數(shù)據(jù)庫概論第六章安全性控制主體客體權限加密審計統(tǒng)計數(shù)據(jù)庫安全隱私保護主體主體(principal)：是可以授予權限以訪問特定數(shù)據(jù)庫對象的對象，包括登錄用戶、角色、應用程序主體范圍Windows級別的主體：Windows域用戶帳號/組、本地用戶帳號/組，基于Windows身份驗證SQLServer級別的主體：SQLServer級別的登錄名和固定服務器角色數(shù)據(jù)庫級別的主體：數(shù)據(jù)庫用戶、數(shù)據(jù)庫角色、應用程序角色Windows級別的主體創(chuàng)建Windows登錄名createloginlogin_namefrom

windowscreatelogin[ljchen-PC\SQLUser]from

windows刪除Windows登錄名droploginlogin_name拒絕和允許Windows用戶訪問SQLServerdenyconnectSQLtologin_namegrantconnectSQLtologin_nameWindows級別的主體查看Windows登錄名sys.server_principalsselect name,type,sid,principal_idfrom

sys.server_principalswhere type_desc=‘WINDOWS_LOGIN’SQLServer級別的主體創(chuàng)建SQLServer登錄名createloginlogin_namecreatelogin sweetHeartwithpassword =‘123456’

default_database

=‘demoDB’查看SQLServer登錄名select name,type,sid,principal_idfrom

sys.server_principalswhere type_desc=‘SQL_LOGIN’數(shù)據(jù)庫級別的主體創(chuàng)建SQLServer數(shù)據(jù)庫用戶createuseruser_namecreateuser Carefullyforlogin

[ljchen-PC\SQLUser]withdefault_schema

=Finance刪除數(shù)據(jù)庫用戶：dropuser報告數(shù)據(jù)庫用戶信息：sp_helpuser角色角色是一組相關權限的結合，即將多個不同的權限集合在一起就形成了角色用戶權限用戶權限角色角色角色添加登錄名到固定服務器角色：sp_addsrvrolemember從固定服務器角色刪除登錄名：sp_dropsrvrolemembersp_addsrvrolemember‘sweetHeart’,‘sysadmin’查看SQLServer固定服務器角色select namefrom

sys.server_principalswhere type_desc=‘SERVER_ROLE’publicsysadminsecurityadminserveradminsetupadminprocessadmindiskadmindbcreatorbulkadmin角色添加用戶名到數(shù)據(jù)庫角色：sp_addrolemember從數(shù)據(jù)庫角色刪除用戶名：sp_droprolememberexecsp_addrolemember‘db_datawriter’,‘Carefully’查看SQLServer固定數(shù)據(jù)庫角色sp_helpdbfixedrole查看角色成員sp_helprolemember客體客體：也稱安全對象(securable)服務器范圍：登錄名、數(shù)據(jù)庫和端點數(shù)據(jù)庫范圍：數(shù)據(jù)庫用戶、角色、架構架構范圍：各種對象，如表、視圖、函數(shù)、存儲過程等權限權限(permission)：允許主體在安全對象上執(zhí)行操作權限的轉授和回收允許用戶把已獲得的權限轉授給其他用戶，也可以把已授給其他用戶的權限再回收上來權限圖結點是用戶，根結點是DBA，有向邊Ui→Uj，表示用戶Ui把某權限授給用戶Uj一個用戶擁有權限的充分必要條件是在權限圖中有一條從根結點到該用戶結點的路徑權限DBAU1U2U3U4U5DBAU1U2U3U4U5DBAU2U3DBAU2U3DBAU2U3DBAU2U3權限報告可用權限：sys.fn_builtin_permissionsselect class_desc,permission_name, covering_permission_name, parent_class_desc, parent_covering_permission_namefrom sys.fn_builtin_permissions(‘object’)權限授權命令grant

權限on

對象名to

{用戶[，用戶]…|public}[withgrantoption]

表級權限包括：select,update,insert,delete,index,alter,drop,resource等以及它們的總和all，其中對select,update可指定列名

withgrantoption表示獲得權限的用戶可以把權限再授予其它用戶為什么需要references權限？權限回收權限revoke

權限on

對象from

{用戶[，用戶]…|public}

收回權限時，若該用戶已將權限授予其它用戶，則也一并收回。授權路徑的起點一定是DBA示例

grant

select,insert

onStoLiming withgrantoption revoke

insert

onSfromLiming當前用戶declare @usrchar(30)set @usr=user

select 'Thecurrentuseris:'+@usrselect *from Swhere SNAME=user實現(xiàn)精細存取控制普通員工只能查看自己的記錄部門經理可以查看他所管理的員工人力資源代表可以查看所有員工審計審計就是對指定用戶在數(shù)據(jù)庫中的操作情況進行監(jiān)控和記錄，用以審查用戶的相關活動數(shù)據(jù)被非授權用戶刪除，用戶越權管理，權限管理不正確，用戶獲得不應有的系統(tǒng)權限等監(jiān)視和收集關于指定數(shù)據(jù)庫獲得的數(shù)據(jù)哪些表經常被修改，用戶共執(zhí)行了多少次I/O操作等，為優(yōu)化提供依據(jù)審計：SQLServer服務器審核createserverauditMyServerAudittofile…服務器審核規(guī)范createserverauditspecificationMyServerAuditSpe

forserverauditMyServerAuditalterserverauditspecificationMyServerAuditSpe

add(SERVER_PRINCIPAL_CHANGE_GROUP)審計：SQLServer數(shù)據(jù)庫審核規(guī)范createdatabaseauditspecificationMyDBAudit forserverauditMyServerAuditalterdatabaseauditspecificationMyDBAudit add(SELECTONS)查看審核歷史select event_time,succeeded,statementfrom sys.fn_get_audit_file(…)加密加密短語加密加密數(shù)據(jù)encryptByPassPhrase({'passphrase','cleartext'}

select encryptByPassPhrase('hello','whoami')0x0100000021D68E2E078E3EA6752239788B69D8B9BF1AD542A7C9774C9CAF66304F215F49還原數(shù)據(jù)decryptByPassPhrase({'passphrase','ciphertext'}select decryptByPassPhrase('hello',0x0100000021D68E2E078E3EA6752239788B69D8B9BF1AD542A7C9774C9CAF66304F215F49)0x77686F20616D2069非對稱密鑰加密createasymmetrickeymyAsym_keyinsertintoemp(ename,salary) values(‘tom’,EncryptByAsymkey(Asymkey_ID(‘myAsym_key’),100000000)selectDecryptByAsymkey( Asymkey_ID(‘myAsym_key’),salary)fromempwherename=‘tom’對稱密鑰加密createsymmetrickeymySym_keyinsertintoemp(ename,salary) values(‘tom’,EncryptBykey(Key_GUID(‘mySym_key’),100000000)selectDecryptByKey( Key_GUID(‘mySym_key’),salary)fromempwherename=‘tom’SQL注入認證過程發(fā)出的查詢語句 SELECT*FROMusers WHEREusername=‘jake’ andPASSWORD=‘jakespasswd’.攻擊者篡改這個SQL語句 SELECT*FROMusers WHEREusername=‘jake’and(PASSWORD=‘jakespasswd’or‘x’=‘x’).視圖授權Tom只有察看職工平均工資的權限createviewavg_salas (selectavg(sal) fromPROF)grantSELECTonavg_salto‘Tom’資源控制：OracleCPU使用時間限制 CPU_PER_SESSION邏輯讀個數(shù)限制 LOGICAL_READS_PER_SESSION用戶會話限制 SESSION_PER_USER會話空閑時間限制 IDLE_TIME會話可持續(xù)時間限制 CONNECT_TIME會話專用SGA空間限制 PRIVATE_SGA口令限制 PASSWORD_LIFE_TIM PASSWORD_LOCK_TIME FAILED_LOGIN_ATTEMPTS用戶PROFILE統(tǒng)計數(shù)據(jù)庫安全性用戶只能查詢數(shù)據(jù)的聚集值，不能訪問個體漏洞一個體太少查詢選修“古典哲學史”的學生的平均成績漏洞二多次查詢，太多交疊查詢n個學生的總成績?yōu)閤查詢n個學生＋A的總成績?yōu)閥A的總成績?yōu)閥-x統(tǒng)計數(shù)據(jù)庫安全性防范措施查詢引用的數(shù)據(jù)不能少于n兩個查詢的交不能多于m推出個體信