sql安全管理包括哪些

㈠ sql serve 2000 的安全性管理有哪些

SQL serve 2000 的安全性管理有
1.Windows身份验证模式 该模式基于Windows操作系统的安全机制验证用户身份，只要用户能够通过Windows NT4.0或Windows 2000 Server用户账户验证，即可连接到SQL serve，无需再度认证了。这种验证模式只适宜于能够提供有效身份验证的基于Windows NT4.0或Windows 2000 Server的操作系统平台，在Windows 9X操作系统下无法使用。
2.混合身份验证模式(标准登录模式，又称SQL Server混合身份验证)，其基于Windows身份验证和SQL Server身份混合验证。在该模式下，系统将区分用账号在Windows操作系统下是否可信，对于可信连接用户，系统直接采用Windows身份验证机制，否则SQL Server2000会自动通过账户的存在性和密码的匹配性来进行验证。即采用SQL Server模式验证时，系统将检查是否已经建立了该用户的登录账户及其口令是否吻合。只有当通过验证后，该用户应用程序方可连接到SQL Server服务器，否则系统将拒绝用户的连接请求。

㈡ sql语句应考虑哪些安全性

数据库安全性问题应包括两个部分：一、数据库数据的安全它应能确保当数据库系统DownTime时，当数据库数据存储媒体被破坏时以及当数据库用户误操作时，数据库数据信息不至于丢失。二、数据库系统不被非法用户侵入它应尽可能地堵住潜在的各种漏洞，防止非法用户利用它们侵入数据库系统。对于数据库数据的安全问题，数据库管理员可以参考有关系统双机热备份功能以及数据库的备份和恢复的资料。以下就数据库系统不被非法用户侵入这个问题作进一步的阐述。组和安全性：在操作系统下建立用户组也是保证数据库安全性的一种有效方法。Oracle程序为了安全性目的一般分为两类：一类所有的用户都可执行，另一类只DBA可执行。在Unix环境下组设置的配置文件是/etc/group，关于这个文件如何配置，请参阅Unix的有关手册，以下是保证安全性的几种方法：(1)在安装OracleServer前，创建数据库管理员组(DBA)而且分配root和Oracle软件拥有者的用户ID给这个组。

㈢ 在用户安全管理中，SQL Server提供二层安全控制，这两层安全控制是指哪两层分别是什么

1.就是WINDows安全验证
2.SQL安全验证。

㈣ sqlserver有哪些安全策略

Microsoft建立了一种既灵活又强大的安全管理机制，它能够对用户访问SQL Server服务器系统和数据库的安全进行全面地管理。按照本文介绍的步骤，你可以为SQL Server 7.0(或2000)构造出一个灵活的、可管理的安全策略，而且它的安全性经得起考验。

一、验证方法选择
本文对验证(authentication)和授权(authorization)这两个概念作不同的解释。验证是指检验用户的身份标识;授权是指 允许用户做些什么。在本文的讨论中，验证过程在用户登录SQL Server的时候出现，授权过程在用户试图访问数据或执行命令的时候出现。
构造安全策略的第一个步骤是确定SQL Server用哪种方式验证用户。SQL Server的验证是把一组帐户、密码与Master数据库Sysxlogins表中的一个清单进行匹配。Windows NT/2000的验证是请求域控制器检查用户身份的合法性。一般地，如果服务器可以访问域控制器，我们应该使用Windows NT/2000验证。域控制器可以是Win2K服务器，也可以是NT服务器。无论在哪种情况下，SQL Server都接收到一个访问标记(Access Token)。访问标记是在验证过程中构造出来的一个特殊列表，其中包含了用户的SID(安全标识号)以及一系列用户所在组的SID。正如本文后面所介绍 的，SQL Server以这些SID为基础授予访问权限。注意，操作系统如何构造访问标记并不重要，SQL Server只使用访问标记中的SID。也就是说，不论你使用SQL Server 2000、SQL Server 7.0、Win2K还是NT进行验证都无关紧要，结果都一样。
如果使用SQL Server验证的登录，它最大的好处是很容易通过Enterprise Manager实现，最大的缺点在于SQL Server验证的登录只对特定的服务器有效，也就是说，在一个多服务器的环境中管理比较困难。使用SQL Server进行验证的第二个重要的缺点是，对于每一个数据库，我们必须分别地为它管理权限。如果某个用户对两个数据库有相同的权限要求，我们必须手工设 置两个数据库的权限，或者编写脚本设置权限。如果用户数量较少，比如25个以下，而且这些用户的权限变化不是很频繁，SQL Server验证的登录或许适用。但是，在几乎所有的其他情况下(有一些例外情况，例如直接管理安全问题的应用)，这种登录方式的管理负担将超过它的优 点。
二、Web环境中的验证
即使最好的安全策略也常常在一种情形前屈服，这种情形就是在Web应用中使用SQL Server的数据。在这种情形下，进行验证的典型方法是把一组SQL Server登录名称和密码嵌入到Web服务器上运行的程序，比如ASP页面或者CGI脚本;然后，由Web服务器负责验证用户，应用程序则使用它自己的 登录帐户(或者是系统管理员sa帐户，或者为了方便起见，使用Sysadmin服务器角色中的登录帐户)为用户访问数据。
这种安排有几个缺点，其中最重要的包括：它不具备对用户在服务器上的活动进行审核的能力，完全依赖于Web应用程序实现用户验证，当SQL Server需要限定用户权限时不同的用户之间不易区别。如果你使用的是IIS 5.0或者IIS 4.0，你可以用四种方法验证用户。第一种方法是为每一个网站和每一个虚拟目录创建一个匿名用户的NT帐户。此后，所有应用程序登录SQL Server时都使用该安全环境。我们可以通过授予NT匿名帐户合适的权限，改进审核和验证功能。
第二种方法是让所有网站使用Basic验证。此时，只有当用户在对话框中输入了合法的帐户和密码，IIS才会允许他们访问页面。IIS依靠一个NT 安全数据库实现登录身份验证，NT安全数据库既可以在本地服务器上，也可以在域控制器上。当用户运行一个访问SQL Server数据库的程序或者脚本时，IIS把用户为了浏览页面而提供的身份信息发送给服务器。如果你使用这种方法，应该记住：在通常情况下，浏览器与服 务器之间的密码传送一般是不加密的，对于那些使用Basic验证而安全又很重要的网站，你必须实现SSL(Secure Sockets Layer，安全套接字层)。
在客户端只使用IE 5.0、IE 4.0、IE 3.0浏览器的情况下，你可以使用第三种验证方法。你可以在Web网站上和虚拟目录上都启用NT验证。IE会把用户登录计算机的身份信息发送给IIS，当 该用户试图登录SQL Server时IIS就使用这些登录信息。使用这种简化的方法时，我们可以在一个远程网站的域上对用户身份进行验证(该远程网站登录到一个与运行着Web 服务器的域有着信任关系的域)。
最后，如果用户都有个人数字证书，你可以把那些证书映射到本地域的NT帐户上。个人数字证书与服务器数字证书以同样的技术为基础，它证明用户身份标 识的合法性，所以可以取代NT的Challenge/Response(质询/回应)验证算法。Netscape和IE都自动在每一个页面请求中把证书信 息发送给IIS。IIS提供了一个让管理员把证书映射到NT帐户的工具。因此，我们可以用数字证书取代通常的提供帐户名字和密码的登录过程。
由此可见，通过NT帐户验证用户时我们可以使用多种实现方法。即使当用户通过IIS跨越Internet连接SQL Server时，选择仍旧存在。因此，你应该把NT验证作为首选的用户身份验证办法。
三、设置全局组
构造安全策略的下一个步骤是确定用户应该属于什么组。通常，每一个组织或应用程序的用户都可以按照他们对数据的特定访问要求分成许多类别。例如，会 计应用软件的用户一般包括：数据输入操作员，数据输入管理员，报表编写员，会计师，审计员，财务经理等。每一组用户都有不同的数据库访问要求。

㈤ 1. SQL Server中有哪些数据安全性功能有哪些不足之处

在这里我们着重来看ACCESS与SQL SERVER的区别来说明sql的优缺点：
sql相对于那些历史悠久的数据库来说！他无最具权威认证！例如：iso啥的！
首先，ACCESS有一定的极限，如果数据达到100M左右，很容易造成服务器假死，或者消耗掉服务器的内存导致服务器崩溃。 而SQL SERVER是基于服务器端的中型的数据库，可以适合大容量数据的应用，在功能上管理上也要比ACCESS要强得多。在处理海量数据的效率，后台开发的灵活性，可扩展性等方面强大。因为现在数据库都使用标准的SQL语言对数据库进行管理，所以如果是标准SQL语言，两者基本上都可以通用的。SQL SERVER还有更多的扩展，可以用存储过程，数据库大小无极限限制。
其次ACCESS是桌面型数据库，优点是：操作灵活、转移方便、运行环境简单，对于小型网站的数据库处理能力效果还不错。缺点是：不支持并发处理、数据库易被下载存在安全隐患、数据存储量相对较小、数据量过大时严重影响网站访问速度和程序处理速度。SQL SERVER是基于服务器端的企业级数据库，适合大容量数据和大流量网站的应用，在性能、安全、功能管理、可扩展性上要比ACCESS强很多，两者并非同级别的数据库，有些功能ACCESS甚至无法做到。缺点是：一般用户无法直接对SQL SERVER进行远程管理、空间租用的成本比ACCESS稍高。
再次，就规模来说，VFP是一个中型数据库开发软件，比不上ORICAL、INFOMATION、POWERBUILDER等，是微软购并FOX公司后开发的一个数据库开发软件。可用于中型数据库软件工程的建构。可以用来做商业开发ACCESS严格来说不是一个数据库应用程序的开发工具，基本上是一个办公应用软件；不能用于商业用途的开发。只能在OFFICE环境下运行，受OFFICE本身的限制。所用语言只是基于VB语言的辅助性编程的VBA。就其规模来说属于小型的数据库应用软件。早年曾有过ACCESS2.0（英文版）的可以用于商业用途的数据库开发软件。但后来不知道为什么没有继续研发出新的ACCESS版本。 两者可拓展型相比，ACCESS好些，可使用的编程语言较多。ACCESS是 MICROSOFT OFFICE 的一个组件，一个前后台结合的数据库“软件”。 也就是说ACCESS既拥有用户界面(VB可以用来开发用户界面)；也拥有逻辑、流程处理，即VBA语言(VB也可以用来做逻辑处理)；又可以存储数据，即在“表”中存储数据。而所有这些都存储在一个 MDB 格式的文件中(当然，也可以是 MDE 等格式)。

㈥ 针对sql注入攻击，有哪些防范措施

SQL注入攻击的危害很大，而且防火墙很难对攻击行为进行拦截，主要的SQL注入攻击防范方法，具体有以下几个方面。
1、分级管理
对用户进行分级管理，严格控制用户的权限，对于普通用户，禁止给予数据库建立、删除、修改等相关权限，只有系统管理员才具有增、删、改、查的权限。
2、参数传值
程序员在书写SQL语言时，禁止将变量直接写入到SQL语句，必须通过设置相应的参数来传递相关的变量。从而抑制SQL注入。数据输入不能直接嵌入到查询语句中。同时要过滤输入的内容，过滤掉不安全的输入数据。或者采用参数传值的方式传递输入变量，这样可以最大程度防范SQL注入攻击。
3、基础过滤与二次过滤
SQL注入攻击前，入侵者通过修改参数提交and等特殊字符，判断是否存在漏洞，然后通过select、update等各种字符编写SQL注入语句。因此防范SQL注入要对用户输入进行检查，确保数据输入的安全性，在具体检查输入或提交的变量时，对于单引号、双引号、冒号等字符进行转换或者过滤，从而有效防止SQL注入。
当然危险字符有很多，在获取用户输入提交参数时，首先要进行基础过滤，然后根据程序的功能及用户输入的可能性进行二次过滤，以确保系统的安全性。
4、使用安全参数
SQL数据库为了有效抑制SQL注入攻击的影响。在进行SQLServer数据库设计时设置了专门的SQL安全参数。在程序编写时应尽量使用安全参数来杜绝注入式攻击，从而确保系统的安全性。
5、漏洞扫描
为了更有效地防范SQL注入攻击，作为系统管理除了设置有效的防范措施，更应该及时发现系统存在SQL攻击安全漏洞。系统管理员可以采购一些SQL漏洞扫描工具，通过专业的扫描工具，可以及时的扫描到系统存在的相应漏洞。
6、多层验证
现在的网站系统功能越来越庞大复杂。为确保系统的安全，访问者的数据输入必须经过严格的验证才能进入系统，验证没通过的输入直接被拒绝访问数据库，并且向上层系统发出错误提示信息。同时在客户端访问程序中验证访问者的相关输入信息，从而更有效的防止简单的SQL注入。但是如果多层验证中的下层如果验证数据通过，那么绕过客户端的攻击者就能够随意访问系统。因此在进行多层验证时，要每个层次相互配合，只有在客户端和系统端都进行有效的验证防护，才能更好地防范SQL注入攻击。
7、数据库信息加密
传统的加解密方法大致分为三种：对称加密、非对称加密、不可逆加密。

㈦ 1，sql server 2008有哪几种安全机制

SQL Server的安全机制一般主要包括三个方面:
服务器级别的安全机制:这个级别的安全性主要通过登录帐户进行控制,要想访问一个数据库服务器,必须拥有一个登录帐户。登录帐户可以是Windows账户或组，也可以是SQL Server的登录账户。登录账户可以属于相应的服务器角色。至于角色，可以理解为权限的组合。
数据库级别的安全机制:这个级别的安全性主要通过用户帐户进行控制,要想访问一个数据库，必须拥有该数据库的一个用户账户身份。用户账户是通过登录账户进行映射的，可以属于固定的数据库角色或自定义数据库角色。
数据对象级别的安全机制:这个级别的安全性通过设置数据对象的访问权限进行控制。如果是使用图形界面管理工具,可以在表上点右键,选择属性|权限,然后在相应的权限项目上打勾就可以了。

㈧ 数据库保护包括哪四个子系统

安全性控制，完整性控制，并发性控制和数据恢复。

数据库的安全性是保护数据库，以防止因非法使用数据库，造成的数据泄漏，更改或破坏。

数据库的完整性是保护数据库中的数据的正确性，有效性，相容性。

并发控制是为了防止多个用户同时存取同一数据，造成的数据不一致。

数据库恢复是指将数据库从错误的状态恢复到某一已知的正确的状态。

(8)sql安全管理包括哪些扩展阅读：

数据库的发展现状：

在数据库的发展历史上，数据库先后经历了层次数据库、网状数据库和关系数据库等各个阶段的发展，数据库技术在各个方面的快速的发展。

特别是关系型数据库已经成为目前数据库产品中最重要的一员，80年代以来， 几乎所有的数据库厂商新出的数据库产品都支持关系型数据库，即使一些非关系数据库产品也几乎都有支持关系数据库的接口。

这主要是传统的关系型数据库可以比较好的解决管理和存储关系型数据的问题。随着云计算的发展和大数据时代的到来，关系型数据库越来越无法满足需要，这主要是由于越来越多的半关系型和非关系型数据需要用数据库进行存储管理，以此同时，分布式技术等新技术的出现也对数据库的技术提出了新的要求；

于是越来越多的非关系型数据库就开始出现，这类数据库与传统的关系型数据库在设计和数据结构有了很大的不同， 它们更强调数据库数据的高并发读写和存储大数据，这类数据库一般被称为NoSQL（Not only SQL）数据库。 而传统的关系型数据库在一些传统领域依然保持了强大的生命力。

㈨ SQL Server 2008 安全管理在哪几个方面

主要有两大方面:
1.登陆方式
2.权限管理