操作系统与数据库安全培训教材

1、操作系统与数据库安全培训教材什么是操作系统什么是操作系统用户使用计算机时，直接操作计算机系统硬件是不方便也不现实的，这就需要一种计算机使用者和计算机硬件间的中间媒介，操作系统就是这一媒介操作系统的功能一般包括处理器管理、存储管理、文件管理、设备管理和作业管理等处理器管理功能是根据一定的策略将处理器交替地分配给系统内等待运行的程序存储管理功能是管理内存资源，主要实现内存的分配与回收，存储保护以及内存扩充文件管理向用户提供创立文件、撤销文件、读写文件、翻开和关闭文件等功能设备管理负责分配和回收外部设备，以及控制外部设备按用户程序的要求进行操作作业管理功能是为用户提供一个使用系统的良好环境，使用户能

2、有效地组织自己的工作流程，并使整个系统高效地运行操作系统的平安要素操作系统的平安要素操作系统的平安是计算机系统平安的根底，高平安性操作系统要求自身在任何环境下都能平安可靠地运行，对平安性的要求非常严格。通用操作系统必需的平安性功能包括：1.用户认证Authentication of users2.存储器保护Protection of memory3.文件和I/O设备的访问控制File and I/O device access control4.对一般目标的定位和访问控制Allocation and access control to general objects5.共享的实现Enforce

3、ment of sharing6.保证公平效劳Guarantee of fair service7.内部进程间通信的同步Interprocess communication and synchronization什么是平安操作系统什么是平安操作系统 平安性更高的操作系统，它需要处理更多的任务，要控制和管理系统中数据的存取、程序的运行和外部设备的工作，还要使负载最小以至于不减慢计算的速度 设计平安操作系统应该遵循的一些原那么 最小特权 操作系统中保护机制的经济性 开放设计 严密完整的检查 基于许可的模式 特权别离 最少的通用机制 便于使用 什么是平安操作系统什么是平安操作系统 平安性更高的操作系

4、统，它需要处理更多的任务，要控制和管理系统中数据的存取、程序的运行和外部设备的工作，还要使负载最小以至于不减慢计算的速度 设计平安操作系统应该遵循的一些原那么 最小特权 操作系统中保护机制的经济性 开放设计 严密完整的检查 基于许可的模式 特权别离 最少的通用机制 便于使用 为了将无意的或恶意的攻击所造成的损失降低到最低限度，每个用户和程序必须按照“需知原那么，尽可能使用最小特权进行操作什么是平安操作系统什么是平安操作系统 平安性更高的操作系统，它需要处理更多的任务，要控制和管理系统中数据的存取、程序的运行和外部设备的工作，还要使负载最小以至于不减慢计算的速度 设计平安操作系统应该遵循的一些原

5、那么 最小特权 操作系统中保护机制的经济性 开放设计 严密完整的检查 基于许可的模式 特权别离 最少的通用机制 便于使用 系统的设计应该小而简单，且直截了当，保护系统可以被穷举测试，或者被验证，因而可以信赖什么是平安操作系统什么是平安操作系统 平安性更高的操作系统，它需要处理更多的任务，要控制和管理系统中数据的存取、程序的运行和外部设备的工作，还要使负载最小以至于不减慢计算的速度 设计平安操作系统应该遵循的一些原那么 最小特权 操作系统中保护机制的经济性 开放设计 严密完整的检查 基于许可的模式 特权别离 最少的通用机制 便于使用 保护机制不能依赖于潜在攻击者的无知，保护机制应该是公开的，公开

6、设计还可以接受广泛的公开审查，平安性不依赖于保密什么是平安操作系统什么是平安操作系统 平安性更高的操作系统，它需要处理更多的任务，要控制和管理系统中数据的存取、程序的运行和外部设备的工作，还要使负载最小以至于不减慢计算的速度 设计平安操作系统应该遵循的一些原那么 最小特权 操作系统中保护机制的经济性 开放设计 严密完整的检查 基于许可的模式 特权别离 最少的通用机制 便于使用 每个存取行为必须经过检查什么是平安操作系统什么是平安操作系统 平安性更高的操作系统，它需要处理更多的任务，要控制和管理系统中数据的存取、程序的运行和外部设备的工作，还要使负载最小以至于不减慢计算的速度 设计平安操作系统应

7、该遵循的一些原那么 最小特权 操作系统中保护机制的经济性 开放设计 严密完整的检查 基于许可的模式 特权别离 最少的通用机制 便于使用 默认的条件应该是拒绝访问。保守的设计应标识哪些应该是可存取的，而不是标识哪些是不可存取的什么是平安操作系统什么是平安操作系统 平安性更高的操作系统，它需要处理更多的任务，要控制和管理系统中数据的存取、程序的运行和外部设备的工作，还要使负载最小以至于不减慢计算的速度 设计平安操作系统应该遵循的一些原那么 最小特权 操作系统中保护机制的经济性 开放设计 严密完整的检查 基于许可的模式 特权别离 最少的通用机制 便于使用 理想情况下，对实体的存取应该依赖于多于一个的

8、条件，如用户身份鉴别加上密钥。这样，侵入保护系统的攻击者将不能掌握了一个条件就拥有了对全部资源的存取权限什么是平安操作系统什么是平安操作系统 平安性更高的操作系统，它需要处理更多的任务，要控制和管理系统中数据的存取、程序的运行和外部设备的工作，还要使负载最小以至于不减慢计算的速度 设计平安操作系统应该遵循的一些原那么 最小特权 操作系统中保护机制的经济性 开放设计 严密完整的检查 基于许可的模式 特权别离 最少的通用机制 便于使用 可共享实体提供了信息流的潜在通道。系统为防止这种共享的威胁应该采取物理或逻辑别离的方法什么是平安操作系统什么是平安操作系统 平安性更高的操作系统，它需要处理更多的任

9、务，要控制和管理系统中数据的存取、程序的运行和外部设备的工作，还要使负载最小以至于不减慢计算的速度 设计平安操作系统应该遵循的一些原那么 最小特权 操作系统中保护机制的经济性 开放设计 严密完整的检查 基于许可的模式 特权别离 最少的通用机制 便于使用 设计的平安机制应尽可能方便用户使用Windows系统平安系统平安 Windows 系统帐号管理 Window NT资源平安管理 Windows 网络平安管理 Windows系统平安系统平安 Windows 系统帐号管理 Window NT资源平安管理 Windows 网络平安管理 Windows系统登录流程系统登录流程 注册WinLogon模块

10、产生WinLogon进程，显示对话框，要求用户输入用户名、密码、效劳器/域名系统将用户信息通过平安系统传输到SAM，并对用户身份进行确认平安帐号管理器把用户的登录信息与效劳器里的平安帐号管理数据库进行比较，如果两者匹配，效劳器将通知工作站允许用户进行访问Winlogon进程将调用Win32子系统，子系统为用户产生一个新的进程LSA开始构建访问令牌Access Token，与用户进行的所有操作相连，用户进行的操作与访问令牌一起构成一个主体当用户要求访问一个对象时，主体的访问令牌的内容将与对象的存取控制列表通过一个有效性访问程序进行比较，这个程序将决定接受或拒绝用户的访问要求 Windows 系统

11、帐号管理系统帐号管理 Windows系统的用户帐号User Accounts平安是Windows系统平安的核心。 每个要访问Windows系统控制的资源的用户必须由系统管理员建立一个帐号。而一个用户可以拥有一个或几个帐号，以不同的访问等级和访问权限共享工作组或域中的资源。 Windows系统的用户帐号有两种根本类型： 全局帐号Global Accounts 本地帐号Local Accounts全局帐号有时又称为域帐号Domain Accounts全局帐号主要是用于网络环境中的操作系统用户认证如果有多个域可用，网络中的每个用户在一个域中最好只有一个全局帐号，这样用户只需要一个密码 Windows

12、 系统帐号管理系统帐号管理 Windows系统的用户帐号User Accounts平安是Windows系统平安的核心。 每个要访问Windows系统控制的资源的用户必须由系统管理员建立一个帐号。而一个用户可以拥有一个或几个帐号，以不同的访问等级和访问权限共享工作组或域中的资源。 Windows系统的用户帐号有两种根本类型： 全局帐号Global Accounts 本地帐号Local Accounts本地帐号是在用户本地域使用的帐号，也是用户日常使用最频繁的系统本机帐号。 本地用户组本地用户组/域用户组域用户组用户组：Windows系统中将相同性质的帐号归类成一个组，即用户组本地用户组本地组的一

13、局部，也可以叫标准本地组具有相同权限的本地用户帐号的集合域用户组具有相同权限的域用户帐号的集合关系都是Windows系统中用户组概念的具体延伸，没有交叉关系Windows的用户组组可以分为全局组、本地组和特殊组。除去本地组中的一局部认为是本地用户组外，其他主要是在域环境下使用的，都是域用户组Window NT资源平安管理资源平安管理 文件系统和共享资源的平安设置 应用程序和用户主目录平安 打印机平安 注册表平安 审核策略及日志 硬盘空间管理和数据备份 文件系统的平安分为四个根本局部：共享权限Share Permisson目录权限Directory Permission审计Auditing所有者

14、Ownership其中平安性要求最高的是共享权限的设置远程访问共享目录中的目录和文件，必须能够同时满足共享的权限设置和文件目录自身的权限设置。用户对共享所获得的最终访问权限将取决于共享的权限设置和目录的本地权限设置中最严格的条件 应用程序平安建立一个或少许几个应用程序的安装和工作目录，然后赋予这些目录以较为严格的权限管理。建议赋予这些目录以下的权限：用户组App Users以Read的权限用户组App Installers以Change的权限用户组Administrator以Full Control的权限用户主目录平安建立一个公共的目录作为用户主目录的根目录，分别建立用户的子目录，采用用户的简

15、称等易于识别的名字作为用户子目录名。再赋予以下权限：用户组User Name以Full Control的权限用户组 Administrator以Full Control的权限Window NT资源平安管理资源平安管理 文件系统和共享资源的平安设置文件系统和共享资源的平安设置 应用程序和用户主目录平安应用程序和用户主目录平安 打印机平安打印机平安 注册表平安注册表平安 审核策略及日志审核策略及日志 硬盘空间管理和数据备份硬盘空间管理和数据备份 Window NT资源平安管理资源平安管理 文件系统和共享资源的平安设置文件系统和共享资源的平安设置 应用程序和用户主目录平安应用程序和用户主目录平安 打

16、印机平安打印机平安 注册表平安注册表平安 审核策略及日志审核策略及日志 硬盘空间管理和数据备份硬盘空间管理和数据备份 保障注册表平安可以归结为三条 删除注册表编辑器 设置注册表本地访问权限 限制注册表远程访问 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurePipeServersWinreg如果这个关键字存在，那么就将考虑强制限制远程的注册表编辑权限，以防止用户对注册表的不适当远程访问Window NT资源平安管理资源平安管理 文件系统和共享资源的平安设置 应用程序和用户主目录平安 打印机平安 注册表平安 审核策略及日志 硬盘空间管理

17、和数据备份 Window NT资源平安管理资源平安管理 文件系统和共享资源的平安设置 应用程序和用户主目录平安 打印机平安 注册表平安 审核策略及日志 硬盘空间管理和数据备份 Windows系统中的审计日志分为三种：系统日志SystemLog平安日志SecurityLog应用程序日志ApplicationsLog系统日志是Windows系统组件记录的事件日志平安日志记录平安事件的事件日志，一般数量不多 应用程序日志是由应用程序记录的事件日志 Window NT资源平安管理资源平安管理 文件系统和共享资源的平安设置 应用程序和用户主目录平安 打印机平安 注册表平安 审核策略及日志 硬盘空间管理和

18、数据备份 用户磁盘控件限制数据备份Windows 网络平安管理网络平安管理 网络连接平安 Windows防火墙 远程访问 设置/关闭不必要的效劳/端口 IIS的平安管理 网络连接平安网络连接平安 隐藏网上邻居 注册表中的HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer表项中的DWORD串值命名为NoNetHood，同时值设为1 隐藏网络图标 翻开系统文件control.ini，在“dont load设置段处，输入“netcpl.cpl=no 禁用网上邻居属性 移除c:windowssystem下的ne

19、tcpl.cpl或者给netcpl.cpl改名 取消网络访问权限 注册表HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesNetwork表项中的DWORD串值命名为NoNetHood，同时值设为1。Windows防火墙防火墙 Windows防火墙能帮助阻止计算机病毒和蠕虫进入用户的计算机，可以准许阻止或取消阻止某些连接请求，可以创立平安日志用作故障诊断工具。 但该防火墙不能检测或禁用计算机病毒和蠕虫如果计算机已经感染。也不能阻止用户翻开带有危险附件的电子邮件。不能阻止垃圾邮件或主动提供的电子邮件出现在收件箱中。 所以W

20、indows防火墙不能完全取代防病毒软件或反垃圾邮件软件的作用。 远程访问远程访问在Windows系统中，通过将“路由和远程访问配置为远程访问效劳器，可以将远程或移开工作人员连接到组织网络上。但远程访问效劳从产生开始就存在一些平安隐患，在给远程合法用户提供方便的同时，也给黑客们提供了一条远程入侵系统的路径。所以必须要制定远程访问控制方案 确保远程访问权限的平安性 确保远程交换数据的完整性 确保敏感数据传输的机密性 确保事件能够平安审计 做好平安策略设置设置设置/关闭不必要的效劳关闭不必要的效劳/端口端口 计算机使用中，用户安装的许多软件会在系统启动时自动加载一些效劳运行services.msc

21、可以看到。Windows系统本身也有一些这样的效劳。 正常情况下，不会使用所有效劳。如果加载的效劳过多不但会引起计算机资源的浪费，更为严重的是，其中的某些效劳一旦开放，存在着严重的平安漏洞。 IIS的平安管理的平安管理 UNIX/Linux系统平安系统平安 UNIX/Linux帐号管理 UNIX/Linux访问控制 UNIX/Linux资源平安管理 UNIX/Linux网络效劳平安 UNIX的系统结构的系统结构 由用户层、内核层和硬件层三个层次组成 两个执行态：核心态和用户态 用户态下的进程只能存取它自己的指令和数据，而不能存取内核和其它进程的指令和数据保证特权指令只能在核心态执行，像中断、异

22、常等在用户态下不能使用用户程序可以通过系统调用进入核心，运行系统调用后，又返回用户态平安性：平安性：Linux系统系统 vs Windows系统系统开发方式错误暴露：开放 vs 不公开远程程序调用防火墙设置： 限制 vs 大量使用权限被利用：某些第三方Windows应用软件需要管理员的权限才能正确运行软件，利用这些软件发起的病毒攻击的破坏性极大Windows具有易学易用性，同时需要兼容不平安的老版本的软件。这些对于系统平安也是一个不利的因素平安漏洞数量：美国计算机应急反响小组测评报告说明Windows似乎平安漏洞更多微软的Windows出现了250次平安漏洞，其中有39个平安漏洞的危险程度到达

23、了40分或者40分以上40分以上为危险性极大的系统漏洞Red Hat Linux同时间只发现46次平安漏洞，其中只有3个平安漏洞的危险程度在40分以上。 帐号管理帐号管理Root帐号 root帐号被操作系统用来执行根本的任务，比方登录、记录审计信息或者访问I/O设备等特权用户几乎可以做任何事情。特权用户可以变为任何别的用户，可以改变系统时钟，可以绕过施加于他的某些限制正是由于特权用户如此强大，因此它也成为UNIX的一个主要弱点处于特权用户状态的攻击者实际上接管了整个系统，必须采取每一个可能的防范措施来控制普通用户获得特权用户状态 禁止预置帐号 组管理策略 用户密码平安 帐号管理帐号管理 Roo

24、t帐号 禁止预置帐号 Linux操作系统中也存在一些不必要的预置帐号，如果不需要这些帐号，就把它们删掉 系统中有越多这样的帐号，就越容易受到攻击 组管理策略 用户密码平安 帐号管理帐号管理 Root帐号 禁止预置帐号 组管理策略 将用户分组是UNIX/Linux系统对权限进行管理的一种方式 早期的系统中一个用户只能属于某一个组，后来的系统中，一个用户可以同时属于多个用户组 用户隶属于一个或多个组 文件/etc/group包括了属组的列表。其中的表项格式：group name: group password: GID: list of users 用户密码平安 帐号管理帐号管理 Root帐号 禁

25、止预置帐号 组管理策略 用户密码平安 密文存放在/etc/passwd文件中：user name: encrypted password: user ID: group ID: ID string: home directory: login shell 字段ID string是用户的全名 user IDUID是指用户的ID group IDGID指的是组的ID， 最后两个字段指明了用户的主目录和成功登录后可用的Shell 要点要点 Windows系统帐号的分类 Window NT资源管理 Windows网络效劳的设置 UNIX/Linux帐号管理数据库平安数据库平安 数据库平安概述 数据库根

26、本平安机制 数据库加密 数据库平安性管理 数据库平安级别 主流数据库的平安 常见的数据库攻击与防范 数据库恢复 数据库平安概述数据库平安概述 数据库，分为两个局部来理解： 一局部是数据库，指按一定的方式组织和存放数据 另一局部是数据库管理系统Database Management System, 简称DBMS，为用户及应用程序提供数据访问界面，并具有对数据库进行管理、维护等多种功能 数据库平安的两个层次 数据库系统运行的平安，采取一系列措施保障DBMS的正常运行，如机房、硬件、操作系统等 数据库系统的信息平安，保障数据库存放的信息的私有性，如认证、审计、访问控制等 第一个层次的平安含义，主要侧

27、重在保障数据的完整性或者数据平安的环境因素方面； 第二个层次的平安，那么更多和数据的私有性相关，侧重于怎样保证只有合法的，或经授权的用户才能访问到数据。 数据库根本平安机制数据库根本平安机制 数据库系统平安在技术上可以依赖于两种方式： DBMS平安：本身提供的用户认证、基于角色访问控制、数据访问授权以及审计等管理措施 应用程序平安：实现对数据库访问进行控制和管理 DBMS通用的平安机制 用户认证 用户角色 数据库授权 数据库视图 审计 用户名用户名 口令口令证书证书数据库根本平安机制数据库根本平安机制 数据库系统平安在技术上可以依赖于两种方式： DBMS平安：本身提供的用户认证、基于角色访问控

28、制、数据访问授权以及审计等管理措施 应用程序平安：实现对数据库访问进行控制和管理 DBMS通用的平安机制 用户认证 用户角色 数据库授权 数据库视图 审计 数据库登录权限类数据库登录权限类只能查阅局部数据库信息，不能改动数据库只能查阅局部数据库信息，不能改动数据库中的任何数据中的任何数据 资源管理权限类资源管理权限类创立数据库表、索引创立数据库表、索引 ，在权限允许的范围内修，在权限允许的范围内修改、查询数据库等改、查询数据库等数据库管理员权限类数据库管理员权限类 具有数据库管理的全部权限具有数据库管理的全部权限 不同的不同的DBMS，可能对用户角色的定义不尽相同，可能对用户角色的定义不尽相同

29、，权限划分的细致程度也远超过上面三种根本的类权限划分的细致程度也远超过上面三种根本的类型型 数据库根本平安机制数据库根本平安机制 数据库系统平安在技术上可以依赖于两种方式： DBMS平安：本身提供的用户认证、基于角色访问控制、数据访问授权以及审计等管理措施 应用程序平安：实现对数据库访问进行控制和管理 DBMS通用的平安机制 用户认证 用户角色 数据库授权 数据库视图 审计 基于角色的访问控制基于角色的访问控制对数据对象的访问控制对数据对象的访问控制数据库级别数据库级别 、表级、行级、属性级、表级、行级、属性级访问控制的两个根本原那么访问控制的两个根本原那么隔离原那么：用户只能存取他所有的和已

30、经取得隔离原那么：用户只能存取他所有的和已经取得授权的数据对象授权的数据对象控制原那么：用户只能按他所取得的数据存取方式存控制原那么：用户只能按他所取得的数据存取方式存取数据，不能越权取数据，不能越权 存取权限存取权限Read, Update, Alter, Insert, Delete, Drop 数据库根本平安机制数据库根本平安机制 数据库系统平安在技术上可以依赖于两种方式： DBMS平安：本身提供的用户认证、基于角色访问控制、数据访问授权以及审计等管理措施 应用程序平安：实现对数据库访问进行控制和管理 DBMS通用的平安机制 用户认证 用户角色 数据库授权 数据库视图 审计 视图可以被看

31、成是虚拟表或存储查询。视图可以被看成是虚拟表或存储查询。通过定义不同的视图及有选择地授予视图上的权通过定义不同的视图及有选择地授予视图上的权限，可以将用户、组或角色限制在不同的数据子限，可以将用户、组或角色限制在不同的数据子集内集内将访问限制在基表中行的子集内将访问限制在基表中列的子集内将访问限制在基表中列和行的子集内将访问限制在符合多个基表联接的行内将访问限制在基表中数据的统计汇总内将访问限制在另一个视图的子集内或视图和基表组合的子集内数据库根本平安机制数据库根本平安机制 数据库系统平安在技术上可以依赖于两种方式： DBMS平安：本身提供的用户认证、基于角色访问控制、数据访问授权以及审计等管

32、理措施 应用程序平安：实现对数据库访问进行控制和管理 DBMS通用的平安机制 用户认证 用户角色 数据库授权 数据库视图 审计 审计审计Audit是一种事后监督的手段，它用来监视用是一种事后监督的手段，它用来监视用户对数据库施加的动作对数据对象的访问控制户对数据库施加的动作对数据对象的访问控制根据审计对象的区分，有两种方式的审计：根据审计对象的区分，有两种方式的审计：用户审计：记下所有对自己表或视图进行访问的企图及用户审计：记下所有对自己表或视图进行访问的企图及每次操作的用户名、时间、操作代码等信息每次操作的用户名、时间、操作代码等信息系统审计：记录系统一级命令以及数据对象的使用情况系统审计：

33、记录系统一级命令以及数据对象的使用情况数据库加密数据库加密 加密机制 对称密码系统 vs 公钥密码系统 多级密钥结构：库名、表名、记录名和字段名 加密范围 索引字段一般不加密 关系运算的比较字段一般不加密 表间的连接码字段一般不加密 加密对DBMS的影响 无法实现对数据制约因素的定义 密文数据的排序、分组和分类 SQL语言中的内部函数将对加密数据失去作用 DBMS的一些应用开发工具的使用受到限制主流数据库平安主流数据库平安 主流数据库包括： Oracle，SQL Server，Sybase 国内平安数据库 可信COBASE、达梦平安数据库、LOIS平安数据库、Softbase南京大学、Open

34、base Secure东大阿尔派 着重于多级平安方面，引入了多级平安模型，传统的关系模型必须做出一定改进，各种逻辑数据对象被强制赋予平安标记属性 强制访问控制的功能被大大加强，使得数据库系统的身份认证和访问控制机制更加严格 Oracle的平安机制的平安机制 身份认证 访问控制 数据库审计OracleOracle的身份认证有两种方式：外部身份认证和的身份认证有两种方式：外部身份认证和DBMSDBMS认证认证 外部身份认证外部身份认证使用使用Oracle DBMSOracle DBMS以外的系统对用户身份予以认证，以外的系统对用户身份予以认证，DBMSDBMS信任这种认证的结果信任这种认证的结果“

35、外部系统通常指的是操作系统外部系统通常指的是操作系统 好处：无需输入帐号、口令，防止口令信息因传好处：无需输入帐号、口令，防止口令信息因传输、存储不当而引发泄露输、存储不当而引发泄露 DBMSDBMS认证认证传统的帐号、口令方式的认证传统的帐号、口令方式的认证Oracle DBMSOracle DBMS在系统表空间中保存已有用户的帐在系统表空间中保存已有用户的帐号、口令等信息，并以此为依据认证用户的身份号、口令等信息，并以此为依据认证用户的身份 Oracle的平安机制的平安机制 身份认证 访问控制 数据库审计OracleOracle全面实现了全面实现了RBACRBAC机制，按其应用范围可分为：

36、机制，按其应用范围可分为：系统级权限系统级权限对整体数据库的各种操作以及对某类群体对象的使用权，对整体数据库的各种操作以及对某类群体对象的使用权，通常由数据库管理员负责授权通常由数据库管理员负责授权提供了提供了9090多种系统级权限，如创立会话多种系统级权限，如创立会话SESSIONSESSION、创立表创立表TABLETABLE、创立用户、创立用户USERUSER等等 对象级权限对象级权限对数据库单一对象的使用权，通常由该对象的拥有者对数据库单一对象的使用权，通常由该对象的拥有者负责授权负责授权 Oracle的平安机制的平安机制 身份认证 访问控制 数据库审计SQL Server的平安机制的平安机制 SQL Server的身份认证机制与Oracle有显著区别它引入了“登录ID的概念，将登录身份和具体的用户身份剥离开来从登录到访问数据，要经过两次身份认证登录认证在DBMS身份认证模式下，访问者必须提供一个有效的登录ID和口令才能继续向前有三种模式：Windows NT集成认证、SQL Server认证和二者的混和认证访问数据库认证 当访问者通过上述验证后， 登录ID必须与目标数据库中的某个用户ID相联