高校教务管理系统oracle数据库安全问题浅析
教务管理系统是高等学校教育工作的一项重要内容，是整个学校教务管理的基础。教务管理工作是学校教学管理部门按照高校教育方针， 运行先进的管理手段，组织、协调、指挥全校人员进行的教学活动。教务管理工作是学校工作的重心，是保证高校教学机智正常运行的枢纽，对高校教学秩序稳定、教学过程顺利开展和教学质量提高有着重要的指导意义。
四川警察学院采用的是杭州正方电子工程有限公司的正方教学管理信息系统，该系统的后台数据库选用Oracle，前台开发工具采用Delphi、ASP.NET，部署于windows server2003，采用前台程序/后台数据库分布部署方式确保数据安全。该系统主要涵盖了学生信息管理，教学计划管理，智能排课，考试管理，成绩管理，收费注册，学生网上选课、查询、评价，教材等几个大的方面。通过几年的使用，学校的教学管理工作得到了很大的提高，日常教学工作安排和调度已实现系统化，信息化管理。从新生入校开始的学生信息管理，每学期的教学计划制定，每个教学系部的智能排课，期末考试管理，成绩管理和毕业生管理都频繁的使用该系统，系统在使用过程中反复的访问数据库服务器，而数据库中存在着许多关键数据，这些数据对于学校教学管理有着至关重要的作用。因此，数据库安全方面的问题就显得极为重要，必须加强对数据库安全技术的研究。学院的教学管理信息系统采用的是Oracle 数据库，因此如何保证 Oracle 数据库的安全有着极为重要的意义。Oracle 数据库在通常条件下可以保证数据库的安全性和稳定性，如果数据库的操作系统受到其他计算机或者网络的故障影响，那么数据的安全性就会受到威胁，甚至出现 Oracle 数据库瘫痪的现象。为了保证数据库的安全性，必须对数据库采用安全技术来保证系统的正常运行，确保数据的绝对安全和可靠。
一、Oracle 数据库数据安全分析
Oracel 数据库中包含了学生的注册信息，教师的基本信息，学生的成绩信息等大量重要的数据，在确保数据库系统运行良好、稳定可靠的同时，数据库环境方面数据安全主要是指当管理系统数据库在遭受安全侵害时，数据库对数据采取的保护和恢复机制。在实际运行中侵犯数据库安全的类型大致有以下 3 类：
（1）意外损坏。是指非人力范围所能控制的意外事故灾害，比如地震、水灾、火灾等自然灾害造成的硬件损坏从而导的致数据损坏和丢失。
（2）人为疏忽。 由人工失误操作造成的无意损害，比如系统管理员或者授权用户的操作失误，应用程序 bug 造成的误操作等。
（3）恶意破坏。在互联网络中遭到非法人员的人为攻击、破坏、毁损及其它恶意操作行为。要确保数据库数据的安全首要条件是必须建立数据库数据定期备份和被攻击后的恢复机制，其中包括有时间规律的数据备份、日志备份和系统控制文件备份，保证在遭受上述几种安全侵犯时可以快速的恢复数据，最短时间内恢复管理系统的正常运行；其次是要加强数据库系统日常安全管理，制定有效的系统和人员管理机制来保障数据库系统安全。
二、Oracle数据库安全问题解决策略
1、用户及权限的管理策略
有效的数据库用户维护和管理机制是保护数据库系统安全的最重要手段。 通过系统管理员建立不同的用户组和用户口令密码，可以很好的防止非法用户进入访问数据库系统， 避免不必要的麻烦和数据损坏。
（1）数据库系统管理员在系统中建立了 create、alter 或 drop等数据库用户， 对于学院教务系统只有学院指定的超级管理员才应该有建立和管理数据库用户的权限，因此对 SYS 和 SYSTEM 两个账户要进行保密管理。
（2）对于一般用户权限，数据库管理员可以根据系统的具体使用情况来决定用户组分类并创建用户角色，将权限和应用程序角色按需分配给每一个用户。但是当要处理特殊的应用要求时，管理员也必须制定特殊权限要求授予用户。比如教务处相关管理人员有查询数据库、录入数据的权限，但是都需要给限制为内网访问，控制访问者IP，而学生或则学生家长在访问教务系统时，内网和外网都可以访问该生的数据。
（3）对于程序开发公司有自己的管理账号和密码，但是对于数据库服务器不允许其远程控制，关闭了网络远程访问的端口，避免开发公司的技术人员占用数据库资源，泄露学校的教学资源。
在 Oracle 数据库中，遵循严格的权限分配原则，由数据库管理员根据学校的教务系统使用情况负责分配权限，比如分管教学院长和教务处长有数据库登陆、访问和修改的权限，教务科只能对数据库中的学生成绩、课程计划和毕业论文有访问和修改权限，教学督导科只能对师资、质量监控数据库进行访问和修改。合理的分配用户的使用权限才能有效地保证 Oracle 数据库安全。
2、 数据库的加密
数据加密是 Oracle 数据库系统抵御外来入侵攻击的重要防线。在操作系统下Oracle 数据库系统以文件形式储存管理，系统只要被入侵，入侵者就可以直接窃取数据库文件，更有可能删除、伪造、篡改学生数据，将会给整个教务系统带严重的毁灭，更改的数据隐患一般用户难以察觉，直到调用数据才发现会造成不可挽回的损失。针对这类问题，我们通常采用对数据库管理系统分3个层次加密方法来解决，保障教务系统Oracle 数据库系统被突破时数据库数据的安全。
（1）操作系统（OS）层加密。操作系统是数据库系统的运行平台，并为其提供一定程度的安全保护。操作系统安全策略主要使用用户账户、口令、访问权限来实现，只有合法用户才有账户，通过口令验证访问系统。系统管理员对用户的行为进行跟踪和记录，便于系统管理员分析系统的访问情况以及事后的追查使用。 （2）数据库管理系统（DBMS）内核层加密。 这种方法是在存取数据之前完成加密和解密工作，加密功能强，且几乎不会影响 DBMS 的功能，可以实现加密功能与数据库管理系统之间的无缝耦合；但是缺点是加密运算是在服务器上进行的，加重了服务器的负载，影响系统的访问运行速度，而且接口需要学校教务系统开发商的技术支持。
（3）数据库管理系统（DBMS）外层实现加密。 这种方法将数据库加密系统做成软件工具放置在数据库系统中，根据加密的需求自动完成对数据库数据的加、 解密工作。这种方式的运算过程都是在客户端进行，不会加重服务器的负载同时可以实现网上数据传输的加密，但是加密功能会受到终端网关和访问服务器网段设置的一些限制，与管理系统之间的耦合性稍差。
3、Oracle 数据库的备份
Oracle 数据库的备份方法有多种，目的都是为了在出现故障后能够以尽可能快的时间和尽可能小的代价恢复系统。数据库的备份分为物理备份和逻辑备份.物理备份就是在操作系统层面上复制物理文件，包括数据文件、控制文件和归档重做日志文件、初始化参数文件等资料。物理备份可以在数据库关闭状态下进行冷备份和在数据库开放状态下进行热备份。逻辑备份时在数据库中用export导出二进制文件，可以在不同系统结、操作系统和orcale版本间移动数据。物理备份是为了防止操作系统的数据库组件丢失，逻辑备份主要实现数据在不同版本间的移动。
Oracle 数据库系统提供记录库中进行修改、调整参数等各种操作的日志，作为数据库管理员，数据库的备份是日常工作中重要环节。高校教务管理系统面临的主动攻击和恶意攻击被破坏的机会越来越多，教务管理系统的数据安全将面临了更加严格的挑战。一旦教务系统受到攻击，学生成绩丢失，教学计划更改、毕业生信息外泄等状况将造成无法挽回的损失，更为严重的可能造成教学过程的瘫痪。因此坚持定期教务管理系统的日志备份，是维护系统安全、稳定运行有效途径。
4、管理安全策略
依赖以上几个安全技术措施，还不能完全保证数据库系统的安全，还需要建立完善的管理安全策略，制定安全责任制度，将安全责任落实到人，管理员严格的填写访问和监控日志，做好定期的数据备份，特别是在高校寒暑假、新学期交替之际做好系统的安全备份工作，以及在假日期间的人员值班安排，只有多方面的综合管理策略，规范的权限管理功能，才能更好的保障系统的安全性。
三、结束语
Oracle数据库系统的应用使学校教务管理过程更加规范和高效，因此保证系统的安全性是非常重要的。在实际使用过程中，从网络和数据库方面保证教务管理系统的安全性，利用一系列安全措施能有效抵御来自操作和网络各方面的攻击。系统的数据安全和稳定运行，是深化教务体制改革、推进高校的数字化校园建设有力措施。
