СУБД – это система управления базами данных, особый программный комплекс, с помощью которого можно создавать, изменять и удалять базы данных.
СУБД лежат в основе большинства существующих программных продуктов и веб-сервисов. Социальные сети, мобильные приложения, банковские системы обслуживания счетов, операционные системы – все это функционирует за счет баз данных и систем управления ими.
В базах данных хранится информация о пользователях программных продуктов, их личные данные, сведения о финансовых операциях и другие данные, представляющие собой предмет коммерческой тайны. Вся эта информация должна быть защищена от злоумышленников: хакеров, мошенников и специалистов по промышленному шпионажу. Поэтому защита баз данных и обеспечение информационной безопасности СУБД – первостепенная задача разработчиков программных продуктов.
Базы данных подвергаются как внутренним, так и внешним угрозам.
К внутренним угрозам относятся:
Внешние угрозы преимущественно связаны с действиями злоумышленников – хакеров, IT-мошенников, а также с природными и антропогенными катастрофами.
Предметом интереса злоумышленников может быть даже самая невинная на первый взгляд информация. Например, база данных транспортной компании с номерами телефонов и паспортными данными клиентов. Получив доступ к этой информации, мошенники начинают звонить людям, представляясь специалистами колл-центров банков или компаний по продаже определенных товаров и услуг. Люди, услышавшие обращение по имени и отчеству, верят мошенникам и предоставляют данные банковских карт, секретные коды и пароли, другую важную информацию. Поэтому задача защиты данных стоит перед всеми компаниями, имеющими доступ к конфиденциальной информации.
Исходя из перечисленных выше потенциальных угроз информационной безопасности, можно выделить две категории средств защиты баз данных: аппаратные и программные.
В категорию аппаратных средств обеспечения информационной безопасности входит все, что касается защиты оборудования и технического оснащения. Это обеспечение пожарной безопасности серверной комнаты, регулярное обновление комплектующих запчастей сервера, ограничение доступа в серверную и т.д.
Многие компании сейчас активно используют технологию блокчейн, распределяя базы данных по множеству серверов в разных частях света. Технология блокчейн позволяет не беспокоится о безопасности оборудования и технического оснащения, так как вся информация многократно дублируется и шифруется, а место ее хранения вычислить практически невозможно.
Программные средства обеспечения информационной безопасности СУБД включают защиту данных, подключений и аудит действий пользователей.
Большая часть существующих систем управления базами данных – это клиент-серверные СУБД, пользователи которых подключаются к базам данных с помощью веб-приложений. Такая система подключений удобна, но требует защиты соединений. Чтобы было понятно, о чем идет речь, стоит привести пример.
Приведенный пример достаточно узкий, то есть не учитывает множества нюансов. Но он показывает, насколько важно обеспечивать безопасность подключений. Это нужно делать и внутри предприятия, чтобы доступ к базе данных был только у пользователей с правом доступа к конфиденциальной информации.
Служба информационной безопасности предприятия перед тем, как обеспечить безопасность подключений, должна определить:
1. Сколько пользователей имеет доступ к базам данных?
2. Как обеспечивается доступ пользователей к базам данных: напрямую или через API?
3. Используется ли прокси-сервер, пулы и другие способы сохранения анонимности запросов пользователей?
4. Защищена ли СУБД путем выделения ее архитектуры в отдельный защищенный компонент ПО?
В зависимости от того, какими будут ответы на эти вопросы, служба информационной безопасности определяет, как обеспечить защиту подключений.
В список популярных инструментов обеспечения безопасности подключений входят:
| Файрволы, то есть межсетевые экраны | Это программы, которые защищают подключения от несанкционированного доступа путем фильтрации и контроля трафика. Проще говоря, такая программа анализирует входящие пакеты данных и блокирует те, которые не соответствуют параметрам безопасности. Файрволы позволяют защитить подключение от ряда хакерских атак. |
| Системы авторизации пользователей | Чтобы ограничить доступ к базам данных, разработчики ПО активно используют парольные политики. При этом чаще всего дополнительно распределяются права пользователей. Например, пользователь, использующий логин admin, имеет право вносить изменения в состав и структуру баз данных, а пользователь, использующий логин user, может только просматривать хранимую в базах данных информацию. |
| Настройка протокола Secure Sockets Layer | SSL – это криптографический протокол, то есть протокол шифрования конфиденциальной информации. SSL обеспечивает защиту баз данных путем шифрования информации, которая передается от пользователя к СУБД. SSL в обязательном порядке используется разработчиками банковских веб-приложений и других сервисов, имеющих доступ к конфиденциальным данным пользователей. Настройка SSL также необходима в том случае, когда в системе отсутствует сетевое разграничение, то есть все пользователи обладают равными правами доступа. |
Перечисленные инструменты обеспечения безопасности подключений используются практически всеми разработчиками ПО. Проверить это легко. Например, веб-приложения с настроенным протоколом SSL имеют адрес https, а незащищенные – http. То же самое касается файрволов и систем авторизации. В любой социальной сети, почтовом сервисе и даже во многих интернет-магазинах вход в систему осуществляется путем ввода логина и пароля, а вредоносные ссылки и сайты автоматически блокируются. Поэтому защиту подключений можно считать основным способом обеспечения информационной безопасности.
Бесперебойная работа СУБД невозможна без периодического проведения аудита. С помощью мониторинга действий пользователей и состояния системы в целом системные администраторы выявляют ошибки и уязвимости, анализируют производительность работы ПО, оценивают необходимость апгрейда технического оснащения.
Аудит может проводится как на уровне базы данных, так и на уровне сервера. Аудит на уровне БД проводится системным администратором и преследует цель проверки действий пользователей. Задача такого аудита – определить, какие пользователи пытались осуществить несанкционированный доступ в систему, выполняли подозрительные действия и совершали ошибки, ведущие к искажению или уничтожению важной информации. Аудит на уровне сервера позволяет контролировать действия системного администратора. Таким образом важные данные защищаются от неправомерных действий пользователей с расширенными правами доступа. В рамках такого аудита осуществляется резервное копирование БД.
Аудит действий пользователей можно проводить с помощью разных инструментов: скриптов, триггеров, автоматизированных систем защиты. Выбор инструментов зависит от целей проведения аудита и того, как выбранные инструменты влияют на производительность системы.
В каждой СУБД есть встроенные инструменты аудита. Например, в Microsoft SQL Server встроено два инструмента: Activity Monitor (монитор активности) и Data Collector (сборщик данных). С их помощью выполняются практически все задачи диагностики. Для управления этими инструментами и расширения возможностей аудита системные администраторы устанавливают скрипты – программы, автоматизирующие действия пользователей.
Использование встроенных инструментов аудита называют штатным аудитом. Штатный аудит позволяет быстро провести анализ работоспособности системы, автоматизировать ряд простых операций, составить отчет о проведенном аудите и выявленных ошибках. Однако у штатного аудита есть недостатки. Во-первых, многие встроенные инструменты аудита снижают производительность системы. Во-вторых, штатного аудита недостаточно, чтобы обеспечить полноценную защиту баз данных. Поэтому большинство разработчиков ПО и системных администраторов используют автоматизированные системы обеспечения информационной безопасности системы Database Firewall и Database Activity Monitoring.
Database Firewall (DBF) – это не просто межсетевой экран, а целая система информационной безопасности, работа которой направлена на комплексную защиту баз данных.
В перечень функций DBF входит:
Разработкой DBF занимаются все ведущие компании-разработчики: Oracle, Microsoft, Sybase, IBM и др. Функции разработанных этими компаниями DBF практически идентичны, поэтому выбор пользователей зависит в основном от стоимости продукта и привлекательности интерфейса.
Database Activity Monitoring (DAM) – это система активного мониторинга баз данных. Основное преимущество DAM – это полная автоматизация системы. То есть, если при использовании встроенных инструментов аудита системные администраторы вынуждены вручную прописывать команды и настраивать конфигурацию аудита, то при использовании DAM все эти действия выполняются автоматически, без вмешательства со стороны пользователей системы. Вторым преимуществом DAM является то, что они не влияют на продуктивность системы, так как работают с копией трафика.
В перечень функций DAM входит:
Как и в случае с DBF, созданием DAM-систем занимаются все ведущие компании-разработчики.
Для отслеживания пользовательских операций в БД на профессиональном уровне рекомендуем использовать российское решение Database Monitor. Узнать больше.
Разработчики СУБД используют различные технологии, инструменты и утилиты, с помощью которых можно ограничить доступ к важным данным.
Чаще всего применяются:
1. Методики шифрования и обфускации (запутывания) процедур и функций. Используются для того, чтобы сделать исходный код ПО нечитаемым. Таким образом разработчики защищают не только конфиденциальную информацию пользователей, но и авторские права на ПО.
2. Методики разграничения доступа пользователей RLS и Masking. Скрывают содержимое таблиц баз данных. Принцип работы этих методик основывается на определении прав доступа пользователей. Чем выше уровень допуска, тем больше информации доступно для просмотра.
3. Методики разграничения доступа администраторов DBA, Security DBA и Application DBA. Определяют права доступа пользователей, которые могут вносить изменения в хранимые данные и структуру таблиц БД. Применяются на предприятиях с большим штатом сотрудников IT-отделов.
4. Методики разграничения доступа на уровне файловой системы. Позволяют дать системному администратору полный доступ к хранимым данным, но только в пределах одной БД.
5. Криптографические методы защиты. Включают симметричное и ассиметричное шифрование, стеганографию, сжатие информации, а также децентрализованное хранение данных на распределенных серверах (технология блокчейн).
Из перечисленных методик ограничения доступа наиболее сложными считаются криптографические методы обеспечения информационной безопасности. Хотя их эффективность не всегда. Например, при client-side шифровании управление ключами осуществляется на серверной стороне, то есть и ключи, и зашифрованная информация хранятся на одном сервере. Поэтому пользователи, у которых есть права доступа к серверу, могут похитить, исказить или уничтожить зашифрованную информацию и ключи шифрования к ней.
Сейчас, однако, используются преимущественно не client-side методики, а key-vault хранилища, позволяющие хранить ключи на отдельном сервере. Однако это не решает все проблемы, связанные с применением шифрования. Еще одним недостатком этой методики является то, что шифрование снижает производительность работы системы. Поэтому криптографические методы обеспечения информационной безопасности используются только тогда, когда нужно защитить очень важные данные. Чаще всего используется технология колоночного шифрования, позволяющая скрыть от неавторизованных пользователей информацию, хранимую в отдельных полях таблиц.
***
Таким образом можно сделать вывод: для обеспечения высокого уровня информационной безопасности нужно использовать комплекс различных инструментов и методик, позволяющих защитить важную информацию от внешних и внутренних угроз. При этом следует учитывать влияние этих инструментов и методик на производительность системы.
25.08.2020
Подпишитесь на нашу рассылку и получите
свод правил информационной безопасности
для сотрудников в шуточных