“ 数据库安全（DataBaseSecurity）是指采取各种安全措施对数据库及其相关文件和数据进行保护。数据库系统的重要指标之一是确保系统安全，以各种防范措施防止非授权使用数据库，主要通过DBMS实现的。”
数据库安全的核心和关键是其数据安全。数据安全是指以保护措施确保数据的完整性、保密性、可用性、可控性和可审查性。由于数据库存储着大量的重要信息和机密数据，而且在数据库系统中大量数据集中存放，供多用户共享，因此，必须加强对数据库访问的控制和数据安全防护。
本文阐述了国产数据库系统的发展状况，分析了国产数据库的安全问题，给出了国产数据库系统安全增强措施及参考案例。
01
—
国产数据库概况
国产数据库是指由国家自主研发力量研制的数据库系统，具有较强的可控性和安全性。现已形成神舟数据、人大金仓、达梦等传统数据库以及中科院软件所安捷实时数据库。国产数据库产品已经广泛使用在国家电网、国土资源、审计、铁路系统、电力、银行、通信等关键信息基础设施领域。围绕数据库安全，我国制定了国家标准《信息安全技术数据库管理系统安全技术要求》(GB/T 20273—2019) ，该标准规定了数据库管理系统的五个安全等级及其所需要的安全技术要求。
02
—
国产数据库安全分析
国产数据库系统主要面临的安全风险分析如下：
国产数据库安全漏洞
因为数据库的复杂性和软件编程安全问题，国产数据库的设计和代码实现可能存在安全漏洞，导致国产数据库面临安全风险。
例如，达梦数据库服务器存在越权访问漏洞（漏洞编号：CNVD-2017-31606)，攻击者可利用漏洞非法获取拥有数据库最高权限的DBA角色权限，进而实现对整个数据库的控制，包括增、删、改、查等各类关键操作，通过恶意篡改数据将造成应用系统瘫痪或直接的经济损失，甚至可以获取数据库中的核心数据资产。
南大通用GBASE数据库存在拒绝服务漏洞（漏洞编号：CNVD-2016-09750) ，南大通用GBASE 数据库8.3版本存在拒绝服务漏洞，任意用户登录上GBASE后调用astest函数使用特定参数，最终会导致GBASE用尽所有内存而宥机，攻击者可利用该漏洞导致拒绝服务。
国产数据库依赖第三方系统组件的安全
国产数据库所依赖的第三方系统组件存在安全漏洞引发的安全风险问题。例如Open SSL协议安全漏洞，该漏洞对国产数据库网络传输数据有安全影响。
国产数据库系统安全配置的安全
对国产数据库系统的安全敏感配置不当，构成系统安全威胁。常见的安全配置不当包括未启用国产数据库安全功能、设置数据库弱口令、开放过多的服务端门、使用非安全远程登录工具等。
国产数据库支持平台的安全
国产数据库受制于操作系统而产生的安全问题。例如，操作系统的安全问题导致数据库文件被窃取或破坏，甚至失去控制。
03
—
国产数据库安全增强措施
国产数据库安全漏洞挖掘及扫描
同国外数据库的安全一样，国产数据库也存在安全漏洞问题。借鉴国外数据库的安全经验，开展国产数据库安全漏洞分析，及时发现安全隐患。目前，国内公司安华金和建立了数据库攻防实验室，开展了国产数据库安全挖掘研究工作。同时，安华金和研发了支持国产数据库的漏洞扫描工具，可以检查国产数据库漏洞信息。
国产数据库加密
达梦数据库管理系统(DM)数据存储加密解决方案是达梦针对高度机密信息系统的数据保密性需求提供的一个安全解决方案，以填补传统数据库加密设计的缺陷。
达梦数据库管理系统提供了内部算法加密、第三方软硬件存储加密和透明加密、半透明加密、非透明加密等一套使用方便、灵活可靠的信息存储加密功能，为保证关键数据的安全提供了强大的支撑环境。
DM数据库实现了密码引擎，能够将外部密码设备抽象为一组调用接口，对其进行管理与调用，从而实现第三方的密码设备、密码算法调用的支持，如图3-1 所示。
图3-1 达梦数据库加密示意图
达梦数据库高级加密包提供了数据库层面的加解密机制，提供标准的JDBC 、ODBC 、ADO.NET 等数据库访问接口，存储加密和通信加密的加、解密过程对应用完全透明。
国产安全数据库
人大金仓数据库KingbaseES安全版是遵照安全数据库国家标准GB/T20273-2019 的第四级技术要求，参考业内安全模型自主研发的，如图3-2所示。金仓数据库产品实现多重身份鉴别、入侵检测与报警、可信路径、推理控制、形式化证明、隐蔽信道分析等第四级技术要求，并通过公安部第四级产品检验，获得销售许可。
图3-2 人大金仓数据库结构示意图
此外，中科院信息安全国家重点实验室基于开源数据库系统PostgreSQL,研制了安全数据库管理系统LOIS SDBMS 。LOIS SDBMS 是国内第一个采用核心化体系结构的安全数据库管理系统强制访问控制粒度达到记录级。经公安部计算机信息系统安全产品质量监督检验中心评测达到国标17859的第三级的要求。南京大学基于开源数据库系统PostgreSQL 研制了Softbase，经评测达到了国标17859 的第三级的要求。
—— End ——
