数据库服务器安全的权限控制策略互联网（2）
来源：asp之家 发布时间：2009-09-19 20:10:00
三、正确的鉴别客户端
正确的鉴别客户端的合法性，这是提高应用服务器安全性的一个不二法则。有时候，为了服务器安全性考虑，必须要求对客户端的合法性进行鉴别。对此，我们可以通过如下措施来管理客户端。
一是对于具有管理员账户的角色进行远程鉴别。虽然从理论上说，可以对任何一台客户端都采取远程鉴别，如通过主机名或者IP地址进行合法性鉴别。但是，这么做的话，往往太过于小题大做，会增加管理上的烦恼。或者说，投入与回报不成正比。所以，在实际配置中，笔者不会对每一台客户端都进行合法性验证。而只对于利用管理员账户登陆服务器的客户端才进行合法性验证。如可以在数据库服务器上进行设置，只有哪几个IP地址才可以通过管理员角色连接到数据库系统中。通过对客户端身份的合法鉴别，就可以再进一步提高数据库服务器管理员角色账户的安全性。即使管理员账户与口令被窃取，有客户端身份验证这一功能，也不怕他们进行非法攻击。
二是不要太过于相应客户端的自我保护功能。如在某个品牌的数据库系统中，有一种远程鉴别功能。他会处理连接到数据库的远程客户的用户鉴别问题。数据库绝对信任任何客户都已经进行了正确的鉴别。但是，我们都知道，在任何情况下，我们不能够相信客户端会正确地执行操作系统鉴别。故，往往这个安全特性只是作为摆设。对于数据库服务器来说，一个比较安全的做法是，不采用这种远程鉴别功能，而是在服务器上对客户端进行统一的鉴别。如在服务器上，通过身份认证功能来确保连接到服务器上的客户端的合法性与真实性。
四、数据库系统最好不要穿透防火墙
如果把数据库服务器放置在防火墙的后面，则最好在任何情况下，都不要穿透该防火墙。否则的话，会让数据库系统失去防火墙的保护，从而把数据库暴露在互联网下，成为众多黑客茶余饭后“调戏”、“攻击”的对象。
例如，不要打开数据库的1521端口来与互联网进行连接。如果用户执意要这么做的话，则会引起很多重要的安全弱点。因为攻击者可以凭借这个弱点，打开更多的穿透防火墙的端口、多线程操作系统服务器的问题，以及泄漏防火墙后面应用服务器中的重要信息。再者，这个弱点还有可能被用来探测数据库服务器的关键细节，如利用窃听 * 来获得关键信息。因为 * 会监听该数据库的运行轨迹、登陆信息、标识信息、数据库描述服务以及服务名等等。
所以，执意把放在企业防火墙背后的应用服务器中的某个关键端口，设置成为穿透防火墙的端口是一种很不好的安全习惯。虽然其可以带来管理上的方便，但是，出于安全考虑，笔者还是不建议管理员进行如此的配置。
针对数据库应用服务器的访问与连接的权限控制，还有许多。以上四个方面，是大家在数据库服务器部署的时候，容易忽视的几个地方。希望这篇文章，能够给大家一些提醒。
0
投稿猜你喜欢
- WordPress是目前世界上使用广泛的博客软件，比较容易受到各种攻击，因此WordPress安全性也是非常重要的，以下有10个安全技巧，可
- Exchange 2007的变化包括：采用统一的收件箱，支持语音邮件，并改进了Outlook客户端电子邮件软件。①立即升级的公司廖廖无几。高
设定vim的工作方式（临时）：set (模式信息)：set nu — 显示行号：set nonu — 取消行号：set mouse=a —- 一般的FTP服务器是以明文方式传输数据的，安全性极差，信息很容易被盗，即使它提供了SSL加密功能，默认情况下也可能没有启用，如大家常用的Se
- Typecho默认情况是，评论列表里也列出博主的回复和评论，这个完全没有必要嘛。好在Typecho 0.8-10.8.15 正式版已加了评论
- 北京时间10月16日消息，据国外媒体报道，Mozilla昨日向微软对欧盟反垄断机构提议的“浏览器选择屏&rdqu
- 1. 搜索引擎搜索引擎是博客流量来源的第一大户，这在很多博客中已经得到证实。目前一些博客的主要搜索流量来自于百度、谷歌、搜搜、雅
- 12月3日消息，据台湾媒体报道，今年6月，Yahoo！（下称雅虎）宣布在北京设立全球研发中心，研发中心成立后，大陆将出现雅虎北京研发中心和阿
- 应该是”10种图片防盗的方法“，而不是”10种图片防盗链的方法“，不过看搜索防盗链的人要多一点，所以就用这个关键词了。图片防盗： 是不想自己
- 如果你经常上网，想必对代表90后特点的火星文多少有些了解。因为现在的网络上，无论是论坛、游戏还是QQ签名里，到处都可看到这些让人有点头晕目眩
- 光棍节的狂欢“时间到，开抢！”坐在电脑前早已等待多时的小美一看时间已到2011年11月11日零时，便迫不及待地投身于淘宝商城一年一度的大型网
- 看到起点被收编了、hao123也回家数钱玩了、QQ挂机、 * 短信、各种 * 都火了，赚钱了。于是乎,工作室、soho、再创业者也就多了。千奇百
- 话说某日暴某站菊花,发现Web目录权限极小,除了基本的上传功能健全,几乎没有任何权限,修改,删除,替换等都不奏效.心想此站权限设置果然牛B,
- Google的Matt Cutts确认了AdSense的Mediabot的确是会帮助Googlebot抓取网页的消息，但有部分人不相信Mat
- 据统计，在所有黑客攻击事件中，SYN攻击是最常见又最容易被利用的一种攻击手法。相信很多人还记得2000年YAHOO网站遭受的攻击事例，当时黑
- 你是否遭遇过这样的情况？当你在浏览器中输入正确的URL地址，但是打开的并不是你想要去的网站。它可能是114的查询页面，可能是一个广告页面，更
- 一则国外研究报告称，46.6％的Digg头版内容被50个网站控制。这些网站包括telegraph.co.uk、nytimes.com、you
- 也许有用户在使用GoDaddy主机时，常会发送一些垃圾邮件，在此我建议大家还是不要发了。如果一旦被认定为发垃圾邮件，他们会在两天内转向，暂停
- 最近在使用 Ubuntu 20.04 的kazam进行录音的时候，发现了一个问题：使用系统默认的配置进行录音，录制出来的音频会有明显的噪音，
- 近年来，价格战的加剧，随着我国IDC市场的大变革正在悄然发生，IDC行业正处于“清淤”阶段。国内领先的增值电信服务商阳光互联日前表示，国内I
