高校教務(wù)管理系統(tǒng)oracle數(shù)據(jù)庫安全問題淺析高校教務(wù)管理系統(tǒng)oracle數(shù)據(jù)庫平安問題淺析

教務(wù)管理系統(tǒng)是高等學(xué)校教育工作的一項(xiàng)重要內(nèi)容，是整個(gè)學(xué)校教務(wù)管理的根底。教務(wù)管理工作是學(xué)校教學(xué)管理部門按照高校教育方針，運(yùn)行先進(jìn)的管理伎倆，組織、協(xié)調(diào)、指揮全校人員進(jìn)行的教學(xué)活動(dòng)。教務(wù)管理工作是學(xué)校工作的重心，是保證高校教學(xué)機(jī)智正常運(yùn)行的樞紐，對(duì)高校教學(xué)秩序穩(wěn)定、教學(xué)過程順利發(fā)展和教學(xué)質(zhì)量提高有著重要的指導(dǎo)意義。

四川警察學(xué)院采用的是杭州正方電子項(xiàng)目有限公司的正方教學(xué)管理信息系統(tǒng)，該系統(tǒng)的后臺(tái)數(shù)據(jù)庫選用Oracle，前臺(tái)開發(fā)工具采用Delphi、ASP.NET，部署于windowsserver2022，采用前臺(tái)程序/后臺(tái)數(shù)據(jù)庫分布部署方式確保數(shù)據(jù)平安。該系統(tǒng)主要涵蓋了學(xué)生信息管理，教學(xué)方案管理，智能排課，考試管理，成績(jī)管理，收費(fèi)注冊(cè)，學(xué)生網(wǎng)上選課、查詢、評(píng)價(jià)，教材等幾個(gè)大的方面。通過幾年的使用，學(xué)校的教學(xué)管理工作得到了很大的提高，日常教學(xué)工作安頓和調(diào)度已實(shí)現(xiàn)系統(tǒng)化，信息化管理。從新生入校開始的學(xué)生信息管理，每學(xué)期的教學(xué)方案制定，每個(gè)教學(xué)系部的智能排課，期末考試管理，成績(jī)管理和畢業(yè)生管理都頻繁的使用該系統(tǒng)，系統(tǒng)在使用過程中反復(fù)的訪問數(shù)據(jù)庫效勞器，而數(shù)據(jù)庫中存在著許多關(guān)鍵數(shù)據(jù)，這些數(shù)據(jù)對(duì)于學(xué)校教學(xué)管理有著至關(guān)重要的作用。因此，數(shù)據(jù)庫平安方面的問題就顯得極為重要，必須加強(qiáng)對(duì)數(shù)據(jù)庫平安技術(shù)的研究。學(xué)院的教學(xué)管理信息系統(tǒng)采用的是Oracle數(shù)據(jù)庫，因此如何保證Oracle數(shù)據(jù)庫的平安有著極為重要的意義。Oracle數(shù)據(jù)庫在通常條件下可以保證數(shù)據(jù)庫的平安性和穩(wěn)定性，如果數(shù)據(jù)庫的操作系統(tǒng)受到其他計(jì)算機(jī)或者網(wǎng)絡(luò)的故障影響，則數(shù)據(jù)的平安性就會(huì)受到威脅，甚至出現(xiàn)Oracle數(shù)據(jù)庫癱瘓的現(xiàn)象。為了保證數(shù)據(jù)庫的平安性，必須對(duì)數(shù)據(jù)庫采用平安技術(shù)來保證系統(tǒng)的正常運(yùn)行，確保數(shù)據(jù)的絕對(duì)平安和可靠。

一、Oracle數(shù)據(jù)庫數(shù)據(jù)平安分析

Oracel數(shù)據(jù)庫中包含了學(xué)生的注冊(cè)信息，教師的根本信息，學(xué)生的成績(jī)信息等大量重要的數(shù)據(jù)，在確保數(shù)據(jù)庫系統(tǒng)運(yùn)行良好、穩(wěn)定可靠的同時(shí)，數(shù)據(jù)庫環(huán)境方面數(shù)據(jù)平安主要是指當(dāng)管理系統(tǒng)數(shù)據(jù)庫在遭受平安侵害時(shí)，數(shù)據(jù)庫對(duì)數(shù)據(jù)采取的愛護(hù)和恢復(fù)機(jī)制。在實(shí)際運(yùn)行中侵犯數(shù)據(jù)庫平安的類型大致有下列3類：

〔1〕意外損壞。是指非人力范圍所能控制的意外事故災(zāi)害，比方地震、水災(zāi)、火災(zāi)等自然災(zāi)害造成的硬件損壞從而導(dǎo)的致數(shù)據(jù)損壞和喪失。

〔2〕人為疏忽。由人工失誤操作造成的無意損害，比方系統(tǒng)管理員或者授權(quán)用戶的操作失誤，應(yīng)用程序bug造成的誤操作等。

〔3〕歹意破壞。在互聯(lián)網(wǎng)絡(luò)中遭到非法人員的人為攻擊、破壞、毀損及其它歹意操作行為。要確保數(shù)據(jù)庫數(shù)據(jù)的平安首要條件是必須建立數(shù)據(jù)庫數(shù)據(jù)定期備份和被攻擊后的恢復(fù)機(jī)制，其中包括有時(shí)間規(guī)律的數(shù)據(jù)備份、日志備份和系統(tǒng)控制文件備份，保證在遭受上述幾種平安侵犯時(shí)可以快速的恢復(fù)數(shù)據(jù)，最短時(shí)間內(nèi)恢復(fù)管理系統(tǒng)的正常運(yùn)行；其次是要加強(qiáng)數(shù)據(jù)庫系統(tǒng)日常平安管理，制定有效的系統(tǒng)和人員管理機(jī)制來保障數(shù)據(jù)庫系統(tǒng)平安。

二、Oracle數(shù)據(jù)庫平安問題解決策略

1、用戶及權(quán)限的管理策略

有效的數(shù)據(jù)庫用戶維護(hù)和管理機(jī)制是愛護(hù)數(shù)據(jù)庫系統(tǒng)平安的最重要伎倆。通過系統(tǒng)管理員建立不同的用戶組和用戶口令密碼，可以很好的避免非法用戶進(jìn)入訪問數(shù)據(jù)庫系統(tǒng)，防止不必要的麻煩和數(shù)據(jù)損壞。

〔1〕數(shù)據(jù)庫系統(tǒng)管理員在系統(tǒng)中建立了create、alter或drop等數(shù)據(jù)庫用戶，對(duì)于學(xué)院教務(wù)系統(tǒng)只有學(xué)院指定的超級(jí)管理員才應(yīng)該有建立和管理數(shù)據(jù)庫用戶的權(quán)限，因此對(duì)SYS和SYSTEM兩個(gè)賬戶要進(jìn)行保密管理。

〔2〕對(duì)于一般用戶權(quán)限，數(shù)據(jù)庫管理員可以根據(jù)系統(tǒng)的具體使用情況來決定用戶組分類并創(chuàng)立用戶角色，將權(quán)限和應(yīng)用程序角色按需分配給每一個(gè)用戶。但是當(dāng)要處理特殊的應(yīng)用要求時(shí)，管理員也必須制定特殊權(quán)限要求授予用戶。比方教務(wù)處相關(guān)管理人員有查詢數(shù)據(jù)庫、錄入數(shù)據(jù)的權(quán)限，但是都需要給限制為內(nèi)網(wǎng)訪問，控制訪問者IP，而學(xué)生或那么學(xué)生家長(zhǎng)在訪問教務(wù)系統(tǒng)時(shí)，內(nèi)網(wǎng)和外網(wǎng)都可以訪問該生的數(shù)據(jù)。

〔3〕對(duì)于程序開發(fā)公司有自己的管理賬號(hào)和密碼，但是對(duì)于數(shù)據(jù)庫效勞器不允許其遠(yuǎn)程控制，關(guān)閉了網(wǎng)絡(luò)遠(yuǎn)程訪問的端口，防止開發(fā)公司的技術(shù)人員占用數(shù)據(jù)庫資源，泄露學(xué)校的教學(xué)資源。

在Oracle數(shù)據(jù)庫中，遵循嚴(yán)格的權(quán)限分配原那么，由數(shù)據(jù)庫管理員根據(jù)學(xué)校的教務(wù)系統(tǒng)使用情況負(fù)責(zé)分配權(quán)限，比方分管教學(xué)院長(zhǎng)和教務(wù)處長(zhǎng)有數(shù)據(jù)庫登陸、訪問和修改的權(quán)限，教務(wù)科只能對(duì)數(shù)據(jù)庫中的學(xué)生成績(jī)、課程方案和畢業(yè)論文有訪問和修改權(quán)限，教學(xué)督導(dǎo)科只能對(duì)師資、質(zhì)量監(jiān)控?cái)?shù)據(jù)庫進(jìn)行訪問和修改。合理的分配用戶的使用權(quán)限才能有效地保證Oracle數(shù)據(jù)庫平安。

2、數(shù)據(jù)庫的加密

數(shù)據(jù)加密是Oracle數(shù)據(jù)庫系統(tǒng)抵御外來入侵攻擊的重要防線。在操作系統(tǒng)下Oracle數(shù)據(jù)庫系統(tǒng)以文件形式儲(chǔ)存管理，系統(tǒng)只要被入侵，入侵者就可以直接竊取數(shù)據(jù)庫文件，更有可能刪除、偽造、篡改學(xué)生數(shù)據(jù)，將會(huì)給整個(gè)教務(wù)系統(tǒng)帶嚴(yán)重的消滅，更改的數(shù)據(jù)隱患一般用戶難以發(fā)覺，直到調(diào)用數(shù)據(jù)才發(fā)現(xiàn)會(huì)造成不可挽回的損失。針對(duì)這類問題，我們通常采用對(duì)數(shù)據(jù)庫管理系統(tǒng)分3個(gè)層次加密辦法來解決，保障教務(wù)系統(tǒng)Oracle數(shù)據(jù)庫系統(tǒng)被突破時(shí)數(shù)據(jù)庫數(shù)據(jù)的平安。

〔1〕操作系統(tǒng)〔OS〕層加密。操作系統(tǒng)是數(shù)據(jù)庫系統(tǒng)的運(yùn)行平臺(tái)，并為其提供一定程度的平安愛護(hù)。操作系統(tǒng)平安策略主要使用用戶賬戶、口令、訪問權(quán)限來實(shí)現(xiàn)，只有合法用戶才有賬戶，通過口令驗(yàn)證訪問系統(tǒng)。系統(tǒng)管理員對(duì)用戶的行為進(jìn)行跟蹤和記錄，便于系統(tǒng)管理員分析系統(tǒng)的訪問情況以及事后的追查使用。〔2〕數(shù)據(jù)庫管理系統(tǒng)〔DBMS〕內(nèi)核層加密。這種辦法是在存取數(shù)據(jù)之前完成加密和解密工作，加密功能強(qiáng)，且?guī)缀醪粫?huì)影響DBMS的功能，可以實(shí)現(xiàn)加密功能與數(shù)據(jù)庫管理系統(tǒng)之間的無縫耦合；但是缺點(diǎn)是加密運(yùn)算是在效勞器上進(jìn)行的，加重了效勞器的負(fù)載，影響系統(tǒng)的訪問運(yùn)行速度，而且接口需要學(xué)校教務(wù)系統(tǒng)開發(fā)商的技術(shù)支持。

〔3〕數(shù)據(jù)庫管理系統(tǒng)〔DBMS〕外層實(shí)現(xiàn)加密。這種辦法將數(shù)據(jù)庫加密系統(tǒng)做成軟件工具放置在數(shù)據(jù)庫系統(tǒng)中，根據(jù)加密的需求自動(dòng)完成對(duì)數(shù)據(jù)庫數(shù)據(jù)的加、解密工作。這種方式的運(yùn)算過程都是在客戶端進(jìn)行，不會(huì)加重效勞器的負(fù)載同時(shí)可以實(shí)現(xiàn)網(wǎng)上數(shù)據(jù)傳輸?shù)募用埽羌用芄δ軙?huì)受到終端網(wǎng)關(guān)和訪問效勞器網(wǎng)段設(shè)置的一些限制，與管理系統(tǒng)之間的耦合性稍差。

3、Oracle數(shù)據(jù)庫的備份

Oracle數(shù)據(jù)庫的備份辦法有多種，目的都是為了在出現(xiàn)故障后能夠以盡可能快的時(shí)間和盡可能小的代價(jià)恢復(fù)系統(tǒng)。數(shù)據(jù)庫的備份分為物理備份和邏輯備份.物理備份就是在操作系統(tǒng)層面上復(fù)制物理文件，包括數(shù)據(jù)文件、控制文件和歸檔重做日志文件、初始化參數(shù)文件等資料。物理備份可以在數(shù)據(jù)庫關(guān)閉狀態(tài)下進(jìn)行冷備份和在數(shù)據(jù)庫開放狀態(tài)下進(jìn)行熱備份。邏輯備份時(shí)在數(shù)據(jù)庫中用export導(dǎo)出二進(jìn)制文件，可以在不同系統(tǒng)結(jié)、操作系統(tǒng)和orcale版本間移動(dòng)數(shù)據(jù)。物理備份是為了避免操作系統(tǒng)的數(shù)據(jù)庫組件喪失，邏輯備份主要實(shí)現(xiàn)數(shù)據(jù)在不同版本間的移動(dòng)。

Oracle數(shù)據(jù)庫系統(tǒng)提供記錄庫中進(jìn)行修改、調(diào)整參數(shù)等各種操作的日志，作為數(shù)據(jù)庫管理員，數(shù)據(jù)庫的備份是日常工作中重要環(huán)節(jié)。高校教務(wù)管理系統(tǒng)面臨的主動(dòng)攻擊和歹意攻擊被破壞的時(shí)機(jī)越來越多，教務(wù)管理系統(tǒng)的數(shù)據(jù)平安將面臨了更加嚴(yán)格的挑戰(zhàn)。一旦教務(wù)系統(tǒng)受到攻擊，學(xué)生成績(jī)喪失，教學(xué)方案更改、畢業(yè)生信息外泄等狀況將造成無法挽回的損失，更為嚴(yán)重的可能造成教學(xué)過程的癱瘓。因此堅(jiān)持定期教務(wù)管理系統(tǒng)的日志備份，是維護(hù)系統(tǒng)平安、穩(wěn)定運(yùn)行有效途徑。

4、管理平安策略

依賴以上幾個(gè)平安技術(shù)措施，還不能完全保證數(shù)據(jù)庫系統(tǒng)的平安，還需要建立完善的管理平安策略，制定平安責(zé)任制度，將平安責(zé)任落實(shí)到人，管理員嚴(yán)格的填寫訪問和監(jiān)控日志，做好定期的數(shù)據(jù)備份，特別是在高校寒暑假、新學(xué)期交替之際做好系統(tǒng)的平安備份工作，以及在假日期間的人員值班安頓，只有多方面的綜合管理策略，標(biāo)準(zhǔn)的權(quán)限管理功