帶你走進Oracle資料安全的世界一觀(轉)

帶你走進Oracle資料安全的世界一觀(轉)[@more@]隨著計算機的普及以及網路的發展，資料庫已經不再僅僅是那些程式設計師所專有的話題。Oracle資料庫更是憑藉其效能卓越、操作方便靈活的特點，在資料庫的市場中已經佔據了一席之地。

但是，隨著網路技術的不斷進步，資料資訊的不斷增加，資料安全也已經不再是以前的“老生長談”，更不是以前書本上那些“可望而不可及”的條條框框。

或許很久以前，大家都覺得Oracle資料庫的安全並不存在隱患，因為Oracle公司在2003年11月份開始促銷其資料庫軟體時提出的口號是“只有Oracle9i能夠做到絕對安全”。

但是不管它這麼說是為了促銷，還是為了擴大知名度，這口號提出僅一個月後，英國的安全專家 David Litchfield就發現的9iAS中存在的程式錯誤導致緩衝溢位漏洞。後來，PenTest Limited和 eEye Digital Security各自提出了一個小的漏洞，所有使用Oracle公司產品的人都不由地緊張了原本鬆弛的大腦——對於使用者來說，畢竟是關係到了“身家性命”。

下面筆者將帶著大家走進Oracle資料安全的世界。

一、Oracle資料庫的一些基本常識

這裡僅僅是為了以後的安全奠定一些基礎，因為我們後面要用到它們。

1. Oracle所包含的元件

Oracle資料庫是指整個Oracle RDBMS環境，它包括以下元件:

·Oracle 資料庫程式和緩衝(例項)

·SYSTEM 表空間包含一個集中系統類目，它可以由一個或多個資料檔案構成

·其它由資料庫管理員(DBA)(可選)定義的表空間，每個都由一個或多個資料檔案構成

·兩個以上的聯機恢復日誌

·歸檔恢復日誌(可選)

·其它檔案(控制檔案、Init.ora、Config.ora 等)

每個 Oracle 資料庫都在一箇中央系統類目和資料字典上執行，它位於SYSTEM 表空間

2. 關於“日誌”

Oracle資料庫使用幾種結構來保護資料:資料庫後備、日誌、回滾段和控制檔案。下面我們將大體上了解一下作為主要結構之一的“日誌”:

每一個Oracle資料庫例項都提供日誌，記錄資料庫中所作的全部修改。每一個執行的Oracle資料庫例項相應地有一個線上日誌，它與Oracle後臺程式LGWR一起工作，立即記錄該例項所作的全部修改。歸檔(離線)日誌是可選擇的，一個Oracle資料庫例項一旦線上日誌填滿後，可形成線上日誌歸檔檔案。歸檔的線上日誌檔案被唯一標識併合併成歸檔日誌。

·線上日誌:一個Oracle資料庫的每一例項有一個相關聯的線上日誌。一個線上日誌由多個線上日誌檔案組成。線上日誌檔案(online redo log file)填入日誌項(redo entry)，日誌項記錄的資料用於重構對資料庫所作的全部修改。

·歸檔日誌:Oracle要將填滿的線上日誌檔案組歸檔時，則要建立歸檔日誌(archived redo log)。其對資料庫備份和恢復的用處如下:a. 資料庫後備以及線上和歸檔日誌檔案，在作業系統和磁碟故障中可保證全部提交的事物可被恢復。b. 在資料庫開啟和正常系統使用下，如果歸檔日誌是永久儲存，線上後備可以進行和使用。

資料庫可執行在兩種不同方式下:NOARCHIVELOG方式或ARCHIVELOG方式。資料庫在NOARCHIVELOG方式下使用時，不能進行線上日誌的歸檔。如果資料庫在ARCHIVELOG方式下執行，可實施線上日誌的歸檔。

3. 物理和邏輯儲存結構

Oracle RDBMS是由表空間組成的，而表空間又是由資料檔案組成的。表空間資料檔案被格式化為內部的塊單位。塊的大小，是由DBA在Oracle第一次建立的時候設定的，可以在512到8192個位元組的範圍內變動。

當一個物件在Oracle表空間中建立的時候，使用者用叫做長度的單位(初始長度(initial extent)、下一個長度(next extent)、最小長度(min extents)以及最大長度(max extents))來標明該物件的空間大小。一個Oracle長度的大小可以變化，但是要包含一個由至少五個連續的塊構成的鏈。

二、Oracle資料安全的維護

記得某位哲學家說過:“事物的變化離不開內因和外因。”Oracle資料安全也不例外，分為“內”和“外”兩個部分。我們就先從“內”開始說起:

1. 從Oracle系統本身說起

先拋開令人聞風色變的“hacker”和其他一些外部的原因，來想一下我們的資料庫。硬碟損壞，軟體受損，操作事物……，一系列由於我們的“疏忽”而造成的系統問題就完全可以讓我們辛苦建立的資料庫中的資料一去不復返。那麼，我們先從自己身上找找原因吧。

(1). 解決系統本身問題的方法--資料庫的備份及恢復

首先講資料庫的備份。關於Oracle資料庫的備份，有三種標準辦法:匯出/匯入(Export/Import)、冷備份、熱備份。匯出/匯入備份是一種邏輯備份，冷備份和熱備份是物理備份。

<1>匯出/匯入(Export/Import)

利用Export可將資料從資料庫中提取出來，利用Import則可將提取出來的資料送回Oracle資料庫中去。

a.簡單匯出資料(Export)和匯入資料(Import)

Oracle支援三種型別的輸出:

(a). 表方式(T方式)，將指定表的資料匯出。

(b). 使用者方式(U方式)，將指定使用者的所有物件及資料匯出。

(c). 全庫方式(Full方式)，將資料庫中的所有物件匯出。

資料匯出(Import)是資料匯入(Export)的逆過程，它們的資料流向不同。

b.增量匯出/匯入

增量匯出是一種常用的資料備份方法，它只能對整個資料庫來實施，並且必須作為SYSTEM來匯出。在進行此種匯出時，系統不要求回答任何問題。匯出檔名預設為export.dmp，如果不希望自己的輸出檔案定名為export.dmp，必須在命令列中指出要用的檔名。

增量匯出包括三個型別:

(a). “完全”增量匯出(Complete)

即備份整個資料庫，比如:


$exp system/manager inctype=complete file=990702.dmp


(b). “增量型”增量匯出

備份上一次備份後改變的資料。比如:


$exp system/manager inctype=incremental file=990702.dmp


(c). “累計型”增量匯出(Cumulative)

累計型匯出方式只是匯出自上次“完全” 匯出之後資料庫中變化了的資訊。比如:


$exp system/manager inctype=cumulative file=990702.dmp


資料庫管理員可以排定一個備份日程表，用資料匯出的三個不同方式合理高效地完成。比如資料庫的備份任務可作如下安排:

·星期一:完全匯出(A)

·星期二:增量匯出(B)

·星期三:增量匯出(C)

·星期四:增量匯出(D)

·星期五:累計匯出(E)

·星期六:增量匯出(F)

·星期日:增量匯出(G)