数据库安全面面观（二）信息安全背景下的数据库安全

（一）前言

（二）信息安全背景下的数据库安全

资料来源：《数据库安全指南（2.0版）》
数据库安全联盟（DBSC）
http://www.db-security.org/

系统模型

本文假设一个同时从互联网和内联网访问的三层系统模型。

在此模型中，网络分为几个部分。不能直接从互联网或内联网访问数据库服务器。只能通过防火墙从“操作/管理区域”（管理员局域网）直接访问数据库服务器。

此系统模型如下图所示。

安全控制概要

安全控制可分为以下类别：

1. 网络控制
2. Web控制
3. 应用程序审计
4. 数据库控制
5. 终端控制

本文侧重于“4. 数据库控制”，并在“数据库安全控制”部分详细描述。

适用于系统模型的安全控制如下图所示。

*IDS——入侵检测系统（Intrusion Detection System）
*IPS——入侵防御系统（Intrusion Prevention System）
*IP——互联网协议（Internet Protocol）
*VPN——虚拟专用网（Virtual Private Network）
*ID——标识（Identification）
*XSS——跨站脚本（Cross Site Scripting）
*BIOS——基本输入输出系统（Basic Input Output System）

数据库安全的定义和范围

在本文中，数据库安全定义为保护存储在数据库中的信息。数据库服务器及其周边的网络构成数据库安全的范围。

数据库安全的定义和范围如下图所示。