达梦数据库安全管理与体系

达梦数据库产品的安全等级

安全体系结构

达梦数据库安全产品版本

⚫ 标准版：只包含基本安全功能（可免费下载试用）

⚫ 企业版：功能最全，运行最稳定

⚫ 安全版：增加强制访问控制、登录限制等

⚫ 军用版：面向军用需求的定制安全功能

⚫ 安全可信版：增加环境标记、多要素访问控制、多线程加密等

⚫ 商密版本：采用商密算法，通过国密办产品认证。

多权分立

达梦数据库默认使用三权分立，将传统的数据库管理员划分为三个可以互相制约的角色

⚫ 数据库管理员安全功能范围：身份验证、资源限制、数据加密、访问控制、客体重用

⚫ 数据库审计员安全功能范围：审计

⚫ 数据库安全员安全功能范围：策略和标记管理

多权分立

在三权分立权限管理基础上，进一步对权限管理进行升级优化，支持多权分立

⚫ 在数据库初始化时用户可根据需要设定系统级角色和对应的权限

⚫ 一旦设定不可修改系统角色权限

⚫ 系统提供常用的权限分立方案供用户选择能力

![[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-eFoxPrcb-1630163261932)(C:\Users\10259\AppData\Roaming\Typora\typora-user-images\image-20210827171704532.png)](https://img-blog.csdnimg.cn/f64df76ff5aa4685a64c753fd0094fcf.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBAZmFpcnkgdGFsZeKEoQ==,size_16,color_FFFFFF,t_70,g_se,x_16)

多权分立——设置四权分立

身份验证

数据库口令验证

口令复杂度： ⚫ 0: 无限制; ⚫ 1: 禁止与用户名相同; ⚫ 2: 口令长度不小于6个字符; ⚫ 4: 至少包含一个大写字母(A－Z); ⚫ 8: 至少包含一个数字(0－9); ⚫ 16:至少包含一个标点符号(英文输入法状态下,除双引号和空格外的所有符号); ⚫ 若为其他数字，则表示配置值的和，如3＝1＋2，表示同时启用第1项和第2项限制。

数据库口令验证

资源限制

⚫ 资源限制是用于限制用户对达梦系统资源的使用，达梦提供了资源限制选项（仅列出部分选项）

资源限制（界面截图）

资源限制——连接限制（安全版功能）

资源限制——连接限制（界面截图）

权限管理

⚫用户 ➢使用者在数据库系统中的身份。

⚫权限 ➢数据库系统可以授予操作者的最小权力单位。

⚫角色 ➢一组权限的集合。

权限

⚫系统权限 ➢规定允许用户在数据库中执行特定的操作，例如执行DDL语句。 create、drop、alter、audit、label…… table, view, sequence，trigger, function……

⚫对象权限 ➢规定允许用户对数据库对象执行特定的操作，例如对表执行DML语句。 select、insert、update、delete、references、 execute

表权限授予与回收（界面截图）

视图权限授予

➢ 用户创建视图时，受到其在该视图所在基表上的权限限制，视图只能定义在该用户有访问权限的基表对象上；

➢ 若视图包含不止一个基表，则只能定义在该用户在这些基表上的访问权限的交集上；

➢ 用户可以将其在某个视图上拥有的可转授权限转授其他用户；

➢ 达梦数据库对视图等“嵌套”对象的权限检查采用“调用者”模式，即用户访问视图时必须同时具备视图所在基表的权限。

自主访问控制实现

为了避免重复分析主体对客体是否有访问权限，DM采用如下实现方案：

（1）在分析阶段生成执行计划时，搜集所有需要访问的对象；

（2）生成执行计划后，一次性判断用户是否具有所有这些对象上的访问权限；

（3）如果具有需要的所有权限，则继续执行；否则，报错返回。

审计

⚫审计的作用 ➢跟踪数据库操作，监视输出信息，以确定是否存在违背安全性的行为。

⚫执行审计需要的权限

➢只有数据库审计员才能进行进行审计操作，数据库管理员和安全员不能参与审计活动。

➢达梦预定义系统审计管理员（SYSAUDITOR）。

审计——审计种类

⚫ 系统级审计系统的启动与关闭，此级别的审计记录在任何情况下都会强制产生，无法也无需由用户进行设置。

⚫ 语句级审计导致影响特定类型数据库对象的特殊SQL或语句组的审计。如AUDIT TABLE 将审计CREATE TABLE、ALTER TABLE和DROP TABLE等语句。

⚫ 对象级审计审计作用在特殊对象上的语句。如PERSON表上的INSERT语句。

审计——审计活动

在DM系统中，启用审计功能需要两步：

⚫打开审计开关（默认审计开关关闭），并重启数据库服务。

⚫对指定的审计对象设置审计，否则不记录审计记录。

打开审计开关

设置审计——针对具体的对象

对用户USER1查询操作SYSDBA模式下T1表设置审计

SP_AUDIT_OBJECT('SELECT', 'USER1', 'SYSDBA', 'T1',  'ALL');

对用户USER1所有表更新操作设置审计

SP_AUDIT_STMT('UPDATE TABLE', 'USER1', 'ALL');

查看审计记录——审计分析工具

数据库加密

⚫ 通信加密

⚫ 存储加密

➢ 透明存储加密、半透明存储加密、非透明存储加密

⚫ 导出数据加密

⚫ 加密引擎

基本概念

⚫ 对称密码算法：加密和解密使用相同密钥的密码算法。

➢ 分组密码算法：将输入数据划分成固定长度的分组进行加解密的一类对称密码算法。

➢ 分组密码算法工作模式：分组密码算法的使用方式，主要包括：

• 电码本工作模式（ECB）、密码分组链接工作模式（CBC）、

• 密码反馈工作模式（CFB）、输出反馈工作模式（OFB）。

➢ 序列密码算法：也成流密码算法，将明文逐比特/字符运算的一种对称密码算法。

⚫ 非对称密码算法/公钥密码算法：加密和解密使用不同密钥的密码算法。其中一个密钥（公钥）可以公开，另一个密钥（私）必须保密，且由公钥求解私钥是计算不可行的。

➢ 椭圆曲线密码算法（ECC）：基于有限域上椭圆曲线离散对数问题的非对称密码算法。

⚫ 密码杂凑算法：又称杂凑算法、密码散列算法或哈希算法。该算法将一个任意长的比特串映射到一个固定长的比特串，且满足三个特性：碰撞稳固性,原根稳固性和第二原根稳固性。

⚫ 数字证书：也称公钥证书，由证书认证机构（CA）签名的包含公开密钥拥有者信息、公开密钥、签发者信息、有效期以及扩展信息的一种数据结构。

➢ 按类别可分为个人证书、机构证书和设备证书，按用途可分为签名证书和加密证书。

⚫ SSL协议：一种传输层安全协议，用于构建客户端和服务端之间的安全通道。

达梦支持的内部加密算

密钥管理

达梦数据库采用多级密钥管理机制，整个系统的密钥分为库内密钥、数据库主密钥、服务器主密钥。

⚫ 库内密钥

➢ 包括用户密钥、列加密密钥，由系统随机生成或用户指定

➢ 库内密钥通过数据库主密钥加密保护

⚫ 数据库主加密

➢ 在初始化数据库时随机生成，用于库内密钥、数据库对象信息的加密保护

➢ 数据库主密钥由服务器主密钥加密保护

⚫ 服务器主加密

➢ 在系统安装过程中随机生成，由专门的UKey 进行加密保护

数据库加密——密钥管理

通信加密

达梦数据库的通信加密是基于安全套接字层（SSL）协议实现的。

⚫ SSL协议使用公钥加密体系并结合对称密钥加密体系来提供身份认证、数据加密、数据完整性校验、数字签名等一系列的服务。

⚫ 为了保证通信双方是可信任的，公钥加密体系中的公钥都是以数字证书形式存在。

⚫ 启用通信加密后，客户端、服务器须使用相配套文件的证书文件，并置于指定目录下。

更多资讯请上达梦技术社区了解： https://eco.dameng.com