I.セキュリティの概要

不安の1.1

不正アクセスやデータベースの悪質な破壊
データベースの重要なデータや機密データが漏洩する
安全な環境の脆弱性を

安全基準に1.2入門

1.2.1 TCSEC / TDI標準

より多くのまたはより優れた保護を提供しながら、すべての下位レベルを含むようにセキュリティは、セキュリティ保護要件の高いレベルによって提供されるセキュリティのレベルとの間の半順序関係を有する下位互換性

1.2.2 CCの標準

1.3セキュリティのコントロール

コンピュータ・システムは、セキュリティ層が配置されている

データベース管理システムのセキュリティ制御モデル

ユーザー識別および認証、アクセス制御、ビュー、監査、データの暗号化：を含む一般的なデータベースセキュリティシステムの制御方法

第二に、アクセス制御

構図

ユーザー権限と辞書データに登録されているユーザの権限を定義します

データオブジェクトを操作する権限を呼びかけユーザー権限
DBMSは、データ・ディクショナリに格納されているユーザーの権限を定義するための適切な言語、と呼ばれる安全規則や承認規則を提供します

合法的な権限を確認します

ユーザ操作によって発行されたデータベースのアクセス要求
DBMSのデータ辞書検索、正当な権限チェック

2.1アクセス制御をカスタマイズします

助成金のSQL文と文を取り消すによって達成
ユーザ権限こと

データオブジェクト
アクションタイプ

ユーザーのアクセス権の定義：ユーザーは、データベース・オブジェクトに対する操作の種類を定義することができます
言及するアクセス許可を定義する
リレーショナルデータベースシステムへのアクセス

権限の付与および2.1.1をリサイクル

1、授与された助成金

grant <权限列表> on <对象名> to <用户/角色列表>
/*
权限列表可以是 all privileges，或者如下
    select：查询
    delete：删除元组
    insert [(<属性列>,...,<属性列>)]：插入
    update [(<属性列>,...,<属性列>)]：修改
    references [(<属性列>,...,<属性列>)]：赋予用户创建关系时定义外码的能力
*/

2、回復REVOKE

grant <权限列表> on <对象名> to <用户/角色列表>
{cascade | retrict}

2.1.2データベーススキーマの作成権限

--数据库管理员在创建用户时实现
create user <username>
[with][dba | resource | connect];

ユーザー文形式の説明を作成します

システムのスーパーユーザーだけが新しいデータベース・ユーザーを作成する権限を持っています
新しく作成されたデータベース・ユーザー、3つの権利があります：接続は、リソースおよびDBA
不在デフォルトでは、新たなユーザー権限を作成し、ユーザーが接続する権限を持っています

2.1.3データベースロール

定義：グループの名前は、データベースのパーミッションの操作に関連します

ロールは権限の集まりです
あなたは同じ権限を持つユーザーのグループの役割を作成することができます
承認のプロセスを簡素化

--创建角色
create role <角色名>

--角色授权
grant <权限列表> on <对象名> to <角色名>

--使用角色授权
grant <角色列表> to <用户/角色列表>

--收回授予角色的权限
revoke <权限列表> on <对象名> from <角色名>

--收回角色
revoke <角色列表> from <用户/角色列表> {cascade | restrict}

--通过角色来实现将一组权限授予一个用户。步骤如下：
--首先创建一个角色 R1
    create role R1;

--然后使用grant语句，使角色R1拥有Student表的  select、update、insert权限
    grant select,update,insert
    on table Student
    to R1;

--将这个角色授予王平，张明，赵玲。使他们具有角色R1所包含的全部权限
    grant R1
    to 王平,张明，赵玲;

--可以一次性通过R1来回收王平的这3个权限
    revoke R1
    from 王平;

2.2強制アクセス制御方法

強制アクセス制御では、データベース管理システムによって管理されるエンティティのすべてが対象とオブジェクトの2つの主要なカテゴリに分類され
、本体は移動体システムであります

実際のユーザが管理するデータベース管理システム
ユーザプロセスを代表して

オブジェクトが操作体によって、システム内の受動的エンティティであります

ドキュメント、基本的なテーブル、インデックス、ビュー

タグ感度
サブジェクトとオブジェクトのために、マーカーの感度割り当てられ、それらを各インスタンス（値）をDBMS
いくつかのレベルに感度マーク

最高機密
親展
秘密
公衆

bodyタグは、ライセンス感度レベルと呼ばれる
感度密なオブジェクトはマーカーと呼ばれる
強制アクセス制御ルールを

本体がライセンス緻密オブジェクトのレベル以上である場合にのみ、対象は、対応するオブジェクトを読み取ることができ
場合にのみ、ライセンス対象レベル以下稠密オブジェクトは、被験体は、対応するオブジェクトを書くことができ

まず、アクセス強制アクセス制御を実現するために、自己制御を達成するために

理由：すべての下位レベルの保護を含めるために提供されるセキュリティのセキュリティ、より高いレベル

独立したアクセス制御と強制アクセス制御のセキュリティメカニズムは、一緒になって、データベース管理システムを構成します

第三に、他のセキュリティ対策

3.1ビューのメカニズム

その後、アクセス権の定義の観点では、これらのユーザーの使徒へのアクセスを許可しますが、ビューを定義し、その関係への直接アクセスを許可していません。まず、機密一部のユーザーのために必要なデータの一部を遮蔽し、ビューを定義

3.2監査テクニック

監査技術は、監視措置である、それはデータベース・アクセス・アクティビティを追跡し、可能な違法行為を検出し
、自動的に専用の監査ログを有効にするには、監査をすべてのユーザーが（挿入、削除、修正）データベースを更新するために記録し
た監査ログの一部

操作のタイプ（挿入、削除、修正）
操作端末識別子とオペレータ識別子
オペレーティング日付と時刻
操作に関連するデータ（関係、タプル属性など）
データの画像の前と後

3.3データ暗号化

いくつかの暗号化アルゴリズムによれば、直接認識できないフォーマットにオリジナルデータ（平文）（暗号文）が
秘密アルゴリズムはモードに依存してはならない暗号化されたが、アルゴリズムのパラメータに依存する、すなわち、キー

データベースシステムの概要 - セキュリティ