Информационная безопасность баз данных обеспечивается программными и техническими средствами разного уровня. Часть из них уже встроена в штатную модель защиты СУБД, часть внедряется дополнительно. Уровень безопасности никогда не бывает постоянным: злоумышленники разрабатывают новые вредоносные программы, изобретают новые способы взлома. Поэтому первой задачей обеспечения ИБ данных становится регулярный мониторинг уязвимостей, как ПО, так и сервера.

Что представляет собой база данных

База данных – форма хранения информации, существующей в структурированном виде. Данные в базе систематизированы, их хранение и доступ обеспечивается с использованием специальных программных оболочек, механизмов управления – СУБД. Эти программные решения выступают средствами коммуникации между прикладными приложениями и хранилищем информации, поступающей из них. 

Содержимое таблиц описывается при помощи метаданных – кратких комментариев о сути записи. Они облегчают поиск нужной информации. При конструировании алгоритма защиты данных используются СУБД – программная оболочка. Наиболее востребованные программные оболочки для баз данных – Access, MySQL, MS SQL Server, Oracle. 

Выделяют базы данных нескольких типов. 

По содержанию:

• фактографические, или содержащие перечень сведений, имеющих конкретную ценность, например, база отпечатков пальцев;
• документальные, содержащие не факты, данные, а документы.

По способу конструирования:

• распределенные, в которых различные таблицы хранятся на разных узлах компьютерной сети;
• централизованные, которые размещают на 1-2 серверах;
• реляционные, в них связанная между собой информация хранится в двухмерных таблицах, а управление ими осуществляется при помощи языка SQL;
• неструктурированные.

Выбор модели безопасности баз данных осуществляется исходя из типа базы и используемой программной оболочки.

Как строится ИБ для баз данных

Информация в базах данных структурирована и снабжена метками, метаданными. В этом виде ценность данных для гипотетических злоумышленников повышается, они могут оценить значимость информации и похитить необходимое им. К тому же, популярные СУБД имеют уязвимости, хорошо известные злоумышленникам. Исходя из этого выстраивается модель угроз. 

Среди основных:

• несанкционированный доступ в базы данных конкурентов, хакеров, сотрудников компании;
• непреднамеренное или преднамеренное заражение данных и ПО вредоносными программами;
• нарушение целостности данных в результате повреждения оборудования или программной оболочки.

Для компаний, работающих с большим объемом информации, проблемой становится не только хищение данных, но и затруднение доступа к ним в течение рабочего дня. Поэтому для них при выстраивании модели безопасности баз данных критерий обеспечения постоянной доступности становится ведущим.

Каждая компания решает задачу защиты баз данных по своему стандарту, единой идеологии не предложено. Так называемая Радужная серия – серия стандартов информационной безопасности, разработанная и опубликованная в США в период с 1980 по 1990 годы, – позволяет понять общее направление защиты. данных Эти рекомендации перекликаются с общими стандартами ФСТЭК РФ, которые делают упор на дифференцированный доступ, минимизацию привилегий пользователей, использование межсетевых экранов и средств криптографической защиты. Рекомендации по защите баз данных дает и Пурпурная книга (стандарт NCSC-TG-021). Но, исходя из года ее написания, 1990, нет уверенности в том, что эти рекомендации не устарели.

Как создаются средства обеспечения безопасности баз данных

Каждый год появляются новые ИБ-угрозы. По данным Следственного комитета РФ, до 70 % преступлений сейчас совершается при помощи информационных систем, при этом ежегодно растет уровень преступности, связанной с использованием вредоносных программ и несанкционированным доступом к информации.

При построении структуры безопасности реализуются общие подходы:

• ограничение доступа пользователей к базам данных, создание модели, при которой права на просмотр и копирование данных ранжируются исходя из ролей пользователей;
• настройка системы аудита действий пользователей как в рамках штатных механизмов СУБД, так и в, с использованием внешних утилит;
• исключение роли системного администратора с полным доступом ко всем возможностям СУБД на уровне базы, и на уровне сервера;
• шифрование данных;
• усложнение систем аутентификации и авторизации.

Эти решения способны гарантировать до 90 % защищенности базы данных в обычной ситуации, но они не всегда спасают от целевых внешних атак на ПО и сервер. При этом защитные меры нередко применяются как реакция на угрозу или упоминание о ней, поэтому уязвимости баз данных продолжают сохраняться.

Основной проблемой продолжает оставаться отсутствие системности. Не все штатные программисты понимают, какие рабочие механизмы обеспечения безопасности систем баз данных есть в СУБД, какие из вложенных утилит можно использовать без привлечения внешних ресурсов. Дополнительные программные средства, применяемые для защиты информации в СУБД и обеспечения безопасности серверов, часто создают дополнительную нагрузку на систему или порождают сбои программного обеспечения из-за ошибок администрирования. 

Эксперты выделяют следующие причины появления подобных проблем:

• при разработке архитектуры баз данных вопросам безопасности уделяют недостаточно внимания;
• используемый сервер недостаточно мощный;
• одинаковая модель построения безопасности баз данных пришедшая из 1990-х, не обновляется. д Старые уязвимости сохраняются и масштабируются;
• только крупные компании при конструировании СУБД учитывают современные модели угроз для данных;
• хакеры, тестируя информационные системы перед проникновением, начинают с баз данных как одного из наиболее незащищенных элементов – их уязвимости хорошо известны;
• новые программные решения часто не учитывают проблемы старых.

Все это порождает необходимость не опираться на собственных специалистов компании, часто не знакомых с проблемами безопасности систем баз данных и требованиям к серверам, а обращаться к разработчикам, уже зарекомендовавшим себя в качестве производителей надежного ПО для хранения данных. 

Базы данных часто страдают от действий инсайдеров: сотрудники после конфликта с руководством удаляют из БД критически важные данные, взламывают базу, чтобы украсть данные клиентов на продажу. Как защититься?  

Модели решений для защиты баз данных

При разработке стратегии защиты систем баз данных на одно из первых мест ставится финансовый вопрос. Использование продвинутых программных решений для защиты баз данных и наем высококвалифицированного персонала могут себе позволить не все организации. По этой причине большинство компаний используют бесплатные NoSQL-решения, и это создает дополнительную угрозу для безопасности данных.

В реляционных базах данных из SQL-семейства зачастую имеются надежные средства защиты. В open source вариантах выстраивать систему защиты данных часто приходится создавать с нуля. Такие программные продукты не имеют встроенных механизмов шифрования данных и аудита действий пользователей, проблему аутентификации также придется решать при помощи дополнительных ресурсов, чаще всего используя операционную систему.

Первым правилом обеспечения безопасности систем баз данных становится создание защищенной системы управления информацией, доступ пользователей в которую строго регламентирован, а внешнее проникновение невозможно. 

Необходимо решить задачи:

• идентификации пользователей;
• создания системы дифференцированного доступа к данным;
• защиты целостности информации.

Эксперты делят уязвимости БД на две группы – зависящие от данных и связанные исключительно с проблемами программной оболочки. Для вторых наибольшими рисками оказывается несвоевременное обновление ПО и недостаточная квалификация администраторов. Отдельной проблемой становится использование языка программирования, с которым плохо знакомы системные администраторы, но давно работают хакеры.

Чтобы защитить данные и СУБД, нужно:

• создать доверенную среду – структуру ограничений на управление базой данных, на права по изменение информации;
• обеспечить физическую безопасность данных – решить задачу сохранности информации от разрушения, ее настроить ее резервное копирование.

Доверенная среда, в которой минимизированы риски несанкционированного доступа, должна быть реализована на единых принципах для всех информационных ресурсов предприятия. Требуется внедрить общий механизм дифференцированного доступа, минимизировать привилегии пользователей, создать защищенные каналы связи. 

Вторая задача решается организационными и техническими мерами, например, использованием RAID-дисков для хранения данных. 

Обеспечение безопасности системы баз данных надо начинать с аудита уязвимостей и выбора наиболее защищенной СУБД. 

При настройке СУБД нужно предусмотреть:

• методы аутентификации пользователей;
• модель дифференцированного доступа;
• типы антивирусных решений;
• средства криптографической защиты.

Базы данных, построенные на базе языка SQL, уже содержат утилиты для решения этих задач. Дополнительные программные продукты могут понадобиться, когда этого требуют регуляторы, например, когда в БД обрабатываются персональные данные или сведения, относящиеся к государственной тайне.

21.08.2020