Methods of Parse Tree Validation to

Methods of Parse Tree Validation to Detect SQL Injection Attacks
(Tìm hiểu phương pháp cây phân tích cú pháp trong việc phát hiện tấn công chèn mã SQL (SQLIA))
[1]. D.A. Kindy, A.K. Pathan (2012). A Detailed Survey on Various Aspects of SQL Injection in Web Applications: Vulnerabilities, Innovative Attacks, and Remedies.
[2]. S. Kulkarnim, S. Urolagin (2012). Review of Attacks on Databases and Database Security Techniques, International Journal of Emerging Technology and Advanced Engineering, Vol. 2, Issue 11, November 2012).
[3]. W.G.J. Halfond, A. Orso (2007). Detection and Prevention of SQL Injection Attacks, Chapter of Malware Detection, Springer.
[4]. E.E. Ogheneovo et al., A Parse Tree Model for Analyzing and Detecting SQL Injection Vulnerabilities, West African Journal of Industrial & Academic Research, Vol.6, No.1, 2013, pp.33-49.
[5]. M. Sruthy et al., A Method of Detecting SQL Injection Attack to Secure Web Applications, International Journal of Distributed and Parallel Systems (IJDPS), Vol.3, No.6, 2012, pp.1-8.
[6]. S.N. Narayanan et al., Detection and Prevention of SQL Injection Attacks using Semantic Equivalence, Springer, 2011, pp.103–112,
[7]. S. Zhendong et al., The Essence of Command Injection Attacks in Web Applications, POPL'06, 2006,
[8]. T.B. Gregory et al., Using Parse Tree Validation to Prevent SQL Injection Attacks, Proceedings of the 5th international workshop on Software engineering and middleware (SEM '05), 2005, pp.106-113.


1 A review on Database Security [1][3] // một xem xét trên bảo mật cơ sở dữ liệu
1.1. Database Vulnerabilities [2] //những lỗ hỏng cơ sở dữ liệu
1.1.1. Data and Threads //Dữ liệu và Chủ đề
Data is the major component on which entire organization depends. This dependency is so intense that success and failure of organization’s goals relies on the quality and quantity of data. So naturally organizations can’t afford to lose vital data present about the organization and its business. Major chunk of data are stored in the repository called database [6][17]. The data stored in databases will be structured and generally stored in the form of relational tables as most of the organizations use relational databases. As relational data model is used, data stored in different relational tables are related to each other. Database Management System (DBMS) is a set of applications which help in managing data present in the database [1]. It helps to organize data for better performance and faster retrieval by maintaining indices. It helps preserving logs of transactions which help in recovering data. DBMS performs the function of concurrency control. DBMS also performs data recovery operations of database. Dữ liệu là thành phần quan trọng mà toàn bộ các tổ chức phải phụ thuộc. Phụ thuộc này là rất lớn mà sự thành công và thất bại của tổ chức dựa vào mục tiêu chất lượng và số lượng của dữ liệu. Các tổ chức không thể đủ khả năng để quản lý dữ liệu tránh việc mất dữ liệu trong tổ chức và kinh doanh của mình. Chính các đoạn dữ liệu được lưu trữ trong kho lưu trữ được gọi là cơ sở dữ liệu [6] [17]. Dữ liệu được lưu trữ trong cơ sở dữ liệu dưới dạng cấu trúc và thường được lưu trữ dưới hình thức của các bảng quan hệ như hầu hết các tổ chức sử dụng cơ sở dữ liệu quan hệ đó. Như mô hình dữ liệu quan hệ được sử dụng, dữ liệu được lưu trữ trong bảng quan hệ khác nhau có liên quan với nhau. Hệ thống quản lý cơ sở dữ liệu (DBMS) là một bộ các ứng dụng mà nó giúp đỡ trong việc quản lý dữ liệu hiện tại trong cơ sở dữ liệu [1]. Nó giúp để tổ chức các dữ liệu cho hiệu suất tốt hơn và tra cứu nhanh hơn bằng cách duy trì chỉ số. Nó giúp bảo quản nhật ký (logs) của giao dịch giúp trong việc khôi phục dữ liệu. DBMS thực hiện chức năng của kiểm soát đồng thời. DBMS cũng thực hiện các hoạt động phục hồi dữ liệu của cơ sở dữ liệu.
As data stored in databases may be critical, it is important to secure it. Database can be attacked in many ways. There is a possibility of attacking data stored in databases as databases are interfaced with some applications and by hampering the applications; it is possible to attack databases. Khi dữ liệu được lưu trữ trong cơ sở dữ liệu có thể là rất quan trọng, đều quan trọng là nó an toàn. Cơ sở dữ liệu có thể bị tấn công theo nhiều cách. Có một khả năng tấn công các dữ liệu được lưu trữ trong cơ sở dữ liệu như cơ sở dữ liệu được giao tiếp với một số ứng dụng và cản trở các ứng dụng; nó có thể tấn công cơ sở dữ liệu.
The situation becomes critical when users of database are leaking the information to outside world. Computer Security always addresses three important aspects of computer related system namely Confidentiality, Integrity and Availability. Confidentiality ensures that computer related assets are accessed only by authorized users. Integrity means computer assets can be modified by authenticated users in the authorized ways. Availability ensures that assets are accessible to authorized users at appropriate times [1]. Database is a computer asset so confidentiality, integrity and availability should be considered before applying any security policy on database systems. Tình hình trở nên quan trọng khi người sử dụng cơ sở dữ liệu đang rò rỉ thông tin ra thế giới bên ngoài. Bảo mật máy tính luôn luôn đề cập đến ba khía cạnh quan trọng của hệ thống máy tính cụ thể là liên quan đến bảo mật, toàn vẹn và tính sẵn sàng. Bảo mật đảm bảo máy tính đó liên quan đến thông tin được truy cập chỉ với người dùng được cho phép. Tính toàn vẹn có nghĩa là tài sản máy tính có thể được sửa đổi bởi chứng thực người dùng bằng cách được cho phép. Tình trạng sẵn có, đảm bảo rằng tài sản có thể truy cập cho người dùng được cho phép tại thời điểm thích hợp [1]. Cơ sở dữ liệu là một tài sản máy tính để thông tin mật, toàn vẹn và tính sẵn sàng cần được xem xét trước khi áp dụng bất kỳ chính sách bảo mật trên hệ thống cơ sở dữ liệu.
There are some security requirements for a database like physical, logical and element integrity along with auditability, access control, user authentication and data availability [1]. Physical database integrity deals with physical problems related to database like power failure. So a database should be recovered from such kind of failures. Logical database integrity deals with maintaining and preserving structure and relations in a database. Element integrity preserves the accuracy of data elements. Auditability ensures tracking of changes done in the database along with the users who did them is possible. Access Control means a user is allowed to access only authorized data. There are different modes of access on different data items. User authentication deals with verifying the user’s credentials before giving access to any of the data objects present in the database. Once authenticated, data should be available to users of the system as per their access rights. This feature is called data availability [1]. Có một số yêu cầu thông tin mật cho một cơ sở dữ liệu giống như vật lý, hợp lý và tính toàn vẹn phần tử cùng với (auditability), điều khiển truy cập, xác thực người dùng và dữ liệu sẵn có [1]. Tính toàn vẹn vật lý cở sở dữ liệu với vấn đề vật lý liên quan đến cơ sở dữ liệu như mất điện. Vì vậy một cơ sở dữ liệu nên được thu hồi từ các loại thất bại. Tính toàn vẹn cơ sở dữ liệu hợp lý với việc để duy trì và bảo quản cấu trúc và các quan hệ trong một cơ sở dữ liệu. Yếu tố toàn vẹn bảo tồn tính chính xác của các yêu tố dữ liệu. (Auditability) đảm bảo theo dõi các thay đổi được thực hiện trong cơ sở dữ liệu cùng với những người dùng đã làm cho họ là có thể. Điều khiển truy cập có nghĩa là một người sử dụng được cho phép để truy cập dữ liệu chỉ được ủy quyền. Có các chế độ khác nhau truy cập vào các dữ liệu khác nhau. Xác thực giao dịch người dùng với xác minh các thông tin của người dùng trước khi cho phép truy cập vào bất kỳ của các đối tượng dữ liệu có trong cơ sở dữ liệu. Sau khi xác thực, dữ liệu sẽ có sẵn cho người dùng của hệ thống theo quyền truy cập của họ. Tính năng này được gọi là dữ liệu sẵn có [1].
1.1.2. Attacks to Database // Các cuộc tấn công đến cơ sở dữ liệu
Databases today are facing different kind of attacks. Before describing the techniques to secure databases, it is preferable to describe the attacks which can be performed on the databases. The major attacks on databases can be categorized as shown in Fig. 1.1, which is inference, active and passive attacks in databases and SQLIA. Cơ sở dữ liệu ngày nay đang phải đối mặt với các cuộc tấn công với các dạng khác nhau. Trước khi mô tả các kỹ thuật để đảm bảo an toàn cơ sở dữ liệu, nó là thích hợp hơn để mô tả các cuộc tấn công có thể được thực hiện vào các cơ sở dữ liệu. Các cuộc tấn công lớn vào cơ sở dữ liệu có thể được phân loại như minh hoạ trong Hình 1.1, đó là suy luận, tấn công chủ động và thụ động trong cơ sở dữ liệu và tấn công chèn mã SQL (SQLIA).

Figure 1.1: Types of Attacks on Databases // Hình 1.1: Các loại tấn công vào Cơ sở dữ liệu
1.1.2.1. Inference // Suy luận (kết luận)
Inference is a major attack on database systems. Inference is a way to derive sensitive data from non sensitive data [1]. There is a direct attack possible on database. Kết quả là cuộc tấn công lớn vào hệ thống cơ sở dữ liệu. Kết quả là một cách để lấy được dữ liệu nhạy cảm từ dữ liệu không nh

Kết quả (Việt) 1:

Phương pháp phân tích cây xác nhận để phát hiện các cuộc tấn công SQL Injection(Tìm hiểu phương pháp cây phân tích cư pháp trong việc phát hiện tấn công chèn mã SQL (SQLIA))[1]. D.A. Kindy, AK Pathan (2012). Một cuộc khảo sát chi tiết trên các khía cạnh khác nhau của SQL Injection trong ứng dụng Web: lỗ hổng, cuộc tấn công sáng tạo, và các biện pháp.[2]. S. Kulkarnim, S. Urolagin (2012). Xem xét các cuộc tấn công vào cơ sở dữ liệu và cơ sở dữ liệu bảo mật kỹ thuật, các tạp chí quốc tế mới nổi công nghệ và kỹ thuật tiên tiến, Vol. 2, phát hành 11, tháng mười một 2012).[3]. W.G.J. Halfond, A. Orso (2007). Phát hiện và ngăn chặn cuộc tấn công SQL Injection, chương phát hiện phần mềm độc hại, Springer.[4]. ee Ogheneovo et al., A cây phân tích cú pháp mô hình cho Analyzing và phát hiện SQL Injection lỗ hổng, Tây Phi tạp chí công nghiệp & nghiên cứu học tập, Vol.6, số 1, 2013, pp.33-49.[5]. M. Sruthy et al., A phương pháp của phát hiện SQL Injection tấn công để bảo mật ứng dụng Web, International Journal của phân phối và song song hệ thống (IJDPS), Vol.3, No.6, 2012, pp.1-8.[6]. S.N. Narayanan et al., phát hiện và phòng chống của SQL Injection tấn công bằng cách sử dụng ngữ nghĩa tương đương, Springer, 2011, pp.103–112,[7]. S. Zhendong et al., bản chất của các cuộc tấn công tiêm lệnh trong ứng dụng Web, POPL'06, 2006,[8]. loại Gregory et al., bằng cách sử dụng phân tích cây xác nhận để ngăn chặn SQL Injection tấn công, thủ tục tố tụng của 5 hội thảo quốc tế về công nghệ phần mềm và middleware (SEM ' 05), năm 2005, pp.106-113. 1 bình luận về an ninh cơ sở dữ liệu [1] [3] / / một xem xét trên bảo mật cơ sở dữ suất1.1. cơ sở dữ liệu lỗ hổng [2] //những lỗ hỏng cơ sở dữ suất1.1.1. dữ liệu và chủ đề //Dữ suất và hào đềDữ liệu là thành phần chính mà toàn bộ tổ chức phụ thuộc. Phụ thuộc này là rất mạnh mẽ rằng sự thành công và thất bại của mục tiêu của tổ chức dựa vào chất lượng và số lượng dữ liệu. Để tự nhiên tổ chức không thể đủ khả năng để mất dữ liệu quan trọng hiện nay về tổ chức và kinh doanh của mình. Chính đoạn dữ liệu được lưu trữ trong kho lưu trữ được gọi là cơ sở dữ liệu [6] [17]. Dữ liệu được lưu trữ trong cơ sở dữ liệu sẽ được cấu trúc và thường được lưu trữ trong các hình thức của các bảng quan hệ như hầu hết các tổ chức sử dụng cơ sở dữ liệu quan hệ. Như mô hình dữ liệu quan hệ được sử dụng, dữ liệu được lưu trữ trong bảng quan hệ khác nhau có liên quan đến nhau. Hệ thống quản lý cơ sở dữ liệu (DBMS) là một bộ các ứng dụng đó giúp đỡ trong việc quản lý dữ liệu trình bày trong cơ sở dữ liệu [1]. Nó giúp để tổ chức các dữ liệu cho hiệu suất tốt hơn và nhanh hơn truy bằng cách duy trì chỉ số. Nó giúp giữ gìn bản ghi của giao dịch này giúp trong việc khôi phục dữ liệu. DBMS thực hiện chức năng của kiểm soát concurrency. DBMS cũng thực hiện các hoạt động phục hồi dữ liệu cơ sở dữ liệu. Dữ suất là thành phần quan trọng mà toàn bộ các tổ chức phải phụ thuộc. Phụ thuộc này là rất lớn mà sự thành công và thất bại của tổ chức dựa vào mục tiêu chất lượng và số lượng của dữ suất. Các tổ chức không Bulgaria đủ gièm năng tiếng quản lý dữ suất tránh việc mất dữ suất trong tổ chức và kinh doanh của mình. Chính các đoạn dữ suất được lưu trữ trong kho lưu trữ được gọi là cơ sở dữ suất [6] [17]. Dữ suất được lưu trữ trong cơ sở dữ suất dưới dạng cấu trúc và thường được lưu trữ dưới chuyển ngữ của các bảng quan hay như hầu hết các tổ chức sử scholars cơ sở dữ suất quan hay đó. Như mô chuyển dữ suất quan hay được sử scholars, dữ suất được lưu trữ trong bảng quan hay ông nội có liên quan với nội. Hay thống quản lý cơ sở dữ suất (DBMS) là một bộ các ứng Scholars mà nó giúp đỡ trong việc quản lý dữ suất hiện tại trong cơ sở dữ suất [1]. Nó giúp tiếng tổ chức các dữ suất cho hiệu suất tốt hơn và tra cứu nhanh hơn bằng cách duy trì chỉ số. Nó giúp bảo quản nhật ký (Nhật ký) của giao dịch giúp trong việc khôi tên dữ suất. DBMS thực hiện chức năng của kiểm soát đồng thời. DBMS cũng thực hiện các hoạt động tên hồi dữ suất của cơ sở dữ suất.Như dữ liệu được lưu trữ trong cơ sở dữ liệu có thể là quan trọng, nó là quan trọng đối với an toàn của nó. Cơ sở dữ liệu có thể bị tấn công trong nhiều cách. Có là một khả năng tấn công dữ liệu được lưu trữ trong cơ sở dữ liệu như cơ sở dữ liệu được giao với một số ứng dụng và bằng cách ngăn trở các ứng dụng; ta có thể tấn công các cơ sở dữ liệu. Khi dữ suất được lưu trữ trong cơ sở dữ suất có Bulgaria là rất quan trọng, đều quan trọng là nó toàn diện. Cơ sở dữ suất có Bulgaria bị tấn công theo nhiều cách. Có một gièm năng tấn công các dữ suất được lưu trữ trong cơ sở dữ suất như cơ sở dữ suất được giao truyện với một số ứng Scholars và cản trở các ứng Scholars; nó có Bulgaria tấn công cơ sở dữ suất.Tình hình trở nên quan trọng khi người sử dụng cơ sở dữ liệu đang rò rỉ thông tin cho thế giới bên ngoài. Bảo mật máy tính luôn địa chỉ ba khía cạnh quan trọng của máy tính liên quan đến hệ thống cụ thể là bảo mật, tính toàn vẹn và tính sẵn sàng. Bảo mật đảm bảo máy tính đó liên quan đến tài sản được truy cập chỉ bằng người dùng được ủy quyền. Liêm chính có nghĩa là máy tính tài sản có thể được sửa đổi bởi người dùng xác thực bằng cách được ủy quyền. Tình trạng sẵn có, đảm bảo rằng tài sản có thể truy cập cho người dùng được ủy quyền tại thời điểm thích hợp [1]. Cơ sở dữ liệu là một tài sản máy tính để bảo mật, tính toàn vẹn và tính sẵn sàng nên được xem xét trước khi áp dụng bất kỳ chính sách bảo mật trên hệ thống cơ sở dữ liệu. Tình chuyển trở nên quan trọng khi người sử scholars cơ sở dữ suất đang rò rỉ thông tin ra thế giới bên ngoài. Bảo mật máy tính luôn luôn đề cập đến ba khía cạnh quan trọng của hay thống máy tính cụ Bulgaria là liên quan đến bảo mật, toàn vẹn và tính sẵn sàng. Bảo mật đảm bảo máy tính đó liên quan đến thông tin được truy cập chỉ với người dùng được cho phép. Tính toàn vẹn có nghĩa là tài ở máy tính có Bulgaria được sửa đổi bởi chứng thực người dùng bằng cách được cho phép. Tình trạng sẵn có, đảm bảo rằng tài ở có Bulgaria truy cập cho người dùng được cho phép tại thời điểm thích hợp [1]. Cơ sở dữ suất là một tài ở máy tính tiếng thông tin mật, toàn vẹn và tính sẵn sàng cần được xem xét trước khi áp Scholars bất kỳ chính sách bảo mật trên hay thống cơ sở dữ suất.Có là một số yêu cầu bảo mật cho một cơ sở dữ liệu như vật lý, hợp lý và tính toàn vẹn phần tử cùng với auditability, kiểm soát truy cập, xác thực người dùng và dữ liệu sẵn có [1]. Vật lý cơ sở dữ liệu toàn vẹn đề với vấn đề vật lý liên quan đến cơ sở dữ liệu như mất điện. Vì vậy một cơ sở dữ liệu nên được phục hồi từ các loại thất bại. Cơ sở dữ liệu hợp lý toàn vẹn đề với việc duy trì và bảo quản cấu trúc và các quan hệ trong cơ sở dữ liệu. Yếu tố toàn vẹn duy trì tính chính xác của phần tử dữ liệu. Auditability đảm bảo theo dõi các thay đổi được thực hiện trong cơ sở dữ liệu cùng với những người đã làm họ sử dụng có thể. Kiểm soát truy cập có nghĩa là một người sử dụng được cho phép để truy cập dữ liệu chỉ được ủy quyền. Không có các chế độ khác nhau của các truy cập vào các mặt hàng dữ liệu khác nhau. Xác thực người dùng đề với xác minh chứng chỉ của người dùng trước khi cho phép truy cập vào bất kỳ của các đối tượng dữ liệu hiện diện trong cơ sở dữ liệu. Khi xác thực, dữ liệu sẽ có sẵn cho người dùng của hệ thống theo quyền truy cập của họ. Tính năng này được gọi là dữ liệu sẵn có [1]. Có một số yêu cầu thông tin mật cho một cơ sở dữ suất giống như vật lý, hợp lý và tính toàn vẹn phần khó cùng với (auditability), Ban khiển truy cập, xác thực người dùng và dữ suất sẵn có [1]. Tính toàn vẹn vật lý cở sở dữ suất với vấn đề vật lý liên quan đến cơ sở dữ suất như mất điện. Vì vậy một cơ sở dữ suất nên được thu hồi từ các loại thất bại. Tính toàn vẹn cơ sở dữ suất hợp lý với việc tiếng duy trì và bảo quản cấu trúc và các quận hay trong một cơ sở dữ suất. Yếu tố toàn vẹn bảo tồn tính chính xác của các yêu tố dữ suất. (Auditability) đảm bảo theo dõi các thay đổi được thực hiện trong cơ sở dữ suất cùng với những người dùng đã làm cho họ là có Bulgaria. Điều khiển truy cập có nghĩa là một người sử scholars được cho phép tiếng truy cập dữ suất chỉ được ủy quyền. Có các chế độ ông nội truy cập vào các dữ suất ông nội. Xác thực giao dịch người dùng với xác minh các thông tin của người dùng trước khi cho phép truy cập vào bất kỳ của các đối tượng dữ suất có trong cơ sở dữ suất. Sau khi xác thực, dữ suất sẽ có sẵn cho người dùng của hay thống theo quyền truy cập của họ. Tính năng này được gọi là dữ suất sẵn có [1].1.1.2. các cuộc tấn công cơ sở dữ liệu / / Các cuộc tấn công đến cơ sở dữ suấtCơ sở dữ liệu vào ngày hôm nay phải đối mặt với loại khác nhau của cuộc tấn công. Trước khi mô tả các kỹ thuật để đảm bảo cơ sở dữ liệu, nó là thích hợp hơn để mô tả các cuộc tấn công có thể được thực hiện vào các cơ sở dữ liệu. Các cuộc tấn công lớn vào cơ sở dữ liệu có thể được phân loại như minh hoạ trong hình 1.1, mà là suy luận, hoạt động và thụ động cuộc tấn công trong cơ sở dữ liệu và SQLIA. Cơ sở dữ suất ngày nay đang phải đối mặt với các cuộc tấn công với các dạng ông nội. Trước khi mô tả các kỹ thuật tiếng đảm bảo một toàn cơ sở dữ suất, nó là thích hợp hơn tiếng mô tả các cuộc tấn công có Bulgaria được thực hiện vào các cơ sở dữ suất. Các cuộc tấn công lớn vào cơ sở dữ suất có Bulgaria được phân loại như minh hoạ trong chuyển 1.1, đó là suy biệt, tấn công hào động và thụ động trong cơ sở dữ suất và tấn công chèn mã SQL (SQLIA). Hình 1.1: Các loại cuộc tấn công vào cơ sở dữ liệu / / chuyển 1.1: Các loại tấn công vào Cơ sở dữ suất1.1.2.1. suy luận / / Suy biệt (kết biệt)Suy luận là cuộc tấn công lớn vào cơ sở dữ liệu hệ thống. Suy luận là một cách để lấy được dữ liệu nhạy cảm từ dữ liệu nhạy cảm không [1]. Đó là một cuộc tấn công trực tiếp có thể trên cơ sở dữ liệu. Kết tên là cuộc tấn công lớn vào hay thống cơ sở dữ suất. Kết tên là một cách tiếng lấy được dữ suất nhạy cảm từ dữ suất không nh

Kết quả (Việt) 2:

Phương pháp Parse Tree Validation để phát hiện tấn công SQL Injection
(Find understand the method traversal parse in the detection Tấn Công inserted codes SQL (SQLIA))
[1]. DA Kindy, AK Pathan (2012). Một khảo sát chi tiết về các khía cạnh khác nhau của SQL Injection trong các ứng dụng web. Lỗ hổng, tấn công sáng tạo, và biện pháp
[2]. S. Kulkarnim, S. Urolagin (2012). Xem xét lại các cuộc tấn công vào cơ sở dữ liệu và kỹ thuật cơ sở dữ liệu bảo mật, Tạp chí quốc tế về Công nghệ mới nổi và Kỹ thuật nâng cao, Vol. 2, Số 11, tháng 11 năm 2012).
[3]. WGJ Halfond, A. Orso (2007). Phát hiện và phòng chống tấn công SQL Injection, Chương của phát hiện phần mềm độc hại, Springer.
[4]. EE Ogheneovo et al., A Tree mẫu Parse cho Phân tích và Phát hiện lỗ hổng SQL Injection, Tạp chí Tây Phi của công nghiệp & Academic Research, Vol.6, số 1, năm 2013, pp.33-49.
[5]. M. Sruthy et al., A Phương pháp Phát hiện SQL Injection tấn công để bảo mật ứng dụng web, Tạp chí Quốc tế Hệ thống phân phối và song song (IJDPS), Vol.3, số 6, 2012, pp.1-8.
[6]. SN Narayanan et al., Phát hiện và phòng chống các cuộc tấn công SQL tiêm sử dụng ngữ nghĩa tương đương, Springer, 2011, pp.103-112,
[7]. S. Zhendong et al., Bản chất của lệnh tấn công tiêm trong các ứng dụng web, POPL'06, năm 2006,
[8]. TB Gregory et al., Sử dụng Parse Tree Validation để ngăn chặn tấn công SQL Injection, Kỷ yếu hội thảo quốc tế lần thứ 5 về Công nghệ phần mềm và middleware (SEM '05), năm 2005, pp.106-113. 1 A xem xét trên cơ sở dữ liệu bảo mật [1] [3] // one view XET above secure databases 1.1. Lỗ hổng cơ sở dữ liệu [2] // those Loss broken databases 1.1.1. Dữ liệu và chủ đề // data and Subject dữ liệu là thành phần chính mà toàn bộ tổ chức phụ thuộc. Sự phụ thuộc này là rất mãnh liệt rằng sự thành công và thất bại của các mục tiêu của tổ chức phụ thuộc vào chất lượng và số lượng của dữ liệu. Vì vậy, tự nhiên, tổ chức không có khả năng mất dữ liệu quan trọng hiện nay về tổ chức và kinh doanh của mình. Đoạn lớn của dữ liệu được lưu trữ trong các kho lưu trữ được gọi là cơ sở dữ liệu [6] [17]. Các dữ liệu được lưu trữ trong cơ sở dữ liệu sẽ được cấu trúc và thường được lưu trữ dưới dạng các bảng quan hệ như hầu hết các tổ chức sử dụng cơ sở dữ liệu quan hệ. Như mô hình dữ liệu quan hệ được sử dụng, dữ liệu được lưu trữ trong các bảng quan hệ khác nhau có liên quan đến nhau. Hệ thống quản lý cơ sở dữ liệu (DBMS) là một tập hợp các ứng dụng giúp quản lý dữ liệu có trong [1] cơ sở dữ liệu. Nó giúp tổ chức dữ liệu cho hiệu suất tốt hơn và phục hồi nhanh hơn bằng cách duy trì các chỉ số. Nó giúp bảo quản các bản ghi của các giao dịch mà giúp đỡ trong việc khôi phục dữ liệu. DBMS thực hiện chức năng kiểm soát đồng thời. DBMS cũng thực hiện các hoạt động phục hồi dữ liệu của cơ sở dữ liệu. Data as of components important that all the organizations have dependencies. Depends This is much greater which the successful and failure of organizations based index Focus quality and number of quality of data. The organizations could not đủ able to to manage the data avoid the lost data in organizations and kinh doanh your. Chính the phase database stored trữ in archive called as database '[6] [17]. Data stored in trữ database 'as geometry and usually stored trữ bottom screen formula of tables quan the system like most organizations use of databases quan which the system. Như model có dữ liệu quan the system in use, the data stored trữ table quan your various be associated with the exclusive. System managed databases (DBMS) is one set of the application to which it is helps Prop in failed to manage the data currently in database '[1]. This helps to organizations the data for performance better and lookups faster with ways duy Trì specified number. This helps sure manager journal (nhật ký) of Transaction helps in that Khôi recovery data. DBMS executing a function of checking Soát at the same time. DBMS will execute the other activities recover data in the database '. Khi dữ liệu được lưu trữ trong cơ sở dữ liệu có thể là rất quan trọng, điều quan trọng là nó an toàn. Cơ sở dữ liệu có thể bị tấn công theo nhiều cách. Có một khả năng tấn công các dữ liệu được lưu trữ trong cơ sở dữ liệu như cơ sở dữ liệu được giao tiếp với một số ứng dụng và cản trở các ứng dụng; nó có thể tấn công cơ sở dữ liệu. Khí database stored in trữ database 'be much important, will important as it is secure. Database have not be Tấn Công in more than one way. There is a facility Tấn Công all the data stored in trữ database 'like databases are console with one zero the application VA có thể return the application to; it may be Tấn Công databases. Tình hình trở nên quan trọng khi người sử dụng cơ sở dữ liệu đang bị rò rỉ thông tin với thế giới bên ngoài. Bảo mật máy tính luôn luôn đề cập đến ba khía cạnh quan trọng của hệ thống máy tính cụ thể là liên quan đến bảo mật, toàn vẹn và sẵn có. Bảo mật đảm bảo rằng máy tính liên quan đến tài sản được truy cập chỉ bằng cách người được ủy quyền. Toàn vẹn có nghĩa là tài sản máy tính có thể được sửa đổi bởi người sử dụng chứng thực trong những cách có thẩm quyền. Sẵn sàng đảm bảo rằng tài sản có thể truy cập cho người dùng có thẩm quyền tại thời điểm thích hợp [1]. Cơ sở dữ liệu là một tài sản máy tính để bảo mật, toàn vẹn và tính sẵn sàng cần được xem xét trước khi áp dụng bất kỳ chính sách bảo mật trên hệ thống cơ sở dữ liệu. Tình screen return be important people on using the database 'being ro ri info ra substitution giới outside. Secure the computer always mentioned ba khía Cảnh important the system the computer tools be related to secure, full vẹn and properties available. Secure ensure the computer it related to the information not access the specified with the user to allowed. Tính full vẹn means that assets the computer be modified by certificate user name by how to allowed. State be be, ensure that assets can access to the user allowed at the time pixels applicable [1]. Database is one of assets the computer for the information security, full vẹn and the computer is available to be not view XET before apply any policy security in the file system databases. Có một số yêu cầu an ninh cho một cơ sở dữ liệu như vật lý, tính toàn vẹn hợp lý và yếu tố cùng với auditability, kiểm soát truy cập, xác thực người dùng và dữ liệu sẵn có [1]. Vật lý tính toàn vẹn cơ sở dữ liệu giao dịch với các vấn đề về thể chất liên quan đến cơ sở dữ liệu như mất điện. Vì vậy, một cơ sở dữ liệu phải được thu hồi từ các loại đó của thất bại. Tính toàn vẹn cơ sở dữ liệu hợp lý đề với việc duy trì và bảo tồn cấu trúc và quan hệ trong một cơ sở dữ liệu. Yếu tố toàn vẹn bảo tính chính xác của các yếu tố dữ liệu. Auditability đảm bảo theo dõi các thay đổi được thực hiện trong cơ sở dữ liệu cùng với những người dùng đã làm cho họ là có thể. Kiểm soát truy cập có nghĩa là một người dùng được phép truy cập dữ liệu chỉ được uỷ quyền. Có chế độ khác nhau truy cập vào các dữ liệu khác nhau. Giao dịch xác thực người dùng với xác minh các thông tin của người dùng trước khi cho phép truy cập bất kỳ dữ liệu đối tượng có trong cơ sở dữ liệu. Sau khi xác thực, dữ liệu nên có sẵn cho người sử dụng của hệ thống theo quyền truy cập của họ. Tính năng này được gọi là dữ liệu sẵn có [1]. There is a zero require the information security for an database 'like physical, logical and the computer full vẹn element along with (auditability), access control, authorized user and the data be be [1] . Tính full vẹn physical database with the problems physical related to database 'like take power. Because of Vay an database 'should be suppress from categories failed. Tính full vẹn databases logical with the job for duy Trì and security manager geometry and the quan the system in one databases. Elements full vẹn preserve the computer Fine of the element data. (Auditability) ensure tracker changes implemented in databases along with which you have make them as possible. Access control means that one you use of allowed to access the data only Uy allowed to. Have modes equal access to into the data various. Authentication transactions User defined as Minh the information of you before allow access to the any of the objects data in in the database '. After authorization, the data will be available for the user the system in privileges their. This feature be called the data be be [1]. 1.1.2. Các cuộc tấn công để cơ sở dữ liệu // These conversation Tấn Công up to database ' Cơ sở dữ liệu ngày nay đang phải đối mặt với các loại khác nhau của các cuộc tấn công. Trước khi mô tả các kỹ thuật để đảm bảo cơ sở dữ liệu, nó là thích hợp để mô tả các cuộc tấn công có thể được thực hiện trên cơ sở dữ liệu. Các cuộc tấn công lớn vào cơ sở dữ liệu có thể được phân loại như hình. 1.1, đó là suy luận, tấn công chủ động và thụ động trong cơ sở dữ liệu và SQLIA. Database Ngày Nay are right for away with the conversation Tấn Công with as various. Before described the xây dựng to ensure secure databases, it is suitable for more than described the conversation Tấn Công be implemented, into the database. The conversation Tấn Công big to the database 'be categories such as Minh Hòa in Hình 1.1, which is a Suy Luận, Tấn Công chủ dynamic and directories dynamic in databases and Tấn Công inserted codes SQL (SQLIA). Hình 1.1: Các loại tấn công vào cơ sở dữ liệu // Hình 1.1: These categories Tấn Công into database 1.1.2.1. Suy luận // Suy Luận (the Luận) Suy luận là một cuộc tấn công lớn vào các hệ thống cơ sở dữ liệu. Suy luận là một cách để lấy được dữ liệu nhạy cảm từ dữ liệu không nhạy cảm [1]. Có một cuộc tấn công trực tiếp có thể trên cơ sở dữ liệu. Kết quả is a conversation Tấn Công big into your system databases. Kết quả as a way to get the data sensor Cẩm Tú database can nh