Задача защиты баз данных не всегда решается в полном объеме. Единой целостной концепции не существует, отдельные программные решения имеют встроенный инструментарий безопасности, для некоторых его требуется конструировать дополнительно. Часть решений реализуется программными, часть – техническими и организационными средствами.
Оранжевая книга, американское руководство по информационной безопасности, определяет четыре уровня защищенности информационных систем и баз данных – минимальный, избирательный, обязательный и проверенный. Начиная со второго уровня защиты баз данных, установление ограничений на доступ к ним для разных категорий пользователей становится обязательным.
Многие БД, особенно реляционные, созданные на базе языка SQL, в которых данные содержатся в формате двухмерных таблиц, поддерживают функцию разграничения доступа. Пользователь либо группа могут получить право просматривать данные во всей таблице базы данных или только в отдельных строках. Когда уровень защиты повышается с избирательного до обязательного, создаются пользовательские роли. В этом случае определенный объем прав передается не учетной записи, а роли.
Помимо ограничения прав доступа, для защиты баз данных обязательно используется идентификация пользователей по логину и паролю. Если база данных работает в среде Windows, вход может быть настроен таким образом, что один и тот же идентификатор используется при входе в операционную систему и в базу данных. Пароли должны иметь достаточный уровень сложности, чтобы их нельзя было раскрыть простым подбором.
Если в систему внедрена шпионская программа, то своевременная замена паролей существенно замедлит ее работу. Чтобы исключить возможность отслеживания замены паролей, необходимо регулярно очищать историю ввода новых комбинаций в командную строку базы данных. Для лучшей защиты можно использовать утилиту, которая генерирует новые пароли для каждой учетной записи самостоятельно.
Обязательно внедрение механизма ограничения привилегий до минимально возможного уровня – никто из пользователей не должен иметь всех прав администратора баз данных. Встроенные в СУБД роли администраторов помогают разграничить права – от только чтения до изменения или уничтожения записей, в том числе в журналах учета действий пользователей.
Когда уровень защиты баз данных доходит до обязательного, информация в таблицах делится на группы в соответствии с уровнем секретности – от общедоступных до данных особой важности. Пользователи базы данных получают права доступа только к информации определенного уровня секретности или ниже. Такая практика внедрена в организациях, работающих с государственной тайной, когда права на чтение баз данных и работу с содержащимися там сведениями зависят от уровня официального допуска к гостайне.
Для защиты от внешних рисков, например, направленных хакерских атак, большое внимание уделяют организации безопасных каналов удаленного доступа. Стандартно для передачи данных применяют VPN-протоколы. Дополнительно передаваемую информацию защищают шифрованием. Такой способ используют для защиты данных в распределенных базах, которые находятся на разных серверах и доступны из удаленных филиалов.
Многие базы данных уже имеют встроенные алгоритмы шифрования. Они могут основываться на генерации сертификатов, использовании симметричных или асимметричных ключей. В первом случае шифрование и дешифрование производится по одному алгоритму, во втором они различаются, и алгоритм дешифрования доступен ограниченному числу пользователей.
Шифрование по асимметричной модели осуществляется в оперативной памяти, что замедляет время обращения к базе данных и создает повышенную нагрузку на вычислительные ресурсы информационной системы. Поэтому им пользуются для защиты баз данных только при наличии жестких требований регулятора. Или в случаях, когда необходимо скрыть от посторонних действительно ценные сведения – номера кредитных карт или государственную тайну.
Аудит действий пользователя или использование контрольного следа выполняемых операций также может создавать избыточную нагрузку на систему. Однако отказываться от его применения не стоит.
Аудит решает следующие задачи защиты базы данных:
Механизм использования контрольного следа может быть встроен в базу данных или подключен к ней через внешние утилиты. Аудит действий пользователей построен на анализе логов. В них содержится системный номер устройства, с которого поступил запрос, ID пользователя, выполнившего операцию, дата и время начала операции, исходный текст запроса, начальные и конечные значения произведенного изменения в базе данных. Однако проводить ручной поиск по логам – сложная задача. К тому же, в некоторых СУБД системный администратор с избыточными привилегиями способен самостоятельно удалять записи о своих злонамеренных действиях из журналов учета. Поэтому правильнее использовать для такого анализа автоматизированные DAM-системы.
Контроль активности пользователей и анализ изменений в базах данных можно провести с помощью «СёрчИнформ Database Monitor». Бесплатный тест на 30 дней.
Информация может быть утрачена или искажена не только в результате злонамеренных действий или вирусного заражения, но и в случае повреждения носителя данных – съемного или жесткого диска. Устранить эти риски помогает резервное копирование. Оно проводится с заданной периодичностью, при этом хранение информации осуществляется не в локальной сети. Так, Центробанк РФ обязывает банки и другие подведомственные учреждения передавать ему резервные копии баз данных, содержащих информацию об операциях кредитных учреждений и страховщиков.
Для хранения резервных копий данных используют системы из нескольких RAID-дисков. При выходе из строя одного сведения сохраняются на втором. Для баз данных среднего уровня достаточно системы из четырех дисков, для более мощных потребуется шесть.
***
Не стоит забывать об организационных мерах защиты данных. Регламентация и стандартизация работы с базами данных в локальных нормативных актах повышает уровень ответственности персонала и является одним из требований защиты баз данных, содержащимся в стандартах информационной безопасности разного уровня – от требований регуляторов до стандартов ISO. Такие регламенты позволяют доказать, что пользователь был уведомлен о ценности сведений, методах работы с базами данных, и в случае нарушения его можно привлечь к ответственности.
19.08.2020
Подпишитесь на нашу рассылку и получите
свод правил информационной безопасности
для сотрудников в шуточных