分布式數據庫系統安全分析及策略

◆張雨涵 張海麗

分布式數據庫系統安全分析及策略

◆張雨涵 張海麗

（安徽農業大學經濟技術學院 安徽 230000）

隨著互聯網技術與電子應用的高速發展，大數據所表現出的復雜性與多樣性使得傳統的存儲方案的安全性已難以滿足大部分用戶的需求，分布式數據庫系統憑借其靈活的體系結構以及高擴展性，迅速發展為數據庫系統的大趨勢，但在互聯網時代下分布式數據庫在網絡安全方面仍面臨著巨大的挑戰。本文以分布式數據庫系統的結構和不穩定因素為重點展開探討，結合系統入侵案例展開分析，設計制定網絡安全策略以保證系統的安全性與穩定性。

分布式數據庫系統；互聯網；網絡安全；案例；策略

分布式數據庫系統不拘泥于將數據存儲在一個服務器的傳統方式，將數據進行分割置于多臺服務器分開存儲與讀取。在大數據的環境下為滿足越來越多的客戶需求，大部分企業開始使用分布式數據庫，例如在區塊鏈領域，不同服務器之間通過獨立的加密算法將數據分別存儲，再將數據與用戶鏈上的數據對應起來，通過部署一些其他處理機制，實現用戶對虛擬幣的保存和計算的需求[1]。“互聯網+”時代下，數據與網絡之間的聯系越來越緊密，這使得系統安全與網絡安全受到嚴重的威脅，如木馬、病毒、駭客入侵等，這些都是當前網絡環境下分布式數據庫可能會面臨的和需要應對的安全隱患[2]。

1 分布式數據庫系統和安全問題

1.1 分布式數據庫系統

分布式數據庫系統是在集中式數據庫系統的基礎上發展起來的，包括分布式數據庫、分布式數據庫管理系統以及數據庫管理員，其中分布式數據庫管理系統由局部DBMS、全局DBMS、全局數據字典和通信管理組成，通過各部分分工合作在網絡上形成一個邏輯整體。

1.2 分布式數據庫的安全問題

大數據環境下，促進了分布式數據庫的快速發展，但是大數據所表現出的復雜性、多樣讓分布式數據庫面臨的網絡安全問題層出不窮[3]。如何讓分布式數據庫安全、穩定地發展成了現在最需要解決的問題，分布式數據庫當前主要面臨兩大風險：分布式數據庫系統本身的漏洞和數據庫管理過程中的不規范性。

（1）分布式數據庫系統的漏洞

駭客攻擊的手段目前越發的多樣化，如果分布式數據庫系統在邏輯設計上存在的缺陷或漏洞被駭客利用，甚至可能暴露我們的隱私，影響我們的財產安全[4]，比如2015年10月烏云平臺公布的網易郵箱數據泄密事件，漏洞導致“網易”郵箱用戶名、密碼、生日等接近5億條原始數據泄露，危害極其嚴重，除此以外還有Slammer蠕蟲、Stuxnet病毒等。

（2）數據庫管理過程中的不規范性

除了系統和軟件不可避免的漏洞外，導致系統安全的最重要原因還在于管理系統過程中的不規則操作，技術規范不合格的管理人員以及混雜的外來人員等[5]。在無形的網絡世界里，操作管理的不規范很容易帶來巨大的安全風險，病毒和木馬可能會乘虛而入攻擊系統和程序，給計算機造成嚴重的損失。

2 分布式數據安全案例分析

近些年來當個人使用電腦或者服務器時常發生CPU和內存的占用率過高的問題，通常情況下這都是通過系統漏洞入侵的病毒造成的，下面通過使用命令行指令對一次使用服務器時CPU占用率異常的情況一步步分析判斷[6]，使用top命令查看進程，發現了在/tmp目錄下的可疑進程，輸出的部分信息如表1所示。

表1 進程信息表

2.1 判斷和分析可疑進程

通常情況下/tmp文件夾下不會存放可執行文件，且此進程的CPU占用率遠超正常值，由此可以判斷為惡意進程。首先，執行netstat –anp|grep xXBzz指令查看網絡狀態，查看此程序發送數據地址，發現其數據來源于美國，指令查詢如表2所示。

表2 網絡狀態表

接著使用kill指令結束此進程，重啟系統后再查看進程信息發現此程序死灰復燃，由此判定還有其他可疑定時任務存在，執行crontab –l指令后發現一系列類似的可疑定時任務，最后斷開網絡連接使用sed命令編輯修改這些定時文件使其無法執行并重啟系統后恢復正常。

2.2 入侵原因判斷

弱口令。弱口令是由連續多個數字、字母或與賬號相同的組合，相對比較容易通過數據字典暴力破譯，使用弱密碼容易導致我們個人隱私安全甚至財產損失。

系統漏洞或軟件的漏洞。由于算法邏輯本身就存在漏洞，所以沒有絕對安全的系統和軟件，漏洞不可避免，一切都存在著未知[7]。

3 安全策略

雖然分布式數據庫系統的安全機制已經比較完善，但隨著計算機的普及，任何人都可以使用計算機，計算機網絡安全問題層出不窮[8]，對分布式數據庫系統的安全性造成了嚴重的威脅。為有效預防安全問題將從訪問控制策略和數據庫加密技術兩個方面制定安全策略。

3.1 部署訪問控制策略

訪問控制是信息安全領域極為重要的一環，絕大多數系統的安全防護都離不開訪問控制服務。訪問控制通過識別系統中主體與客體之間的授權關系來進行區分授權，通過使用自主訪問控制、強制訪問控制和基于角色的訪問控制可以有效防止非法人員入侵[9]。

（1）自主訪問控制

自主訪問控制顧名思義就是由用戶自己管理訪問權限的限制和授權管理，使用自助訪問控制是用戶保護個人信息安全的第一道屏障。但由于這種策略是由用戶個人自主管理的，使用此種訪問控制策略用戶信息和財產安全程度受到用戶個人的安全意識的影響，安全和風險皆來自用戶自己。

（2）強制訪問控制

強制訪問控制（MAC）的主體與客體都具有特定的安全等級與權限。在登錄訪問系統時，訪問控制都會對等級與權限進行認證，以確定和授權用戶對文件或系統的操作權限。

該策略定義了特定的主體和特定的對象之間的訪問關系。通過使用MAC訪問控制策略，用戶在未被授予權限時無法進行任何相關權限操作，以此來提高分布式系統的安全等級。

（3）基于角色的訪問控制

強制訪問控制雖然大幅提高了系統的安全性，但因為其不夠靈活，在部分領域無法高效運轉，這時可以使用基于角色的訪問控制模型（RBAC），以提高系統的靈活性及安全性。

3.2 設計入侵檢測系統

設計入侵檢測系統，使用基于網絡和主機的數據采集方法，對檢測器采集到的數據進行分析判斷是否安全，一旦發現帶有惡意性質的數據包，入侵檢測的被動機制將會向管理員提出報警信息，提醒管理員及時采取的處理措施，而主動機制將會反向攻擊惡意數據表，中斷惡意數據包的網絡連接以保護數據庫的安全[10]。

3.3 部署加密策略

（1）對密鑰加密

私鑰加密。DES是一種分組加密算法，主要應用于私鑰加密，加密與解密的算法一致，加密時，將64位明文進行分組，使用64位的密鑰key對分組加密變成輸出塊，解密時，同樣使用密鑰key對輸出塊解密。目前為止針對DES的破解方法只有暴力窮舉，DES加密算法實際只有56位參與運算，所以使用密鑰加密時避開密鑰key的8，16，24…64位以保證私鑰的安全性。

公鑰加密。RSA算法是一種公鑰加密體系，在加密和解密時使用不同的算法，根據數論，尋求兩個大素數比較簡單，而將它們的乘積進行因式分解卻極其困難，因此可以將乘積公開作為加密密鑰，在實際的加密應用中選取的模數n越大其解密的難度也就越大，系統也就相對更加安全。

（2）數據加密算法

對于計算機系統安全來說，數據加密技術是最佳的保護方案，即使發生了數據庫入侵，沒有相應的算法解密也無法獲取到信息源[11]。常用的加密技術有節點加密、端到端加密以及鏈路加密等，通過使用加密技術對信息或文件加密防止傳輸過程中的篡改，配合使用DES和RSA技術使用密鑰解密保證用戶雙方接收信息的安全性與真實性。

4 結論

網絡時代的風險接踵而來，為了抵御和預防數據庫入侵的風險，設計一個有效的入侵檢測系統并對密鑰和數據加密顯得尤為重要。由于網絡大數據時代的復雜性，分布式數據庫安全策略必將得到更加廣泛地應用和補充。在接下來的學習過程中可以通過對此次安全分析而設計一個安全穩定的基于數字產業的分布式管理系統。

[1]吳為龍.分布式存儲區塊鏈系統：人類未來的數據基礎設施[OL]. https://www.8btc.com/media/433973.

[2]崔鵬，王海峰，王元磊.計算機網絡數據庫安全管理技術的優化路徑[J].信息與電腦, 2019（18）：193-195.

[3]武瑛.大數據背景下數據庫安全管理措施分析.[J].中國管理信息化, 2020（20）：189-190.

[4]陳信.探析計算機系統安全及其維護策略[J].通信設計與應用, 2020（02）：79-80.

[5]尚永強.計算機網絡信息安全中數據加密技術的探討[J].軟件, 2018，39（12）：198-201.

[6]佚名.不得不重視的存儲挖礦安全問題[OL]. https：//zhuanlan.zhihu.com/p/65023864.

[7]梁世.基于Windows和Linux操作系統安全漏洞分析[J].中國新通信, 2018（23）：198-201.

[8]程洋.計算機系統安全與計算機網絡安全研究[J].電腦知識與技術（學術版），2020（12）：29-29.

[9]吳敏，黃芬.基于安全組策略的訪問控制技術的研究與應用[J].數字技術與應用，2020（05）：184-185.

[10]胡亮，康健，趙闊，等.入侵檢測系統.[J].吉林大學學報，2002，20（04）：46-53.

[11]趙靜.網絡通信安全中數據加密技術研究[J].軟件，2019，40（08）：95-97.