摘 要： SQL Server安全管理机制是一个难点，本文分析论述了SQL Server2005数据库采用的安全策略，以减少其受攻击的风险。 关键词： SQL Server 数据库安全 安全策略
1.引言
随着计算机技术与网络的广泛应用，SQL Server数据库在各行各业也都得到了广泛应用。但是计算机软/硬件故障、木马病毒、黑客攻击等多种因素，都可导致数据库数据丢失、数据崩溃和系统瘫痪。因此，对于数据库管理员来说，一个很重要的任务就是科学有效地管理SQL Server数据库，并保证其安全。
SQL Server 2005是Microsoft公司推出的数据库管理系统。与前面几个版本相比，SQL Server 2005通过数据库加密、高级安全配置、密码政策和细化许可控制等安全策略，为数据提供最高级别的安全性［１］。
2.身份验证与安全密码策略
密码安全策略是数据库系统安全最关键的一步。SQL Server 2005身份验证（SQL Server Authentication）方式和Windows身份验证（Windows Authentication）方式。在使用SQL Server2005的sa安全认证中，不能把sa账号和密码写在应用程序或者脚本之中，否则会导致注入式攻击。SQL Server 2005在安装的时候，假如使用混合模式，需要输入sa密码，这比以前的版本有所改进。同时管理员要培养定期修改密码的习惯，并定期检查是否存在不符合密码要求的账号［2］。
3.日志记录策略
SQL Server使用数据库的事务日志来恢复事务。事务日志是对数据库中已发生的所有修改和执行每次修改的事务的一连串记录。事务日志记录每个事务的开始，以及在每个事务期间对数据的更改和撤消所做的更改信息，所以，加强数据库日志的记录对数据的安全有着至关重要的作用。SQL Server 2005每次启动都会审核数据库登录事件，在系统日志中会详细记录所有账号登录的事件。管理员要定期查看SQL Server日志，检查是否有可疑登录事件。
4.权限分配策略
在SQL Server2005中权限管理分为：对象权限、语句权限和暗示权限。对象权限是基于数据库层次上的访问和操作权限。语句权限表示用户能否对数据库及其对象执行如下语句：创建类的语句包括created atabase、create table、create procedure等；备份类语句包括backup database和backup log语句。语句权限仅限于语句本身，而不是数据库对象。暗示性权限是指固定服务器角色、固定数据库角色和数据库对象所有者具有的默认权限。固定服务器角色和固定数据库角色的成员自动继承角色的默认权限，而数据库对象的所有者在其创建的数据对象上拥有全部权限，这就是数据库对象所有者的默认权限［3］。
5.协议加密策略
SQL Server使用Tabular Data Stream协议来进行网络数据交换。若不加密，所有的网络传输都是明文的，包括密码、数据库内容等，这就存在一定的安全隐患，所以，最好使用SSL加密协议。以下介绍在SQL Server2005上启用SSL加密的配置步骤［4］：
（1）在服务器端计算机上，单击“Microsoft SQL Server”程序组中的“服务器网络实用工具”；
（2）单击选择“强制协议加密”；
（3）验证是否启用了TCP/IP或命名管道；
（4）单击“确定”关闭SQL Server网络实用工具，然后在“SQL Server网络实用工具”消息框中单击“确定”；
（5）重新启动SQL Server服务。
设置完后，不论客户端是否指定安全连接（即Encrypt=True/FaL Se），后续客户端所有连接都将以密文传送。
6.备份与恢复策略
故障是数据库系统不可避免的问题。SQL Server 2005能在系统发生故障后利用已有的数据备份，恢复到原状，并保持数据的完整性和一致性。SQL Server 2005可以创建镜像备份，在线恢复和部分备份。镜像备份允许将备份文件创建两个或者四个同样的拷贝，以防其中某个集合损坏的情况。在线恢复允许在保持数据库在线的情况下恢复离线的文件组。部分备份是将所有的文件组，除了那些标记为只读的文件组之外（除非是指定的），进行备份。
7.结语
本文主要介绍SQL Server 2005采用的安全策略。启用安全策略后，可以让SQL Server 2005本身具备足够的安全防范能力。当然，更重要的是要加强数据库内部的安全控制和对管理员的安全培训，并且数据库安全问题是一个需要长期不断完善解决的过程，需要管理员长期的维护和管理。
参考文献：
［1］刘志成.SQL Server 2005实例教程［M］.北京：电子工业出版社，2008.
［2］詹英.数据库技术与应用――SQL Server 2005教程［M］.北京：清华大学出版社，2008.
［3］吴溥峰，张玉清.数据库安全综述［J］.计算机工程，2006.
［4］郝黎明，杨树堂，陆松年.远程数据库访问与数据传输安全技术研究［J］.计算机应用与软件，2006.
本文为全文原貌 未安装PDF浏览器用户请先下载安装 原版全文