BẢO MẬT CƠ SỞ DỮ LIỆU: NHỮNG ĐIỀU SINH VIÊN CẦN BIẾT

BẢO MẬT CƠ SỞ DỮ LIỆU: NHỮNG ĐIỀU SINH VIÊN CẦN BIẾT

Tạp chí Giáo dục Công nghệ thông tin Tập 9 2010 Đổi mới công nghệ BẢO MẬT CƠ SỞ DỮ LIỆU: NHỮNG ĐIỀU SINH VIÊN CẦN BIẾT Trường Đại học Kennesaw State, Kennesaw, GA, USA mc m u rra y @ kennesaw . edu 1-Tóm tắt Vấn đề bảo mật CSDL hiện nay đang ngày càng được quan tâm hơn, nó được minh chứng bằng sự gia tăng số lượng các báo cáo về mất mát dữ liệu hoặc việc truy cập trái phép đến các dữ liệu nhạy cảm. Khi mà các số liệu, dữ liệu được thu thập, lưu giữ và chia sẻ điện tử ngày càng mở rộng, chúng ta càng cần phải biết và hiểu ý nghĩa của vấn đề bảo mật CSDL. Theo tổ chức Hệ thống Thông tin Quốc phòng của Bộ quốc phòng Mỹ (2004), trong hướng dẫn bảo mật CSDL của tổ chức này, cho rằng bảo mật CSDL cần cung cấp kiểm soát, bảo vệ quyền truy cập vào các nội dung CSDL cũng như đảm bảo tính toàn vẹn, nhất quán và tổng thể chất lượng của dữ liệu. Sinh viên trong ngành khoa học máy tính phải phát triển một sự hiểu biết về các vấn đề và thách thức liên quan đến bảo mật CSDL và phải có khả năng xác định được các giải pháp cụ thể. Về cốt lõi, việc bảo mật CSDL là bảo đảm rằng chỉ có những người dùng có thẩm quyền mới được phép thực hiện các hoạt động tương tác với CSDL vào thời điểm được xác thực. Bảo mật CSDL bao gồm các vấn đề như an ninh vật lý, an ninh mạng, mã hóa và xác thực, bài báo này tập trung vào mô tả các khái niệm và cơ chế cụ thể để bảo vệ dữ liệu. Ta có thể xem việc bảo mật CSDL bao gồm 3 cấu trúc: bảo mật hay bảo vệ dữ liệu khỏi những thông tin rò rỉ trái phép, tính toàn vẹn của dữ liệu hay bảo vệ dữ liệu từ những truy cập trái phép, và sự sẵn có hay xác định phục hồi từ phần cứng hoặc phần mềm lỗi hay các hoạt động nguy hiểm dẫn đến việc từ chối dữ liệu sẵn có. Trong chương trình giảng dạy môn khoa học máy tính, bảo mật dữ liệu thường bao gồm như là một chủ đề trong khóa học giới thiệu về CSDL hay bảo mật máy tính. Bài báo này trình bày một tập hợp các tiểu chủ đề mà có thể được đưa vào một thành phần bảo mật CSDL của khóa học như vậy. Liên quan với 3 cấu trúc bảo mật dữ liệu đã nêu ở trên, các chủ đề này bao gồm kiểm soát truy cập, truy cập ứng dụng, điểm yếu, suy luận và cơ chế kiểm toán. Kiểm soát truy cập là quá trình mà theo đó quyền và đặc quyền được giao cho người dùng và các đối tượng CSDL. Ứng dụng truy cập các địa chỉ cần gán quyền truy cập thích hợp để ứng dụng bên ngoài đòi hỏi một kết nối cơ sở dữ liệu. Điểm yếu là những lỗ hổng cho phép người dùng nguy hiểm khai thác nguồn tài nguyên thông tin. Suy luận đề cập đến việc sử dụng các dữ liệu hợp pháp để suy luận các thông tin không rõ ràng mà không có quyền lợi trực tiếp để lấy các thông tin đó. CSDL kiểm toán theo dõi truy cập CSDL và hoạt động người dùng cung cấp một cách để xác định hành vi vi phạm đã xảy ra để có những biện pháp khắc phục có thể thực hiện được. Giống như những kiến thức liên quan đến vấn đề bảo mật CSDL đang tiếp tục được phát triển, những thách thức được đặt ra trong việc chuyển tải chúng một cách hiệu quả. Bài báo này đề cập đến những thách thức bằng cách kết hợp một bộ các module phần mềm tương tác vào mỗi chủ đề phụ. Những Module này là một phần của một dự án CSDL dạy học trực quan được thiết kế để hỗ trợ việc giảng dạy các khái niệm CSDL. Tài liệu tham khảo này bao gồm các lĩnh vực cơ sở dữ liệu thiết kế, cấu trúc ngôn ngữ truy vấn, cơ sở dữ liệu tương tác và bảo mật CSDL. Module bảo mật được trình bày ở đây cho phép sinh viên khám phá các lĩnh vực như kiểm soát truy cập, tấn công SQL, suy luận CSDL, kiểm toán CSDL, và ma trận bảo mật. Tài liệu này được phát triển như một phần của Quỹ Khoa học Quốc gia và có thể sử dụng tại địa chỉ http://adbc.kennesaw.edu 2-Giới thiệu Công nghệ cơ sở dữ liệu là một thành phần cốt lõi của nhiều hệ thống máy tính. Chúng cho phép dữ liệu được lưu giữ và chia sẻ điện tử và số lượng dữ liệu được chứa trong các hệ thống này tiếp tục phát triển với một tốc độ theo cấp số nhân. Vì vậy, cần phải bảo đảm tính toàn vẹn của dữ liệu và an toàn dữ liệu từ các truy cập không mong muốn. The Privacy Rights Clearing House (2010) báo cáo rằng hơn 345000000 hồ sơ khách hàng đã bị mất hoặc bị đánh cắp từ năm 2005 khi họ bắt đầu theo dõi sự cố vi phạm dữ liệu, và Viện Ponemon báo cáo chi phí trung bình của một hành vi vi phạm dữ liệu đã tăng lên $202 cho mỗi hồ sơ khách hàng (Ponemon, 2009). Trong tháng 8 năm 2009, bản cáo trạng hình sự đã được lưu truyền ở Hoa Kỳ đến ba thủ phạm bị cáo buộc thực hiện hành vi vi phạm an ninh lớn nhất duy nhất ghi lại dữ liệu cho đến nay. Những hacker bị cáo buộc đã đánh cắp hơn 130 triệu số thẻ tín dụng và ghi nợ bằng cách khai thác một lỗ hổng cơ sở dữ liệu lớn, tiêm một SQL (Phifer, 2010). Các công ti thống kê rủi ro kinh doanh, những người đã được báo cáo số liệu thống kê vi phạm từ năm 2004, đã kiểm tra 90 vi phạm trong năm 2008. Họ báo cáo rằng hơn 285.000.000 bản ghi đã bị xâm hại, một số vượt quá tổng số lượng các năm trước (Baker et al, 2009.). Phát hiện của họ cung cấp hiểu biết về những người gây ra các hành vi này và làm thế nào chúng xảy ra. Thông thường, họ đã tìm thấy rằng vi phạm dữ liệu nhất có nguồn gốc từ các nguồn bên ngoài, với 75% của sự cố đến từ bên ngoài tổ chức so với 20% tới từ bên trong. Họ cũng báo cáo rằng 91% các bản ghi bị đánh cắp đã được liên kết với các nhóm tổ chức tội phạm. Hơn nữa, họ trích dẫn rằng phần lớn các vi phạm là kết quả của phần mềm độc hại tấn công và đa số đều do sai phạm của các nạn nhân- tức là chủ cơ sở dữ liệu. Truy cập trái phép và SQL lỗi đã được phát hiện là hai hình thức phổ biến nhất của hacker, một phát hiện thú vị là cả hai sự khai thác trên được biết đến và thường xuyên ngăn ngừa được. Do sự tăng số lượng các bản ghi vào hệ thống cơ sở dữ liệu, cần có một nhu cầu tương ứng để nâng cao nhận thức làm thế nào để bảo vệ đúng cách và giám sát hệ thống cơ sở dữ liệu. Tại cốt lõi của vấn đề, bảo mật cơ sở dữ liệu cố gắng để bảo đảm rằng người dùng chỉ có thẩm quyền chứng thực thực hiện các hoạt động vào các thời điểm ủy quyền. Nó bao gồm các hệ thống, quy trình, và thủ tục bảo vệ dữ liệu từ các hoạt động ngoài ý muốn. Hệ thống Thông tin Quốc phòng Cơ quan của Bộ Quốc phòng Mỹ (2004), trong kĩ thuật bảo mật cơ sở dữ liệu, nói rằng bảo mật cơ sở dữ liệu cần phải cung cấp "kiểm soát, truy cập bảo vệ các nội dung cơ sở dữ liệu của bạn và trong quá trình bảo vệ tính toàn vẹn, nhất quán và chất lượng tổng thể dữ liệu của bạn "(trang 9). Mục đích thì đơn giản nhưng con đường để đạt được các mục tiêu có một chút phức tạp hơn. Theo truyền thống, bảo mật cơ sở dữ liệu tập trung xác thực người dùng và người sử dụng đặc quyền quản lý cho các đối tượng cơ sở dữ liệu (Guimaraes, 2006). Điều này đã được chứng minh là không đủ cho số lượng cơ sở dữ liệu đã bị đánh cắp thành công ngày càng tăng và tăng số lượng các tổ chức báo cáo là mất dữ liệu nhạy cảm. Một quan điểm toàn diện hơn về bảo mật cơ sở dữ liệu là cần thiết, và nó đang trở thành bắt buộc cho học sinh trong các môn tính toán để phát triển một sự hiểu biết về các vấn đề và thách thức liên quan đến an ninh cơ sở dữ liệu và xác định các giải pháp có thể. Bảo mật cơ sở dữ liệu thường là một chủ đề trong một khóa học giới thiệu cơ sở dữ liệu hay khóa học giới thiệu bảo mật máy tính. Tuy nhiên những cơ sở kiến thức liên quan đến bảo mật cơ sở dữ liệu liên tục phát triển, do đó những thách thức của hiệu quả vận chuyển dữ liệu. Hơn nữa, nhiều chủ đề liên quan đến bảo mật cơ sở dữ liệu rất phức tạp và đòi hỏi học sinh tham gia vào các hoạt động học tập đầy đủ phải hiểu rõ tính chất cơ bản của vấn đề bảo mật cơ sở dữ liệu. Bài báo trình bày một tập hợp các chủ đề nhỏ để đưa vào một thành phần bảo mật cơ sở dữ liệu của khóa học. Những phụ đề được minh họa bằng cách sử dụng một tập các môđun phần mềm tương tác. Là một phần của một khóa học khoa học quốc gia, chương trình giảng dạy và nâng cấp phần mềm (# 0717707), một tập các module phần mềm tương tác được gọi là cơ sở dữ liệu học liệu động(ADbC) đã được phát triển để hỗ trợ việc giảng dạy các khái niệm cơ sở dữ liệu. Dạy học đã được thực hiện tự do có sẵn và có thể được truy cập tại http://adbc.kennesaw.edu. ADbC bao gồm hơn 100 hình ảnh động và hướng dẫn phân loại thành bốn phần chính ( thiết kế cơ sở dữ liệu, ngôn ngữ truy vấn cấu trúc [SQL], giao dịch và bảo mật) và một vài mô-đun phụ. Tài liệu giảng dạy tương tác như hình ảnh động thường có thể được kết hợp vào quá trình giảng dạy để nâng cao và làm phong phú thêm cách trình bày của các khái niệm quan trọng. Ảnh động đã được tìm thấy để tăng động lực cho học sinh, và trực quan sẽ giúp học sinh phát triển sự hiểu biết về khái niệm trừu tượng nếu không được coi là "Vô hình" (Steinke, Huk, & Floto, 2003). Hơn nữa, phần mềm hình ảnh động có thể được hiệu quả kiềm chế, buộc các chủ đề được giới thiệu trong lớp học khi họ cung cấp một địa điểm để thực hành và phản hồi. Cụ thể, các mô-đun bảo mật và tương ứng các mô-đun phụ sẽ được đề cập trong bài viết này. Các mô-đun phụ bao gồm sáu lĩnh vực: kiểm soát truy cập, mức độ bảo mật hàng, ứng dụng bảo mật được mô tả trong một ma trận an ninh, SQL, suy luận cơ sở dữ liệu, và kiểm toán cơ sở dữ liệu. 3-Chủ đề bảo mật cơ sở dữ liệu Sau đây trình bày một cơ cấu tổ chức trình bày các khái niệm bảo mật CSDL trong một quá trình mà trong đó CSDL bảo mật là một trong nhiều chủ đề. Như vậy trọng tâm là hạn chế và mở đầu cần thiết. Trong khi CSDL bảo mật tích hợp một loạt các chủ đề bảo mật, tuy nhiên, vật lý an ninh, an ninh mạng, mã hóa và xác thực, bài viết tập trung vào khái niệm và cơ chế cụ thể để bảo mật dữ liệu. Bảo mật CSDL được xây dựng trên một khuôn khổ bao gồm ba cấu trúc: bảo mật, toàn vẹn và có sẵn(Bertino & Sandhu,2005). Bảo mật hoặc bí mật liên quan đến việc bảo vệ dữ liệu khỏi bị bộc lộ trái phép, đề cập đến công tác phòng chống thay đổi dữ liệu trái phép và không đúng, và sẵn sàng đề cập đến công tác phòng và phục hồi từ các lỗi phần cứng và phần mềm cũng như các truy cập dữ liệu độc hại dẫn đến việc từ chối dữ liệu sẵn có (Bertino, Byun & Kamra, 2007). Lập bản đồ để trong ba cấu trúc, một thành phần bảo mật CSDL trong khoa học để có nhu cầu trang trải điều khiển truy cập, ứng dụng truy cập, tình trạng cơ sở dữ liệu không được bảo vệ,, suy luận và cơ chế kiểm toán. 4-Điều khiển truy cập Phương pháp chính được sử dụng để bảo vệ dữ liệu là hạn chế truy cập dữ liệu. Điều này có thể được thực hiện thông qua chứng thực, uỷ quyền, và kiểm soát truy cập. Ba cơ chế rõ ràng khác nhau nhưng thường sử dụng kết hợp với một tập trung vào kiểm soát truy cập cho độ chi tiết trong giao quyền cho các đối tượng cụ thể và người sử dụng. Ví dụ, hầu hết các hệ thống cơ sở dữ liệu sử dụng một số hình thức xác thực, chẳng hạn như tên người dùng và mật khẩu, để hạn chế truy cập vào hệ thống. Hơn nữa, hầu hết người dùng được phép hoặc được giao quyền xác định các nguồn lực cụ thể. Kiểm soát truy cập hơn nữa là quá trình lọc bằng cách chỉ định quyền và đặc quyền cho các dữ liệu cụ thể đối tượng và thiết lập dữ liệu. Trong 1 cơ sở dữ liệu, các đối tượng này thường bao gồm cả bảng, hiển thị dưới các dòng, và cột. Ví dụ, Sinh viên A có thể được quyền đăng nhập vào các cơ sở dữ liệu Đại học với quyền phép của một người sử dụng học sinh trong đó bao gồm những đặc quyền chỉ đọc cho bảng liệt kê dữ liệu khóa học. Thông qua mức độ của cấp độ kiểm soát truy cập, học sinh có thể được cho khả năng duyệt qua các khóa nhưng không kiểm tra nội dung các lớp giao cho bạn cùng lớp của mình. Nhiều sinh viên, hôm nay, cần hiểu sự cần thiết cho độ chi tiết ở cấp quyền truy cập khi được đóng khung trong việc truy cập cấp "của bạn bè vào trang web Facebook của họ. Hạn chế truy cập tới các đối tượng cơ sở dữ liệu có thể được chứng minh qua cách cho/nhận cơ chế kiểm soát truy cập. 5-ĐIỀU KHIỂN TRUY CẬP Điều khiển truy cập là một khái niệm chính trong bảo mật. Điều khiển truy cập giới hạn các hành động trên các đối tượng đến người sử dụng cụ thể. Trong cơ sở dữ liệu bảo mật, các đối tượng liên quan đến các đối tượng dữ liệu như: cá bảng và các cột cũng như SQL đối tượng như: hiển thị và lưu trữ thủ tục cất giữ. Thao tác dữ liệu bao gồm đọc(chọn), chèn, cập nhật và xóa hoặc thực hiện các thủ tục lưu trữ. Ví dụ: một giảng viên tiễn sĩ Smith có thể đọc được đặc quyền vào bảng sinh viên. Nói chung, điều khiển truy cập được xác định theo ba cách: bắt buộc điều khiển truy cập(MAC), tùy ý điều khiển truy cập (DAC) và dựa vào vai trò cơ sở điều khiển truy cập (RBAC). MAC và DAC cung cấp đặc quyền đến người sử dụng cụ thể hoặc nhóm mà người dùng được phân công. MAC là hệ thống các quy tắc ứng dụng và xem xét tĩnh và an toàn hơn. Ví dụ một quy tắc MAC sẽ được đưa tiễn sĩ Smith đọc truy cập vào bảng sinh viên. DAC quy định là người sử dụng cung cấp được coi là chức năng và nội dung trọng tâm. Ví dụ một quy tắc đưa cho tiễn sĩ Smith đọc truy cập vào bảng sinh viên nhưng chỉ cho học sinh ghi vào một khóa học cụ thể như “Giới thiệu về bảo mật”. Tiễn sĩ Smith sẽ không thể chọn dữ liệu học sinh cho học sinh ghi tên vào các khóa học khác.MAC và DAC cung cấp công cụ mạnh mẽ nhưng vai trò công cụ điều khiển truy cập dựa trên chứng minh là đặc biệt hiệu quả cho các hệ thống cơ sở dữ liệu. Vai trò là tương tự như các chức năng công việc. Với vai trò trọng tâm là việc xác định các hoạt động và các đối tượng mà những hoạt động cần truy cập. Người dùng được phân công vai trò một cách tự động nhận được của nó kết hợp các đặc quyền. Ví dụ: Tiễn sĩ Smith có thể được giao vai trò của khoa, các thành viên của khoa được cấp quyền để đọc bảng sinh viên lấy dữ liệu tuyển sinh khóa học và cập nhật cấp cho sinh viên đã được phân công các khóa học của họ. Bằng được giao cho vai trò của khoa, tiễn sĩ Smith hoàn toàn được đặc quyền này. Xác định người sử dụng và đánh giá xử lý của họ và truy cập dữ liệu là một cam kết quan trọng trong thành lập giao thức bảo mật tốt cơ sở dữ liệu. Xác định và xác định vai trò, chính xác cấp quyền truy nhập vào các hoạt động và các đối tượng người sử dụng hợp lý thì giao cho những vai trò là điểm mấu chốt của quá trình xử lý. Một khi vai trò 1 đã được tạo ra, định dạng cho việc thực hiện RABC theo mô hình: GRANT privilege_name ON object_name TO role_name; privilege_name xác định các quyền được cấp. Chúng bao gồm các quyền như: lựa chọn dữ liệu, sửa đổi dữ liệu hay thao tác cá cấu trúc cơ sở dữ liệu. ON xác định các đối tượng cơ sở dữ liệu và TO là xác định cá vai trò mà những ưu đái được áp dụng. Ví dụ: nếu tiễn sĩ Smith đã được trao quyền để đọc bảng cho sinh viên, các quy tắc RABC sẽ là: GRANT Select ON Student_Table TO Faculty; Các điều khiển truy cập mô đun phụ trên trang web ADbC giới thiệu khái quát khái niệm điều khiển truy cập và cung cấp 2 ví dụ cho cấp và thu hồi các đặc quyền.Giới thiệu giải thích quá trình và mô hình triển khai thực hiện thông qua câu lệnh SQL tương ứng. Ví dụ một là sử dụng kịch bản sinh viên, ví dụ hai là sử dụng kịch bản khoa. Việc cấp mô đun phụ trải qua quá trình phân công người sủ dụng vai trò và giao quyền cho những vai trò. Ví dụ: bằng cách sử dụng kịch bản khoa, các bước cho cấp và ủy quyền cho người dùng cá nhân đóng vai trò bao gồm việc có một cơ sở dữ liệu, người quản lí tạo ra vai trò của giảng viên, phân công giảng viên cho vai trò này, sau đó phân công cụ thể quyền hoặc quyền ưu đãi cho cá đối tượng cơ sở dữ liệu. Sau khi được giao vai trò của các khoa, người dùng có tất cả quyền được giao vai trò đó. Hình 1 mô tả các bước trong quá trình cá nhân phân công vai trò khoa. HÌNH 1: ADbC điều khiển truy cập mô đun phụ: Ví dụ cấp giấy phép vai trò Việc thu hồi các mô đun phụ thông qua quá trình thu hồi quyền và loại bỏ người dùng từ vai trò cấp phép. Ví dụ: kịch bản Khoa, cá bước cho việc thu hồi quyền cho người dùng cá nhân bao gồm thu hồi quyền ưu đãi cho các đối tượng cơ sở dữ liệu cụ thể và loại bỏ cá nhân người sử dụng từ các vai trò được xác định trước.Trong trường hợp mô tả trong hình 2, đặc quyền cho các bảng khoađược loại bỏ khỏi vai trò khoa. Một khi các đặc quyền đó bị hủy bỏ, các thành viên của khoa sẽ không thể truy cập dữ liệu trong bảng khoa. Hình 2 mô tả các bước trong quá trình nơi mà các đặc quyền vào bảng khoa bị thu hồi các vai trò được xác định trước của khoa. Cú pháp, việc tạo ra các vai trò và thực hiện RBAC khá đơn giản. Thách thức là quản lý người dùng và vai trò liên quan của họ.(Jaquith,2007). HÌNH 2: ADbC điều khiển truy cập mô đun phụ: Ví dụ thu hồi vai trò dựa trên đặc quyền Quyền quản lý bao gồm không chỉ xác định vai trò thích hợp và các quyền tượng ứng của họ, nhưng quản lý liên tục các quyền lợi được cấp. Các quy tắc bảo mật nói chung là phân công các thiết lập hạn chế nhất của đặc quyền cần thiết để hoàn thành nhiệm vụ được ủy quyền. Tuy nhiên, xây dựng cơ cấu tổ chức cho một hệ thống RBAC có thể nhanh chóng trở nên phức tạp và thực tế là người dùng thường xuyên thay đổi vai trò có ý nghĩa là RBAC yêu cầu giám sát liên tục. Trong cuốn sách của ông Security Metrics: thay thế sợ hãi, không chắc chắn và nghi ngờ, Jaquith (2007) trạng thái, “Hiện nay bảo mật thông tin của chiến trường là tất cả những quyền lợi của những người có họ, cho dù họ đã được cấp đúng cách và làm thế nào để bắt họ tuân theo”(p.117). Có thể đánh giá các kỹ thuật điều khiển truy cập là quyết định sự hiểu biết của sinh viên về Cơ sở dữ liệu bảo mật. 6-Mức độ bảo mật hàng Điều khiển truy cập vào các bảng Cơ sở dữ liệu hoặc các cột thường xuyên được yêu cầu và có thể được ban hanhfbawngf một cách dễ dàng, chỉ đơn giản là cấp đặc quyền cho một trong các đối tượng này. Hạn chế truy cập vào dữ liệu chứa trong bản ghi (hàng) riêng lẻ các bước cần thiết bổ sung vào. Ví dụ: 1 sinh viên chỉ có thể xem hoặc sửa đổi các hàn hoặc dòng dữ liệu tương ứng của sinh viên đó. Tuy nhiên sự thực hiện dầy đủ của mức độ bảo mật hàng có thể không được thực hiện theo cách thức giống như điều khiển truy cậptruy cập áp dụng cho cơ sở dữ liệu đối tượng như bảng. Điều này là do việc lựa chọn một hàng dựa trên các đánh giá giá trị dữ liệu cụ thể. Vì vậy, một cách thông thường để thực hiện cấp độ bảo mật hàng là thông qua sử dụng các lần đọc SQL. Một lần đọc có thể được xây dựng, được thực hiện dòng dữ liệu đánh giasddoois với một giá trị cụ thể, chẳng hạn như người dùng hiện hành. Ví dụ,SQL sau sẽ trả lại chỉ đọc hàng của dữ liệu trong đó giá trị của các cột AttributeName xuất hiện ID của người dùng: CREATE VIEW View_Name AS SELECT * FROM Table_name WHERE AttributeName = USER; ADbC nơi cung cấp một mô đun phụ, cho mức độ bảo mật hàng để chứng minh cho khái niệm này.Một cửa sổ dữ liệu được trình bày hiển thị bảng dữ liệu và mã SQL để tạo ra một View mà hàng dữ liệu mức giới hạn với tên của người dùng. Các nút “Mã” hiển thị tất cả kết hợp các bước và mã SQL cần thiết cho việc tạo bảng, người dùng, View và gán cho các quyền truy cập vào để mà xem. Sinh viên có thể làm thí nghiệm với các cơ chế bảo mật cấp độ hàng, bảo mật bằng cách chọn tên một người dùng từ hộp thả xuống có liên quan. Một cửa sổ sẽ hiển thị ra các kết quả thực hiện của các View dựa vào sự lựa chọn thích hợp cho bởi người dùng. HÌNH 3: ADbC mức độ bảo mật hàng mô đun phụ: ví dụ thực hiện bằng cách sử dụng một SQL tổng quan. Như tên người dùng là thay đổi, từng hàng khác nhau hiển thị trong cửa sổ ra. Hình 3 cho thấy rằng khi tên người dùng “Jones” được chọn, chỉ dữ liệu của người được xem mới được hiển thị. Hàng mức độ bảo mật, mặc dù khó thực hiện, là một khái niệm bảo mật cơ sở dữ liệu quan trọng. Nó cho phép hạn chế việc truy cập dữ liệu trong các bảng trong đó dữ liệu liên quan đến nhiều người sử dụng khác nhau lưu trữ. Nó sẽ là không hiệu quả để lưu trữ mỗi sinh viên tại một trường đại học trong một cơ sở dữ liệu riêng biệt, nó cũng là không phù hợp để cung cấp cho sinh viên truy cập vào tất cả các dữ liệu trong một bảng sinh viên tập trung. Sinh viên cần thể hiện nhận thức của sự thỏa hiệp đó phải được thực hiện để bổ sung mức độ bảo mật hàng. Như một chủ dề tiên tiến trong khu vực này, sinh viên có thể được hướng dẫn để học cơ sở dữ liệu riêng ảo của ‘Oracle’ , giải pháp để áp dụng chính sách bảo mật như một cách để ban hành mức độ bảo mật hàng (Knox, 2004). 7-Đánh giá truy cập ứng dụng Hầu hết người dùng không truy cập vào một cơ sở dữ liệu(CSDL) bằng cách trực tiếp đăng nhập vào hệ thống CSDL.Thay vào đó, họ truy cập vào CSDL qua một chương trình ứng dụng.Một công cụ đơn giản,được gọi là một bảo mật (hoặc CRUD) ma trận có thể được sử dụng để xác định rõ ràng yêu cầu truy cập quyền cần thiết của một chương trình ứng dụng.Cụ thể,các ma trận bảo mật cung cấp một mô tả trực quan của sự tương quan giữa các hoạt động hoặc giấy phép cần thiết cho các đối tượng CSDL và đầu vào\đầu ra nguồn như form và report.Các hoạt động mô tả trong một ma trận bảo mật bao gồm lựa chọn, tạo(chèn), cập nhật và xoá hàng trên cùng của danh sách đối tượng CSDL bảng ma trận,các chương trình ứng dụng được liệt kê ở cột bên trái nhất .Các chữ cái C,R,U,D được đặt trong các tế bào giao nhau để xác định các loại truy cập theo yêu cầu của một chương trình. Bất kỳ tế bào nhất định có thể chứa sự kết hợp bất kỳ của những chữ cái hoặc không có gì cả. Một ô trống biểu thị rằng một chương trình không cần truy cập vào bảng giao nhau. Ngược lại, một tế bào với tất cả các chữ cái, CRUD cần truy cập vào các bảng. Một ma trận bảo mật như trong các mô đun AdBC ma trận bảo mật được trình bày như trong hình 4. Một kịch bản để khách hàng được mô tả, 7 bảng được liệt kê trên đầu, 7 mẫu được liệt kê xuống phía bên tay trái. Quét ma trận bên trái để cho thấy rằng hình thức quyền để yêu cầu truy cập đến 5 bảng, bao gồm quyền thay đổi 3 trong số đó.Cụ thể, các mẫu đơn đặt hàng chỉ cần đọc truy cập vào các khách hàng và bảng nhân viên, yêu cầu đọc, chèn, cập nhật các quyền đối với các sản phẩm bảng. Quét từ trên xuống cho thấy 3 ứng dụng, nhãn cảu khách hàng, thông tin khách hàng và các mẫu đơn đặt hàng truy cập bảng cho khách hàng. Các nhãn của khách hàng và mẫu đơn đặt hàng yêu cầu đọc truy cập vào bảng khách hàng trong khi các hình thức thông tin khách hàng yêu cầu đọc, chèn, cập nhật và xoá các quyền. Các mô đun phụ ma trận bảo mật bao gồm một bộ di kèm với các câu hỏi tương tác yêu cầu người dùng trả lời để xác định mối quan hệ giữa các bảng và các chương trình ứng dụng. Một lợi thế cho ma trận bảo mật là nó mô tả trực quan các quy tắc về sự toàn vẹn. Ví dụ, ma trận giúp dễ dàng xác định tất cả các chương trình ứng dụng có khả năng bị ảnh hưởng bởi sự thay đổi nào được thực hiện cho một bảng CSDL. Ví dụ, một cột đã bị xoá từ bảng các sản phẩm sẽ ảnh hưởng đến hình thức đơn đặt hàng và mẫu sản phẩm, có thể tạo ra lỗi khi các ứng dụng này được thực hiện. Trước khi có những thay đổi được thực hiện, tiếp theo, các tác động của nó phải được đánh giá để xác định những ứng dụng sẽ cần cập nhật. Tóm lại, ma trận bảo mật là một công cụ đơn giản nhưng hiệu quả để xác định khoản bảo mật cần thiết của các đối tượng CSDL. 8-Tình trạng cơ sở dữ liệu không được bảo vệ Vi phạm bảo mật là một hiện tượng ngày càng tăng. Giống như nhiều và nhiều hơn nữa CSDL được thực hiện truy cập thông qua internet và các ứng dụng dựa trên web, việc tiếp xúc với các mối đe dọa an ninh sẽ tăng lên. Mục tiêu là để giảm nhạy cảm với các mối đe doạ, có lẽ hầu hết các CSDL công bố công khai các ứng dụng đã được xen SQL. Xen SQL cung cấp ví dụ tuyệt vời để thảo luận về bảo mật khi thể hiện một trong những vấn đề bảo mật CSDL quan trọng nhất, vốn có để người dùng nhập vào không xác nhận những rủi ro. Mối đe doạ xảy ra khi ngừơi dùng nhập mã độc hại có "thủ thuật" CSDL vào thực hiện các lệnh không mong muốn. vi phạm này chủ yếu xảy ra là do các tính năng cuả ngôn ngữ SQL cho phép những thứ như ý kiến nhúng bằng cách sử dụng dấu nối đôi, ghép các câu lệnh SQL cách nhau bằng dấu chấm phẩy, và khả năng truy vấn siêu dữ liệu từ từ điển CSDL. Các giải pháp để ngăn chặn một việc đan xen SQL là đầu vào xác định. Một ví dụ phổ biến mô tả những gì có thể xảy ra khi 1 quá trình đăng nhập được sử dụng trên một trang wed có xác nhận hợp lệ tên một người dùng và mật khẩu đối với [...]... đổi dữ liệu, và để đảm bảo dữ liệu mà vẫn có sẵn khi cần thiết Các khái niệm liên quan đến bảo mật cơ sở dữ liệu được nhiều mặt Điều này làm cho nó khó khăn để dạy các vật liệu khi bảo mật cơ sở dữ liệu là bao gồm như là một thành phần chỉ của một khóa học lớn hơn Tuy nhiên, đây là cách hầu hết học sinh được tiếp xúc với chủ đề Bài viết này đề xuất một tập hợp các tiểu chủ đề trong thành phần cơ sở dữ. .. nhỏ của học sinh và giảng viên Tuy nhiên, kết quả đáng khích lệ.Cả sinh viên và giảng viên báo cáo những lợi ích tích cực cho việc sử dụng học liệu 12-Kết luận Sự cần thiết để bảo đảm hệ thống máy tính là hiểu rõ và bảo vệ dữ liệu phải là một phần của một kế hoạch an ninh tổng thể máy tính Trồng lượng dữ liệu nhạy cảm đang được lưu giữ trong cơ sở dữ liệu và nhiều hơn nữa của các cơ sở dữ liệu đang... mạng Internet Theo nhiều dữ liệu hơn được làm sẵn bằng điện tử, nó có thể được giả định rằng các mối đe dọa và các lỗ hổng cho sự toàn vẹn của dữ liệu cũng sẽ tăng Cơ sở dữ liệu bảo mật đang trở thành đề tài ngày càng quan trọng và học sinh cần phát triển sự hiểu biết chính trong lĩnh vực này các mục tiêu chính của bảo mật cơ sở dữ liệu là để ngăn chặn truy cập trái phép vào dữ liệu, ngăn chặn tampreing... thành phần cơ sở dữ liệu một khóa học bảo mật và giới thiệu một bộ các module phần mềm tương tác lập bản đồ cho từng chủ đề-sub trình bày học sinh tham gia vào các hoạt động tương tác học tập nâng cao kinh nghiệm Thuê và cung cấp cơ hội cho học sinh để tiếp tục tìm hiểu vấn đề bảo mật cơ sở dữ liệu và xác định các phương pháp thiết thực để thực hiện cơ chế bảo mật cơ sở dữ liệu và chiến lược References... đại Nó là một trong những cơ chế chính phòng thủ các vi phạm SQL cơ sở dữ liệu bao gồm cả SQL 9 .Cơ sở dữ liệu suy diễn Một lỗ hổng trong công nghệ tinh tế tìm thấy cơ sở dữ liệu (CSDL) là suy luật hay khả năng lấy thông tin cơ sở chưa được biết đến trên thông tin thu hồi Vấn đề suy luận được rằng không có giải pháp lý tưởng cho vấn đề Các giải pháp chỉ được đề nghị bao gồm các điều kiện liên quan đến... cơ sở Tuy nhiên, nhân viên cơ sở được cho truy cập để cập nhật các bảng dữ liệu theo dõi nội dung trong các lĩnh vực lưu trữ của công ti Khi truy cập vào bảng này, nhân viên cơ sở không có khả năng đọc những dòng sản phẩm có chứa nguyên mẫu Vấn đề xảy ra khi nhân viên cố cập nhật một hàng bảo vệ Điều này gây ra một thông báo lỗi Căn cứ vào thông tin báo lỗi, nhân viên cơ sở có thể phỏng đoán rằng thông... từ dữ liệu truy cập đến chúng ở mức độ bảo mật của họ mặc dù có thông tin cụ thể được bảo vệ tại một bảo mật truy cập cao hơn cấp độ truy cập Thật khó để giải thích điều này mà không cần sự trợ giúp của một cuộc biểu tình VD như vị trí thứ 2 trong suy luận modum ABcD cung cấp một kịch bản cụ thể trong trường hợp công ti thử nghiểm sản phẩm, không được tiếp cận với nhân viên cơ sở Tuy nhiên, nhân viên. .. với ba giảng viên thành viên dùng dạy học trong các lớp học của họ Học sinh trả lời các cuộc khảo sát được yêu cầu đánh giá liệu cụ thể mô đun phụ (kiểm soát truy cập, SQL tiêm, an ninh, ma trận, cấp độ bảo mật hàng, suy luận cơ sở dữ liệu, và kiểm toán cơ sở dữ liệu) đã giúp họ tìm hiểu các vật liệu Phần lớn các sinh viên cho biết họ đồng ý hay mạnh mẽ nhất trí rằng mô-đun phụ đã tăng cường học tập... hành .Sinh viên cũng có thể được giới thiệu đến dạy học để hỗ trợ khi hoàn thành bài tập về nhà, học tập cho kỳ thi Một đánh giá của sinh viên nhận thức hiệu quả giảng dạy của các Module bảo mật được thực hiện vào mùa xuân năm 2009.Sáu mươi học sinh được yêu cầu để hoàn thành một bảng câu hỏi trực tuyến ba mươi tám sinh viên trả lời.Ngoài ra, các cuộc phỏng vấn được thực hiện với ba giảng viên thành viên. .. mức độ an ninh hàng .Cơ sở dữ liệu suy luận và kiểm toán cơ sở dữ liệu nhận được số lượng cao nhất của học sinh báo cáo đánh giá của "trung tính" Khi được hỏi khi họ có động lực để sử dụng phần mềm, 41% cho biết họ chỉ dùng nó khi yêu cầu cụ thể để làm điều đó bằng cách hướng dẫn của họ Tuy nhiên, 51% cho biết họ cũng sử dụng nó trên của riêng mình Tám phần trăm cho thấy họ sử dụng những phần mềm thường.Lý . thuật điều khiển truy cập là quyết định sự hiểu biết của sinh viên về Cơ sở dữ liệu bảo mật. 6-Mức độ bảo mật hàng Điều khiển truy cập vào các bảng Cơ sở dữ. hàng, ứng dụng bảo mật được mô tả trong một ma trận an ninh, SQL, suy luận cơ sở dữ liệu, và kiểm toán cơ sở dữ liệu. 3-Chủ đề bảo mật cơ sở dữ liệu Sau