2015版-CISP0206数据库及应用安全_v30

数据库及应用安全培训机构名称培训讲师版本：3.0发布日期：2014-12-1生效日期：2015-1-1课程内容2操作系统与数据库安全知识体知识域数据库安全知识子域数据库系统概述数据库安全概述应用安全应用安全概述常用互联网服务安全Web应用安全办公软件使用安全应用安全数据库运行安全防护操作系统安全知识域：数据库安全知识子域：数据库系统概述了解数据库基本概念和主要功能了解构化查询语言SQL的功能了解数据库管理系统（DBMS）的一般架构3数据库系统基本概念数据库：长期储存在计算机内的、有组织的、可共享的数据集合DBMS（DataBaseManagementSystem）：一种操纵和管理数据库的大型软件，用于建立、使用和维护数据库，它对数据库进行统一的管理和控制，以保证数据库的安全性和完整性4图书管理员图书馆用户请求DBMSDatabase程序数据库用户请求数据库系统关系5应用系统应用开发工具DBMS操作系统应用程序员最终用户数据库数据库管理员DBA关系型数据库系统特点数据结构化和共享性库、表、字段结构化查询语言（SQL）数据独立性物理独立性逻辑独立性数据的完整性约束实体完整性（通过主键约束条件）参照完整性（通过主外键约束条件）用户自定义完整性（通过CHECK子句）数据由DBMS统一管理和控制查询引擎、事务控制、数据存储模块/组件6结构化查询语言SQLSQL语句格式基本语句约30条。每条语句都请求DBMS完成一个动作7DELETEFROMsalesrepsWHERESales20000.00动词表名子句关键字列名常数表达式结构化查询语言SQLSQL语句分类8SQL功能操作符数据定义CREATE，DROP，ALTER数据查询SELECT数据操纵INSERT，UPDATE，DELETE数据控制GRANT，REVOKE，DENY事务控制BEGIN，COMMIT，ROLLBACK嵌入式/服务器端编程DECLARE,EXPLAIN,OPEN,FETCH,CLOSE,PREPARE,EXECUTE,DESCRIBE知识域：数据库安全知识子域：数据库安全概述了解数据库的一般安全需求了解数据库的常见安全措施：用户标识和鉴别、访问控制、数据加密和安全审计理解数据库完整性要求，理解DBMS为了实现完整性保护必须提供：定义完整性约束条件的机制、完整性检查的方法和违约处理的机制理解数据库备份和恢复机制的重要性，了解常见的数据冗余技术和数据库恢复策略9数据库安全保密性数据泄露完整性执行不正确的修改操作（插入、删除、更新等）可用性数据库死锁，性能下降或无法访问…10数据库安全需求物理数据库完整性逻辑数据库完整性数据单元安全性可审计访问控制11保密性完整性可用性数据库安全措施用户标识与鉴别授权与访问控制数据加密安全审计……12用户标识与鉴别用户鉴别操作系统数据库第三方用户管理策略默认账号管理账户锁定策略13用户口令有效期与宽限期管理策略自定义口令策略验证口令历史管理账户锁定策略策略设置数据库安全措施-访问控制设置用户对不同的数据对象允许的操作权限系统权限（数据库实例级或数据库级）模式权限（数据库对象：表、视图等）数据对象权限（数据对象：记录级）14用户权限登记DD合法权限检查授权规则用户发出操作请求定义用户权限DBMS的存取控制子系统福利角色薪酬角色人事主管招聘职员薪酬职员薪酬权限福利权限数据库安全措施-资源控制CPU资源会话资源每用户Session连接超时死锁控制存储资源数据存储空间限制临时存储空间限制15数据库安全措施-数据加密数据加密方式传输加密存储加密数据存储加密层级OS层加密DBMS内核层加密DBMS外层加密16数据库安全措施-安全审计数据库审计日志数据库审计（也称标准审计）•用户级审计：安全审计员设置，用户行为审计•系统级审计：管理员设置，用户授权或系统级权限操作审计细粒度审计•监视对数据对象的操作17数据库完整性-完整性约束数据库完整性保证：完整性约束完整性约束条件实体完整性（PRIMARYKEY定义，唯一、不为空）域完整性（表定义中的CHECK、FOREIGNKEY约束、DEFAULT、NOTNULL定义）参照完整性（FOREIGNKEY定义，关联）用户定义完整性（生成时定义，非空、唯一、布尔）完整性检查违约处理机制注：关于实体完整性、参照完整性和用户自定义完整性的概念，请讲师自行举例说明，方便学员理解18数据备份与恢复备份：数据冗余技术数据转储日志文件恢复：从冗余数据中实施数据库恢复事务故障的恢复（事务处理）系统故障的恢复（事务处理）介质故障的恢复（通过转储数据恢复）19知识域：数据库安全知识子域：数据库运行安全防护理解数据库威胁与防护特点理解数据库事前安全防护、事中安全监控以及事后安全审计的方法20数据库面临安全威胁过度的特权滥用合法的特权滥用特权提升平台及数据库漏洞SQL注入不健全的审计拒绝服务攻击数据库通信协议漏洞不健全的认证数据泄露21安全策略权限管理远程攻击•不健全的审计•不健全的验证•数据泄露•平台漏洞•数据库漏洞•SQL注入•拒绝服务攻击•特权提升•过度的特权滥用•合法的特权滥用数据库软件漏洞数据库安全防护层层设防：防护体系建设22DBSQL请求用户标识与鉴别DBMS存取控制数据加密审计追踪各种应用安全边界查询引擎DBMS选件事务引擎数据库安全防护检查、监控、审计23操作系统硬件环境数据库服务器应用服务器应用程序数据文件日志文件运行环境安全检测数据库漏洞检测事前检查事中监控审计日志文件事后审计配置文件SQL请求（自动化检查）（半自动化检查）访问监控返回结果数据库安全防护事前检测:安全特性检测24知识库检测引擎服务扫描渗透测试安全审计漏洞利用审计报告检测人员策略专家配置检测策略扫描数据库服务外部渗透性测试进行全面的安全审计扫描分析审计结果，设计漏洞利用方式生成一份详细的审计报告制定检测策略从策略库中选择检测策略数据库安全特性检查安全配置补丁协议（端口、传输协议）账号用户名及密码口令策略权限存储过程触发器备份25数据库安全特性检查数据库最佳实践数据库安全漏洞美国国防部、国防信息系统中心等研究机构给出的主流数据库安全配置指南数据库厂商提供的安全指南Oracle/Sqlserver/MySQL…数据库安全特性检查工具美国应用安全公司的AppDetective英国下一代软件公司的NGSSQuirrel26数据库安全防护事中运行监控:数据库运行安全监控27镜像（SPAN）端口互联网外部用户财务管理人事管理销售管理镜像端口（SPAN）数据库活动分析器数据库服务器机群应用服务器WEB服务器OracleDB2代理监视器数据库安全防护事后审计：数据库审计关注的问题审计对象（对谁进行审计）•标准审计（系统级、用户级）•细粒度审计（对象级）审计内容（对什么行为进行审计）•访问数据库应用程序、位置及用户信息，包括用户操作、操作日期与时间、操作涉及的相关数据、操作是否成功等28知识域：应用安全知识子域：应用安全概述理解应用安全的概念了解常见应用安全威胁了解等级保护规范应用安全防护要点29应用安全基本概念应用安全目标合法用户能够通过安全策略合法地访问业务资源非法用户无法访问、篡改任何受保护的资源30技术要求物理安全网络安全主机安全应用安全数据安全应用安全问题构建在网络、系统安全基础上（参考：网络安全、操作系统安全课程）安全问题关注应用软件自身安全（参考：软件安全开发课程）应用系统支撑软件安全应用协议安全31常见应用安全威胁网络层面拒绝服务、电子欺骗、嗅探、……系统层面Web服务漏洞、配置错误、……应用层面代码缺陷(SQL注入、XSS……）资源管理……业务层面钓鱼、流程缺陷32应用安全防护模型OSI通信协议应用安全防护模型鉴别访问控制数据机密性数据完整性抗抵赖等级保护应用安全防护11个控制点五级33控制点一级二级三级四级身份鉴别√√√√安全标记√访问控制√√√√可信路经√安全审计√√√剩余信息保护√√通信完整性√√√√通信保密性√√√抗抵赖√√软件容错√√√√资源控制√√√等级保护应用安全要求应用系统的安全就是保护系统的各种应用程序安全运行。包括基本应用，如：消息发送、web浏览等；业务应用，如：电子商务、电子政务等应用安全具体包括：9个控制点身份鉴别（S）、访问控制（S）、安全审计（G）、剩余信息保护（S）、通信完整性（S）、通信保密性（S）、抗抵赖（G）、软件容错（A）、资源控制（A）34等级保护应用安全要求35身份鉴别基本的身份鉴别访问控制安全策略最小授权原则安全审计运行情况审计（用户级）审计报表剩余信息保护空间释放及信息清除组合鉴别技术敏感标记的设置及操作审计过程的保护通信完整性校验码技术密码技术软件容错自动保护功能资源控制资源分配限制、资源分配优先级最小服务水平的检测及报警数据有效性检验、部分运行保护对用户会话数及系统最大并发会话数的限制审计记录的保护通信保密性初始化验证整个报文及会话过程加密敏感信息加密抗抵赖35知识域：应用安全知识子域：Web应用安全理解Web工作机制及Web应用安全问题产生的原因了解常见Web服务运行平台的安全配置要点了解互联网浏览面临的安全威胁及应对方法了解Web安全防护产品如Web应用防火墙和网页防篡改产品的功能和特点36Web安全问题根源WEB服务器端安全问题（支撑软件、应用程序）Web客户端（浏览器）Web协议（Http）37终端用户应用服务器数据库服务器Web应用（IIS、Apache）……应用传输协议HTTP……应用客户端浏览器（IE、Firefox）Web服务支撑软件安全问题Web服务支撑软件软件自身安全漏洞•例：IIS5.0超长URL拒绝服务漏洞•例：Unicode解码漏洞软件配置缺陷•默认账号、口令•不安全的配置–例：IIS配置允许远程写入注：讲师可根据自己经验给学员介绍几个典型漏洞或者演示38Web程序安全问题输入输出处理会话控制文件系统处理用户访问机制日志处理…39是人开发的就可能存在安全隐患WEB应用程序是程序员开发的WEB协议安全问题信息泄漏明文传输（用户名和口令、向服务器提交的数据）弱验证简单的认证缺乏状态跟踪无状态的协议Session存在安全隐患40Web应用协议-HTTPHTTP(超文本传输协议)一种通信协议使用超文本标记语言(HTML)将资源从服务器传送到客户端超文本传输协议特点请求、响应模式协议简单，客户端只需传输请求方法和路径无连接（一个请求一个连接，完成后断开）无状态41HTTP协议工作过程HTTP请求（Requests）一个HTTP请求包含三个部分•方法，URL，协议/版本（Method-URI-Protocol/Version）•请求包头(Requestheaders)•实体包（Entitybody）HTTP响应（Responses）一个HTTP响应也包含三个部分•协议状态代码描叙（Protocol-Statuscode-Description）•响应包头（Responseheaders）•实体包（Entitybody）42HTTP协议工作过程HTTP请求范例POST/servlet/default.JSPHTTP/1.1Accept:text/plain;text/HTMLAccept-Language:en-gbConnection:Keep-AliveHost:localhostReferer::Mozilla/4.0(compatible;MS