数据库自主安全防护如何实现 数据库自主安全防护技术介绍【详解】

摘 要： 针对目前主流数据库的安全防护功能配置方式不灵活、不能应变需求的问题，在HOOK技术的基础上融入组态思想，设计并实现了一种适用于不同数据库的自主安全防护系统(DSS)。在SQLITE上的相关实验表明，利用DSS完全可以实现独立于特定数据库的自主安全防护，大大提高了数据安全防护的灵活性。

关键词： 数据库安全; HOOK API; 访问控制; 数据库审计; SQLITE; 自主安全系统

近年来，有关数据库的安全事故不断出现，例如银行内部数据信息泄露造成的账户资金失密等。因此，高度重视数据库安全防护很有必要。但一直以来，国内数据库产业化发展缓慢，市场份额中较大一部分被国外大型数据库企业占有。这对于国内用户而言，信息的安全性、稳定性等方面都会受到威胁。有的系统涉及使用多个数据库，并且对每个数据库的安防功能要求各不相同。这样，在保障整个系统安全的目标下就需要对每个数据库进行专门配置管理，不但维护难度很大，而且工作也比较繁重。面对这些实际问题，目前的数据库系统自带的安全防护配置方式已不能胜任,如何提出一个灵活独立的安全防护系统迫在眉睫。

1 相关安全防护技术介绍

目前，数据库系统面临的主要威胁有：(1)对数据库的不正确访问引起数据库数据的错误。(2)为了某种目的，故意破坏数据库。(3)非法访问不该访问的信息，且又不留痕迹;未经授权非法修改数据。(4)使用各种技术攻击数据库等。多年来，人们在理论和实践上对数据库系统安全的研究做出了巨大的努力，也取得了很多成果。参考文献[1-2]介绍了保护数据库安全的常用技术，包括：存取管理技术、安全管理技术、以及数据库加密技术，并给出了一些实现途径。其中，访问控制和安全审计作为数据库安全的主要保障措施受到了人们广泛关注，参考文献[3]对访问控制技术中的基本策略进行了总结，给出了实现技术及各自的优缺点。参考文献[4]主要针对权限建模过程中的权限粒度问题做了分析，并提出一个基于角色的访问控制框架。进入21世纪以后，访问控制模型的研究重点开始逐渐由集中式封闭环境转向开放式网络环境，一方面结合不同的应用，对原有传统模型做改进，另一方面，也提出一些新的访问控制技术和模型，比较著名的有信任管理、数字版权管理和使用控制模型 [5]。审计通过对数据库内活动的记录和分析来发现异常并产生报警的方式来加强数据库的安全性[6]。目前，在我国使用的商品化关系数据库管理系统大都提供了C2级的审计保护功能，但实现方式和功能侧重有所不同。周洪昊等人[7]分析了Oracle、SQL Server、DB2、Sybase的审计功能，分别从审计系统的独立性、自我保护能力、全面性和查阅能力四个方面对审计功能做出改进[7]。参考文献[8]则针对审计信息冗余、审计配置方式死板以及数据统计分析能力不足等问题，在数据库系统已有的审计模块基础上，重新设计和实现了一种新型的数据库安全审计系统。

但所有的这些工作都是从 数据库 系统的角度出发，并没有从本质上解决安全防护对数据库系统的依赖性问题，用户还是很难对数据库提供自主的安全防护功能。如果能将安全防护从数据库管理系统中彻底独立出来，针对不同的应用需求允许用户自己实现安全防护功能模块并在逻辑上加入到数据库应用系统中，这样问题也就迎刃而解了。

通过以上分析，本文提出一种独立于具体数据库、可组态的安全防护模型，并给出具体的实现方法。该模型将安全防护从数据库完全独立出来，在多数据库应用中实现集中配置安防，满足用户对于自主防护功能的需求。并在开源的嵌入式数据库产品SQLITE中做了功能测试，实验结果表明，该模型切实可行，达到了预想的效果，既能实现对系统的保护，又大大提高了系统的灵活性。

2 自主安全防护系统的设计与实现

自主安全防护系统DSS(Discretionary Safety System)的主要功能是阻止用户对信息的非法访问，在可疑行为发生时自动启动预设的告警流程，尽可能防范数据库风险的发生，在非法 *** 作发生时，触发事先设置好的防御策略，实行阻断，实现主动防御，并按照设置对所发生的 *** 作进行详细记录，以便事后的分析和追查。

21 系统结构

在DSS中，安全管理员使用角色机制对用户的权限进行管理，通过制定安全策略来设置核心部件Sensor以及访问控制部件。核心部件Sensor侦听用户的数据库 *** 作请求，采用命令映射表将不同的命令映射为系统识别的命令，提取出安全检查所需要的信息，发送到访问控制模块进行安检。安检通过了则允许用户访问数据库，否则拒绝访问，同时根据审计规则生成记录存入审计日志。

DSS作为独立的功能模块主要通过向Sensor提供数据库的调用接口的方式保障对数据库信息安全合理地访问。系统有一个默认的访问控制流程，用户也可以自己设定安全策略，系统自动生成相应访问控制流程。本文约定被访问的对象为客体，请求 *** 作的用户为主体。

22 系统实现

系统实现主要分为系统数据字典设计、用户登录与用户管理、系统相关策略制定、侦听器(Sensor)的实现、访问控制以及日志审计六部分。原数据库API信息(dll)、用户的自主防护策略作为输入，Sensor核心一方面将用户的防护策略融合在原数据库的API接口中，另一方面记录用户对数据库的 *** 作并生成日志，提供给用户做审计。用户在使用过程中不需要修改原有系统，即可实现自主防护。

Sensor由API处理模块、访问控制模块(Access Control)、Sensor核心模块(Core)、注射模块四部分组成。Core是Sensor的核心部件，主要负责拦截接口，解析并分离接口中的重要信息，使程序转入自定义的安检程序中执行安全检查。Access Control组件实现不同级别的访问控制,根据用户提供的安检信息，组态出对应的安防模块，并在合适的时候调用其进行访问控制。API(dll)主要将数据库系统提供的接口信息,转化为dll以便Sensor侦听时使用。Inject/Eject为Sensor提供远程注射的功能。

Core通过拦截对API的调用来实现定制功能。程序在调用API函数之前，首先要把API所在的动态链接库载入到程序中;然后将API函数的参数、返回地址(也就是函数执行完后，下一条语句的地址)、系统当前的环境(主要是一些寄存器的值)压入系统调用栈;接着，进入到API函数的入口处开始执行API函数，执行过程中从系统调用栈中取出参数，执行函数的功能，返回值存放在EAX寄存器中，最终从堆栈中取出函数的返回值并返回(参数压栈的顺序还要受到调用约定的控制，本文不详细介绍)。

举例说明函数调用时堆栈的情况。假设调用约定采用_stdcall,堆栈由高向低递减，API为Int func(int a, int b, int c)。

拦截主要通过HOOK API技术实现，可以拦截的 *** 作包括DOS下的中断、Windows中的API调用、中断服务、IFS和NDIS过滤等。目前微软提供了一个实现HOOK的函数库Detours。其实现原理是：将目标函数的前几个字节改为jmp指令跳转到自己的函数地址，以此接管对目标函数的调用，并插入自己的处理代码。

HOOK API技术的实质是改变程序流程。在CPU的指令集中,能够改变程序流程的指令包括JMP、CALL、INT、RET、RETF、IRET等。理论上只要改变API入口和出口的任何机器码，都可以实现HOOK。但实际实现上要复杂得多,主要需要考虑如何处理好以下问题：(1)CPU指令长度。在32 bit系统中,一条JMP/CALL指令的长度是5 B，因此只需要替换API中入口处的前5 B的内容，否则会产生不可预料的后果。(2)参数。为了访问原API的参数，需要通过EBP或ESP来引用参数，因此需要明确HOOK代码中此时的EBP/ESP的值。(3)时机问题。有些HOOK必须在API的开头，如CreateFileA( )。有些必须在API的尾部，如RECV()。(4)程序上下文内容的保存。在程序执行中会涉及修改系统栈的内容，因此注意保存栈中原有内容，以便还原。(5)在HOOK代码里尽量杜绝全局变量的使用，以降低程序之间的耦合性。通过以上的分析，整理出如图4所示的实现的流程。

DSS与传统数据库的安全防护功能相比，具有以下特点：

(1)独立于具体的数据库。这种独立性体现在：①DSS只需要数据库提供其接口信息即可工作。②支持不同标准的SQL语句，通过数据库命令映射表可将非标准的SQL语句映射为系统设置的SQL命令。③系统自身数据的物理存储是独立于数据库的。

(2)灵活性和针对性的统一。用户可以根据自己的需要配置针对特定应用的相关规则。

(3)完善的自我安全保护措施。DSS只有数据库安全管理员和安全审计员才能访问。安全管理员和安全审计员是一类特殊的用户，他们只负责安全方面的 *** 作，而不能访问数据库中的数据。这与Oracle等的数据库不同,在这些数据库中，DBA可以进行所有的 *** 作。DSS系统本身具有故障恢复能力，能使系统出现问题时恢复到一个安全的状态。

(4)完备的信息查阅和报警功能。在DSS中，本文提供了便利的设计查阅工具，方便用户对系统进行监控。另外，用户也可以自己定义报警条件和报警处理措施，一旦满足报警条件，系统就会自动地做出响应。

3 实验及结果分析

DSS的开发主要采用VS 2005实现,开发完成后在一台主频为28 GHz、内存2 GB、装有Windows 2000 *** 作系统的普通 PC机上对其进行了功能和性能的测试，使用的数据库是开源的嵌入式数据库SQLite 36。为了搭建测试环境，需要在SQLite中添加初始化系统自身的数据字典，并开发应用程序。测试内容包括：登录、用户管理、Sensor、访问控制、日志审计以及增加DSS前后数据库系统安全性变化等功能性测试和增加DSS系统后对数据库性能的影响两方面。其中，性能测试主要从时间和资源的增加情况来说明，针对不同数据库对象分别在五个级别(20 000、40 000、60 000、80 000、100 000)的数据上进行了插入和查询 *** 作测试。为了做好性能对比，在SQLite中也添加了相同的访问控制功能,记为Inline Processing。

从功能测试结果可以看出，DSS可以为数据库系统提供自主防护。从性能测试的结果中看出，查询 *** 作和插入 *** 作耗时相差比较大，这主要是SQLite工作方式引起的，在执行用户的插入 *** 作时，数据库需将内存中的数据写入磁盘数据库文件中，占用了一部分时间。而查询时，SQLite会将数据库文件部分内容缓存起来，加快了查询的速度。另外,增加DSS会对性能有略微的影响，但是它能实现对数据库系统自主保护。

本文针对传统数据库安全防护功能配置不灵活的问题，提出了一种基于HOOK技术的数据库通用安全防护系统。该系统的最大优点在于，它不受数据库自身的约束，完全独立于数据库系统，为用户提供一种按需定制的功能，不仅增加了安防配置的灵活性而且提高了通用性，可以用于不同的数据库系统中。

实例讲解MYSQL数据库的查询优化技术

作者：佚名 文章来源：未知 点击数：2538 更新时间：2006-1-19

数据库系统是管理信息系统的核心，基于数据库的联机事务处理（OLTP）以及联机分析处理(OLAP)是银行、企业、政府等部门最为重要的计算机应用之一。从大多数系统的应用实例来看，查询 *** 作在各种数据库 *** 作中所占据的比重最大，而查询 *** 作所基于的SELECT语句在SQL语句中又是代价最大的语句。举例来说，如果数据的量积累到一定的程度，比如一个银行的账户数据库表信息积累到上百万甚至上千万条记录，全表扫描一次往往需要数十分钟，甚至数小时。如果采用比全表扫描更好的查询策略，往往可以使查询时间降为几分钟，由此可见查询优化技术的重要性。

笔者在应用项目的实施中发现，许多程序员在利用一些前端数据库开发工具（如PowerBuilder、Delphi等）开发数据库应用程序时，只注重用户界面的华丽，并不重视查询语句的效率问题，导致所开发出来的应用系统效率低下，资源浪费严重。因此，如何设计高效合理的查询语句就显得非常重要。本文以应用实例为基础，结合数据库理论，介绍查询优化技术在现实系统中的运用。

分析问题

许多程序员认为查询优化是DBMS（数据库管理系统）的任务，与程序员所编写的SQL语句关系不大，这是错误的。一个好的查询计划往往可以使程序性能提高数十倍。查询计划是用户所提交的SQL语句的集合，查询规划是经过优化处理之后所产生的语句集合。DBMS处理查询计划的过程是这样的：在做完查询语句的词法、语法检查之后，将语句提交给DBMS的查询优化器，优化器做完代数优化和存取路径的优化之后，由预编译模块对语句进行处理并生成查询规划，然后在合适的时间提交给系统处理执行，最后将执行结果返回给用户。在实际的数据库产品(如Oracle、Sybase等)的高版本中都是采用基于代价的优化方法，这种优化能根据从系统字典表所得到的信息来估计不同的查询规划的代价，然后选择一个较优的规划。虽然现在的数据库产品在查询优化方面已经做得越来越好，但由用户提交的SQL语句是系统优化的基础，很难设想一个原本糟糕的查询计划经过系统的优化之后会变得高效，因此用户所写语句的优劣至关重要。系统所做查询优化我们暂不讨论，下面重点说明改善用户查询计划的解决方案。

解决问题

下面以关系数据库系统Informix为例，介绍改善用户查询计划的方法。

1．合理使用索引

索引是数据库中重要的数据结构，它的根本目的就是为了提高查询效率。现在大多数的数据库产品都采用IBM最先提出的ISAM索引结构。索引的使用要恰到好处，其使用原则如下：

●在经常进行连接，但是没有指定为外键的列上建立索引，而不经常连接的字段则由优化器自动生成索引。

●在频繁进行排序或分组（即进行group by或order by *** 作）的列上建立索引。

●在条件表达式中经常用到的不同值较多的列上建立检索，在不同值少的列上不要建立索引。比如在雇员表的“性别”列上只有“男”与“女”两个不同值，因此就无必要建立索引。如果建立索引不但不会提高查询效率，反而会严重降低更新速度。

●如果待排序的列有多个，可以在这些列上建立复合索引（compound index）。

●使用系统工具。如Informix数据库有一个tbcheck工具，可以在可疑的索引上进行检查。在一些数据库服务器上，索引可能失效或者因为频繁 *** 作而使得读取效率降低，如果一个使用索引的查询不明不白地慢下来，可以试着用tbcheck工具检查索引的完整性，必要时进行修复。另外，当数据库表更新大量数据后，删除并重建索引可以提高查询速度。

2．避免或简化排序

应当简化或避免对大型表进行重复的排序。当能够利用索引自动以适当的次序产生输出时，优化器就避免了排序的步骤。以下是一些影响因素：

●索引中不包括一个或几个待排序的列；

●group by或order by子句中列的次序与索引的次序不一样；

●排序的列来自不同的表。

为了避免不必要的排序，就要正确地增建索引，合理地合并数据库表（尽管有时可能影响表的规范化，但相对于效率的提高是值得的）。如果排序不可避免，那么应当试图简化它，如缩小排序的列的范围等。

3．消除对大型表行数据的顺序存取

在嵌套查询中，对表的顺序存取对查询效率可能产生致命的影响。比如采用顺序存取策略，一个嵌套3层的查询，如果每层都查询1000行，那么这个查询就要查询10亿行数据。避免这种情况的主要方法就是对连接的列进行索引。例如，两个表：学生表（学号、姓名、年龄……）和选课表（学号、课程号、成绩）。如果两个表要做连接，就要在“学号”这个连接字段上建立索引。

还可以使用并集来避免顺序存取。尽管在所有的检查列上都有索引，但某些形式的where子句强迫优化器使用顺序存取。下面的查询将强迫对orders表执行顺序 *** 作：

SELECT ＊ FROM orders WHERE (customer_num=104 AND order_num>1001) OR order_num=1008

虽然在customer_num和order_num上建有索引，但是在上面的语句中优化器还是使用顺序存取路径扫描整个表。因为这个语句要检索的是分离的行的集合，所以应该改为如下语句：

SELECT ＊ FROM orders WHERE customer_num=104 AND order_num>1001

UNION

SELECT ＊ FROM orders WHERE order_num=1008

这样就能利用索引路径处理查询。

4．避免相关子查询

一个列的标签同时在主查询和where子句中的查询中出现，那么很可能当主查询中的列值改变之后，子查询必须重新查询一次。查询嵌套层次越多，效率越低，因此应当尽量避免子查询。如果子查询不可避免，那么要在子查询中过滤掉尽可能多的行。

5．避免困难的正规表达式

MATCHES和LIKE关键字支持通配符匹配，技术上叫正规表达式。但这种匹配特别耗费时间。例如：SELECT ＊ FROM customer WHERE zipcode LIKE “98_ _ _”

即使在zipcode字段上建立了索引，在这种情况下也还是采用顺序扫描的方式。如果把语句改为SELECT ＊ FROM customer WHERE zipcode >“98000”，在执行查询时就会利用索引来查询，显然会大大提高速度。

另外，还要避免非开始的子串。例如语句：SELECT ＊ FROM customer WHERE zipcode[2，3]>“80”，在where子句中采用了非开始子串，因而这个语句也不会使用索引。

6．使用临时表加速查询

把表的一个子集进行排序并创建临时表，有时能加速查询。它有助于避免多重排序 *** 作，而且在其他方面还能简化优化器的工作。例如：

SELECT custname，rcvblesbalance，……other columns

FROM cust，rcvbles

WHERE custcustomer_id = rcvlbescustomer_id

AND rcvbllsbalance>0

AND custpostcode>“98000”

ORDER BY custname

如果这个查询要被执行多次而不止一次，可以把所有未付款的客户找出来放在一个临时文件中，并按客户的名字进行排序：

SELECT custname，rcvblesbalance，……other columns

FROM cust，rcvbles

WHERE custcustomer_id = rcvlbescustomer_id

AND rcvbllsbalance>0

ORDER BY custname

INTO TEMP cust_with_balance

然后以下面的方式在临时表中查询：

SELECT ＊ FROM cust_with_balance

WHERE postcode>“98000”

临时表中的行要比主表中的行少，而且物理顺序就是所要求的顺序，减少了磁盘I/O，所以查询工作量可以得到大幅减少。

注意：临时表创建后不会反映主表的修改。在主表中数据频繁修改的情况下，注意不要丢失数据。

7．用排序来取代非顺序存取

非顺序磁盘存取是最慢的 *** 作，表现在磁盘存取臂的来回移动。SQL语句隐藏了这一情况，使得我们在写应用程序时很容易写出要求存取大量非顺序页的查询。

有些时候，用数据库的排序能力来替代非顺序的存取能改进查询。

实例分析

下面我们举一个制造公司的例子来说明如何进行查询优化。制造公司数据库中包括3个表，模式如下所示：

1．part表

零件号　零件描述其他列

（part_num）　（part_desc）（other column）

102，032　Seageat 30G disk　……

500，049　Novel 10M network card……

……

2．vendor表

厂商号厂商名其他列

（vendor _num）　（vendor_name） （other column）

910，257　Seageat Corp　……

523，045　IBM Corp　……

……

3．parven表

零件号　厂商号　零件数量

（part_num）　（vendor_num）　（part_amount）

102，032910，2573,450,000

234，423321，0014，000，000

……

下面的查询将在这些表上定期运行，并产生关于所有零件数量的报表：

SELECT part_desc，vendor_name，part_amount

FROM part，vendor，parven

WHERE partpart_num=parvenpart_num

AND parvenvendor_num = vendorvendor_num

ORDER BY partpart_num

如果不建立索引，上述查询代码的开销将十分巨大。为此，我们在零件号和厂商号上建立索引。索引的建立避免了在嵌套中反复扫描。关于表与索引的统计信息如下：

表　行尺寸　行数量　每页行数量　数据页数量

（table）　(row size)　（Row count）　（Rows/Pages）　（Data Pages）

part150　10，00025　400

Vendor　150　1，000 25　40

Parven　13　 15，000300 50

索引　键尺寸　每页键数量　页面数量

（Indexes）　(Key Size)　（Keys/Page)　(Leaf Pages）

part　4500　20

Vendor4500　2

Parven8250　60

看起来是个相对简单的3表连接，但是其查询开销是很大的。通过查看系统表可以看到，在part_num上和vendor_num上有簇索引，因此索引是按照物理顺序存放的。parven表没有特定的存放次序。这些表的大小说明从缓冲页中非顺序存取的成功率很小。此语句的优化查询规划是：首先从part中顺序读取400页，然后再对parven表非顺序存取1万次，每次2页（一个索引页、一个数据页），总计2万个磁盘页，最后对vendor表非顺序存取15万次，合3万个磁盘页。可以看出在这个索引好的连接上花费的磁盘存取为504万次。

实际上，我们可以通过使用临时表分3个步骤来提高查询效率：

1．从parven表中按vendor_num的次序读数据：

SELECT part_num，vendor_num，price

FROM parven

ORDER BY vendor_num

INTO temp pv_by_vn

这个语句顺序读parven（50页），写一个临时表（50页），并排序。假定排序的开销为200页，总共是300页。

2．把临时表和vendor表连接，把结果输出到一个临时表，并按part_num排序：

SELECT pv_by_vn，＊ vendorvendor_num

FROM pv_by_vn，vendor

WHERE pv_by_vnvendor_num=vendorvendor_num

ORDER BY pv_by_vnpart_num

INTO TMP pvvn_by_pn

DROP TABLE pv_by_vn

这个查询读取pv_by_vn(50页)，它通过索引存取vendor表15万次，但由于按vendor_num次序排列，实际上只是通过索引顺序地读vendor表（40＋2=42页），输出的表每页约95行，共160页。写并存取这些页引发5＊160=800次的读写，索引共读写892页。

3．把输出和part连接得到最后的结果：

SELECT pvvn_by_pn＊，partpart_desc

FROM pvvn_by_pn，part

WHERE pvvn_by_pnpart_num=partpart_num

DROP TABLE pvvn_by_pn

这样，查询顺序地读pvvn_by_pn(160页)，通过索引读part表15万次，由于建有索引，所以实际上进行1772次磁盘读写，优化比例为30∶1。笔者在Informix Dynamic

Sever上做同样的实验，发现在时间耗费上的优化比例为5∶1(如果增加数据量，比例可能会更大)。

小结

20％的代码用去了80％的时间，这是程序设计中的一个著名定律，在数据库应用程序中也同样如此。我们的优化要抓住关键问题，对于数据库应用程序来说，重点在于SQL的执行效率。查询优化的重点环节是使得数据库服务器少从磁盘中读数据以及顺序读页而不是非顺序读页。

以上就是关于数据库自主安全防护如何实现 数据库自主安全防护技术介绍【详解】全部的内容，包括:数据库自主安全防护如何实现 数据库自主安全防护技术介绍【详解】、数据库设计过程中，对于大批量的数据如何进行数据库优化、等相关内容解答，如果想了解更多相关内容，可以关注我们，你们的支持是我们更新的动力！