摘要：当前，商务网站发展非常迅速，众多商务网站形成非常激烈的竞争态势，在非常大的点击率的情况下，商务网站的数据库质量是商务网站运行是否稳定的重要保证，如果受到恶意攻击，网络的服务器和数据库则会可能都受到不同程度的损坏，所有的数据将会被窃取或篡改，因此，对于商务网站来说，其数据库的设计应该更为严格，文章主要就商务网站数据库的设计问题做了粗浅的探讨。
关键词：商务网站 数据库 网络攻击
0 引言
商务网站一般采用WIN操作系统，基本上不采用UNIX系统，由于WIN系统在当今的计算机操作系统中使用比例极高，系统的漏洞很容易被发现，会被攻击者直接用来编制蠕虫病毒，系统极易受到攻击。MS SQL SERVER虽然属于大型关系型DBMS，但由于被大量用户采用，它的缺陷和漏洞也就容易被发现，数据库内所有的数据不但被攻击者一览无余，攻击者还可以通过建立自己的数据库账户，攻击者还可以通过执行MS SQL SERVER中的相关的文件来运行WIN程序，就像在自己的服务器中一样建立自己的用户，更改删除文件，网站没有任何的安全性。因此，需要进一步完善商务网站的数据库设计。以下论文主要探讨了商务网站数据库容易存在的问题，并提出了相应的完善策略。
1 商务网站数据库设计容易出现的问题
1.1 对数据库的攻击 在当前开放的网络环境下，由于存在着网络协议、操作系统等网络本身的多方面的安全的漏洞，让攻击者可以通过网络对数据库进行各种方式的攻击，这些都成了网络数据库系统安全的最重要的隐患所在。同时，攻击者可以对于数据库进行任意地执行系统指令，从而得到操作系统的管理权限。通过远程控制进行执行系统指令可以得到系统的控制管理权限，进而直接威胁服务器操作系统的数据库方面的安全，甚至让整个服务器完全处于瘫痪状态，甚至破坏数据库和服务器，使他们无法进行正常工作。另一方面，数据库所采取的安全检查措施级别远低于操作系统和网络的安全检查措施的级别，这样一来，就造成了数据库应用系统通常同操作系统的最高管理员系统紧密相关，并且更难很好的完善的进行配置和保护数据库。
1.2 软件方面也存在着较大的风险 一般来说，由于软件未及时打上操作系统补丁，脆弱的服务和不安全的默认配置等问题可以造成网站数据库受到攻击。同时，各商务网站用户客户端聊天软件本身也存在一定的风险，例如旺旺，QQ，百度等，这些都是黑客攻击数据库系统进行窃听等窃取数据常用的方法，其次病毒的种类越来越多，从而使数据库受到破坏和攻击。
1.3 认证机制不健全 商务网站的客户认证机制无法可信地向服务器端数据库证实其用户的身份。用户可能访问某个特定移动客户机，并假装另一个用户在操作移动客户机，同时，“用户可能会更改客户机的地址等信息，使得用户发出的请求看似来自伪装的移动客户机，还有可能是用户可能窃听报文交换过程，并使用重放供给来获得进入数据库服务器或打断进行的操作”。在支付宝和财付通认证方面，目前均存在一定的缺陷，都没有强行数字证书认证，这使得客户的账户容易泄露，甚至造成网站数据库资料的泄露。
2 商务网站数据库安全问题的设计对策
2.1 硬件方面的设计对策 要采用性能可靠的硬件进行数据库设计，以此来保证物理层安全，就这点来说，最主要的可行的方法是要采用性能可靠的硬件同时还要采用冗余容错技术，最常用的主要有双多机集群系统，以及磁盘冗余阵列和双多冗余通讯线路等方法。另外，还要特别保证中心服务器的安全与正常的运行，在商务网络与外部联系的通道之间建立有效的防火墙系统，以及系统的服务器和数据库服务器等都要放在防火墙内部，同时还要做到的是对外公开使用的部分要放在防火墙外部，只有这样，经过授权的外网用户才能通过设计的防火墙进入到内网系统获取相应的信息。最后，要使用拥有安全机制的网络设备如交换机、路由器等，能实现访问控制和权限管理。
2.2 建立独立数据库服务器 商务网站在数据库方面的要求比较低，用不直接联网的普通计算机作为独立数据库服务器，选用性能比较稳定的、有较大内存的个人的计算机作为独立的数据库服务器。攻击者要攻击数据库则要先取得网络服务器的控制权，然后再利用网络服务器作为跳板才能攻击数据库，如此一来，独立的数据库服务器被攻击的机率就要小得多，同时为了防止攻击，还可以租用第三方服务商提供的商务网站，虽然服务器不受经营者控制，但数据库服务器是独立的并受经营者控制的，可以自行设置安全措施提高安全性。
2.3 软件方面的设计策略 首先要利用软件技术来增加操作系统与网络服务器的安全性，对于数据库运行所依赖的操作系统和网络来说，安全威胁主要都是来自外来的病毒的入侵，所以说外围层中应避免病毒利用网络平台隐藏、扩散及破坏整个系统的运行，可进一步采用VPN技术构筑网络数据库系统的虚拟专用网以有效的保证网络路由的接入安全及信息的传输安全性能，还可以通过防火墙技术进一步实现网问隔离和网段间隔离以此来有效保证网络边界安全，从而可以有效的确保系统免受病毒等非法入侵的危害。最后，可通过加密防止数据在传输过程中被监听。如果不加密的话，所有的网络传输都是明文的，是一个很大的安全威胁，所以，在条件容许情况下最好使用SSL来加密协议。
其次，还要进行提高数据库自身安全的设计，要求数据库服务器对外部即WEB服务器开放最少的端口。一台标准的MS SQL SERVER服务器对WEB服务器只开放1433端口，把其余不必要的端口全部屏蔽掉。将MS SQLSERVER的服务端口由1433改成别的端口，增加攻击软件对数据库服务器的服务端口的扫描难度。一旦系统安装完成后，再给所有的账户设定一个强健的口令，同时还需要再建立一个账户，这个账户是系统管理员角色，这样就可以禁用SA账户，使得攻击者无法通过破解SA的口令而登录到数据库中。
2.4 做好安全认证与数据库备份工作 完善身份认证机制中的服务器数据库同步时需要进行身份验证，防止非法终端的欺骗性接入，当客户机和服务器端数据库进行通信时，客户身份需在服务器端数据库中验证。可采取如下措施：建立用户身份鉴别机制。将操作系统的用户身份鉴别机制和移动数据库系统的身份鉴别机制一起实施形成双重保护，这种用户身份鉴别一定程度上强化了数据库系统的保密性。还要对访问进行确认，以防止否认。建立严格的数据备份机制是保障所有商务网站数据库系统安全的有效手段。数据备份要保证备份数据的完整性而且要建立详细的备份数据档案。对数据库进行备份应综合使用三种备份策略，普通的商务网站数据库的备份要根据系统运行的实际情况，周期性地进行全面数据库的备份。
3 结论
随着网络技术的发展，商务网站也得到蓬勃发展，其数据的安全特别是后台移动数据库安全非常重要。安全策略还需要根据实际问题具体对待，确保其安全是一个系统工程。以上提到的这些方法也不是绝对安全的，还需要网站管理者进一步研究，应该在实践中不断探索移动商务中数据库系统的安全性问题。
参考文献：
[1]林佳.移动商务数据库安全策略探讨[J].广西轻工业，2010，(01).
[2]赵俊强.中小型企业网络的安全策略[J].煤矿设计，2001，(02).
[3]谷志新，王述洋，田仲富.浅谈网络安全策略[J].林业劳动安全，2004，(04).
[4]王宗江，乐嘉锦.移动数据库的最新发展[J].郑州纺织工学院学报，2001，(02).
[5]樊爱华，陈火旺，齐治昌，沈雁.动态灰色时序系统DGTS及其在安全策略规范中的应用[J].国防科技大学学报，1995，(04).
[6]赵颖，伊崇信.网络安全与电子商务[J].齐齐哈尔大学学报，2002，(03).
[7]王立功，李晓瑛，李晓辉.网络服务器的访问控制安全策略[J].焦作工学院学报(自然科学版)，2002，(03).