高校教務管理系統中的數據庫安全問題

文/郭姍姍

高校教務管理系統中數據庫的安全性影響著教學管理信息數據的完整性與安全性。在信息化不斷深入高校領域的今天，高校信息數據的安全性也逐漸得到重視。當前我國高校教務管理系統普遍采用數據庫來管理相關信息，保障數據信息的安全性具有極高的現實意義。但現階段，教務管理系統的數據庫正在面臨數據丟失、被篡改、服務器被攻擊等安全問題，重視數據庫安全并加強防護，是當前高校信息化過程的重要內容。

1 高校教務管理系統中數據庫存在的安全問題分析

我國當前的高校教務管理系統中，以C/S和B/S服務器為主，以使信息服務與管理服務的要求均得到滿足。由于教務管理系統的不同，各類用戶對數據庫的處理能力也有所差異，這就導致了技術夠加的差異。通常對固定場所大量數據的處理以C/S技術為主，提高管理人員使用的便捷性；而分散用戶處理量大的數據是則以B/S技術為主，提高學生與教師的體驗感。數據庫存儲了教務管理系統絕大部分的數據信息，其安全的重要性不言而喻，但當前，教務管理系統在操作系統、SQL注入、管理人員權限、數據備份、身份驗證五大方面出現了較大的安全問題。

1.1 操作系統的安全漏洞問題

底層操作系統通常存在著隱藏漏洞，且在數據庫自身采用的服務器中，也有部分服務器具有漏洞，而這些漏洞都可能會破壞數據庫的安全性，出現未經授權對數據庫進行訪問或者在訪問數據庫時被拒絕的現象。“沖擊破”病毒就是典型的利用漏洞來創造拒絕服務攻擊，從而威脅數據庫的安全。此外，數據庫通信協議的漏洞也易出現，在完成補丁修復時較容易出現問題。而黑客可通過這些漏洞，對數據庫進行不合規訪問，破壞、盜取數據庫信息，或是拒絕服務等。

1.2 SQL注入的攻擊安全問題

當未經授權的程序語句被數據庫入侵者注入到SQL數據信息道的漏洞中時，就會發生SQL注入的攻擊安全問題。就目前來看，SQL注入攻擊的數據信道有兩種主要的攻擊對象，其一為存儲的過程，其二為Web應用程序的輸入參數。而這些非法數據庫語句一旦被注入這兩種通道，就能被傳輸到數據庫中，執行攻擊者規定的任務，從而幫助攻擊者實現非法訪問數據庫信息，對教務系統的信息數據進行竊取、篡改等。此外，拒絕服務也是數據庫安全的重要防范內容。當數據庫被拒絕服務攻擊時，即時普通用戶合規訪問數據庫也會遭到拒絕，攻擊者利用數據庫漏洞，使數據庫處于拒絕服務狀態，使高校教務管理系統無法正常運行甚至崩潰。

1.3 管理人員的權限安全問題

數據庫的權限安全問題主要發生在管理人員上。這種安全隱患主要分為兩種，一種是權利的濫用，第二種則來自黑客對管理權限的提升。首先，濫用權限，包括濫用過高的權限或是濫用合法權限。如果普通用戶訪問數據庫的權限過高，超出了其原本的工作職能范圍，就可能出現濫用過高權力的安全隱患。例如，在教務管理系統中成績頁面，學生只有查看的權限，但如果學生訪問權限過高，利用不合理的權限對成績進行修改，或是在其他頁面修改個人信息等。而一些管理員或用戶即便只有合法的權限，但可能利用這種合法權限來篡改數據庫中的信息，或是有意拷貝這些信息將其留作私用或泄露，甚至可能在自身忽視時，將這些信息不經意泄露或被黑客侵盜，給當事人或是高校造成不必要的安全威脅。其次，黑客利用非法技術，提高一般用戶權限，例如將普通用戶的訪問權限提升到管理員，從而非法訪問，利用數據庫信息，或是通過計算機技術利用程序內置函等，搜索數據庫漏洞，并趁機盜取、篡改數據庫內的信息。

1.4 備份數據暴露的安全問題

數據備份原本是防止數據丟失以提高數據安全的一種方式，但備份數據也存在著被竊取的安全隱患。相對安全防護較好的數據庫而言，備份存儲介質的防護相對較低甚至沒有防護，因而較容易竊取、盜用，從而引發數據安全問題。

1.5 身份驗證造成的安全問題

高校的教務管理系統為了提高數據庫使用的安全性，往往會需要身份驗證才能登陸，但對身份驗證上的控制并不嚴格，攻擊者可以較為輕易的竊取相關身份驗證信息，從而通過驗證，登陸數據庫非法利用數據庫信息，或是通過其他技術獲取相關登錄憑據，盜用合法用戶身份，由此難以實現利用身份驗證來提高數據庫安全性的初始目的。攻擊者常用的竊取登陸身份信息的方法主要有三種：

（1）攻擊者通過自動枚舉合法用戶的密碼與用戶名，直到試驗出正確的登錄密碼與用戶名；

（2）攻擊者利用交識來片區當事人信任，并通過一些非法的途徑、手段等來獲取合法使用者的登陸憑據；

（3）攻擊者利用教務人員疏忽或保管不善，如為防止遺忘在便筏本上記錄登陸密碼和用戶名，攻擊者趁機竊取相關的登錄憑據，從而實現數據庫的登陸。

2 保障高校教務管理系統中的數據庫安全的策略分析

2.1 物理安全層面的保障分析

物理安全是數據庫安全防御的基本策略之一，包括了數據庫的環境、硬件服務器，以及相關的網絡等安全內容。因此，數據庫的相關工作人員需要關注服務器所處的溫度、濕度等相關周邊環境，以及交換機、相關網線網絡等物理安全問題。應建立完善的管理制度，要求物理上接觸服務器的工作人員應控制在規定范圍內，且需要對服務廠商的任務工作進行監控；重視提升系統管理員的職業道德與能力，加強培訓，提高管理員在面對誘惑或欺騙時的防范心、分辨力與意志力，降低因管理人員疏忽或被欺騙引發數據庫信息安全威脅的可能性。此外，提高監控數據庫服務器房間的能力與效力，確保全天候實時監控；同時，安裝濕度和溫度的警報器，提高數據庫服務器的環境控制能力，全面提高數據庫的物理安全。

2.2 訪問控制安全層面的保障分析

訪問控制是數據庫安全的重要內容，包括密碼控制、使用者權限控制、賬號管理等。在控制訪問權限時，數據庫管理人員要做好賬號保密任務，確保用戶賬號不被非管理人員獲取，避免出現使用者賬號被列舉。在用戶的訪問權限上，以向下取小為宜，避免多余權限被誤授；同時，分配好用戶權限，并監控用戶行為，及時發現訪問控制問題。此外，控制密碼長度的一致性與復雜性，避免密碼過于簡單易被破取。在文件訪問上，也要嚴格驗證訪問權限標準。

2.3 數據安全備份層面的保障分析

備份數據是提高數據安全的重要手段之一，可以有效彌補因硬件、軟件故障發生數據丟失等問題，但要用之得當，必須制定合理的數據庫備份措施。首先，備份數據要確保數據可用性，并明確數據的頻率與類型，明確硬件的速度和特性等。提前準備系統恢復過程與備份測試，充分了解數據備份的全過程及其影響，明確數據庫頻繁操作與大量使用所需的時間，明確數據庫故障時需要面臨的問題與損失，明確重建丟失數據時的難易程度等。要全面備份數據，確保數據丟失時，備份數據可以滿足所需一切數據信息。

3 結束語

數據信息作為高效工作正常開展的重要支撐條件，必須得到足夠的重視。認真審查高校教務管理系統的安全問題與功能，從管理、技術兩方面著手，努力確保數據庫信息的可用性、保密性、完整性，促進高校教務管理系統中的數據庫安全得到有效保障。