MSSQL数据库安全实验

预备知识

1、数据库安全的概念

    对任何企业组织来说，数据的安全性最为重要。安全性主要是指允许那些具有相应的数据访问权限的用户能够登录到数据库，并访问数据以及对数据库对象实施各种权限范围内的操作，但是要拒绝所有的非授权用户的非法操作。因此安全性管理与用户管理是密不可分的。

2、SQL Server的安全性

    SQL Server 2000 的安全性管理是建立在认证（authentication）和访问许可（permission）两者机制上的。认证是用来确定登录SQL Server 的用户的登录账号和密码是否正确，以此来验证其是否具有连接SQL Server 的权限。但是通过认证阶段并不代表该用户能够访问SQL Server 中的数据，用户只有在获取访问数据库的权限之后，才能够对服务器上的数据库进行权限许可下的各种操作（主要是针对数据库对象，如表、视图、存储过程等），这种用户访问数据库权限的设置是通过用户账号来实现的，同时在SQL Server 中，角色作为用户组的代替物大大地简化了安全性管理。

3、SQL Server的认证模式

    SQL Server提供了2种安全管理模式，即Windows 身份验证模式和混合身份验证模式，数据库设计者和数据库管理员可以根据实际情况进行选择。每个用户必须通过登录帐户建立自己的身份验证，以获得对SQL Server 实例的访问权限。

    SQL Server 2000提供了两种确认用户的登录认证模式：Windows认证模式和混合认证模式。

    （1）Windows认证模式

    SQL Server数据库系统通常运行在NT服务器平台或基于NT 构架的Windows 2000上，而NT作为网络操作系统，本身就具备管理登录、验证用户合法性的能力，所以Windows认证模式正是利用这一用户安全性和账号管理的机制，允许SQL Server也可以使用NT的用户名和口令。在该模式下，用户只要通过Windows的认证就可连接到SQL Server，而SQL Server本身也不需要管理一套登录数据。

    （2）混合认证模式

    在混合认证模式下，Windows认证和SQL Server 认证这两种认证模式都是可用的。NT的用户既可以使用NT认证，也可以使用SQL Server 认证。

    在SQL Server认证模式下，用户在连接SQL Server时必须提供登录名和登录密码，这些登录信息存储在系统表syslogins中，与NT的登录账号无关。SQL Server自己执行认证处理，如果输入的登录信息与系统表syslogins 中的某条记录相匹配则表明登录成功。

4、SQL Server权限管理

    SQL Server数据库管理系统利用角色设置、管理用户的权限。登录名本身并不能让用户访问服务器中的数据库资源。要访问具体数据库中的资源，还必须有该数据库的用户名。新的登录创建以后，才能创建数据库用户，数据库用户在特定的数据库内创建，必须和某个登录名相关联。数据库用户创建后，通过授予用户权限来指定用户访问特定对象的权限。通过角色，可以将用户集中到一个单元中，然后对这个单元应用权限。对角色授予或收回权限时，将对其中的所有成员生效。利用角色进行权限设置可以实现对所有用户权限的设置，大大减少了管理员的工作量。

 

实验目的

 

了解数据库安全的含义与内容，掌握有关安全的设置方法，具体如下：

 

1）掌握管理SQL Server认证模式的方法；

 

2）掌握管理数据库登录的方法；

 

3）掌握管理数据库用户的方法

 

4）掌握管理数据库角色的方法

 

5）掌握管理数据库权限的方法

 

 

    本实验通过练习以掌握管理数据库登录的方法；掌握管理数据库用户的方法；掌握管理数据库角色的方法；掌握管理数据库权限的方法，实验任务共分为五部分，详情如下：

 

    管理SQL Server认证模式

 

 

 

 

 

 

 

 

 

 

 

 

 

 

    管理数据库登录

    SQL Server有两个默认的用户登录账号：即sa和administrators\builtin。sa是系统管理员，它是SQL Server的一个超级登录账号，这个账号具有操作SQL Server服务器的一切权限。BUILTIN\Administrators组成员的 Windows NT 4.0 或 Windows 2000 用户自动成为 sysadmin 固有服务器角色成员。

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

    管理数据库用户

    数据库用户对数据的访问权限以及对数据库对象的所有关系都是通过用户账号来控制的。在数据库中，用户账号与登录账号是两个不同的概念。一个合法的登录账号只表明该账号通过了Windows认证或SQL Server 认证，但不能表明其可以对数据库数据和数据对象进行某种或某些操作，只有其同时拥有了用户账号后，才能够访问数据库。所以一个登录账号总是与一个或多个数据库用户账号（这些账号必须分别存在相异的数据库中）相对应，这样才可以访问数据库。

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

    管理数据库角色

    SQL Server有自己的固有角色。固有角色是指 SQL Server预先定义好的系统角色。用户不能修改这些角色的任何属性，也不能创建新的服务器固有角色和数据库固有角色。

    数据库角色是在数据库的安全级别上创建，一个数据库角色只在其所在的数据库中有效，对其他数据库无效。在数据库中，除了有固有的数据库角色外，还可以自定义数据库角色，同时根据需要，可以为数据库角色添加成员或删除自定义角色。

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

1、 SQL Server的Windows认证模式和混合认证模式的区别？

 两个验证方式是有明显不同的。

主要集中在信任连接和非信任连接。

windows 身份验证相对于混合模式更加安全，使用本连接模式时候，sql不判断sa密码，而仅根据用户的windows权限来进行身份验证，我们称为“信任连接”，但是在远程连接的时候会因NTML验证的缘故，无法登陆。

混合模式验证就比较既当本地用户访问sql时候采用windows身份验证建立信任连接，当远程用户访问时由于未通过windows认证，而进行sql server认证（使用sa的用户也可以登录sql），建立“非信任连接”，从而使得远程用户也可以登录。

更加直接一些就是windows身份验证，不验证sa密码，如果windows登录密码不正确，无法访问sql，混合模式既可以使用windows身份验证登录，有可以在远程使用sa密码登录。

准确来说，混合身份验证模式，也就是基于Windows
身份验证和SQL Server身份混合验证。在这个模式中，系统会判断账号在Windows操作系统
下是否可信，对于可信连接，系统直接采用Windows身份验证机制，而非可信连接，这个连接
不仅包括远程用户还包括本地用户，SQL Server 会自动通过账户的存在性和密码的匹配
性来进行验证。比如当SQL Server实例在Windows 98上运行时，必须使用混合模式，因为在
Windows 98上不支持Windows身份验证模式。

 

3、 查阅近期数据库安全事件，分析攻击原理，掌握数据库安全的重要性

 数据库系统的漏洞很容易导致服务器系统被入侵。这是任何在线服务提供商都需要防范的事情。小则中中毒死死机网页被挂马网络崩溃，大则资料泄密，重要数据文件遗失。及时升级补丁是不错的选择。
另外就是数据库中关键资料的加密，这一般只有政府部门的应用会有需求。