人大金仓-数据安全应该怎么做？金仓KES筑牢数据安全之盾

KingbaseES提供的安全特性可以应对复杂多样的安全业务场景。针对各种安全威胁KingbaseES都有解决方案。KingbaseES分别从仿冒、篡改、抵赖、信息泄露、拒绝服务、权限提升这六类安全威胁进行安全防护。

test=# select rolname,rolpassword from sys_authid where rolname in('system','sao','sso');

 rolname |                                                              rolpassword

---------+---------------------------------------------------------------------------------------------------------------------------------------

 system  | SCRAM-SHA-256$4096:neaW0DguJtkuJBFiG1t5qg==$i8NgixVvKV6wHy/k1nmau6gLuW3SbVu+0LMwnzkOa5U=:1s17aBU6V9m1y8V7Fv0K9OWUYgwLSlCzTxYRv930Pg4=

 sao     | SCRAM-SHA-256$4096:t3EvTBXYlc4cYhU9pbmCBA==$135YVq1pfgAUXxm68/u+czJz2veyGyN1Wd6PFLpdCG0=:sWR6860xfHZpPWzwv19Z1ILuF561AzDoJVe0Njhhn2g=

 sso     | SCRAM-SHA-256$4096:AcLu9E5y1OCV4HPZR3dhbQ==$s+b6F2nG+M2eBeLcsGKFZ5qpPMuNMmKF4ylYRZQjzi8=:4bO6MefQk6soth5HE3NvVBBLvzZZED0cUqb+MP1iFfQ=

(3 行记录)

test=# select usename,passwd from sys_user where usename in('system','sao','sso');

 usename |  passwd

---------+----------

 system  | ********

 sao     | ********

 sso     | ********

(3 行记录)

alter system set passwordcheck.enable=on;

alter system set passwordcheck.password_length = 10;

alter system set passwordcheck.password_condition_letter = 3;

alter system set passwordcheck.password_condition_digit = 3;

alter system set passwordcheck.password_condition_punct = 1;

select sys_reload_conf();

test=> \c test system

用户 system 的口令：

您现在已经连接到数据库 "test",用户 "system".

test=# create user testu1 with password '123';

错误:  password length 3 is too short, should be longer than min password length 10.

test=# create user testu1 with password '123456789';

错误:  password length 9 is too short, should be longer than min password length 10.

test=# create user testu1 with password '1234567890';

错误:  Password should contain at least 3 letter and the current letter is 0

test=# create user testu1 with password '1234567890abc';

错误:  Password should contain at least 1 punct and the current punct is 0

test=# create user testu1 with password '1234567890abc@';

CREATE ROLE

alter system set sys_audlog.max_error_user_connect_times = 10;

alter system set sys_audlog.error_user_connect_times = 6;

alter system set sys_audlog.error_user_connect_interval = 60;

select sys_reload_conf();

[test@4-34 bin]$ ./ksql test -U testu1 -p 54324 -h 127.0.0.1

用户 testu1 的口令：

[test@4-34 bin]$ ./ksql test -U testu1 -p 54324 -W -h 127.0.0.1

口令：

ksql: 错误: 无法连接到服务器：致命错误:  password authentication failed for user "testu1"

NOTICE:  This is the 2 login failed. There are 4 left.

[test@4-34 bin]$ ./ksql test -U testu1 -p 54324 -W -h 127.0.0.1

口令：

ksql: 错误: 无法连接到服务器：致命错误:  password authentication failed for user "testu1"

NOTICE:  This is the 3 login failed. There are 3 left.

[test@4-34 bin]$ ./ksql test -U testu1 -p 54324 -W -h 127.0.0.1

口令：

ksql: 错误: 无法连接到服务器：致命错误:  password authentication failed for user "testu1"

NOTICE:  This is the 4 login failed. There are 2 left.

[test@4-34 bin]$ ./ksql test -U testu1 -p 54324 -W -h 127.0.0.1

口令：

ksql: 错误: 无法连接到服务器：致命错误:  password authentication failed for user "testu1"

NOTICE:  This is the 5 login failed. There are 1 left.

[test@4-34 bin]$ ./ksql test -U testu1 -p 54324 -W -h 127.0.0.1

口令：

ksql: 错误: 无法连接到服务器：致命错误:  The user "testu1" is locked.please wait 60 minutes to retry

--系统权限实际为创建用户时指定的一些属性权限

--system

--授权

create user u1 with superuser;

--或

alter user u1 with superuser;

create user u2 with createrole;

--或

alter user u2 with createrole;

create user u3 with login;

--或

alter user u3 with login;

create user u4 with createdb;

--或

alter user u4 with createdb;

--列举不全，具体可以查看create user/alter user 语句。

--撤销

alter user u1 with nosuperuser;

alter user u2 with nocreaterole;

alter user u3 with nologin;

alter user u4 with nocreatedb;

--对象权限就是存在于数据库对象上的权限

--准备

--system

create user u1;

create user u2;

--u1

\c test u1

create table testu1(id int);

insert into testu1 values(123);

--u2

\c test u2

select * from testu1; --error

--授权

--u1

\c test u1

--列级权限

grant select(id) on testu1 to u2;

--表级权限

grant select all on testu1 to u2;

--u2

\c test u2

select id from test; -- success

select * from test; -- success

--撤销

revoke select(id) on testu1 from u2;

revoke select all on testu1 from u2;

create tablespace ts location '/home/kingbase/ts' with(encryption = true, enckey ='k1eyenc2');

--encryption: 标识当前表空间为加密表空间

--enckey: 用户自定义的表空间加密密钥

--sysencrypt.encrypt_user_tablespace

--这个属于加密插件里面的参数，true 为创建的表空间为默认加密表空间，false 则关闭此参数

--如何确认数据是否被加密

--首先确认数据所在加密对象的物理文件位置

--示例：

select oid,relname, relfilenode from sys_class where relname = 'test';

--然后根据此语句查询出来的relfilenode 号找到物理文件所在位置，或是

select sys_relation_filepath(sys_relation_filenode('test'));

--找到数据文件的具体位置

--hexdump -c 数据库文件如果对比其他明文文件是可以很明显的看到数据是加密的，都是一些不可见字符或乱码，证明加密成功。

--数据库审计员设置语句级审计规则，审计类型为select table 语句，审计用户为数据库管理员system，审计对象为public 模式下的tab1

select sysaudit.set_audit_stmt('select table','system','public','tab1');

--数据库安全员设置对象级审计规则，审计类型为table 对象，审计用户为普通用户user1，审计对象为public 模式下的tab2

select sysaudit.set_audit_object('table','user1','public','tab2');

--数据库审计员需要查询视图sysaudit_record_sao，可以查看超级用户（包括数据库管理员system）和数据库安全员的审计日志

select * from sysaudit_record_sao;

--数据库安全员需要查询视图sysaudit_record_sso，可以查看普通用户和数据库审计员的审计日志

select * from sysaudit_record_sso;

\c test system

alter user sao rename to sao2;

alter user sso rename to sso2;

\du

select * from sys_authid;

编号

资质名称

1

信息技术产品安全分级评估证书(EAL4)

2

商用密码产品认证证书

3

安全四级

4

国家信息安全产品认证

5

网络安全专用产品认证