吕荣峰 陈军

(中国联合网络通信有限公司重庆市分公司信息安全部,重庆 400042)

0 引言

在互联网中,黑客为获取非法利益,采用自动化攻击和渗透工具[1],攻击数据库以窃取重要信息[2]、篡改或破坏其中数据。现实威胁需要加强数据库网络安全防护[3],而数据库账号的密码安全是数据库安全的重要基础[4]。与主机帐号密码修改[5]不同,数据库账号密码绝大部分工作是将这些账号相关联的业务进程配置文件中的老密码替换成新密码,如果替换不全或出现错误,将会对系统业务造成影响,严重时将直接导致业务中断。

某精细化系统有4台数据库服务器,有2个oracle数据库,3个实例、1个mysql数据库;14台包含精细化应用、数据接口、数据处理、用户数据统计、导航门户、短彩信发送等业务应用服务器,10台数据采集和预处理服务器。数据库密码修改步骤文件达16页,需要修改的业务进程配置文件很多,配置文件中需要替换的地方最多的有8处。且业务进程配置文件中保存的是密码的密文;配置文件修改前首先要将密码加密为密文,然后再使用新密码的密文替换老密码的密文;此外,部分配置文件保存的是“账号+密码”组合再加密的密文。手工修改配置文件步骤多且并不一致,工作量很大,也容易出错。

根据其它业务系统数据库帐号密码修改的经验估计,该系统数据库帐号密码手工修改至少需要16小时,实施难度很大。而按照网络安全要求,系统数据库账号的密码每90天至少修改一次。……