Защита баз данных – одно из ключевых требований информационной безопасности. Для информационных систем государственных органов и ведомств ФСТЭК разработал пакет рекомендаций, которым необходимо следовать. Частные компании, если в их базах не содержатся персональные сведения, абсолютно свободны в выборе средств и способов защиты баз данных.

Модель угроз

Модель угроз для баз данных немного отличается от общей модели угроз, разрабатываемой для информационной системы в целом. 

Необходимо ориентироваться на следующие риски:

• инференция (анализ доступной информации) и агрегирование (изучение общих принципов размещения данных (Logical Inference and Aggregation). Оба этих метода позволяют получить информацию без использования средств несанкционированного доступа;
• комбинация нескольких групп запросов, разрешенных регламентами защиты баз данных, для получения закрытых сведений (Browsing); 
• создание скрытых утечек передачи информации (Covert Channels);
• SQL-инъекции (SQL Injection);
• программные закладки, не выявленные при сертификации (Backdoors);
• вредоносные программы, носящие характер троянов (Trojan Horses).

Понимание рисков, присущих именно СУБД, побуждает использовать специальные способы защиты баз данных.

Стандартные средства защиты

Существует несколько общих рекомендаций, которые требуется выполнять в любой ситуации. Эти способы защиты баз данных несложны и могут нивелировать до 90% внешних и инсайдерских угроз. Необходимо переформатировать конфигурации, заменить пустые наименования учетных записей, создать систему постоянной смены паролей, убрать стандартные таблицы. После этого требуется ограничить права доступа и контролировать каналы связи с удаленными офисами. 

Также требуется:

• установка межсетевых экранов;
• решения по дифференцированному доступу;
• аудит всех операций, выполняемых пользователями с базой данных;
• контроль использования съемных носителей.

Важно контролировать порты удаленного доступа к БД и их своевременное отключение. 

Эти простые решения на порядок снижают риск лобовых атак и инсайдерского попыток взлома любого вида. Для борьбы с целевыми атаками хакеров, знакомых с уязвимостями программных продуктов, и с действиями внутренних пользователей, использующих привилегии для того чтобы обойти общепринятые способы защиты баз данных, существуют другие решения.

Аудит как мера защиты

Настройка систем аудита позволяет не только понять, кто и как организовал утечку информации, но и собрать доказательства, достаточные для привлечения виновника к ответственности. Журналы аудита требуют дополнительной настройки, поиск по ним часто бывает затруднен. А если для пользования БД идентификаторы присваиваются не конкретному пользователю, а отделу или подразделению, использовать эти записи как доказательства не получится. 

Минусы систем аудита как средств защиты баз данных:

• дополнительная нагрузка на серверы, снижающая общую производительность системы; 
• дополнительные и часто неоправданные трудозатраты;
• сложный интерфейс и параметры настройки программного обеспечения;
• проблемы с записью действий, если сама база данных и ее приложения размещены на нескольких серверах.

На практике аудит применяется только тогда, когда его использования требуют стандарты качества работы компании. 

Автоматизированные системы защиты баз данных

Многие вендоры, в том числе российские, предлагают продукты для надежной и комплексной защиты баз данных. Обычно они не требуют привлечения существенных вычислительных ресурсов и не нагружают информационную систему компании. Большинство из таких систем имеют сертификацию ФСТЭК, не содержат незадекларированных возможностей и оптимизируют применяемые компанией способы защиты баз данных.

Для защиты БД предназначены продукты классов DAM и DBF:

• DAM (Database Activity Monitoring) – это программные продукты, позволяющие отслеживать действия пользователей в базе данных. Для их установки не требуется изменения конфигурации СУБД. Интересно, что ПО может анализировать только копию трафика, не влияя на обращения пользователей к базе данных;
• DBF (Data Base File) – редакторы баз данных, которые оптимизируют управление файлами. Активная защита информации обеспечивается путем блокировки запросов, которые не находят подтверждения в качестве обоснованных. Программные продукты работают с самим трафиком, а не с копиями, поэтому при их использовании возможен временный разрыв связи с БД. 

Продукты класса DAM способны не только фиксировать, но и анализировать процесс взаимодействия пользователя с базами данных, вести учет SQL-запросов, поиск в них по заданным параметрам. ПО ведет архив инцидентов информационной безопасности. Это полезно для анализа. Программы не конфликтуют с СУБД, напротив, синхронизируются с ними и во взаимодействии решают задачи:

• классификации. ПО сканирует содержимое базы данных и выявляет разделы, где содержится ценная информация, подлежащая особой защите, например, персональные данные;
• проверки на уязвимости;
• создания матрицы доступа к данным. Это необходимо для выявления избыточных привилегий доступа, неиспользуемых прав, учетных записей уволенных или переведенных на другие позиции пользователей.

Основными преимуществами установки программного продукта DAM-класса становятся возможность генерировать отчеты об активности пользователей по любым заданным администратором параметрам, а также совместимость с SIEM-системами большинства разработчиков.

Для отслеживания пользовательских операций в БД на профессиональном уровне рекомендуем использовать Database Monitor. Узнать больше.  

Продукты, работающие по принципу DBF, представляют собой некий аналог СУБД, но нацеленный конкретно на обеспечение безопасности файловой системы. Они позволяют:

• производить поиск информации внутри базы;
• сортировать данные;
• производить фильтрацию;
• находить дубликаты данных;
• отсекать определенные недопустимые запросы.

Такое программное решение на производстве часто используют только в режиме мониторинга. Чтобы система не конфликтовала с АСУ ТП, можно настроить правила блокировки, но на практике не все специалисты IТ-подразделений способны создать требуемый программный код. Подготовка персонала является серьезной проблемой, и ни один из способов защиты баз данных не будет эффективен, если системные администраторы не в силах отойти от норм, которые описаны в руководстве пользователя. 

Возможный отказ в доступе к базе данных как побочный эффект использования ПО обусловливает установление систем этого типа только в компаниях с опытом скрупулезного прописывания регламентов взаимодействия пользователей и программ.

***

Все решения по защите одновременно применять не следует. В задачу системного администратора входит создание комплексного решения, позволяющего задействовать все позитивные факторы программного обеспечения и минимизировать риски, связанные с конфликтами ПО или неправильной постановкой задачи. Способы защиты баз данных всегда входят в зону ответственности компании, и выбор технических решений показывает степень серьезности отношения к этой задаче.

05.08.2020