數(shù)據(jù)庫系統(tǒng)概論課件

數(shù)據(jù)庫系統(tǒng)概論AnIntroductiontoDatabaseSystem第4章數(shù)據(jù)庫安全性AnIntroductiontoDatabaseSystem數(shù)據(jù)庫系統(tǒng)概論AnIntroductiontoData第4章數(shù)據(jù)庫安全性

問題的提出數(shù)據(jù)庫的一大特點(diǎn)是數(shù)據(jù)可以共享但數(shù)據(jù)共享必然帶來數(shù)據(jù)庫的安全性問題數(shù)據(jù)庫系統(tǒng)中的數(shù)據(jù)共享不能是無條件的共享例：軍事秘密、國家機(jī)密、新產(chǎn)品實(shí)驗(yàn)數(shù)據(jù)、市場(chǎng)需求分析、市場(chǎng)營銷策略、銷售計(jì)劃、客戶檔案、醫(yī)療檔案、銀行儲(chǔ)蓄數(shù)據(jù)AnIntroductiontoDatabaseSystem第4章數(shù)據(jù)庫安全性問題的提出AnIntroducti數(shù)據(jù)庫安全性（續(xù)）數(shù)據(jù)庫中數(shù)據(jù)的共享是在DBMS統(tǒng)一的嚴(yán)格的控制之下的共享，即只允許有合法使用權(quán)限的用戶訪問允許他存取的數(shù)據(jù)數(shù)據(jù)庫系統(tǒng)的安全保護(hù)措施是否有效是數(shù)據(jù)庫系統(tǒng)主要的性能指標(biāo)之一AnIntroductiontoDatabaseSystem數(shù)據(jù)庫安全性（續(xù)）數(shù)據(jù)庫中數(shù)據(jù)的共享是在DBMS統(tǒng)一的嚴(yán)格的數(shù)據(jù)庫安全性（續(xù)）什么是數(shù)據(jù)庫的安全性數(shù)據(jù)庫的安全性是指保護(hù)數(shù)據(jù)庫，防止因用戶非法使用數(shù)據(jù)庫造成數(shù)據(jù)泄露、更改或破壞。什么是數(shù)據(jù)的保密數(shù)據(jù)保密是指用戶合法地訪問到機(jī)密數(shù)據(jù)后能否對(duì)這些數(shù)據(jù)保密。通過制訂法律道德準(zhǔn)則和政策法規(guī)來保證。AnIntroductiontoDatabaseSystem數(shù)據(jù)庫安全性（續(xù)）什么是數(shù)據(jù)庫的安全性AnIntroduc第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概述4.2數(shù)據(jù)庫安全性控制4.3統(tǒng)計(jì)數(shù)據(jù)庫安全性4.4小結(jié)AnIntroductiontoDatabaseSystem第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概述AnInt第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概述4.2數(shù)據(jù)庫安全性控制4.3統(tǒng)計(jì)數(shù)據(jù)庫安全性4.4小結(jié)AnIntroductiontoDatabaseSystem第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概述AnInt4.1計(jì)算機(jī)安全性概論4.1.1計(jì)算機(jī)系統(tǒng)的三類安全性問題4.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)AnIntroductiontoDatabaseSystem4.1計(jì)算機(jī)安全性概論4.1.1計(jì)算機(jī)系統(tǒng)的三類安全4.1計(jì)算機(jī)安全性概論4.1.1計(jì)算機(jī)系統(tǒng)的三類安全性問題

4.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)AnIntroductiontoDatabaseSystem4.1計(jì)算機(jī)安全性概論4.1.1計(jì)算機(jī)系統(tǒng)的三類安全4.1.1計(jì)算機(jī)系統(tǒng)的三類安全性問題

什么是計(jì)算機(jī)系統(tǒng)安全性為計(jì)算機(jī)系統(tǒng)建立和采取的各種安全保護(hù)措施，以保護(hù)計(jì)算機(jī)系統(tǒng)中的硬件、軟件及數(shù)據(jù)，防止其因偶然或惡意的原因使系統(tǒng)遭到破壞，數(shù)據(jù)遭到更改或泄露等。AnIntroductiontoDatabaseSystem4.1.1計(jì)算機(jī)系統(tǒng)的三類安全性問題什么是計(jì)算機(jī)系統(tǒng)安計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）

計(jì)算機(jī)安全涉及問題計(jì)算機(jī)系統(tǒng)本身的技術(shù)問題計(jì)算機(jī)安全理論與策略計(jì)算機(jī)安全技術(shù)管理問題安全管理安全評(píng)價(jià)安全產(chǎn)品AnIntroductiontoDatabaseSystem計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）計(jì)算機(jī)安全涉及問題AnI計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）

計(jì)算機(jī)安全涉及問題(續(xù))法學(xué)計(jì)算機(jī)安全法律犯罪學(xué)計(jì)算機(jī)犯罪與偵察安全監(jiān)察心理學(xué)AnIntroductiontoDatabaseSystem計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）計(jì)算機(jī)安全涉及問題(續(xù))A計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）

三類計(jì)算機(jī)系統(tǒng)安全性問題技術(shù)安全類管理安全類政策法律類AnIntroductiontoDatabaseSystem計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）三類計(jì)算機(jī)系統(tǒng)安全性問題A計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）

技術(shù)安全指計(jì)算機(jī)系統(tǒng)中采用具有一定安全性的硬件、軟件來實(shí)現(xiàn)對(duì)計(jì)算機(jī)系統(tǒng)及其所存數(shù)據(jù)的安全保護(hù)，當(dāng)計(jì)算機(jī)系統(tǒng)受到無意或惡意的攻擊時(shí)仍能保證系統(tǒng)正常運(yùn)行，保證系統(tǒng)內(nèi)的數(shù)據(jù)不增加、不丟失、不泄露。AnIntroductiontoDatabaseSystem計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）技術(shù)安全AnIntrod計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）

管理安全軟硬件意外故障、場(chǎng)地的意外事故、管理不善導(dǎo)致的計(jì)算機(jī)設(shè)備和數(shù)據(jù)介質(zhì)的物理破壞、丟失等安全問題AnIntroductiontoDatabaseSystem計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）管理安全AnIntrod計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）

政策法律類政府部門建立的有關(guān)計(jì)算機(jī)犯罪、數(shù)據(jù)安全保密的法律道德準(zhǔn)則和政策法規(guī)、法令A(yù)nIntroductiontoDatabaseSystem計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）政策法律類AnIntro4.1計(jì)算機(jī)安全性概論4.1.1計(jì)算機(jī)系統(tǒng)的三類安全性問題4.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)AnIntroductiontoDatabaseSystem4.1計(jì)算機(jī)安全性概論4.1.1計(jì)算機(jī)系統(tǒng)的三類安全4.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)為降低進(jìn)而消除對(duì)系統(tǒng)的安全攻擊，各國引用或制定了一系列安全標(biāo)準(zhǔn)TCSEC(桔皮書)TDI(紫皮書)AnIntroductiontoDatabaseSystem4.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)為降低進(jìn)而消除對(duì)系統(tǒng)的安可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）1985年美國國防部（DoD）正式頒布《DoD可信計(jì)算機(jī)系統(tǒng)評(píng)估標(biāo)準(zhǔn)》（簡(jiǎn)稱TCSEC或DoD85）TCSEC又稱桔皮書TCSEC標(biāo)準(zhǔn)的目的提供一種標(biāo)準(zhǔn)，使用戶可以對(duì)其計(jì)算機(jī)系統(tǒng)內(nèi)敏感信息安全操作的可信程度做評(píng)估。給計(jì)算機(jī)行業(yè)的制造商提供一種可循的指導(dǎo)規(guī)則，使其產(chǎn)品能夠更好地滿足敏感應(yīng)用的安全需求。AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）1985年美國國防部（DoD）正可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）1991年4月美國NCSC（國家計(jì)算機(jī)安全中心）頒布了《可信計(jì)算機(jī)系統(tǒng)評(píng)估標(biāo)準(zhǔn)關(guān)于可信數(shù)據(jù)庫系統(tǒng)的解釋》（TrustedDatabaseInterpretation簡(jiǎn)稱TDI）TDI又稱紫皮書。它將TCSEC擴(kuò)展到數(shù)據(jù)庫管理系統(tǒng)。TDI中定義了數(shù)據(jù)庫管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)中需滿足和用以進(jìn)行安全性級(jí)別評(píng)估的標(biāo)準(zhǔn)。AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）1991年4月美國NCSC（國家可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）TDI/TCSEC標(biāo)準(zhǔn)的基本內(nèi)容TDI與TCSEC一樣，從四個(gè)方面來描述安全性級(jí)別劃分的指標(biāo)安全策略責(zé)任保證文檔AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）TDI/TCSEC標(biāo)準(zhǔn)的基本內(nèi)容可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）R1安全策略（SecurityPolicy）

R1.1自主存取控制（DiscretionaryAccessControl，簡(jiǎn)記為DAC）R1.2客體重用（ObjectReuse）R1.3標(biāo)記（Labels）R1.4強(qiáng)制存取控制（MandatoryAccessControl，簡(jiǎn)記為MAC）AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）R1安全策略（Security可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）R2責(zé)任（Accountability）

R2.1標(biāo)識(shí)與鑒別（Identification&Authentication）R2.2審計(jì)（Audit）R3保證（Assurance）

R3.1操作保證（OperationalAssurance）R3.2生命周期保證（LifeCycleAssurance）AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）R2責(zé)任（Accountabi可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）R4文檔（Documentation）R4.1安全特性用戶指南（SecurityFeaturesUser'sGuide）R4.2可信設(shè)施手冊(cè)（TrustedFacilityManual）R4.3測(cè)試文檔（TestDocumentation）R4.4設(shè)計(jì)文檔（DesignDocumentation）AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）R4文檔（Documentat可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）

TCSEC/TDI安全級(jí)別劃分安全級(jí)別定義A1驗(yàn)證設(shè)計(jì)（VerifiedDesign）B3安全域（SecurityDomains）

B2結(jié)構(gòu)化保護(hù)（StructuralProtection）

B1標(biāo)記安全保護(hù)（LabeledSecurityProtection）

C2受控的存取保護(hù)（ControlledAccessProtection）

C1自主安全保護(hù)（DiscretionarySecurityProtection）

D最小保護(hù)（MinimalProtection）AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）TCSEC/TDI安全級(jí)別劃分可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）四組(division)七個(gè)等級(jí)DC（C1，C2）B（B1，B2，B3）A（A1）按系統(tǒng)可靠或可信程度逐漸增高各安全級(jí)別之間具有一種偏序向下兼容的關(guān)系，即較高安全性級(jí)別提供的安全保護(hù)要包含較低級(jí)別的所有保護(hù)要求，同時(shí)提供更多或更完善的保護(hù)能力。AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）四組(division)七個(gè)等級(jí)可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）D級(jí)將一切不符合更高標(biāo)準(zhǔn)的系統(tǒng)均歸于D組典型例子：DOS是安全標(biāo)準(zhǔn)為D的操作系統(tǒng)DOS在安全性方面幾乎沒有什么專門的機(jī)制來保障AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）D級(jí)AnIntroductio可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）C1級(jí)非常初級(jí)的自主安全保護(hù)能夠?qū)崿F(xiàn)對(duì)用戶和數(shù)據(jù)的分離，進(jìn)行自主存取控制（DAC），保護(hù)或限制用戶權(quán)限的傳播。AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）C1級(jí)AnIntroducti可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）C2級(jí)安全產(chǎn)品的最低檔次提供受控的存取保護(hù)，將C1級(jí)的DAC進(jìn)一步細(xì)化，以個(gè)人身份注冊(cè)負(fù)責(zé)，并實(shí)施審計(jì)和資源隔離達(dá)到C2級(jí)的產(chǎn)品在其名稱中往往不突出“安全”(Security)這一特色AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）C2級(jí)AnIntroducti可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）典型例子操作系統(tǒng)Microsoft的WindowsNT3.5，數(shù)字設(shè)備公司的OpenVMSVAX6.0和6.1

數(shù)據(jù)庫Oracle公司的Oracle7Sybase公司的SQLServer11.0.6AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）典型例子AnIntroduct可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）B1級(jí)標(biāo)記安全保護(hù)?！鞍踩?Security)或“可信的”(Trusted)產(chǎn)品。對(duì)系統(tǒng)的數(shù)據(jù)加以標(biāo)記，對(duì)標(biāo)記的主體和客體實(shí)施強(qiáng)制存取控制（MAC）、審計(jì)等安全機(jī)制AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）B1級(jí)AnIntroducti可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）典型例子操作系統(tǒng)數(shù)字設(shè)備公司的SEVMSVAXVersion6.0惠普公司的HP-UXBLSrelease4.0.4+數(shù)據(jù)庫Oracle公司的TrustedOracle7Sybase公司的SecureSQLServerversion11.0.6Informix公司的IncorporatedINFORMIX-OnLine/Secure5.0AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）典型例子AnIntroduct可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）B2級(jí)結(jié)構(gòu)化保護(hù)建立形式化的安全策略模型并對(duì)系統(tǒng)內(nèi)的所有主體和客體實(shí)施DAC和MAC。經(jīng)過認(rèn)證的B2級(jí)以上的安全系統(tǒng)非常稀少AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）B2級(jí)AnIntroducti可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）典型例子操作系統(tǒng)只有TrustedInformationSystems公司的TrustedXENIX一種產(chǎn)品標(biāo)準(zhǔn)的網(wǎng)絡(luò)產(chǎn)品只有CryptekSecureCommunications公司的LLCVSLAN一種產(chǎn)品數(shù)據(jù)庫沒有符合B2標(biāo)準(zhǔn)的產(chǎn)品AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）典型例子AnIntroduct可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）B3級(jí)安全域。該級(jí)的TCB必須滿足訪問監(jiān)控器的要求，審計(jì)跟蹤能力更強(qiáng)，并提供系統(tǒng)恢復(fù)過程。AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）B3級(jí)AnIntroducti可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）A1級(jí)驗(yàn)證設(shè)計(jì)，即提供B3級(jí)保護(hù)的同時(shí)給出系統(tǒng)的形式化設(shè)計(jì)說明和驗(yàn)證以確信各安全保護(hù)真正實(shí)現(xiàn)。AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）A1級(jí)AnIntroducti可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）B2以上的系統(tǒng)還處于理論研究階段應(yīng)用多限于一些特殊的部門如軍隊(duì)等美國正在大力發(fā)展安全產(chǎn)品，試圖將目前僅限于少數(shù)領(lǐng)域應(yīng)用的B2安全級(jí)別下放到商業(yè)應(yīng)用中來，并逐步成為新的商業(yè)標(biāo)準(zhǔn)。AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）B2以上的系統(tǒng)AnIntrod可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）AnIntroduction可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)） 表示該級(jí)不提供對(duì)該指標(biāo)的支持；表示該級(jí)新增的對(duì)該指標(biāo)的支持；表示該級(jí)對(duì)該指標(biāo)的支持與相鄰低一級(jí)的等級(jí)一樣；表示該級(jí)對(duì)該指標(biāo)的支持較下一級(jí)有所增加或改動(dòng)。AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)） 表示該級(jí)不提供對(duì)該指標(biāo)的支第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概論4.2數(shù)據(jù)庫安全性控制4.3統(tǒng)計(jì)數(shù)據(jù)庫安全性4.4小結(jié)AnIntroductiontoDatabaseSystem第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概論AnInt4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.2用戶標(biāo)識(shí)與鑒別4.2.3存取控制4.2.4自主存取控制方法4.2.5強(qiáng)制存取控制方法4.2.6視圖機(jī)制4.2.7審計(jì)4.2.8數(shù)據(jù)加密AnIntroductiontoDatabaseSystem4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.1數(shù)據(jù)庫安全性控制概述非法使用數(shù)據(jù)庫的情況用戶編寫一段合法的程序繞過DBMS及其授權(quán)機(jī)制，通過操作系統(tǒng)直接存取、修改或備份數(shù)據(jù)庫中的數(shù)據(jù)；直接或編寫應(yīng)用程序執(zhí)行非授權(quán)操作；AnIntroductiontoDatabaseSystem4.2.1數(shù)據(jù)庫安全性控制概述非法使用數(shù)據(jù)庫的情況An數(shù)據(jù)庫安全性控制概述（續(xù)）通過多次合法查詢數(shù)據(jù)庫從中推導(dǎo)出一些保密數(shù)據(jù)

例：某數(shù)據(jù)庫應(yīng)用系統(tǒng)禁止查詢單個(gè)人的工資，但允許查任意一組人的平均工資。用戶甲想了解張三的工資，于是他： 首先查詢包括張三在內(nèi)的一組人的平均工資 然后查用自己替換張三后這組人的平均工資從而推導(dǎo)出張三的工資破壞安全性的行為可能是無意的，故意的，惡意的。AnIntroductiontoDatabaseSystem數(shù)據(jù)庫安全性控制概述（續(xù)）通過多次合法查詢數(shù)據(jù)庫從中推導(dǎo)出一計(jì)算機(jī)系統(tǒng)中的安全模型

應(yīng)用DBMSOS

DB低高安全性控制層次方法：

用戶標(biāo)識(shí)和鑒定

存取控制審計(jì)視圖

操作系統(tǒng)安全保護(hù)

密碼存儲(chǔ)

AnIntroductiontoDatabaseSystem計(jì)算機(jī)系統(tǒng)中的安全模型應(yīng)用DBMSOSDB低數(shù)據(jù)庫安全性控制概述（續(xù)）數(shù)據(jù)庫安全性控制的常用方法用戶標(biāo)識(shí)和鑒定存取控制視圖審計(jì)密碼存儲(chǔ)AnIntroductiontoDatabaseSystem數(shù)據(jù)庫安全性控制概述（續(xù)）數(shù)據(jù)庫安全性控制的常用方法AnI4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.2用戶標(biāo)識(shí)與鑒別4.2.3存取控制4.2.4自主存取控制方法4.2.5強(qiáng)制存取控制方法4.2.6視圖機(jī)制4.2.7審計(jì)4.2.8數(shù)據(jù)加密AnIntroductiontoDatabaseSystem4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.2用戶標(biāo)識(shí)與鑒別用戶標(biāo)識(shí)與鑒別（Identification&Authentication）系統(tǒng)提供的最外層安全保護(hù)措施AnIntroductiontoDatabaseSystem4.2.2用戶標(biāo)識(shí)與鑒別用戶標(biāo)識(shí)與鑒別（Identifi4.2.2用戶標(biāo)識(shí)與鑒別基本方法系統(tǒng)提供一定的方式讓用戶標(biāo)識(shí)自己的名字或身份；系統(tǒng)內(nèi)部記錄著所有合法用戶的標(biāo)識(shí)；每次用戶要求進(jìn)入系統(tǒng)時(shí)，由系統(tǒng)核對(duì)用戶提供的身份標(biāo)識(shí)；通過鑒定后才提供機(jī)器使用權(quán)。用戶標(biāo)識(shí)和鑒定可以重復(fù)多次AnIntroductiontoDatabaseSystem4.2.2用戶標(biāo)識(shí)與鑒別基本方法AnIntroduct用戶標(biāo)識(shí)自己的名字或身份用戶名/口令簡(jiǎn)單易行，容易被人竊取每個(gè)用戶預(yù)先約定好一個(gè)計(jì)算過程或者函數(shù)系統(tǒng)提供一個(gè)隨機(jī)數(shù)用戶根據(jù)自己預(yù)先約定的計(jì)算過程或者函數(shù)進(jìn)行計(jì)算系統(tǒng)根據(jù)用戶計(jì)算結(jié)果是否正確鑒定用戶身份AnIntroductiontoDatabaseSystem用戶標(biāo)識(shí)自己的名字或身份用戶名/口令A(yù)nIntroduct4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.2用戶標(biāo)識(shí)與鑒別4.2.3存取控制4.2.4自主存取控制方法4.2.5強(qiáng)制存取控制方法4.2.6視圖機(jī)制4.2.7審計(jì)4.2.8數(shù)據(jù)加密AnIntroductiontoDatabaseSystem4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.3存取控制存取控制機(jī)制的功能存取控制機(jī)制的組成定義存取權(quán)限檢查存取權(quán)限用戶權(quán)限定義和合法權(quán)檢查機(jī)制一起組成了DBMS的安全子系統(tǒng)AnIntroductiontoDatabaseSystem4.2.3存取控制存取控制機(jī)制的功能AnIntrodu存取控制（續(xù)）定義存取權(quán)限在數(shù)據(jù)庫系統(tǒng)中，為了保證用戶只能訪問他有權(quán)存取的數(shù)據(jù)，必須預(yù)先對(duì)每個(gè)用戶定義存取權(quán)限。檢查存取權(quán)限對(duì)于通過鑒定獲得上機(jī)權(quán)的用戶（即合法用戶），系統(tǒng)根據(jù)他的存取權(quán)限定義對(duì)他的各種操作請(qǐng)求進(jìn)行控制，確保他只執(zhí)行合法操作。AnIntroductiontoDatabaseSystem存取控制（續(xù)）定義存取權(quán)限AnIntroductiont存取控制（續(xù)）常用存取控制方法自主存取控制（DiscretionaryAccessControl，簡(jiǎn)稱DAC）

C2級(jí)

靈活強(qiáng)制存取控制（MandatoryAccessControl，簡(jiǎn)稱MAC）B1級(jí)嚴(yán)格AnIntroductiontoDatabaseSystem存取控制（續(xù)）常用存取控制方法AnIntroduction自主存取控制方法同一用戶對(duì)于不同的數(shù)據(jù)對(duì)象有不同的存取權(quán)限不同的用戶對(duì)同一對(duì)象也有不同的權(quán)限用戶還可將其擁有的存取權(quán)限轉(zhuǎn)授給其他用戶AnIntroductiontoDatabaseSystem自主存取控制方法同一用戶對(duì)于不同的數(shù)據(jù)對(duì)象有不同的存取權(quán)限A強(qiáng)制存取控制方法每一個(gè)數(shù)據(jù)對(duì)象被標(biāo)以一定的密級(jí)每一個(gè)用戶也被授予某一個(gè)級(jí)別的許可證對(duì)于任意一個(gè)對(duì)象，只有具有合法許可證的用戶才可以存取AnIntroductiontoDatabaseSystem強(qiáng)制存取控制方法每一個(gè)數(shù)據(jù)對(duì)象被標(biāo)以一定的密級(jí)AnIntr4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.2用戶標(biāo)識(shí)與鑒別4.2.3存取控制4.2.4自主存取控制方法4.2.5強(qiáng)制存取控制方法4.2.6視圖機(jī)制4.2.7審計(jì)4.2.8數(shù)據(jù)加密AnIntroductiontoDatabaseSystem4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.4自主存取控制方法定義存取權(quán)限存取權(quán)限存取權(quán)限由兩個(gè)要素組成數(shù)據(jù)對(duì)象操作類型AnIntroductiontoDatabaseSystem4.2.4自主存取控制方法定義存取權(quán)限AnIntrod自主存取控制方法（續(xù)）關(guān)系系統(tǒng)中的存取權(quán)限類型

數(shù)據(jù)對(duì)象 操作類型模式 模式 建立、修改、刪除、檢索 外模式建立、修改、刪除、檢索 內(nèi)模式 建立、刪除、檢索數(shù)據(jù) 表 查找、插入、修改、刪除 屬性列 查找、插入、修改、刪除AnIntroductiontoDatabaseSystem自主存取控制方法（續(xù)）關(guān)系系統(tǒng)中的存取權(quán)限AnIntrod自主存取控制方法（續(xù)）關(guān)系系統(tǒng)中的存取權(quán)限(續(xù))定義方法GRANT/REVOKEAnIntroductiontoDatabaseSystem自主存取控制方法（續(xù)）關(guān)系系統(tǒng)中的存取權(quán)限(續(xù))AnInt自主存取控制方法（續(xù)）關(guān)系系統(tǒng)中的存取權(quán)限(續(xù))例:一張授權(quán)表

用戶名數(shù)據(jù)對(duì)象名允許的操作類型王平關(guān)系StudentSELECT張一關(guān)系StudentUPDATE張一關(guān)系CourseALL張一SC.GradeUPDATE張一SC.SnoSELECT張一SC.CnoSELECTAnIntroductiontoDatabaseSystem自主存取控制方法（續(xù)）關(guān)系系統(tǒng)中的存取權(quán)限(續(xù))AnInt自主存取控制方法（續(xù)）檢查存取權(quán)限對(duì)于獲得上機(jī)權(quán)后又進(jìn)一步發(fā)出存取數(shù)據(jù)庫操作的用戶DBMS查找數(shù)據(jù)字典，根據(jù)其存取權(quán)限對(duì)操作的合法性進(jìn)行檢查若用戶的操作請(qǐng)求超出了定義的權(quán)限，系統(tǒng)將拒絕執(zhí)行此操作AnIntroductiontoDatabaseSystem自主存取控制方法（續(xù)）檢查存取權(quán)限AnIntroducti自主存取控制方法（續(xù)）授權(quán)粒度授權(quán)粒度是指可以定義的數(shù)據(jù)對(duì)象的范圍它是衡量授權(quán)機(jī)制是否靈活的一個(gè)重要指標(biāo)。授權(quán)定義中數(shù)據(jù)對(duì)象的粒度越細(xì)，即可以定義的數(shù)據(jù)對(duì)象的范圍越小，授權(quán)子系統(tǒng)就越靈活。AnIntroductiontoDatabaseSystem自主存取控制方法（續(xù)）授權(quán)粒度AnIntroductio自主存取控制方法（續(xù)）關(guān)系數(shù)據(jù)庫中授權(quán)的數(shù)據(jù)對(duì)象粒度數(shù)據(jù)庫表屬性列行能否提供與數(shù)據(jù)值有關(guān)的授權(quán)反映了授權(quán)子系統(tǒng)精巧程度AnIntroductiontoDatabaseSystem自主存取控制方法（續(xù)）關(guān)系數(shù)據(jù)庫中授權(quán)的數(shù)據(jù)對(duì)象粒度AnI自主存取控制方法（續(xù)）實(shí)現(xiàn)與數(shù)據(jù)值有關(guān)的授權(quán)利用存取謂詞存取謂詞可以很復(fù)雜可以引用系統(tǒng)變量，如終端設(shè)備號(hào)，系統(tǒng)時(shí)鐘等，實(shí)現(xiàn)與時(shí)間地點(diǎn)有關(guān)的存取權(quán)限，這樣用戶只能在某段時(shí)間內(nèi)，某臺(tái)終端上存取有關(guān)數(shù)據(jù)

例：規(guī)定“教師只能在每年1月份和7月份星期一至星期五上午8點(diǎn)到下午5點(diǎn)處理學(xué)生成績數(shù)據(jù)”。AnIntroductiontoDatabaseSystem自主存取控制方法（續(xù)）實(shí)現(xiàn)與數(shù)據(jù)值有關(guān)的授權(quán)AnIntro自主存取控制方法（續(xù)）自主存取控制小結(jié)定義存取權(quán)限用戶檢查存取權(quán)限D(zhuǎn)BMSAnIntroductiontoDatabaseSystem自主存取控制方法（續(xù)）自主存取控制小結(jié)AnIntroduc自主存取控制方法（續(xù)）自主存取控制小結(jié)(續(xù))授權(quán)粒度數(shù)據(jù)對(duì)象粒度：數(shù)據(jù)庫、表、屬性列、行數(shù)據(jù)值粒度：存取謂詞授權(quán)粒度越細(xì)，授權(quán)子系統(tǒng)就越靈活，能夠提供的安全性就越完善。但另一方面，因數(shù)據(jù)字典變大變復(fù)雜，系統(tǒng)定義與檢查權(quán)限的開銷也會(huì)相應(yīng)地增大。AnIntroductiontoDatabaseSystem自主存取控制方法（續(xù)）自主存取控制小結(jié)(續(xù))AnIntro自主存取控制方法（續(xù)）自主存取控制小結(jié)(續(xù))優(yōu)點(diǎn)能夠通過授權(quán)機(jī)制有效地控制其他用戶對(duì)敏感數(shù)據(jù)的存取AnIntroductiontoDatabaseSystem自主存取控制方法（續(xù)）自主存取控制小結(jié)(續(xù))AnIntro自主存取控制方法（續(xù)）自主存取控制小結(jié)(續(xù))缺點(diǎn)可能存在數(shù)據(jù)的“無意泄露”原因：這種機(jī)制僅僅通過對(duì)數(shù)據(jù)的存取權(quán)限來進(jìn)行安全控制，而數(shù)據(jù)本身并無安全性標(biāo)記。解決：對(duì)系統(tǒng)控制下的所有主客體實(shí)施強(qiáng)制存取控制策略AnIntroductiontoDatabaseSystem自主存取控制方法（續(xù)）自主存取控制小結(jié)(續(xù))AnIntro授權(quán)與收回權(quán)限誰定義？DBA和表的建立者（即表的屬主）如何定義？SQL語句：GRANTREVOKEAnIntroductiontoDatabaseSystem授權(quán)與收回權(quán)限誰定義？AnIntroductiontoDBMS實(shí)現(xiàn)數(shù)據(jù)安全性保護(hù)的過程用戶或DBA把授權(quán)決定告知系統(tǒng)SQL的GRANT和REVOKEDBMS把授權(quán)的結(jié)果存入數(shù)據(jù)字典當(dāng)用戶提出操作請(qǐng)求時(shí)，DBMS根據(jù)授權(quán)定義進(jìn)行檢查，以決定是否執(zhí)行操作請(qǐng)求AnIntroductiontoDatabaseSystemDBMS實(shí)現(xiàn)數(shù)據(jù)安全性保護(hù)的過程用戶或DBA把授權(quán)決定告知系授權(quán)GRANT語句的一般格式：GRANT<權(quán)限>[,<權(quán)限>]...[ON<對(duì)象類型><對(duì)象名>]TO<用戶>[,<用戶>]...[WITHGRANTOPTION];誰定義？DBA和表的建立者（即表的屬主）REVOKE功能：將對(duì)指定操作對(duì)象的指定操作權(quán)限授予指定的用戶。AnIntroductiontoDatabaseSystem授權(quán)GRANT語句的一般格式：AnIntroductio(1)操作權(quán)限AnIntroductiontoDatabaseSystem(1)操作權(quán)限AnIntroductiontoDat(2)用戶的權(quán)限建表（CREATETAB）的權(quán)限:屬于DBADBA授予-->普通用戶基本表或視圖的屬主擁有對(duì)該表或視圖的一切操作權(quán)限接受權(quán)限的用戶:一個(gè)或多個(gè)具體用戶PUBLIC（全體用戶）AnIntroductiontoDatabaseSystem(2)用戶的權(quán)限建表（CREATETAB）的權(quán)限:屬于DB(4)WITHGRANTOPTION子句指定了WITHGRANTOPTION子句:獲得某種權(quán)限的用戶還可以把這種權(quán)限再授予別的用戶。沒有指定WITHGRANTOPTION子句:獲得某種權(quán)限的用戶只能使用該權(quán)限，不能傳播該權(quán)限AnIntroductiontoDatabaseSystem(4)WITHGRANTOPTION子句指定了WITH例題例1把查詢Student表權(quán)限授給用戶U1GRANTSELECTONTABLEStudentTOU1;AnIntroductiontoDatabaseSystem例題例1把查詢Student表權(quán)限授給用戶U1AnIn例題（續(xù)）例2把對(duì)Student表和Course表的全部權(quán)限授予用戶U2和U3GRANTALLPRIVILIGES

ONTABLEStudent,CourseTOU2,U3;例4AnIntroductiontoDatabaseSystem例題（續(xù)）例2把對(duì)Student表和Course表的全部權(quán)例題（續(xù)）例3把對(duì)表SC的查詢權(quán)限授予所有用戶GRANTSELECTONTABLESC TOPUBLIC;AnIntroductiontoDatabaseSystem例題（續(xù)）例3把對(duì)表SC的查詢權(quán)限授予所有用戶AnInt例題（續(xù)）例4把查詢Student表和修改學(xué)生學(xué)號(hào)的權(quán)限授給用戶U4

GRANTUPDATE(Sno),SELECT ONTABLEStudent TOU4;AnIntroductiontoDatabaseSystem例題（續(xù)）例4把查詢Student表和修改學(xué)生學(xué)號(hào)的權(quán)限授例題（續(xù)）例5把對(duì)表SC的INSERT權(quán)限授予U5用戶，并允許他再將此權(quán)限授予其他用戶GRANTINSERTONTABLESCTOU5

WITHGRANTOPTION;AnIntroductiontoDatabaseSystem例題（續(xù)）例5把對(duì)表SC的INSERT權(quán)限授予U5用戶，傳播權(quán)限

執(zhí)行例5后，U5不僅擁有了對(duì)表SC的INSERT權(quán)限，還可以傳播此權(quán)限：GRANTINSERTONTABLESCTOU6

WITHGRANTOPTION;同樣，U6還可以將此權(quán)限授予U7：GRANTINSERTONTABLESCTOU7;

但U7不能再傳播此權(quán)限。U5-->U6-->U7AnIntroductiontoDatabaseSystem傳播權(quán)限執(zhí)行例5后，U5不僅擁有了對(duì)表SC的INSERT權(quán)例題（續(xù)）例6DBA把在數(shù)據(jù)庫S_C中建立表的權(quán)限授予用戶U8 GRANTCREATETAB ONDATABASES_C TOU8;AnIntroductiontoDatabaseSystem例題（續(xù)）例6DBA把在數(shù)據(jù)庫S_C中建立表的權(quán)限授予用戶SQL收回權(quán)限的功能REVOKE語句的一般格式為：REVOKE<權(quán)限>[,<權(quán)限>]...[ON<對(duì)象類型><對(duì)象名>]FROM<用戶>[,<用戶>]...;功能：從指定用戶那里收回對(duì)指定對(duì)象的指定權(quán)限AnIntroductiontoDatabaseSystemSQL收回權(quán)限的功能REVOKE語句的一般格式為：AnIn例題例7把用戶U4修改學(xué)生學(xué)號(hào)的權(quán)限收回

REVOKEUPDATE(Sno) ONTABLEStudent FROMU4;AnIntroductiontoDatabaseSystem例題例7把用戶U4修改學(xué)生學(xué)號(hào)的權(quán)限收回AnIntrod例題（續(xù)）例8收回所有用戶對(duì)表SC的查詢權(quán)限

REVOKESELECT

ONTABLESC FROMPUBLIC;

AnIntroductiontoDatabaseSystem例題（續(xù)）例8收回所有用戶對(duì)表SC的查詢權(quán)限AnIntr例題（續(xù)）例9把用戶U5對(duì)SC表的INSERT權(quán)限收回 REVOKEINSERT ONTABLESC FROMU5;AnIntroductiontoDatabaseSystem例題（續(xù)）例9把用戶U5對(duì)SC表的INSERT權(quán)限收回An權(quán)限的級(jí)聯(lián)回收系統(tǒng)將收回直接或間接從U5處獲得的對(duì)SC表的INSERT權(quán)限:-->U5-->U6-->U7收回U5、U6、U7獲得的對(duì)SC表的INSERT權(quán)限:<--U5<--U6<--U7AnIntroductiontoDatabaseSystem權(quán)限的級(jí)聯(lián)回收系統(tǒng)將收回直接或間接從U5處獲得的對(duì)SCAn小結(jié):SQL靈活的授權(quán)機(jī)制DBA擁有對(duì)數(shù)據(jù)庫中所有對(duì)象的所有權(quán)限，并可以根據(jù)應(yīng)用的需要將不同的權(quán)限授予不同的用戶。用戶對(duì)自己建立的基本表和視圖擁有全部的操作權(quán)限，并且可以用GRANT語句把其中某些權(quán)限授予其他用戶。被授權(quán)的用戶如果有“繼續(xù)授權(quán)”的許可，還可以把獲得的權(quán)限再授予其他用戶。所有授予出去的權(quán)力在必要時(shí)又都可以用REVOKE語句收回。AnIntroductiontoDatabaseSystem小結(jié):SQL靈活的授權(quán)機(jī)制DBA擁有對(duì)數(shù)據(jù)庫中所有對(duì)象的所有數(shù)據(jù)庫角色被命名的一組與數(shù)據(jù)庫操作相關(guān)的權(quán)限，角色是權(quán)限的集合。角色的創(chuàng)建createrole<角色名>給角色授權(quán)：grant<權(quán)限>…On<對(duì)象類型>對(duì)象名To<角色>[,<角色>]AnIntroductiontoDatabaseSystem數(shù)據(jù)庫角色被命名的一組與數(shù)據(jù)庫操作相關(guān)的權(quán)限，角色是權(quán)限的集將一個(gè)角色授予其他的角色或用戶角色權(quán)限的收回revoke<權(quán)限>…On<對(duì)象類型>對(duì)象名from<角色>[,<角色>]數(shù)據(jù)庫角色

grant<角色1>…to<角色3>[<用戶1>]…withadminoptionAnIntroductiontoDatabaseSystem將一個(gè)角色授予其他的角色或用戶數(shù)據(jù)庫角色grantCreateroleR1GRANTselect,update,insertontablestudenttoR1GRANDR1TOaa,bb,ccRevokeselectOntablestudentFromR1數(shù)據(jù)庫角色AnIntroductiontoDatabaseSystemCreateroleR1數(shù)據(jù)庫角色AnIntroducsp_addrole'r1'GRANTselect,update,insertonstudenttoR1sp_addrolemember'r1',aaRevokeselectOnstudentFromR1AnIntroductiontoDatabaseSystemsp_addrole'r1'AnIntroducti4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.2用戶標(biāo)識(shí)與鑒別4.2.3存取控制4.2.4自主存取控制方法4.2.5強(qiáng)制存取控制方法4.2.6視圖機(jī)制4.2.7審計(jì)4.2.8數(shù)據(jù)加密AnIntroductiontoDatabaseSystem4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.5強(qiáng)制存取控制方法什么是強(qiáng)制存取控制強(qiáng)制存取控制(MAC)是指系統(tǒng)為保證更高程度的安全性，按照TDI/TCSEC標(biāo)準(zhǔn)中安全策略的要求，所采取的強(qiáng)制存取檢查手段。MAC不是用戶能直接感知或進(jìn)行控制的。MAC適用于對(duì)數(shù)據(jù)有嚴(yán)格而固定密級(jí)分類的部門軍事部門政府部門AnIntroductiontoDatabaseSystem4.2.5強(qiáng)制存取控制方法什么是強(qiáng)制存取控制AnInt強(qiáng)制存取控制方法（續(xù)）主體與客體在MAC中，DBMS所管理的全部實(shí)體被分為主體和客體兩大類主體是系統(tǒng)中的活動(dòng)實(shí)體DBMS所管理的實(shí)際用戶代表用戶的各進(jìn)程客體是系統(tǒng)中的被動(dòng)實(shí)體，是受主體操縱的文件基表索引視圖AnIntroductiontoDatabaseSystem強(qiáng)制存取控制方法（續(xù)）主體與客體AnIntroductio強(qiáng)制存取控制方法（續(xù)）敏感度標(biāo)記對(duì)于主體和客體，DBMS為它們每個(gè)實(shí)例（值）指派一個(gè)敏感度標(biāo)記（Label）敏感度標(biāo)記分成若干級(jí)別絕密（TopSecret）機(jī)密（Secret）可信（Confidential）公開（Public）AnIntroductiontoDatabaseSystem強(qiáng)制存取控制方法（續(xù)）敏感度標(biāo)記AnIntroductio強(qiáng)制存取控制方法（續(xù)）主體的敏感度標(biāo)記稱為許可證級(jí)別（ClearanceLevel）客體的敏感度標(biāo)記稱為密級(jí)（ClassificationLevel）MAC機(jī)制就是通過對(duì)比主體的Label和客體的Label，最終確定主體是否能夠存取客體AnIntroductiontoDatabaseSystem強(qiáng)制存取控制方法（續(xù)）主體的敏感度標(biāo)記稱為許可證級(jí)別（Cle強(qiáng)制存取控制方法（續(xù)）強(qiáng)制存取控制規(guī)則當(dāng)某一用戶（或某一主體）以標(biāo)記label注冊(cè)入系統(tǒng)時(shí)，系統(tǒng)要求他對(duì)任何客體的存取必須遵循下面兩條規(guī)則：（1）僅當(dāng)主體的許可證級(jí)別大于或等于客體的密級(jí)時(shí)，該主體才能讀取相應(yīng)的客體；（2）僅當(dāng)主體的許可證級(jí)別等于客體的密級(jí)時(shí)，該主體才能寫相應(yīng)的客體。AnIntroductiontoDatabaseSystem強(qiáng)制存取控制方法（續(xù)）強(qiáng)制存取控制規(guī)則AnIntrodu強(qiáng)制存取控制方法（續(xù)）修正規(guī)則：主體的許可證級(jí)別<=客體的密級(jí)主體能寫客體用戶可為寫入的數(shù)據(jù)對(duì)象賦予高于自己的許可證級(jí)別的密級(jí)一旦數(shù)據(jù)被寫入，該用戶自己也不能再讀該數(shù)據(jù)對(duì)象了。AnIntroductiontoDatabaseSystem強(qiáng)制存取控制方法（續(xù)）修正規(guī)則：AnIntroductio強(qiáng)制存取控制方法（續(xù)）規(guī)則的共同點(diǎn)禁止了擁有高許可證級(jí)別的主體更新低密級(jí)的數(shù)據(jù)對(duì)象AnIntroductiontoDatabaseSystem強(qiáng)制存取控制方法（續(xù)）規(guī)則的共同點(diǎn)AnIntroducti強(qiáng)制存取控制方法（續(xù)）強(qiáng)制存取控制的特點(diǎn)MAC是對(duì)數(shù)據(jù)本身進(jìn)行密級(jí)標(biāo)記無論數(shù)據(jù)如何復(fù)制，標(biāo)記與數(shù)據(jù)是一個(gè)不可分的整體只有符合密級(jí)標(biāo)記要求的用戶才可以操縱數(shù)據(jù)從而提供了更高級(jí)別的安全性AnIntroductiontoDatabaseSystem強(qiáng)制存取控制方法（續(xù)）強(qiáng)制存取控制的特點(diǎn)AnIntroduMAC與DACDAC與MAC共同構(gòu)成DBMS的安全機(jī)制原因：較高安全性級(jí)別提供的安全保護(hù)要包含較低級(jí)別的所有保護(hù)先進(jìn)行DAC檢查，通過DAC檢查的數(shù)據(jù)對(duì)象再由系統(tǒng)進(jìn)行MAC檢查，只有通過MAC檢查的數(shù)據(jù)對(duì)象方可存取。AnIntroductiontoDatabaseSystemMAC與DACDAC與MAC共同構(gòu)成DBMS的安全機(jī)制An強(qiáng)制存取控制方法（續(xù)）DAC+MAC安全檢查示意圖

SQL語法分析&語義檢查

DAC檢查安全檢查MAC檢查

繼續(xù)AnIntroductiontoDatabaseSystem強(qiáng)制存取控制方法（續(xù)）DAC+MAC安全檢查示意圖An4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.2用戶標(biāo)識(shí)與鑒別4.2.3存取控制4.2.4自主存取控制方法4.2.5強(qiáng)制存取控制方法4.2.6視圖機(jī)制4.2.7審計(jì)4.2.8數(shù)據(jù)加密AnIntroductiontoDatabaseSystem4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.6視圖機(jī)制視圖機(jī)制把要保密的數(shù)據(jù)對(duì)無權(quán)存取這些數(shù)據(jù)的用戶隱藏起來，

視圖機(jī)制更主要的功能在于提供數(shù)據(jù)獨(dú)立性，其安全保護(hù)功能太不精細(xì)，往往遠(yuǎn)不能達(dá)到應(yīng)用系統(tǒng)的要求。AnIntroductiontoDatabaseSystem4.2.6視圖機(jī)制視圖機(jī)制把要保密的數(shù)據(jù)對(duì)無權(quán)存取這些數(shù)視圖機(jī)制（續(xù)）視圖機(jī)制與授權(quán)機(jī)制配合使用:首先用視圖機(jī)制屏蔽掉一部分保密數(shù)據(jù)視圖上面再進(jìn)一步定義存取權(quán)限間接實(shí)現(xiàn)了支持存取謂詞的用戶權(quán)限定義AnIntroductiontoDatabaseSystem視圖機(jī)制（續(xù)）視圖機(jī)制與授權(quán)機(jī)制配合使用:AnIntrod視圖機(jī)制（續(xù)）例：王平只能檢索計(jì)算機(jī)系學(xué)生的信息先建立計(jì)算機(jī)系學(xué)生的視圖CS_Student

CREATEVIEWCS_StudentASSELECT*FROMStudentWHERESdept='CS'；AnIntroductiontoDatabaseSystem視圖機(jī)制（續(xù)）例：王平只能檢索計(jì)算機(jī)系學(xué)生的信息AnInt視圖機(jī)制（續(xù)）在視圖上進(jìn)一步定義存取權(quán)限GRANTSELECTONCS_StudentTO王平；AnIntroductiontoDatabaseSystem視圖機(jī)制（續(xù)）在視圖上進(jìn)一步定義存取權(quán)限AnIntrodu4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.2用戶標(biāo)識(shí)與鑒別4.2.3存取控制4.2.4自主存取控制方法4.2.5強(qiáng)制存取控制方法4.2.6視圖機(jī)制4.2.7審計(jì)4.2.8數(shù)據(jù)加密AnIntroductiontoDatabaseSystem4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.7審計(jì)什么是審計(jì)啟用一個(gè)專用的審計(jì)日志（AuditLog）將用戶對(duì)數(shù)據(jù)庫的所有操作記錄在上面DBA可以利用審計(jì)日志中的追蹤信息找出非法存取數(shù)據(jù)的人C2以上安全級(jí)別的DBMS必須具有審計(jì)功能AnIntroductiontoDatabaseSystem4.2.7審計(jì)什么是審計(jì)AnIntroduction審計(jì)（續(xù)）審計(jì)功能的可選性審計(jì)很費(fèi)時(shí)間和空間DBA可以根據(jù)應(yīng)用對(duì)安全性的要求，靈活地打開或關(guān)閉審計(jì)功能。AnIntroductiontoDatabaseSystem審計(jì)（續(xù)）審計(jì)功能的可選性AnIntroductiont審計(jì)（續(xù)）強(qiáng)制性機(jī)制:用戶識(shí)別和鑒定、存取控制、視圖預(yù)防監(jiān)測(cè)手段:審計(jì)技術(shù)AnIntroductiontoDatabaseSystem審計(jì)（續(xù)）強(qiáng)制性機(jī)制:AnIntroductionto4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.2用戶標(biāo)識(shí)與鑒別4.2.3存取控制4.2.4自主存取控制方法4.2.5強(qiáng)制存取控制方法4.2.6視圖機(jī)制4.2.7審計(jì)4.2.8數(shù)據(jù)加密AnIntroductiontoDatabaseSystem4.2數(shù)據(jù)庫安全性控制4.2.1數(shù)據(jù)庫安全性控制概述4.2.8數(shù)據(jù)加密數(shù)據(jù)加密防止數(shù)據(jù)庫中數(shù)據(jù)在存儲(chǔ)和傳輸中失密的有效手段加密的基本思想根據(jù)一定的算法將原始數(shù)據(jù)（術(shù)語為明文，Plaintext）變換為不可直接識(shí)別的格式（術(shù)語為密文，Ciphertext）不知道解密算法的人無法獲知數(shù)據(jù)的內(nèi)容AnIntroductiontoDatabaseSystem4.2.8數(shù)據(jù)加密數(shù)據(jù)加密AnIntroduction數(shù)據(jù)加密（續(xù)）加密方法

替換方法使用密鑰（EncryptionKey）將明文中的每一個(gè)字符轉(zhuǎn)換為密文中的一個(gè)字符置換方法將明文的字符按不同的順序重新排列混合方法美國1977年制定的官方加密標(biāo)準(zhǔn)：數(shù)據(jù)加密標(biāo)準(zhǔn)（DataEncryptionStandard，簡(jiǎn)稱DES）AnIntroductiontoDatabaseSystem數(shù)據(jù)加密（續(xù)）加密方法AnIntroductionto數(shù)據(jù)加密（續(xù)）DBMS中的數(shù)據(jù)加密有些數(shù)據(jù)庫產(chǎn)品提供了數(shù)據(jù)加密例行程序有些數(shù)據(jù)庫產(chǎn)品本身未提供加密程序，但提供了接口AnIntroductiontoDatabaseSystem數(shù)據(jù)加密（續(xù)）DBMS中的數(shù)據(jù)加密AnIntroducti數(shù)據(jù)加密（續(xù)）數(shù)據(jù)加密功能通常也作為可選特征，允許用戶自由選擇數(shù)據(jù)加密與解密是比較費(fèi)時(shí)的操作數(shù)據(jù)加密與解密程序會(huì)占用大量系統(tǒng)資源應(yīng)該只對(duì)高度機(jī)密的數(shù)據(jù)加密AnIntroductiontoDatabaseSystem數(shù)據(jù)加密（續(xù)）數(shù)據(jù)加密功能通常也作為可選特征，允許用戶自由選第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概論4.2數(shù)據(jù)庫安全性控制4.3統(tǒng)計(jì)數(shù)據(jù)庫安全性4.4小結(jié)AnIntroductiontoDatabaseSystem第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概論AnInt4.3統(tǒng)計(jì)數(shù)據(jù)庫安全性統(tǒng)計(jì)數(shù)據(jù)庫的特點(diǎn)允許用戶查詢聚集類型的信息（例如合計(jì)、平均值等）不允許查詢單個(gè)記錄信息例：允許查詢“程序員的平均工資是多少？”不允許查詢“程序員張一的工資？”AnIntroductiontoDatabaseSystem4.3統(tǒng)計(jì)數(shù)據(jù)庫安全性統(tǒng)計(jì)數(shù)據(jù)庫的特點(diǎn)AnIntrod統(tǒng)計(jì)數(shù)據(jù)庫安全性（續(xù)）統(tǒng)計(jì)數(shù)據(jù)庫中特殊的安全性問題隱蔽的信息通道從合法的查詢中推導(dǎo)出不合法的信息AnIntroductiontoDatabaseSystem統(tǒng)計(jì)數(shù)據(jù)庫安全性（續(xù)）統(tǒng)計(jì)數(shù)據(jù)庫中特殊的安全性問題AnIn統(tǒng)計(jì)數(shù)據(jù)庫安全性（續(xù)）例1：下面兩個(gè)查詢都是合法的：1．本公司共有多少女高級(jí)程序員？2．本公司女高級(jí)程序員的工資總額是多少？如果第一個(gè)查詢的結(jié)果是“1”，那么第二個(gè)查詢的結(jié)果顯然就是這個(gè)程序員的工資數(shù)。規(guī)則1：任何查詢至少要涉及N(N足夠大)個(gè)以上的記錄AnIntroductiontoDatabaseSystem統(tǒng)計(jì)數(shù)據(jù)庫安全性（續(xù)）例1：下面兩個(gè)查詢都是合法的：AnI統(tǒng)計(jì)數(shù)據(jù)庫安全性（續(xù)）例2：用戶A發(fā)出下面兩個(gè)合法查詢：1．用戶A和其他N個(gè)程序員的工資總額是多少？2．用戶B和其他N個(gè)程序員的工資總額是多少？若第一個(gè)查詢的結(jié)果是X，第二個(gè)查詢的結(jié)果是Y，由于用戶A知道自己的工資是Z，那么他可以計(jì)算出用戶B的工資=Y-(X-Z)。原因：兩個(gè)查詢之間有很多重復(fù)的數(shù)據(jù)項(xiàng)規(guī)則2：任意兩個(gè)查詢的相交數(shù)據(jù)項(xiàng)不能超過M個(gè)AnIntroductiontoDatabaseSystem統(tǒng)計(jì)數(shù)據(jù)庫安全性（續(xù)）例2：用戶A發(fā)出下面兩個(gè)合法查詢：An統(tǒng)計(jì)數(shù)據(jù)庫安全性（續(xù)）

可以證明，在上述兩條規(guī)定下，如果想獲知用戶B的工資額A至少需要進(jìn)行1+(N-2)/M次查詢規(guī)則3：任一用戶的查詢次數(shù)不能超過1+(N-2)/M

如果兩個(gè)用戶合作查詢就可以使這一規(guī)定失效AnIntroductiontoDatabaseSystem統(tǒng)計(jì)數(shù)據(jù)庫安全性（續(xù)）可以證明，在上述兩條規(guī)定下，如統(tǒng)計(jì)數(shù)據(jù)庫安全性（續(xù)）數(shù)據(jù)庫安全機(jī)制的設(shè)計(jì)目標(biāo)：試圖破壞安全的人所花費(fèi)的代價(jià)>>得到的利益AnIntroductiontoDatabaseSystem統(tǒng)計(jì)數(shù)據(jù)庫安全性（續(xù)）數(shù)據(jù)庫安全機(jī)制的設(shè)計(jì)目標(biāo)：AnInt第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概論4.2數(shù)據(jù)庫安全性控制4.3統(tǒng)計(jì)數(shù)據(jù)庫安全性4.4小結(jié)AnIntroductiontoDatabaseSystem第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概論AnInt4.5小結(jié)隨著計(jì)算機(jī)網(wǎng)絡(luò)的發(fā)展，數(shù)據(jù)的共享日益加強(qiáng)，數(shù)據(jù)的安全保密越來越重要DBMS是管理數(shù)據(jù)的核心，因而其自身必須具有一整套完整而有效的安全性機(jī)制。AnIntroductiontoDatabaseSystem4.5小結(jié)隨著計(jì)算機(jī)網(wǎng)絡(luò)的發(fā)展，數(shù)據(jù)的共享日益加強(qiáng)，數(shù)據(jù)小結(jié)（續(xù)）《可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)》TCSEC/TDI是目前各國所引用或制定的一系列安全標(biāo)準(zhǔn)中最重要的一個(gè)。CSEC/TDI從安全策略、責(zé)任、保證和文檔四個(gè)方面描述了安全性級(jí)別的指標(biāo)AnIntroductiontoDatabaseSystem小結(jié)（續(xù)）《可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)》TCSEC/TDI是目前小結(jié)（續(xù)）實(shí)現(xiàn)數(shù)據(jù)庫系統(tǒng)安全性的技術(shù)和方法有多種，最重要的是存取控制技術(shù)和審計(jì)技術(shù)。目前許多大型DBMS達(dá)到了C2級(jí)，其安全版本達(dá)到了B1C2級(jí)的DBMS必須具有自主存取控制功能和初步的審計(jì)功能B1級(jí)的DBMS必須具有強(qiáng)制存取控制和增強(qiáng)的審計(jì)功能自主存取控制功能一般是通過SQL的GRANT語句和REVOKE語句來實(shí)現(xiàn)的AnIntroductiontoDatabaseSystem小結(jié)（續(xù)）實(shí)現(xiàn)數(shù)據(jù)庫系統(tǒng)安全性的技術(shù)和方法有多種，最重要的是作業(yè)P1485/6/8AnIntroductiontoDatabaseSystem作業(yè)P1485/6/8AnIntroduction數(shù)據(jù)庫系統(tǒng)概論AnIntroductiontoDatabaseSystem第4章數(shù)據(jù)庫安全性AnIntroductiontoDatabaseSystem數(shù)據(jù)庫系統(tǒng)概論AnIntroductiontoData第4章數(shù)據(jù)庫安全性

問題的提出數(shù)據(jù)庫的一大特點(diǎn)是數(shù)據(jù)可以共享但數(shù)據(jù)共享必然帶來數(shù)據(jù)庫的安全性問題數(shù)據(jù)庫系統(tǒng)中的數(shù)據(jù)共享不能是無條件的共享例：軍事秘密、國家機(jī)密、新產(chǎn)品實(shí)驗(yàn)數(shù)據(jù)、市場(chǎng)需求分析、市場(chǎng)營銷策略、銷售計(jì)劃、客戶檔案、醫(yī)療檔案、銀行儲(chǔ)蓄數(shù)據(jù)AnIntroductiontoDatabaseSystem第4章數(shù)據(jù)庫安全性問題的提出AnIntroducti數(shù)據(jù)庫安全性（續(xù)）數(shù)據(jù)庫中數(shù)據(jù)的共享是在DBMS統(tǒng)一的嚴(yán)格的控制之下的共享，即只允許有合法使用權(quán)限的用戶訪問允許他存取的數(shù)據(jù)數(shù)據(jù)庫系統(tǒng)的安全保護(hù)措施是否有效是數(shù)據(jù)庫系統(tǒng)主要的性能指標(biāo)之一AnIntroductiontoDatabaseSystem數(shù)據(jù)庫安全性（續(xù)）數(shù)據(jù)庫中數(shù)據(jù)的共享是在DBMS統(tǒng)一的嚴(yán)格的數(shù)據(jù)庫安全性（續(xù)）什么是數(shù)據(jù)庫的安全性數(shù)據(jù)庫的安全性是指保護(hù)數(shù)據(jù)庫，防止因用戶非法使用數(shù)據(jù)庫造成數(shù)據(jù)泄露、更改或破壞。什么是數(shù)據(jù)的保密數(shù)據(jù)保密是指用戶合法地訪問到機(jī)密數(shù)據(jù)后能否對(duì)這些數(shù)據(jù)保密。通過制訂法律道德準(zhǔn)則和政策法規(guī)來保證。AnIntroductiontoDatabaseSystem數(shù)據(jù)庫安全性（續(xù)）什么是數(shù)據(jù)庫的安全性AnIntroduc第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概述4.2數(shù)據(jù)庫安全性控制4.3統(tǒng)計(jì)數(shù)據(jù)庫安全性4.4小結(jié)AnIntroductiontoDatabaseSystem第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概述AnInt第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概述4.2數(shù)據(jù)庫安全性控制4.3統(tǒng)計(jì)數(shù)據(jù)庫安全性4.4小結(jié)AnIntroductiontoDatabaseSystem第4章數(shù)據(jù)庫安全性4.1計(jì)算機(jī)安全性概述AnInt4.1計(jì)算機(jī)安全性概論4.1.1計(jì)算機(jī)系統(tǒng)的三類安全性問題4.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)AnIntroductiontoDatabaseSystem4.1計(jì)算機(jī)安全性概論4.1.1計(jì)算機(jī)系統(tǒng)的三類安全4.1計(jì)算機(jī)安全性概論4.1.1計(jì)算機(jī)系統(tǒng)的三類安全性問題

4.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)AnIntroductiontoDatabaseSystem4.1計(jì)算機(jī)安全性概論4.1.1計(jì)算機(jī)系統(tǒng)的三類安全4.1.1計(jì)算機(jī)系統(tǒng)的三類安全性問題

什么是計(jì)算機(jī)系統(tǒng)安全性為計(jì)算機(jī)系統(tǒng)建立和采取的各種安全保護(hù)措施，以保護(hù)計(jì)算機(jī)系統(tǒng)中的硬件、軟件及數(shù)據(jù)，防止其因偶然或惡意的原因使系統(tǒng)遭到破壞，數(shù)據(jù)遭到更改或泄露等。AnIntroductiontoDatabaseSystem4.1.1計(jì)算機(jī)系統(tǒng)的三類安全性問題什么是計(jì)算機(jī)系統(tǒng)安計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）

計(jì)算機(jī)安全涉及問題計(jì)算機(jī)系統(tǒng)本身的技術(shù)問題計(jì)算機(jī)安全理論與策略計(jì)算機(jī)安全技術(shù)管理問題安全管理安全評(píng)價(jià)安全產(chǎn)品AnIntroductiontoDatabaseSystem計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）計(jì)算機(jī)安全涉及問題AnI計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）

計(jì)算機(jī)安全涉及問題(續(xù))法學(xué)計(jì)算機(jī)安全法律犯罪學(xué)計(jì)算機(jī)犯罪與偵察安全監(jiān)察心理學(xué)AnIntroductiontoDatabaseSystem計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）計(jì)算機(jī)安全涉及問題(續(xù))A計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）

三類計(jì)算機(jī)系統(tǒng)安全性問題技術(shù)安全類管理安全類政策法律類AnIntroductiontoDatabaseSystem計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）三類計(jì)算機(jī)系統(tǒng)安全性問題A計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）

技術(shù)安全指計(jì)算機(jī)系統(tǒng)中采用具有一定安全性的硬件、軟件來實(shí)現(xiàn)對(duì)計(jì)算機(jī)系統(tǒng)及其所存數(shù)據(jù)的安全保護(hù)，當(dāng)計(jì)算機(jī)系統(tǒng)受到無意或惡意的攻擊時(shí)仍能保證系統(tǒng)正常運(yùn)行，保證系統(tǒng)內(nèi)的數(shù)據(jù)不增加、不丟失、不泄露。AnIntroductiontoDatabaseSystem計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）技術(shù)安全AnIntrod計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）

管理安全軟硬件意外故障、場(chǎng)地的意外事故、管理不善導(dǎo)致的計(jì)算機(jī)設(shè)備和數(shù)據(jù)介質(zhì)的物理破壞、丟失等安全問題AnIntroductiontoDatabaseSystem計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）管理安全AnIntrod計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）

政策法律類政府部門建立的有關(guān)計(jì)算機(jī)犯罪、數(shù)據(jù)安全保密的法律道德準(zhǔn)則和政策法規(guī)、法令A(yù)nIntroductiontoDatabaseSystem計(jì)算機(jī)系統(tǒng)的三類安全性問題（續(xù)）政策法律類AnIntro4.1計(jì)算機(jī)安全性概論4.1.1計(jì)算機(jī)系統(tǒng)的三類安全性問題4.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)AnIntroductiontoDatabaseSystem4.1計(jì)算機(jī)安全性概論4.1.1計(jì)算機(jī)系統(tǒng)的三類安全4.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)為降低進(jìn)而消除對(duì)系統(tǒng)的安全攻擊，各國引用或制定了一系列安全標(biāo)準(zhǔn)TCSEC(桔皮書)TDI(紫皮書)AnIntroductiontoDatabaseSystem4.1.2可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)為降低進(jìn)而消除對(duì)系統(tǒng)的安可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）1985年美國國防部（DoD）正式頒布《DoD可信計(jì)算機(jī)系統(tǒng)評(píng)估標(biāo)準(zhǔn)》（簡(jiǎn)稱TCSEC或DoD85）TCSEC又稱桔皮書TCSEC標(biāo)準(zhǔn)的目的提供一種標(biāo)準(zhǔn)，使用戶可以對(duì)其計(jì)算機(jī)系統(tǒng)內(nèi)敏感信息安全操作的可信程度做評(píng)估。給計(jì)算機(jī)行業(yè)的制造商提供一種可循的指導(dǎo)規(guī)則，使其產(chǎn)品能夠更好地滿足敏感應(yīng)用的安全需求。AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）1985年美國國防部（DoD）正可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）1991年4月美國NCSC（國家計(jì)算機(jī)安全中心）頒布了《可信計(jì)算機(jī)系統(tǒng)評(píng)估標(biāo)準(zhǔn)關(guān)于可信數(shù)據(jù)庫系統(tǒng)的解釋》（TrustedDatabaseInterpretation簡(jiǎn)稱TDI）TDI又稱紫皮書。它將TCSEC擴(kuò)展到數(shù)據(jù)庫管理系統(tǒng)。TDI中定義了數(shù)據(jù)庫管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)中需滿足和用以進(jìn)行安全性級(jí)別評(píng)估的標(biāo)準(zhǔn)。AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）1991年4月美國NCSC（國家可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）TDI/TCSEC標(biāo)準(zhǔn)的基本內(nèi)容TDI與TCSEC一樣，從四個(gè)方面來描述安全性級(jí)別劃分的指標(biāo)安全策略責(zé)任保證文檔AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）TDI/TCSEC標(biāo)準(zhǔn)的基本內(nèi)容可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）R1安全策略（SecurityPolicy）

R1.1自主存取控制（DiscretionaryAccessControl，簡(jiǎn)記為DAC）R1.2客體重用（ObjectReuse）R1.3標(biāo)記（Labels）R1.4強(qiáng)制存取控制（MandatoryAccessControl，簡(jiǎn)記為MAC）AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）R1安全策略（Security可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）R2責(zé)任（Accountability）

R2.1標(biāo)識(shí)與鑒別（Identification&Authentication）R2.2審計(jì)（Audit）R3保證（Assurance）

R3.1操作保證（OperationalAssurance）R3.2生命周期保證（LifeCycleAssurance）AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）R2責(zé)任（Accountabi可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）R4文檔（Documentation）R4.1安全特性用戶指南（SecurityFeaturesUser'sGuide）R4.2可信設(shè)施手冊(cè)（TrustedFacilityManual）R4.3測(cè)試文檔（TestDocumentation）R4.4設(shè)計(jì)文檔（DesignDocumentation）AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）R4文檔（Documentat可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）

TCSEC/TDI安全級(jí)別劃分安全級(jí)別定義A1驗(yàn)證設(shè)計(jì)（VerifiedDesign）B3安全域（SecurityDomains）

B2結(jié)構(gòu)化保護(hù)（StructuralProtection）

B1標(biāo)記安全保護(hù)（LabeledSecurityProtection）

C2受控的存取保護(hù)（ControlledAccessProtection）

C1自主安全保護(hù)（DiscretionarySecurityProtection）

D最小保護(hù)（MinimalProtection）AnIntroductiontoDatabaseSystem可信計(jì)算機(jī)系統(tǒng)評(píng)測(cè)標(biāo)準(zhǔn)（續(xù)）TC