Бизнес все чаще организует работу в распределенном формате – множество подразделений, разбросанных по всему миру, удаленные сотрудники. Иногда к информационным ресурсам компании – базам данных – подключаются тысячи пользователей с нескольких континентов. В мире, где защита информации становится одним из ключевых требований, обеспечение безопасности эксплуатации удаленных баз данных – настоятельная необходимость.
Работающая под управлением СУБД удаленная или распределенная база данных – это совокупность серверов, на которых находятся информационные массивы, и каналов подключения к ним. Безопасность данных обеспечивается по стандартным принципам контроля доступа, шифрования, минимизации привилегий. Но возникает и дополнительная задача – обеспечение безопасности каналов связи, по которым идет поток информации от пользователей к БД и навстречу. Эти каналы могут использоваться для перехвата данных, их подмены, внедрения SQL-инъекций, проведения DDoS-атак.
Особенно сложной для контроля оказывается ситуация, когда база данных размещается на облачных ресурсах. Компании выбирают этот вариант хранения информации часто, поскольку он существенно снижает затраты на закупку и обслуживание собственных ресурсов. В России услуги по созданию удаленного кластера с данными в облаке оказывают Яндекс и Mail.ru, существуют и многочисленные зарубежные аналоги.
При выборе провайдера следует обращать внимание на:
При принятии решения о создании удаленного хранилища данных нужно разработать модель угроз – и для собственной инфраструктуры, и для облачных платформ.
БД и их инфраструктура должны блокировать три основных угрозы безопасности данных:
Российские провайдеры гарантируют защиту инфраструктуры в соответствии с требованиями закона «О персональных данных», что обезопасит ценные данные в облачной среде, от утечек или вирусных атак. Быстродействие при запросах и генерации отчетов и высокую производительность гарантируют внедренные провайдерами технические решения. О безопасности удаленных подключений к хранилищам следует подумать самостоятельно.
Основные угрозы при передаче данных:
Для БД, размещенных на собственных серверах, характерны следующие угрозы:
Модель угроз для облачных ресурсов должна учитывать страновые риски. Многие помнят отключение сервисов Яндекса в Украине. Поэтому при создании базы данных на зарубежных серверах не следует исключать их блокировку. Кроме того, информация в этом случае оказывается в зоне доступа иностранных конкурентов, которые не всегда придерживаются честных методов и иногда для хищения данных используют ресурсы иностранных военных разведок. При этом усложняется система судебной защиты коммерческой тайны в отличие от ситуации, когда данные хранятся в России.
Заключая договор с провайдером, необходимо убедиться, что в его инфраструктуре реализованы следующие функции:
Облачные хранилища данных должны быть постоянно доступны для пользователей. Для решения этой задачи часто создают хосты с копиями БД в разных зонах доступности и в разных регионах. Копии данных, создаваемые в режиме реального времени, автоматически сохраняются на каждом хосте. При отказе одного сервера или выходе его из зоны доступности по тем или иным причинам (технические работы, блокировка), пользователь будет переадресован к работающему хосту.
Базы данных различных клиентов хранятся в изолированных зонах. Общие компоненты баз данных не используются, а это значит, что доступ к чужой информации получить нельзя.
Еще один способ защиты данных в облаках – резервное копирование. Снимки базы данных MySQL создаются постоянно, но, заключая контракт с провайдером, необходимо уточнить фактический временной промежуток. Термин «непрерывно» может означать и ежеминутно, и раз в сутки. Провайдеры часто декларируют применение инструмента Point-in-Time Recovery (PITR) для восстановления баз данных, более старые версии при этом уничтожаются.
К данным должны иметь доступ не только пользователи, но и администраторы. Они должны получить возможность отслеживать аномальную активность пользователей. Удаленные базы данных облачных провайдеров предоставляют заказчикам возможность использовать следующие средства безопасности:
Для отслеживания пользовательских операций в БД на профессиональном уровне рекомендуем использовать Database Monitor. Узнать больше.
Для собственного хранилища данных не всегда удается своевременно обновлять СУБД и ОС, что создает дополнительные уязвимости для безопасности данных. Крупные облачные провайдеры проводят обновления регулярно, предварительно оговаривая с клиентами срок временной недоступности хранилищ данных.
Иногда при обработке больших объемов данных уровень производительности работы, а значит, и уровень доступности, снижаются. Крупные провайдеры решают эту задачу использованием более мощных процессоров, чем те, которые могут приобрести небольшие компании.
При подключении к облаку появляется риск перехвата трафика. Для безопасности данных компании применяют следующие меры:
Для организации удаленного доступа к собственным удаленным БД компании применяют схожие меры безопасности, что и для облаков. Если используется корпоративная локальная сеть, избежать рисков помогут SIEM-решения, выявляющие и блокирующие угрозы информационной безопасности.
Для контроля событий в программных и аппаратных источниках удобно использовать «СёрчИнформ SIEM». Программа обрабатывает поток событий, выявляет угрозы и собирает результаты в едином интерфейсе, что ускоряет внутренние расследования.
Необходимо предусмотреть следующее:
Если нет возможности реализовать эти механизмы в полном объеме и с использованием сертифицированного ПО на собственных серверах, при том, что в БД хранятся персональные данные граждан, надо задуматься о размещении БД в облаке. У облачных провайдеров, работающих в рамках 152-ФЗ «О персональных данных», сертифицированные программные средства уже внедрены.
Крайне важно в рамках системы дифференцированного доступа использовать и встроенные ресурсы СУБД, и дополнительное ПО. Организация безопасного удаленного доступа требует строгого соблюдения правил защиты БД, так как для хищения, модификации или уничтожения информации могут быть использованы права администраторов.
Удаленный доступ может осуществляться пользователями с различных устройств. С точки зрения больших возможностей контроля удаленного доступа в собственной сети рекомендуется применять программные продукты, проверяющие устройства, с которых производится доступ к базам данных, на соответствие корпоративной политике. Проверяется вхождение устройства в белый список, и, если его там нет, доступ запрещается. К каждой учетной записи может быть привязано несколько устройств.
Существуют программные продукты, объединяющие возможности VPN, шифрования, межсетевых экранов, устанавливаемые на мобильные устройства или десктопы пользователей. Одно из таких – Check Point Abra. Он эффективно разделяет пространство на устройстве на частную и рабочую зону, исключая возможность доступа к рабочему трафику из личных приложений. Продукт отвечает за создание безопасного виртуального пространства, мобильное устройство или десктоп становятся единой частью корпоративной сети с использованием всех ее ресурсов обеспечения безопасной эксплуатации удаленных баз данных. Продукт использует встроенное шифрование и VPN-технологию. Пример такого сервиса – Connectra.
Более сложное решение – Cisco Secure Desktop. Этот продукт гарантирует:
Это позволяет избежать любых утечек информации из баз данных, если доступ организовывается путем перехвата контроля за удаленным устройством.
Если существует риск взлома программных продуктов, отвечающих за аутентификацию и идентификацию пользователей на серверах компании, для защиты данных можно использовать внешние программные продукты. Трафик в этом случае идет от пользователя к серверу с базой данных через третий ресурс, на котором установлено ПО, обеспечивающее более серьезные меры зашиты.
Выбор модели защиты целиком остается за компанией, но необходимость полного контроля за удаленным доступом никем не подвергается сомнению.
24.08.2020
Подпишитесь на нашу рассылку и получите
свод правил информационной безопасности
для сотрудников в шуточных