Информационная безопасность баз данных (Database security) – система мер и средств, направленная на защиту сведений, находящихся в базах данных различного типа. Контроль за безопасностью баз данных необходим, содержащаяся в них информация всегда будет интересовать третьих лиц, и чем больше БД, тем более серьезного уровня защиты она требует.

Понятие базы данных

Под базой данных понимается не просто обработанная информация, хранящаяся в файле или группе файлов, а правильно организованная и подготовленная для пользователя. Для работы с базами используются программные средства защиты и управления – системы управления базами данных (СУБД), предполагающие применение языков программирования, обеспечивающих единые принципы описания, хранения и обработки информации. В качестве программной оболочки для баз данных чаще всего используются Oracle Database, MS SQL Server, MySQL (MariaDB) и ACCESS. Для описания содержимого применяются метаданные.

В практике используются следующие типы БД:

• фактографическая – сюда вносят краткую описательную информацию об объектах некоторой системы в точно определенном формате;
• документальная – в нее включены документы или файлы разного типа: текстовые, графические, звуковые, мультимедийные;
• распределенная – БД, разные части которой хранятся на различных серверах, объединенных в сеть;
• централизованная – для данных, находящихся на одном сервере;
• реляционная – база с табличной организацией данных;
• неструктурированная (NoSQL) – БД, где задачи масштабируемости и доступности решаются за счет атомарности (англ. atomicity) и согласованности данных, без создания для них определенной (реляционной) структуры.

Задачи по обеспечению безопасности баз данных

Структурированная и систематизированная информация, размещенная в управляемых базах данных (СУБД), находящихся на выделенных серверах, легче поддается обработке и анализу, используется при выстраивании бизнес-процессов. Интерес у злоумышленников она вызывает больший, чем неструктурированная информация в разрозненных файлах и кратковременной памяти. Поэтому основными задачами по обеспечению безопасности становятся:

• защита информации от несанкционированного доступа (НСД) инсайдеров или внешних заинтересованных лиц;
• предотвращение уничтожения данных. Механизмы современных DBMS (систем управления СУБД, Database Management System) способны вычислить частично стертую и поврежденную информацию и откорректировать ошибку, поэтому речь идет об обеспечении безопасности от рисков полного уничтожения содержимого базы;
• защита от программных и аппаратных ошибок, сложностей с доступом к серверу, которые затрудняют или создают невозможность для пользователей обрабатывать информацию, содержащуюся в базах.

Задачи решаются различными способами, выбор средств обеспечения безопасности основывается на понимании угроз, направленных на содержимое БД.

Угрозы

Выстраивание эффективной системы безопасности баз данных потребует оценки угроз с опорой на ценность информации и сложившуюся в сфере ее обращения практику преступного посягательства на данные. Так, одни средства используются для БД НИИ, и другие – для баз данных интернет-провайдеров. Среди основных:

• несанкционированное использование информации в БД системными администраторами, пользователями, хакерами;
• вирусные атаки с различными последствиями;
• SQL-инъекции, произвольно изменяющие код или переформатирующие базы;
• технические проблемы, снижение производительности, отказ в доступе, исключающие возможность использования информации;
• физический ущерб, нанесенный оборудованию или каналам связи;
• ошибки, недоработки, несанкционированные возможности в программах, управляющих базами, и ином ПО, наиболее уязвимы операционные системы.

Это наиболее типичные угрозы, с которыми приходится бороться в целях обеспечения информационной безопасности баз данных. 

Доступ и привилегии

Первой задачей по обеспечению безопасности базы данных становится разграничение прав доступа и определение привилегий, позволяющих системным администраторам осуществлять управление, а пользователям получать доступ к данным. 

Выделяется два типа привилегий: 

• системные привилегии;
• привилегии объектов.

Системные позволяют администратору выполнять управленческие действия по отношению к базе и содержащимся в ней информационным объектам. Это как, например, указано для СУБД SQL Server, создание:

• самой БД;
• процедуры разграничения или обработки информации;
• представления;
• резервной БД;
• таблицы;
• триггера.

Объектные привилегии определяют объем прав пользователя при работе с информационными объектами с учетом ограничений, диктуемых безопасностью. В СУБД чаще всего встречаются использование, выбор, вставка нового объекта, обновление и ссылки. 

После определения объема привилегий встает вопрос разграничения прав доступа, что позволяет отсечь от информационных массивов пользователей, не имеющих определенного объема прав, например, сотрудников других подразделений компании. Если система управления предприятием сертифицируется по одному из международных стандартов, например, ISO 9001, и в БД содержится информация, используемая для формирования публичной отчетности, обязательной задачей становится разграничение привилегий, при этом третье лицо, не являющееся разработчиком БД, проводит аудит наличия разграничений. Должно быть подтверждение того, что лицу предоставлено наименьшее количество привилегий при работе с базами данных и не предложено избыточных прав на управление программой или изменение информации. Проблема завышенных привилегий отмечается экспертами как одна из основных уязвимостей, характерных для СУБД. 

В единых для всей компании базах данных в целях безопасности сведений встает вопрос разграничения прав пользователей на доступ к различным информационным объектам, содержащимся в БД. Этот вопрос безопасности решается с использованием различных программных средств, позволяющих присвоить маркеры пользователям и объектам. Операции становятся возможными только при совпадении маркеров. В современных ПО решена задача разграничения доступа не только к элементам БД – файлам, документам, записям, но и к структурным параметрам, таким как элемент, поле, запись, набор данных. 

Методики оценки уязвимости

Ряд требований по сертификации деятельности компании предполагает оценку уязвимости БД по различным методикам и параметрам с целью установления того, насколько обеспечена безопасность информации. Применяется ручное или автоматическое сканирование, направленное на поиск ошибок в программном коде, позволяющих несанкционированно получить доступ к данным, обойти элементы управления безопасностью, взломать защиту или скомпрометировать ее степень. Параллельно со сканированием уязвимостей обязателен непрерывный мониторинг, призванный выявить инциденты информационной безопасности или изменение файлов СУБД. Сканирование и мониторинг – обязательные механизмы оценки рисков для компаний, испытывающих необходимость в сертификации по ISO или размещающих свои ценные бумаги на иностранных фондовых рынках. 

Мониторинг

Отсутствие сбоев в работе баз данных и постоянную доступность информации позволит выявить мониторинг активности. Он проводится в режиме реального времени одним из следующих методов:

• путем анализа трафика протокола (SQL), осуществляемого от сервера управления по сети;
• путем наблюдения за активностью локальной базы данных на каждом сервере для распределенных БД с использованием программных агентов, размещенных на сервере управления.

Дополнением к аудиту активности служит аудит действий, при котором в журнал активности записываются все операции, совершаемые пользователями в отношении элементов баз данных. Требования безопасности, согласно стандартам, предполагают, что администраторы не могут отключать или изменять правила поведения таких учетных регистров, изменять записи в них. Также такие системы мониторинга часто имеют право самостоятельно выявлять или отключать пользователей, чья активность покажется им подозрительной.

Аудит

Внешний или внутренний аудит работоспособности баз данных позволит выявить системные проблемы или внезапные инциденты. Большинство администраторов БД используют внешние программные инструменты для организации аудита уязвимостей и проблем с безопасностью баз данных. Однако многие платформы для размещения баз данных способны предложить собственные инструменты аудита. Такой мониторинг на уровне хоста или провайдера станет контрольным инструментом, позволяющим доказать, что в БД не были внесены изменения. 

Процесс и процедуры контроля

Настроенные процедуры контроля помогут решить задачи привлечения к ответственности лиц, нарушивших целостность или конфиденциальность информации. Программа обеспечения безопасности баз данных должна гарантировать регулярный анализ объема привилегий и прав доступа пользователей, выявляя изменения. Также для повышения степени безопасности БД часто используются:

• система двухфакторной аутентификации пользователей, иногда с использованием технических средств – токенов;
• система звуковой сигнализации при выявлении инцидентов информационной безопасности;
• система аварийного восстановления при уничтожении базы или ее части. Отказ от внедрения системы резервного копирования становится одной из наиболее частых ошибок.

Иные программные решения защиты базы данных могут быть реализованы при внедрении DLP-системы, исключающей намеренные утечки данных.

Общие принципы управления безопасностью баз данных

Выстраивая систему защиты информации и комбинируя различные способы, оптимального эффекта можно добиться, последовательно совершая шаги:

• выбор защищенного сервера или платформы баз данных, предлагающих собственные системы аудита и мониторинга;
• ограничение физического доступа к компьютерам, на которых находятся элементы БД, и ограничение прав доступа пользователей при помощи программных решений;
• использование двухслойных решений для организации доступа, при которых пользователь получает допуск к CRM или иной бизнес-системе, содержащим только ссылки на элементы БД. Это минимизирует риск неправомерного использования, изменения или копирования информации;
• обеспечить наличие системы резервного копирования и восстановления базы после сбоев;
• исключение возможности запуска любых программ или процессов на сервере с БД.

Этот комплекс ограничений снизит риск неправомерного доступа к БД и позволит решить проблему безопасности информации и подтверждения ее достоверности аудиторам в необходимых случаях.

16.01.2020