数据库服务器-非内建式数据库标准安全

数据库服务器-非内建式数据库标准安全

【 专稿】数据库服务器实际上是每一个电子交易、金融和企业资源规划（ERP）系统的基础，它还包括来自商业伙伴和客户的敏感信息。尽管这些系统的数据完整性和安全性是相当重要的，但对数据库采取的安全检查措施的级别还比不上操作系统和网络的安全检查措施的级别。许多因素都可能破坏数据的完整性并导致非法访问，这些因素包括复杂程度、密码安全性较差、误配置、未被察觉的系统后门以及自适应数据库安全方法的强制性常规使用等。

非内建式数据库标准安全性能    MS SQL Server Sybase *** 7 *** 8    帐户锁定设备 no no no yes    重命名管理帐户 no no no no    要求严密的口令 no no no yes    陈旧的帐户 no no no no    密码失效 no yes no yes    登录时间限制 no no no no    上表列出了大多数IT专业人士期望或要求操作系统所应具备的特性，但在数据库服务器的标准安全设施中并未出现。由于这些数据库都可进行端口寻址的，操作系统的核心安全机制并未应用到与网络直接联接的数据库中。一些产品，例如Microsoft SQL Server, 都可利用功能更加强大的Windows NT安全机制去发现上面提到的安全漏洞。但是，考虑到运行环境并不全是Windows NT，所以大多数依然执行MS SQL Server的安全标准。而实施则是另外一回事了。如果公司实用的是*** 8，管理员如何能知道是否真地实施了安全特性？是否一直在全公司中得到实施？

这几项特性相结合，使得与之相关的问题更加严峻。由于系统管理员的帐号是不能重命名的（SQL和Sybase是“sa”，对于***是“System”和“sys”），如果没有密码封锁可用或已配置完毕，入侵者就可以对数据库服务器发动强大字典式登录进攻，最终能破解密码。

怎样挡住对服务器耐心持久的高水平攻击    其实数据库密码的管理－在多数数据库系统提供的安全标准中，没有任何机制能够保证某个用户正在选择有力的－或任意的－密码。这一基本的安全问题需要细心的监督。此外还需要对全部密码列表进行管理和安全检查。例如，***数据库系统具有十个以上地特定地默认用户帐号和密码，此外还有用于管理重要数据库操作的唯一密码，如对***数据库开机程序的管理、访问网络的听众过程以及远程访问数据库的权限等。如果安全出现了问题，这些系统的许多密码都可让入侵者对数据库进行完全访问，这些密码甚至还被存储在操作系统的普通文本文件里。