān)于數(shù)據(jù)庫服務(wù)器的安滿是不利的。二是在前臺程序中，就直接使用職工賬戶的賬號登陸到數(shù)據(jù)庫體系。這種做法雖然能夠進步數(shù)據(jù)庫的安全性，可是，其前臺裝備的作業(yè)量會比較繁瑣。而筆者往往選用折中的辦法。在數(shù)據(jù)庫中有兩類賬戶，一類是辦理員賬戶，只有前臺體系辦理員才能夠使用這類賬戶登陸到數(shù)據(jù)庫體系。別的一類是一般賬戶，其雖然能夠拜訪數(shù)據(jù)庫中的所有非體系目標，可是，他們不能夠?qū)��?shù)據(jù)庫體系的運行參數(shù)進行修正。然后詳細數(shù)據(jù)目標的拜訪，則經(jīng)過前臺使用程序操控。如此，前臺使用程序一般職工只需求經(jīng)過同一個賬戶連接到數(shù)據(jù)庫體系。而體系辦理員若需求進行體系保護，如數(shù)據(jù)庫體系備份與還原，則能夠經(jīng)過數(shù)據(jù)庫辦理員賬戶連接到數(shù)據(jù)庫體系。則即方便了前臺使用程序的裝備功率，又進步了數(shù)據(jù)庫服務(wù)器的安全性�？傊�，我們的目的便是要約束以數(shù)據(jù)庫辦理員身份連接到數(shù)據(jù)庫的用戶數(shù)量。

 

　　在其他使用服務(wù)器中，也有辦理員賬戶與一般賬戶之分。在權(quán)限分配的時分，也好只給用戶頒發(fā)其需求的小權(quán)限，以確保數(shù)據(jù)庫服務(wù)器的安全。

 

　　2、取消默許賬戶不需求的權(quán)限

 

　　在建立賬戶的時分，服務(wù)器往往給給其一些默許的權(quán)限。如在數(shù)據(jù)庫中，Public是頒發(fā)每個用戶的默許人物。任何用戶，只要沒有指定詳細的人物，則其都能夠頒發(fā)Public組的權(quán)限。這其間，還包括履行各種SQL句子的權(quán)限。如此，用戶就有或許使用這個辦理漏洞，去拜訪那些不允許他們直接拜訪的包。因為這個默許權(quán)限，關(guān)于那些需求他們并且需求適宜裝備和使用他們的使用來說，是非常有用的，所以，體系默許情況下，并沒有禁止。可是，這些包或許不適合與其他使用。故，除非絕對的需求，不然就應(yīng)該從默許缺點中刪除。

 

　　也便是說，一般某個賬戶的默許權(quán)限，其是比較大的。如關(guān)于數(shù)據(jù)庫來說，其賬戶的默許權(quán)限便是能夠拜訪所有的非體系目標表。數(shù)據(jù)庫規(guī)劃的時分，主要是為了考慮新建用戶的方便。并且，新建用戶的時分，數(shù)據(jù)庫確實也無法辨認這個用戶究竟能夠拜訪哪些用戶目標�？墒�，關(guān)于企業(yè)使用體系來說，若給每個職工都默許具有這么大的拜訪權(quán)限，那則是很不安全的。

 

　　筆者的做法是，會把使用體系的默許用戶權(quán)限設(shè)置為小，有些甚至把默許用戶權(quán)限全部取消掉。這就迫使服務(wù)器辦理員在建立賬戶的時分，給賬戶指定辦理員預(yù)先設(shè)定的人物。這就能夠有用的防止辦理員“偷閑”。在建立賬戶的時分，不指定人物。