28、数据库安全：权限管理、备份恢复与风险评估-优快云博客

本文链接：https://blog.youkuaiyun.com/js777/article/details/149596407

数据库安全：权限管理、备份恢复与风险评估

1. 数据库权限基础

在数据库操作中，权限管理至关重要。常见的权限类型如下：
- REFERENCES ：允许用户在自己创建的表中，将某表的列引用为外键。此权限可针对特定列授予，而非整个数据库元素。
- ALL PRIVILEGES ：赋予用户对表或视图的所有上述权利。

默认情况下，授予其他用户访问权限，该用户并无权将这些权限再授予他人。若要让其具备此能力，需在授权语句中添加 WITH GRANT OPTION 子句。

2. 授权矩阵的使用

当用户向数据库管理系统（DBMS）发出数据操作请求时，DBMS 会先查询授权矩阵，以确定用户是否有权执行该操作。具体流程如下：

graph LR
    A[用户请求操作数据] --> B[DBMS 查授权矩阵]
    B --> C{有匹配行?}
    C -- 否 --> D[无操作权限]
    C -- 是 --> E[检查具体权限]
    E --> F{有对应权限?}
    F -- 是 --> G[允许操作]
    F -- 否 --> H[拒绝操作]

若 DBMS 未找到匹配用户 ID 和表或视图标识符的行，用户对该数据库元素无任何权限；若存在匹配行，DBMS 会检查用户对该表或视图的具体权限，进而决定是否允许数据库访问。由于所有数据库访问都至少始于对数据字典表的一次搜索，所以关系型 DBMS 是由数据字典驱动的。

3. 数据库实现与权限存储

表和视图的访问权限存储在数据字典中。不同 DBMS 的数据字典表细节有所差异，但通常访问权限会分存在两个系统表，如 Systableperm 和 Syscolperm 。
- Systableperm ：用于记录对整个表或视图授予的访问权限。其结构如下：

Systableperm (table_id, grantee, grantor, 
selectauth, insertauth, deleteauth, updateauth, 
updatecols, referenceauth)

各列含义如下：
| 列名 | 含义 |
| ---- | ---- |
| table_id | 表或视图的标识符 |
| grantee | 被授予权限的用户 ID |
| grantor | 授予权限的用户 ID |
| selectauth | 被授予者的 SELECT 权限 |
| insertauth | 被授予者的 INSERT 权限 |
| deleteauth | 被授予者的 DELETE 权限 |
| updateauth | 被授予者的 UPDATE 权限 |
| updatecols | 指示权限是否授予特定列，值为 Y 时，DBMS 还需查询 Syscolperm |
| referenceauth | 被授予者的 REFERENCES 权限 |
- Syscolperm ：用于记录对表或视图中特定列授予的访问权限。

权限列的值有三种：Y（是）、N（否）、G（是且有授予选项）。

4. 授予和撤销访问权限

4.1 授予权限

创建数据库结构元素时，当前用户名成为该元素的所有者，所有者对其拥有完全控制权，其他用户无任何权限。若要让其他用户访问表和视图，需授予他们相应权限。授予权限使用 GRANT 语句，语法如下：

GRANT type_of_rights ON table_or_view_name TO user_ID

示例：
- 古董眼镜店的 DBA 允许会计经理（用户 ID 为 acctg_mgr ）访问订单汇总视图：

GRANT SELECT ON order_summary TO acctg_mgr

若要让会计经理能将此权限授予他人：

GRANT SELECT ON order_summary TO acctg_mgr WITH GRANT OPTION

若要给学生实习生授予对基础表的有限权限：

GRANT SELECT, UPDATE (retail_price, distributor_name) ON item TO intern1, intern2, intern3

此例中，实习生获得了整个表的 SELECT 权限和特定两列的 UPDATE 权限。同时，可在同一命令中授予多个权限，也可将同一组权限授予多个用户，但单个 GRANT 语句仅适用于一个表或视图。此外，可通过将权限授予特殊用户 ID PUBLIC ，使数据库元素对所有授权用户可见，如：

GRANT SELECT ON order_summary TO PUBLIC

4.2 撤销权限

撤销先前授予的权限使用 REVOKE 语句，语法与 GRANT 几乎相反：

REVOKE access_rights ON table_or_view_name FROM user_ID

示例：
- 古董眼镜店的暑期实习生工作结束，DBA 撤销其对数据库的访问权限：

REVOKE SELECT, UPDATE (retail_price, distributor_numb) ON item FROM intern1, intern2, intern3

若撤销权限的用户拥有 GRANT 选项，且已将权限授予他人，需考虑后续处理方式。如：
- REVOKE SELECT ON order_summary FROM acctg_mgr RESTRICT ：若 acctg_mgr 已将权限授予他人，此撤销操作将被拒绝。
- REVOKE SELECT ON order_summary FROM acctg_mgr CASCADE ：将撤销 acctg_mgr 的权限，并同时撤销其授予其他用户的相同权限。

5. 数据访问决策难题

在确定哪些用户应访问哪些数据时，决策并非易事。例如，某小型私立学院人力资源部的接待员一直能访问人事档案，新系统上线后被禁止访问，引发了她的不满。这表明，信息访问会让人产生权力感，限制访问可能使人们觉得在组织中失去权力和地位。

为解决此问题，部分组织成立委员会来处理数据访问决策。有额外访问需求的用户需向委员会申请，而非向单个人员申请，这既保护了决策人员，又为决策过程提供了更广泛的意见。

另一方面，数据共享也存在问题。某些员工可能控制着需要共享的数据，但不愿释放。解决此问题，主管可强制要求共享，但通常更好的做法是说服数据所有者，让其明白数据共享对大家都有益。同时，负责数据访问决策的委员会也应倾听数据所有者限制数据的合理理由。

6. 数据库备份与恢复

6.1 备份的重要性与策略

备份虽常不被视为安全策略的一部分，但在某些情况下，它是从安全问题中恢复的最有效方法。如服务器被恶意软件严重破坏且无法清除时，可重新格式化受影响的硬盘，并从最近备份中恢复数据库。备份也是应对数据存储物理损坏（如硬盘故障）的唯一防线。

制定备份策略时，需考虑以下因素：
- 备份频率 ：取决于数据的变动频率。若数据库主要用于数据检索，数据修改较少，每周进行一次完整备份，每天进行增量备份可能就足够；若为活跃的事务数据库，数据不断录入，则可能需要每天进行完整备份。
- 备份数量 ：主要考虑恶意软件风险。需保留足够的备份，以便能回溯到无恶意软件的干净数据库副本。可采用“三代备份”策略，即保留“子”“父”“祖父”三代备份副本。

备份介质的选择也在不断变化。过去，硬盘存储昂贵，磁带存储虽便宜但速度慢且只能顺序检索，因此多使用磁带备份。如今，硬盘存储容量增大且价格降低，成为可行的备份设备，大型数据库和小型系统都逐渐转向使用硬盘备份。

此外，确保备份按计划执行至关重要。曾有一家门诊精神病诊所的数据库应用，因接待员未正确退出数据库应用，导致未按计划进行备份。这表明，仅有备份策略不够，还需确保备份实际执行。

6.2 灾难恢复

灾难恢复指数据库受损后使其恢复可用的一系列活动。在大型组织中，数据库灾难恢复通常是更广泛的组织灾难恢复计划的一部分；在小型组织中，则可能由数据库管理员负责协调。

灾难恢复计划通常包含以下内容：
- 备份副本的存放位置，确保即使服务器机房受损，备份仍完好。
- 获取新硬件的方式。
- 从备份中恢复数据库及其应用的方法。
- 在恢复的数据库可用前处理数据的程序。
- 受数据库故障影响的人员名单，以及故障发生和数据库恢复可用时的通知程序。

备份副本的存放位置至关重要，至少应有一份备份存放在异地。大型组织常与商业数据存储设施签约进行备份，这些设施有温控房间以延长备份介质寿命，并通过车辆运送备份介质，使异地备份保持相对最新。小型组织可让 IT 人员将备份带回家保管，但可能在需要时无法访问；也可使用银行保险箱，但通常只能在正常营业时间访问。若小型组织需要随时访问异地备份副本，使用商业设施的费用可能是合理的。

制定好灾难恢复计划后，必须进行测试。组织需进行各种灾难恢复演练，模拟不同的系统故障情况，因为纸上看似良好的计划在实际中可能并不适用。需根据测试结果修改计划，确保组织在灾难发生时能恢复信息系统。

7. 安全投入决策

许多安全措施成本高昂，如采用密码和用户 ID 之外的用户认证措施、与热站签约等。组织是否应投资高端安全措施，主要取决于受保护数据的类型：
- 是否有法律规定数据的隐私保护要求？
- 数据是否可能被用于身份盗窃？
- 数据是否代表商业机密，泄露会严重损害组织的市场地位？

此外，还需考虑自身能承受的风险程度。假设安装足够的安全措施可抵御约 80% 的安全威胁，但要再提高 10% - 20% 的保护率，成本可能与前 80% 的投入相当。若能承受 20% 的安全漏洞风险，80% 的安全措施或许足够；若风险过高，则需不计成本采取更多安全措施。

数据库安全：权限管理、备份恢复与风险评估

8. 权限管理的最佳实践

在数据库权限管理方面，有一些最佳实践可以遵循，以确保数据库的安全性和高效性。
- 最小权限原则 ：只授予用户完成其工作所需的最少权限。例如，对于普通员工，仅授予他们对其工作相关数据的查询权限，而不授予修改或删除权限。这可以减少因误操作或恶意行为导致的数据泄露或损坏的风险。
- 定期审查权限 ：定期审查用户的权限，确保他们仍然需要这些权限。随着员工的岗位变动或工作职责的调整，他们的权限也应该相应地进行调整。例如，员工离职时，应及时撤销其所有权限。
- 使用角色管理权限 ：创建角色并将权限分配给角色，然后将角色分配给用户。这样可以简化权限管理，提高效率。例如，创建“会计角色”，将与会计工作相关的所有权限分配给该角色，然后将该角色分配给会计部门的员工。

9. 备份与恢复的高级策略

除了基本的备份和恢复策略外，还有一些高级策略可以进一步提高数据的安全性和可用性。
- 异地容灾备份 ：除了本地备份和异地备份外，还可以考虑进行异地容灾备份。将备份数据存储在不同地理位置的多个数据中心，以防止因自然灾害或其他重大事件导致所有备份数据丢失。例如，一家跨国公司可以将备份数据存储在不同国家的数据中心。
- 增量备份与差异备份 ：除了完全备份外，还可以使用增量备份和差异备份。增量备份只备份自上次备份以来发生变化的数据，而差异备份备份自上次完全备份以来发生变化的数据。这样可以减少备份时间和存储空间的占用。例如，每天进行增量备份，每周进行一次完全备份。
- 自动化备份与恢复 ：使用自动化工具来执行备份和恢复任务，以确保备份的及时性和准确性。例如，使用脚本或备份软件来定期执行备份任务，并在发生灾难时自动进行恢复。

10. 安全漏洞的检测与防范

为了确保数据库的安全性，需要定期进行安全漏洞检测和防范。
- 漏洞扫描 ：使用漏洞扫描工具定期对数据库进行扫描，检测可能存在的安全漏洞。例如，使用 Nessus 等漏洞扫描工具，对数据库的配置、权限等进行全面扫描。
- 入侵检测系统（IDS） ：安装入侵检测系统，实时监测数据库的活动，及时发现并防范入侵行为。例如，使用 Snort 等入侵检测系统，对数据库的网络流量进行实时监测。
- 加密技术 ：使用加密技术对敏感数据进行加密，防止数据在传输和存储过程中被窃取。例如，使用 SSL/TLS 协议对数据库的网络连接进行加密，使用 AES 算法对数据库中的敏感数据进行加密。

11. 数据库安全的未来趋势

随着技术的不断发展，数据库安全也面临着新的挑战和机遇。以下是一些数据库安全的未来趋势：
- 人工智能与机器学习 ：人工智能和机器学习技术将被广泛应用于数据库安全领域，用于检测和防范安全威胁。例如，使用机器学习算法对数据库的访问日志进行分析，及时发现异常行为。
- 区块链技术 ：区块链技术的去中心化和不可篡改的特性，将为数据库安全提供新的解决方案。例如，使用区块链技术对数据库的操作记录进行存储和验证，确保数据的完整性和安全性。
- 零信任架构 ：零信任架构将成为数据库安全的主流架构，不再信任任何内部或外部的用户和设备，而是对每一次访问进行严格的身份验证和授权。例如，使用零信任架构对数据库的访问进行管理，确保只有经过授权的用户和设备才能访问数据库。

12. 总结

数据库安全是一个复杂而重要的领域，涉及到权限管理、备份恢复、安全漏洞检测与防范等多个方面。为了确保数据库的安全性和可用性，需要采取一系列的措施，包括遵循最佳实践、采用高级策略、定期进行安全检测和防范等。同时，随着技术的不断发展，数据库安全也面临着新的挑战和机遇，需要不断地学习和适应新的技术和趋势。

在实际应用中，组织需要根据自身的需求和情况，制定适合自己的数据库安全策略。在考虑安全投入时，要综合考虑受保护数据的类型、法律要求、风险承受能力等因素，确保在保障数据安全的同时，实现成本效益的最大化。

以下是一个简单的数据库安全措施总结表格：
| 安全措施 | 说明 |
| ---- | ---- |
| 权限管理 | 遵循最小权限原则，定期审查权限，使用角色管理权限 |
| 备份恢复 | 制定合理的备份频率和数量，采用异地容灾备份、增量备份等高级策略，确保备份按计划执行 |
| 安全检测 | 定期进行漏洞扫描，安装入侵检测系统，使用加密技术 |
| 未来趋势 | 关注人工智能、区块链、零信任架构等新技术的应用 |

graph LR
    A[数据库安全] --> B[权限管理]
    A --> C[备份恢复]
    A --> D[安全检测]
    A --> E[未来趋势]
    B --> B1[最小权限原则]
    B --> B2[定期审查权限]
    B --> B3[角色管理权限]
    C --> C1[合理备份策略]
    C --> C2[高级备份策略]
    C --> C3[确保备份执行]
    D --> D1[漏洞扫描]
    D --> D2[入侵检测]
    D --> D3[加密技术]
    E --> E1[人工智能与机器学习]
    E --> E2[区块链技术]
    E --> E3[零信任架构]

通过以上的措施和趋势，组织可以更好地保护自己的数据库安全，应对日益复杂的安全挑战。