1、數據庫及應用安全 電話：版本：3.0發布日期：2014-12-1生效日期：2015-1-11課程內容操作系統與數據庫安全知識體知識域數據庫安全知識子域數據庫系統概述數據庫安全概述應用安全應用安全概述常用互聯網服務安全Web應用安全辦公軟件使用安全應用安全數據庫運行安全防護操作系統安全2知識域：數據庫安全知識子域：數據庫系統概述了解數據庫基本概念和主要功能了解構化查詢語言SQL的功能了解數據庫管理系統（DBMS）的一般架構3數據庫系統基本概念數據庫：長期儲存在計算機內的、有組織的、可共享的數據集合DBMS（DataBase Management System）：一種操縱和管理數據庫的大型軟件，用

2、于建立、使用和維護數據庫，它對數據庫進行統一的管理和控制，以保證數據庫的安全性和完整性圖書管理員圖書館用戶請求DBMSDatabase程序數據庫用戶請求4數據庫系統關系5關系型數據庫系統特點數據結構化和共享性庫、表、字段結構化查詢語言（SQL）數據獨立性物理獨立性邏輯獨立性數據的完整性約束實體完整性（通過主鍵約束條件）參照完整性（通過主外鍵約束條件）用戶自定義完整性（通過CHECK子句）數據由DBMS統一管理和控制查詢引擎、事務控制、數據存儲模塊/組件6結構化查詢語言SQLSQL語句格式基本語句約30條。每條語句都請求DBMS完成一個動作DELETE FROM salesreps WHERE

3、Sales 20000.00動詞表名子句關鍵字列名常數表達式7結構化查詢語言SQLSQL語句分類SQL功能操作符數據定義CREATE，DROP，ALTER數據查詢SELECT數據操縱INSERT，UPDATE，DELETE數據控制GRANT，REVOKE，DENY事務控制BEGIN， COMMIT，ROLLBACK嵌入式/服務器端編程DECLARE,EXPLAIN,OPEN,FETCH,CLOSE,PREPARE,EXECUTE,DESCRIBE8知識域：數據庫安全知識子域：數據庫安全概述了解數據庫的一般安全需求了解數據庫的常見安全措施：用戶標識和鑒別、訪問控制、數據加密和安全審計理解數據庫完

4、整性要求，理解DBMS為了實現完整性保護必須提供：定義完整性約束條件的機制、完整性檢查的方法和違約處理的機制理解數據庫備份和恢復機制的重要性，了解常見的數據冗余技術和數據庫恢復策略9數據庫安全保密性數據泄露完整性執行不正確的修改操作（插入、刪除、更新等）可用性數據庫死鎖，性能下降或無法訪問10數據庫安全需求物理數據庫完整性邏輯數據庫完整性數據單元安全性可審計訪問控制保密性完整性可用性11數據庫安全措施用戶標識與鑒別授權與訪問控制數據加密安全審計12用戶標識與鑒別用戶鑒別操作系統數據庫第三方用戶管理策略默認賬號管理賬戶鎖定策略用戶口令有效期與寬限期管理策略自定義口令策略驗證口令歷史管理賬戶鎖定策

5、略策略設置13數據庫安全措施-訪問控制設置用戶對不同的數據對象允許的操作權限系統權限（數據庫實例級或數據庫級）模式權限（數據庫對象：表、視圖等）數據對象權限（數據對象：記錄級）用戶權限登記DD合法權限檢查授權規則授權規則用戶發出操作請求定義用戶權限DBMS的存取控制子系統福利角色薪酬角色人事主管招聘職員薪酬職員薪酬權限福利權限14數據庫安全措施-資源控制CPU資源會話資源每用戶Session連接超時死鎖控制存儲資源數據存儲空間限制臨時存儲空間限制15數據庫安全措施-數據加密數據加密方式傳輸加密存儲加密數據存儲加密層級OS層加密DBMS內核層加密DBMS外層加密16數據庫安全措施-安全審計數據庫

6、審計日志數據庫審計（也稱標準審計）用戶級審計：安全審計員設置，用戶行為審計系統級審計：管理員設置，用戶授權或系統級權限操作審計細粒度審計監視對數據對象的操作17數據庫完整性-完整性約束數據庫完整性保證：完整性約束完整性約束條件實體完整性（PRIMARY KEY定義，唯一、不為空）域完整性（表定義中的CHECK、FOREIGN KEY約束、DEFAULT、NOT NULL定義）參照完整性（FOREIGN KEY定義，關聯）用戶定義完整性（生成時定義，非空、唯一、布爾）完整性檢查違約處理機制注：關于實體完整性、參照完整性和用戶自定義完整性的概念，請講師自行舉例說明，方便學員理解18數據備份與恢復備

7、份：數據冗余技術數據轉儲日志文件恢復：從冗余數據中實施數據庫恢復事務故障的恢復（事務處理）系統故障的恢復（事務處理）介質故障的恢復（通過轉儲數據恢復）19知識域：數據庫安全知識子域：數據庫運行安全防護理解數據庫威脅與防護特點理解數據庫事前安全防護、事中安全監控以及事后安全審計的方法20數據庫面臨安全威脅過度的特權濫用合法的特權濫用特權提升平臺及數據庫漏洞SQL注入不健全的審計拒絕服務攻擊數據庫通信協議漏洞不健全的認證數據泄露安全策略權限管理遠程攻擊不健全的審計不健全的驗證 數據泄露平臺漏洞數據庫漏洞SQL注入拒絕服務攻擊特權提升過度的特權濫用合法的特權濫用數據庫軟件漏洞21數據庫安全防護 層層

8、設防：防護體系建設DBSQL請求用戶標識與鑒別DBMS存取控制數據加密審計追蹤各種應用安全邊界查詢引擎DBMS選件事務引擎22數據庫安全防護檢查、監控、審計23數據庫安全防護事前檢測:安全特性檢測知識庫檢測引擎服務掃描滲透測試安全審計漏洞利用審計報告檢測人員策略專家配置檢測策略掃描數據庫服務外部滲透性測試進行全面的安全審計掃描分析審計結果，設計漏洞利用方式生成一份詳細的審計報告制定檢測策略從策略庫中選擇檢測策略24數據庫安全特性檢查安全配置補丁協議（端口、傳輸協議）賬號用戶名及密碼口令策略權限存儲過程觸發器備份25數據庫安全特性檢查數據庫最佳實踐數據庫安全漏洞美國國防部、國防信息系統中心等研究

9、機構給出的主流數據庫安全配置指南數據庫廠商提供的安全指南 Oracle/Sqlserver/MySQL數據庫安全特性檢查工具美國應用安全公司的App Detective英國下一代軟件公司的NGS SQuirrel26數據庫安全防護事中運行監控:數據庫運行安全監控27數據庫安全防護事后審計：數據庫審計關注的問題審計對象（對誰進行審計）標準審計（系統級、用戶級）細粒度審計（對象級）審計內容（對什么行為進行審計）訪問數據庫應用程序、位置及用戶信息，包括用戶操作、操作日期與時間、操作涉及的相關數據、操作是否成功等28知識域：應用安全知識子域：應用安全概述理解應用安全的概念了解常見應用安全威脅了解等級保

10、護規范應用安全防護要點29應用安全基本概念應用安全目標合法用戶能夠通過安全策略合法地訪問業務資源非法用戶無法訪問、篡改任何受保護的資源技術要求物理安全網絡安全主機安全應用安全數據安全30應用安全問題構建在網絡、系統安全基礎上（參考：網絡安全、操作系統安全課程）安全問題關注應用軟件自身安全（參考：軟件安全開發課程）應用系統支撐軟件安全應用協議安全31常見應用安全威脅網絡層面拒絕服務、電子欺騙、嗅探、系統層面Web服務漏洞、配置錯誤、應用層面代碼缺陷(SQL注入、XSS）資源管理業務層面釣魚、流程缺陷32應用安全防護模型OSI通信協議應用安全防護模型鑒別訪問控制數據機密性數據完整性抗抵賴等級保護應

11、用安全防護11個控制點五級33等級保護應用安全要求應用系統的安全就是保護系統的各種應用程序安全運行。包括基本應用，如：消息發送、web瀏覽等；業務應用，如：電子商務、電子政務等應用安全具體包括：9個控制點 身份鑒別（S）、訪問控制（S）、安全審計 （G）、剩余信息保護（S）、通信完整性（S）、 通信保密性（S）、抗抵賴（G）、軟件容錯（A）、資源控制（A）34等級保護應用安全要求身份鑒別基本的身份鑒別訪問控制安全策略最小授權原則安全審計運行情況審計（用戶級）審計報表剩余信息保護空間釋放及信息清除組合鑒別技術敏感標記的設置及操作審計過程的保護通信完整性校驗碼技術密碼技術軟件容錯自動保護功能資源控

12、制資源分配限制、資源分配優先級最小服務水平的檢測及報警數據有效性檢驗、部分運行保護對用戶會話數及 系統最大并發會話數的限制審計記錄的保護通信保密性初始化驗證整個報文及會話過程加密敏感信息加密抗抵賴3535知識域：應用安全知識子域：Web應用安全理解Web工作機制及Web應用安全問題產生的原因了解常見Web服務運行平臺的安全配置要點了解互聯網瀏覽面臨的安全威脅及應對方法了解Web安全防護產品如Web應用防火墻和網頁防篡改產品的功能和特點36Web安全問題根源WEB服務器端安全問題（支撐軟件、應用程序）Web客戶端（瀏覽器）Web協議（Http）終端用戶應用服務器數據庫服務器Web應用（IIS、A

13、pache）應用傳輸協議HTTP應用客戶端瀏覽器（IE、Firefox）37Web服務支撐軟件安全問題Web服務支撐軟件軟件自身安全漏洞例：IIS 5.0超長URL拒絕服務漏洞例：Unicode解碼漏洞軟件配置缺陷默認賬號、口令不安全的配置例：IIS配置允許遠程寫入注：講師可根據自己經驗給學員介紹幾個典型漏洞或者演示38Web程序安全問題輸入輸出處理會話控制文件系統處理用戶訪問機制日志處理39WEB協議安全問題信息泄漏明文傳輸（用戶名和口令、向服務器提交的數據）弱驗證簡單的認證缺乏狀態跟蹤無狀態的協議Session存在安全隱患40Web應用協議-HTTPHTTP(超文本傳輸協議)一種通信協議使

14、用超文本標記語言 (HTML) 將資源從服務器傳送到客戶端超文本傳輸協議特點請求、響應模式協議簡單，客戶端只需傳輸請求方法和路徑無連接（一個請求一個連接，完成后斷開）無狀態41HTTP協議工作過程HTTP 請求（Requests） 一個HTTP請求包含三個部分 方法，URL，協議/版本（Method-URI-Protocol/Version）請求包頭(Request headers)實體包（Entity body） HTTP 響應（Responses）一個HTTP響應也包含三個部分協議狀態代碼描敘（Protocol-Status code-Description）響應包頭（Response h

15、eaders）實體包（Entity body）42HTTP協議工作過程HTTP請求范例POST /servlet/default.JSP HTTP/1.1Accept: text/plain; text/HTMLAccept-Language: en-gbConnection: Keep-AliveHost: localhostReferer: User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)Content-Length: 33Content-Type: application/x- Accept-Encoding:

16、gzip, deflate LastName=Franks&FirstName=Michael43HTTP協議工作過程-響應范例HTTP響應范例HTTP/1.1 200 OKServer: Microsoft-IIS/6.0Date: Mon, 3 Jan 2010 13:13:33 GMTContent-Type: text/HTMLLast-Modified: Mon, 11 Jan 2010 13:23:42 GMTContent-Length: 112Welcome to CISP.第一行的響應包頭和請求包頭很相似。第一行說明協議是使用的HTTP1.1，響應請求已成功(200表示成功)

17、，一切已OK響應包頭和請求包頭相似，也包含一些有用的信息。響應的實體是HTML那一部分的內容。包頭和實體也都是被CRLF序列分離開的44Web應用安全解決Web支撐軟件安裝安全補丁或升級軟件安全配置Web應用程序安全軟件開發Web客戶端安全補丁或者升級軟件安全瀏覽Web協議安全協議（Https）45Web支撐軟件-IIS安全配置身份驗證傳輸安全目錄安全日志安全性能調整46IIS安全配置-身份驗證Web訪問用戶身份設置啟用匿名（默認）匿名身份：iuser_計算機名稱案例：錯誤的匿名訪問需要身份驗證訪問控制IP地址訪問控制47IIS安全配置-傳輸安全使用https保證會話安全登錄驗證重要操作Htt

18、ps的優點使用SSL加密傳輸信息端口443，會話過程中包括傳輸加密、身份認證等48IIS安全配置-目錄安全主目錄設置Web文件存放在非系統分區刪除不使用的虛擬目錄目錄權限控制不允許遠程目錄寫入具備修改權限的目錄去掉執行權限具備執行權限的目錄盡量不允許修改注意：IIS的權限是與NTFS權限分開的，講師可做演示說清楚該概念49主目錄及目錄安全性Web文件存放位置（不宜使用默認目錄）嚴格控制權限1、嚴禁寫入！2、慎用目錄瀏覽50IIS安全配置-日志安全日志記錄項盡可能多日志的路徑非系統盤足夠大的空間單獨的日志分區日志的訪問權限System可以寫入，不可讀Administrator可讀不可修改其他用戶

19、無權限51IIS安全配置-其他設置性能并發連接數設置帶寬限制CPU限制Web站點設置IP地址/端口主機頭名稱連接控制日志文檔錯誤返回頁面定制52Web支撐軟件-Apache安全配置安裝最新版本，最小化安裝傳輸安全保護安全配置（httpd.conf）控制Apache運行權限目錄安全限制Apache訪問其他目錄無關的內容關閉目錄瀏覽其他設置控制連接最大請求數定制錯誤返回頁面注：講師請準備一個apache的配置文件Httpd.conf做實例給學員簡單講解如何進行安全設置。53互聯網瀏覽面臨的安全風險網頁掛馬及惡意腳本網絡欺詐及釣魚隱私泄露54互聯網瀏覽安全風險-網頁掛馬將木馬偽裝為頁面元素利用腳本運

20、行的漏洞偽裝為缺失的組件通過腳本運行調用某些COM組件利用軟件漏洞例如：在渲染頁面內容的過程中利用格式溢出釋放或下載木馬55互聯網瀏覽安全風險-網頁欺詐/釣魚欺騙域名正確：欺騙：欺騙性內容打折中獎56網頁欺詐/釣魚案例57互聯網瀏覽安全風險-隱私泄露誘騙注冊用戶名/密碼郵箱密碼問題、答案免費贈送電話地址姓名58互聯網瀏覽安全防護-安全意識良好的安全意識瀏覽器安全防護安全的瀏覽器網站訪問防護腳本執行控制Cookie控制59瀏覽器安全防護-安全瀏覽器使用安全的瀏覽器應用在瀏覽器中使用已經成為趨勢安全應在瀏覽器中解決60瀏覽器安全防護-網站訪問防護避免訪問不安全網站根據網站安全級別設置防護IE：瀏覽

21、級別Firefox：行為阻止和行為控制61瀏覽器安全防護-腳本運行控制不可控的腳本是安全的巨大威脅限制腳本運行限制插件自動運行限制控件的自動運行62瀏覽器安全防護-cookie安全什么是Cookie彌補http缺陷的的機制，用于存儲信息的一段文本存儲用戶登錄信息威脅泄漏用戶敏感數據或隱私63瀏覽器安全防護-cookie安全設置IE設置隱私保護級別退出時刪除cookieFirefox不記錄cookie其他64瀏覽器安全防護-隱私保護隱私保護IE不自動保存瀏覽歷史不自動保存用戶名/密碼Firefox隱私瀏覽窗口其他65互聯網瀏覽安全防護-安全意識心態（小心駛得萬年船）了解隱私的重要性 尊重他人私密

22、 達到保護個人私密意識（任何東西都是有價值的）能知道什么是需要保護的能知道需要保護的東西的價值操作（我為什么要給你，你為什么需要）能不提供的就不提供不是必須的信息虛假提供66WEB安全防護產品-應用防火墻Web應用防火墻Web Application Firewall，WAF，也稱Web防火墻是指通過執行一系列針對HTTP/HTTPS的安全策略來專門為Web應用提供保護的一類產品，用以解決Web應用層出現的安全問題主要常見功能攔截審計HTTP數據流Web應用訪問控制Web應用加固67網頁防篡改產品功能監控Web服務器上的頁面文件，防止被篡改原理備份文件對比摘要文件對比刪改操作觸發系統底層過濾6

23、8知識域：應用安全知識子域：常用互聯網服務安全了解電子郵件應用的安全缺陷和防御措施了解FTP應用安全缺陷和防御措施了解遠程管理的安全問題及防御措施了解域名應用的安全問題及防御措施69電子郵件應用應用協議SMTP：簡單郵件傳輸協議，用于郵件發送及中轉POP3:郵局協議，用于郵件接收電子郵件協議的特點協議簡單，客戶端請求命令請求、響應模式70TCP連接HELLOMAILRCPTDATAQUIT25郵件服務器客戶機SMTP協議工作過程71電子郵件協議安全問題信息泄露用戶賬號/口令用戶郵件內容用戶身份驗證不足垃圾郵件社會工程學72電子郵件應用安全問題郵件服務器拒絕服務：大量的郵件浪費服務器的資源垃圾郵件：浪費服務器資源，導致服務器被加入拒絕名單郵件客戶端郵件病毒客戶端漏洞信息泄露73安全協議PGP（Pretty Good Privacy）S/MIME（Secure Multipurpose Internet Mail Extension）安全策略配置確保服務器軟件版本最新關閉開放式轉發反向域名驗證身份驗證電子郵件安全應用-服務器端74電子郵件安全應用-郵件客戶端郵件病毒/客戶端漏洞客戶端設置以txt方式閱讀郵件使用較安全的郵