GBT 20273-2006信息安全技术 数据库管理系统安全技术要求.pdf
《GBT 20273-2006信息安全技术 数据库管理系统安全技术要求.pdf》由会员分享,可在线阅读,更多相关《GBT 20273-2006信息安全技术 数据库管理系统安全技术要求.pdf(42页珍藏版)》请在文库网上搜索。
1、 信息安全技术 数据库管理系统安全技术要求 Information security technology- Security techniques requirement for database management system ICS 35.040 L 80 中华人民共和国国家标准中华人民共和国国家标准 GB/T 202732006 2006-05-31 发布 2006-12-01 实施 中华人民共和国国家质量监督检验检疫总局中华人民共和国国家质量监督检验检疫总局 中国国家标准化管理委员会中国国家标准化管理委员会 发布 GB/T 202732006 I 目 次 前 言 . III 引
2、言 . IV 1 范围 . 1 2 规范性引用文件 . 1 3 术语、定义和缩略语 . 1 3.1 术语和定义 . 1 3.2 缩略语 . 2 4 数据库管理系统安全功能基本要求 . 2 4.1 身份鉴别 . 2 4.1.1 用户标识 . 2 4.1.2 用户鉴别 . 3 4.2 自主访问控制 . 3 4.2.1 访问操作 . 3 4.2.2 访问规则 . 3 4.2.3 授权传播限制 . 3 4.3 标记 . 4 4.3.1 主体标记 . 4 4.3.2 客体标记 . 4 4.4 强制访问控制 . 4 4.4.1 访问控制安全策略 . 4 4.4.2 访问控制粒度及特点 . 4 4.5 数据
3、流控制 . 4 4.6 安全审计 . 4 4.7 用户数据完整性 . 4 4.7.1 实体完整性和参照完整性 . 4 4.7.2 用户定义完整性 . 5 4.7.3 数据操作的完整性 . 5 4.8 用户数据保密性 . 5 4.8.1 存储数据保密性 . 5 4.8.2 传输数据保密性 . 5 4.8.3 客体重用 . 5 4.9 可信路径 . 5 4.10 推理控制 . 5 5 数据库管理系统安全技术分等级要求 . 5 5.1 第一级:用户自主保护级 . 5 GB/T 202732006 II 5.1.1 安全功能 . 5 5.1.2 SSODB 自身安全保护 . 6 5.1.3 SSODB
4、 设计和实现 . 7 5.1.4 SSODB 安全管理 . 8 5.2 第二级:系统审计保护级 . 8 5.2.1 安全功能 . 8 5.2.2 SSODB 自身安全保护 . 9 5.2.3 SSODB 设计和实现 . 10 5.2.4 SSODB 安全管理 . 12 5.3 第三级:安全标记保护级 . 12 5.3.1 安全功能 . 12 5.3.2 SSODB 自身安全保护 . 14 5.3.3 SSODB 设计和实现 . 15 5.3.4 SSODB 安全管理 . 18 5.4 第四级:结构化保护级 . 18 5.4.1 安全功能 . 18 5.4.2 SSODB 自身安全保护 . 20
5、 5.4.3 SSODB 设计和实现 . 21 5.4.4 SSODB 安全管理要求 . 24 5.5 第五级:访问验证保护级 . 24 5.5.1 安全功能 . 24 5.5.2 SSODB 自身安全保护 . 26 5.5.3 SSODB 设计和实现 . 28 5.5.4 SSODB 安全管理 . 31 附 录 A(资料性附录)标准概念说明 . 32 A.1 组成与相互关系 . 32 A.2 数据库管理系统安全的特殊要求 . 32 A.3 数据库管理系统的用户管理 . 33 A.4 数据库管理系统的安全性 . 33 A.5 数据库管理系统安全保护等级的划分 . 33 A.6 关于数据库管理系
6、统中的主体与客体 . 33 A.7 关于 SSODB、SSF、SSP、SFP 及其相互关系 . 33 A.8 关于推理控制 . 34 A.9 关于密码技术和数据库加密 . 35 参考文献 . 36 GB/T 202732006 III 前 言 (略) GB/T 202732006 IV 引 言 本标准是信息安全技术要求系列标准的重要组成部分,用以指导设计者如何设计和实现具有所需要的安全等级的数据库管理系统,主要从对数据库管理系统的安全保护等级进行划分的角度来说明其技术要求, 即主要说明为实现 GB17859-1999 中每一个保护等级的安全要求对数据库管理系统应采取的安全技术措施,以及各安全技
7、术要求在不同安全级中具体实现上的差异。 数据库管理系统是信息系统的重要组成部分,特别是对于存储和管理数据资源的数据服务器是必不可少的。数据库管理系统的主要功能是对数据信息进行结构化组织与管理,并提供方便的检索和使用。当前,常见的数据库结构为关系模式,多以表结构形式表示。数据库管理系统安全就是要对数据库中存储的数据信息进行安全保护,使其免遭由于人为的和自然的原因所带来的泄露、破坏和不可用的情况。大多数的数据库管理系统是以操作系统文件作为建库的基础。所以操作系统安全、特别是文件系统的安全便成为数据库管理系统安全的基础,当然还有安全的硬件环境(即物理安全)也是必不可少的) 。 这些显然不在数据库管理
8、系统安全之列。 数据库管理系统的安全既要考虑数据库管理系统的安全运行保护,也要考虑对数据库管理系统中所存储、传输和处理的数据信息的保护(包括以库结构形式存储的用户数据信息和以其它形式存储的由数据库管理系统使用的数据信息) 。 由于攻击和威胁既可能是针对数据库管理系统运行的,也可能是针对数据库管理系统中所存储、传输和处理的数据信息的保密性、完整性和可用性的,所以对数据库管理系统的安全保护的功能要求,需要从系统安全运行和信息安全保护两方面综合进行考虑。根据 GB17859-1999 所列安全要素及 GA/T202712006 关于信息系统安全功能要素的描述, 本标准从身份鉴别、 自主访问控制、 标
9、记和强制访问控制、 数据流控制、安全审计、数据完整性、数据保密性、可信路径、推理控制等方面对数据库管理系统的安全功能要求进行更加具体的描述。通过推理从数据库中的已知数据获取未知数据是对数据库的保密性进行攻击的一种特有方法。推理控制是对这种推理方法的对抗。本标准对较高安全等级的数据库管理系统提出了推理控制的要求,将其作为一个安全要素。为了确保安全功能要素达到所确定的安全性要求,需要通过一定的安全保证机制来实现,根据 GA/T202712006 关于信息系统安全保证要素的描述,本标准从数据库管理系统的 SSODB 自身安全保护、 数据库管理系统 SSODB 的设计和实现以及数据库管理系统SSODB
10、 的安全管理等方面,对数据库管理系统的安全保证要求进行更加具体的描述。 本标准按照 GB17859-1999 的五个安全等级的划分, 对每一个安全等级的安全功能技术要求和安全保证技术要求做详细的描述。在第 4 章对数据库管理系统安全功能基本要求进行简要说明的基础上,第 5 章分别从安全功能技术要求和安全保证技术要求两方面,对数据库管理系统安全技术的分等级要求进行了详细说明。为清晰表示每一个安全等级比较低一级安全等级的安全技术要求的增加和增强,在第 5 章的描述中,每一级的新增部分用“宋体加粗”“宋体加粗”表示。 GB/T 202732006 1 信息安全技术 数据库管理系统安全技术要求 1 范
11、围 本标准依据 GB17859-1999 的五个安全保护等级的划分,根据数据库管理系统在信息系统中的作用,规定了数据库管理系统所需要的安全技术的各个安全等级的要求。 本标准适用于按等级化要求进行的安全数据库管理系统的设计和实现,对按等级化要求进行的数据库管理系统安全的测试和管理可参照使用。 2 规范性引用文件 下列文件中的有关条款通过在本标准有关部分的引用而成为本部分的条款。凡注日期或版次的引用文件,其后的任何修改单(不包括勘误的内容)或修订版本都不适用于本标准,但提倡使用本标准的各方探讨使用其最新版本的可能性。凡不注日期或版次的引用文件,其最新版本适用于本标准。 GB17859-1999 计
12、算机信息系统安全保护等级划分准则 GB/T202712006 信息安全技术 信息系统通用安全技术要求 3 术语、定义和缩略语 3.1 术语和定义 GB17859-1999 和 GB/T202712006 确立的以及下列术语和定义适用于本标准。 3.1.1 数据库管理系统安全 security of database management system 数据库管理系统所存储、传输和处理的信息的保密性、完整性和可用性的表征。 3.1.2 数据库管理系统安全技术 security technology of database management system 实现各种类型的数据库管理系统安全需要的
13、所有安全技术。 3.1.3 数据库管理系统安全子系统(SSODB) security subsystem of database management system 数据库管理中安全保护装置的总称,包括硬件、固件、软件和负责执行安全策略的组合体。它建立了一个基本的数据库管理系统安全保护环境,并提供安全数据库管理系统所要求的附加用户服务。按照GB17859-1999 对可信计算基(TCB)的定义,SSODB 就是数据库管理系统的 TCB。 3.1.4 SSODB 安全策略(SSP) SS0DB security policy 对SS0DB中的资源进行管理、 保护和分配的一组规则。 一个SSODB
14、中可以有一个或多个安全策略。 3.1.5 安全功能策略(SFP) security function policy 为实现 SSODB 安全要素要求的功能所采用的安全策略。 3.1.6 安全要素 security element GB/T 202732006 2 本标准中各安全保护等级的安全技术要求所包含的安全内容的组成成份。 3.1.7 SSODB 安全功能(SSF) SSODB security function 正确实施 SSODB 安全策略的全部硬件、固件、软件所提供的功能。每一个安全策略的实现,组成一个 SSODB 安全功能模块。一个 SSODB 的所有安全功能模块共同组成该 SSO
15、DB 的安全功能。 3.1.8 SSF 控制范围(SSC) SSF scope of control SSODB 的操作所涉及的主体和客体的范围。 3.1.9 数据完整性 data integrity 数据完整性泛指数据库中数据的正确性和一致性, 包括实体完整性、 参照完整性和用户定义完整性。 3.1.10 实体完整性 body integrity 关系模型中的实体完整性是指关系表中字段级的完整性,即数据类型及取值的合理性。实体完整性规则要求,数据库中表示的任一实体是可区分的。对于关系模型,实体完整性表现为关系的主属性(基本键:主键/主码)不能是空值(NULL) ,也不能是重复值,即基本键的各
16、个分量都不能为空。 3.1.11 参照完整性 reference integrity 关系模型中的参照完整性是指主吗值和外码值表间的一致性。参照完整性规则要求,在任一时刻,如果关系 R1 的某些属性是关于关系 R2 的外键, 则该外键的值必须是 R2 中某元组的主键值或为 “空值”(空值意味着“不知道”的信息和“无意义”的信息) 。参照完整性规则是“连接”关系运算正确执行的前提。 3.1.12 用户定义完整性 user defined integrity 关系模型中的用户定义完整性是指字段与表之间的断言关系(即业务规则)的正确性,也就是根据业务规则(比如价格的有效范围等)所确定的完整性约束。系
17、统提供定义和检查用户定义完整性规则的机制,其目的是用统一的方式由系统处理,而不是由应用程序完成,这样不仅可以简化应用程序,还提高了完整性保证的可靠性。 3.2 缩略语 下列缩略语适用于本标准: SFP 安全功能策略 security function policy SSC SSF 控制范围 SSF scope of control SSF SSODB 安全功能 SSODB security function SSODB 数据库管理系统安全子系统 security subsystem of database management system SSP SSODB 安全策略 SSODB secur
18、ity policy 4 数据库管理系统安全功能基本要求 4.1 身份鉴别 4.1.1 用户标识 应对注册到数据库管理系统中的用户进行标识。 用户标识信息是公开信息, 一般以用户名和用户 ID实现。为了管理方便,可将用户分组,也可使用别名。无论用户名、用户 ID、用户组还是用户别名,都 GB/T 202732006 3 要遵守标识的唯一性原则。用户标识分为: a) 基本标识:应在 SSF 实施所要求的动作之前,先对提出该动作要求的用户进行标识; b) 唯一性标识: 应确保所标识用户在信息系统生存周期内的唯一性, 并将用户标识与审计相关联; c) 标识信息管理:应对用户标识信息进行管理、维护,确
19、保其不被非授权地访问、修改或删除。 4.1.2 用户鉴别 应对登录到数据库管理系统的用户进行身份真实性鉴别。 通过对用户所提供的 “鉴别信息” 的验证,证明该用户确有所声称的某种身份,这些“鉴别信息”必须是保密的,不易伪造的。用户鉴别分为: a) 基本鉴别:应在 SSF 实施所要求地动作之前,先对提出该动作要求的用户成功地进行鉴别; b) 不可伪造鉴别:应检测并防止使用伪造或复制的鉴别数据。一方面,要求 SSF 应检测或防止由任何别的用户伪造的鉴别数据,另一方面,要求 SSF 应检测或防止当前用户从任何其它用户处复制的鉴别数据的使用; c) 一次性使用鉴别:应能提供一次性使用鉴别数据操作的鉴别
20、机制,即 SSF 应防止与已标识过的鉴别机制有关的鉴别数据的重用; d) 多机制鉴别:应能提供不同的鉴别机制,用于鉴别特定事件的用户身份,并且 SSF 应根据所描述的多种鉴别机制如何提供鉴别的规则,来鉴别任何用户所声称的身份; e) 重新鉴别:应有能力规定需要重新鉴别用户的事件,即 SSF 应在需要重鉴别的条件表所指示的条件下,重新鉴别用户。例如,用户终端操作超时被断开后,重新连接时需要进行重鉴别。 4.2 自主访问控制 4.2.1 访问操作 应由数据库子语言定义,并与数据一起存放在数据字典中。对任何 SQL 对象进行操作应有明确的权限许可,并且权限随着操作和对象的变化而变化,安全系统应有能力
21、判断这种权限许可。操作与对象紧密相联, 即把 “操作+对象” 作为一个授权。 表 1 是 GRANT (授权) 语句对象类型与相关操作的举例。 表 1 GRANT 语句的对象类型与相关操作 对象 操作 基本表 SELECT、INSERT、UPDATE、DELETE、TRIGGER、REFERENCES 视图 SELECT、INSERT、UPDATE、DELETE、REFERENCES 列 SELECT、INSERT、UPDATE、REFERENCES 域 USAGE 字符集 USAGE 排序 USAGE 转换 USAGE SQL 调用 EXECUTE UDT UNDER 表中,除 USAGE
22、和 UNDER 外,其余操作均符合 SQL 语句中使用的动词。 4.2.2 访问规则 应以访问控制表或访问矩阵的形式表示,并通过执行相应的访问控制程序实现。每当执行 SQL 语句、有访问要求出现时,通过调用相应的访问控制程序,实现对访问要求的控制。 4.2.3 授权传播限制 应限制具有某一权限的用户将该权限传给其他用户。当一个用户被授予某权限,同时拥有将该权限授予其它用户的权力时,该用户才拥有对该授权的传播权。为了增强数据库系统的安全性,需要对授权传播进行某些限制。 GB/T 202732006 4 4.3 标记 4.3.1 主体标记 SSF应为主体指定敏感标记,这些敏感标记是等级分类和非等级
23、类别的组合,是实施强制访问控制的依据。 4.3.2 客体标记 SSF应为客体指定敏感标记,这些敏感标记是等级分类和非等级类别的组合,是实施强制访问控制的依据。 4.4 强制访问控制 4.4.1 访问控制安全策略 应采用确定的安全策略模型实现强制访问控制。当前常用的安全策略模型是多级安全模型。该模型将 SSODB 安全控制范围内的所有主、客体成分通过标记设置敏感标记。并按简单保密性原则确定的规则从下读、向上写,根据访问者主体和被访问者客体的敏感标记,实现主、客体之间每次访问的强制性控制。根据数据库管理系统的运行环境的不同,强制访问控制分为: a) 在单一计算机系统上或网络环境的多机系统上运行的单
24、一数据库管理系统,访问控制所需的敏感标记存储在统一的数据库字典中,使用单一的访问规则实现; b) 在网络环境的多机系统上运行的分布式数据库系统,全局应用的强制访问控制应在全局 DBMS层实现,局域应用的强制访问控制应在局部 DBMS 层实现。其所采用的访问规则是一致的。 4.4.2 访问控制粒度及特点 应根据数据库特点和不同安全保护等级的不同要求,实现不同粒度的访问控制。这些特点主要是: a) 数据以特定结构格式存放,客体的粒度可以是:关系数据库的表、视图、元组(记录) 、列(字段) 、元素(每个元组的字段) 、日志、片段、分区、快照、约束和规则、DBMS 核心代码、用户应用程序、存储过程、触
25、发器、各种访问接口等; b) 数据库系统有完整定义的访问操作,如表 1 所示; c) 数据库是数据与逻辑的统一,数据库中不仅存放了数据,还存放了大量的用于管理和使用这些数据的程序,这些程序和数据同样需要进行保护,以防止未授权的使用、篡改、增加或破坏; d) 数据库中的三级结构(物理结构、逻辑结构、概念模型结构)和两种数据独立性(物理独立性、逻辑独立性)大大减轻数据库应用程序的维护工作量,但是由于不同的逻辑结构可能对应于相同的物理结构,给访问控制带来新的问题,应对访问规则进行一致性检查; e) 分布式数据库管理系统中,全局应用的访问控制应在全局 DBMS 层实现,局部应用的访问控制应在局部 DB
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- GBT 20273-2006信息安全技术 数据库管理系统安全技术要求 20273 2006 信息 安全技术 数据库 管理 系统安全 技术 要求