网络数据库的安全特性

为了保证网络数据库网络数据的安全可靠和准确有效，DBMS必须提供统一的网络数据保护功能。网络数据保护也称网络数据控制，主要包括网络数据库的安全性、完整性、并发控制和恢复。下面以多用户网络数据库系统Oracle为例，阐述网络数据库的安全特性。

（一）网络数据库的安全性

网络数据库的安全性，是指保护网络数据库以防止不合法的使用所造成的网络数据泄露、更改或破坏。在网络数据库系统中有大量的计算机系统网络数据集中存放，为许多用户所共享，这样就使安全问题更为突出。在一般的计算机系统中，安全措施是一级一级设置的。

1.网络数据库的存取控制

在网络数据库存储一级可采用密码技术，若物理存储设备失窃，它能起到保密作用。在网络数据库系统中可提供网络数据存取控制，来实施该级的网络数据保护。

（1）网络数据库的安全机制

多用户网络数据库系统（如Oracle）提供的安全机制可做到：

①防止非授权的网络数据库存取；

②防止非授权的对模式对象的存取；

③控制磁盘使用；

④控制系统资源使用；

⑤审计用户动作。

在Oracle服务器上提供了一种任意存取控制，它是一种基于特权限制信息存取的方法。用户要存取某一对象必须有相应的特权授予该用户，已授权的用户可任意地授权给其他用户。Oracle保护信息的方法采用任意存取控制来限制全部用户对命名对象的存取。用户对对象的存取受特权控制，一种特权是存取一个命名对象的许可，为一种规定格式。

（2）模式和用户机制

Oracle使用多种不同的机制管理网络数据库安全性，其中有模式和用户两种机制。

①模式机制

模式为模式对象的集合，模式对象如表、视图、过程和包等。

②用户机制

每一个Oracle网络数据库有一组合法的用户，可运行一个网络数据库应用和使用该用户连接到定义该用户的网络数据库。当建立一个网络数据库用户时，对该用户建立一个相应的模式，模式名与用户名相同。一旦用户连接一个网络数据库，该用户就可存取相应模式中的全部对象，一个用户仅与同名的模式相联系，所以用户和模式是类似的。

2.特权和角色

（1）特权

特权是执行一种特殊类型的SQL语句或存取另一用户对象的权限，有系统特权和对象特权两类。

①系统特权(www.xing528.com)

系统特权，是指执行一种特殊动作或者在对象类型上执行一种特殊动作的权利。系统特权可授权给用户或角色。系统可将授予用户的系统特权授给其他用户或角色，同样地，系统也可从那些被授权的用户或角色处收回系统特权。

②对象特权

对象特权，是指在表、视图、序列、过程、函数或包上执行特殊动作的权利。对不同类型的对象，有不同类型的对象特权。

（2）角色

角色是相关特权的命名组。网络数据库系统利用角色可更容易地进行特权管理。角色管理主要具有减少特权管理、动态特权管理、特权的选择可用性、应用可知性、专门的应用安全性等优点。

一般地，建立角色有两个目的：一是为网络数据库应用管理特权；二是为用户组管理特权。相应的角色分别称为应用角色和用户角色。应用角色是系统授予的运行一组网络数据库应用所需的全部特权。一个应用角色可授予其他角色或指定用户。一个应用可有几种不同角色，具有不同特权组的每一个角色在使用应用时可进行不同的网络数据存取。用户角色是为具有公开特权需求的一组网络数据库用户而建立的。

网络数据库角色主要具有以下功能：一个角色可被授予系统特权或对象特权；一个角色可授权给其他角色，但不能循环授权；任何角色可授权给任何网络数据库用户；授权给一个用户的每一角色可以是可用的，也可以是不可用的；一个间接授权角色（授权给另一角色的角色）对一个用户可明确其可用或不可用；在一个网络数据库中，每一个角色名是唯一的。

（二）审计

审计是对选定的用户动作的监控和记录，通常用于审查可疑的活动、监视和收集关于指定网络数据库活动的网络数据。

1.Oracle支持的审计类型

（1）语句审计

语句审计，是指对某种类型的SQL语句进行的审计，不涉及具体的对象。这种审计既可对系统的所有用户进行，也可对部分用户进行。

（2）特权审计

特权审计，是指对执行相应动作的系统特权进行的审计，不涉及具体对象。这种审计也是既可对系统的所有用户进行，也可对部分用户进行。

（3）对象审计

对象审计，是指对特殊模式对象的访问情况的审计，不涉及具体用户，是监控有对象特权的SQL语句。

2.Oracle允许的审计选择范围

（1）审计语句的成功执行、不成功执行，或其两者都包括；

（2）对每一用户会话审计语句的执行审计一次或对语句的每次执行审计一次；

（3）审计全部用户或指定用户的活动。

当网络数据库的审计是“可能”时，在语句执行阶段产生审计记录。审计记录包含审计的操作、用户执行的操作、操作的日期和时间等信息。审计记录可存放于网络数据字典表（称为审计记录）或操作系统审计记录中。