Способ защиты базы данных

Способы защиты баз данных

Базовые средства защиты баз данных

Первая линия безопасности баз данных должна исходить от IT-отдела компании и от администраторов СУБД в частности. Базовая защита БД — это настройка межсетевых экранов перед СУБД, чтобы заблокировать любые попытки доступа от сомнительных источников, настройка и поддержание в актуальном состоянии парольной политики и ролевой модели доступа. Это действенные механизмы, которым должно уделяться внимание. Следующий этап защиты информации в базах данных — аудит действий пользователей, прямая задача отдела информационной безопасности. Значимость аудита объясняется тем, что в промышленной системе сложно тонко настроить права доступа к данным, к тому же бывают и исключительные ситуации.

Например, сотруднику отдела “А” временно понадобился доступ к клиенту отдела “Б”. С большой вероятностью внесение изменений в матрицу доступа к данным не будет иметь обратного характера, что в конечном итоге приводит к наличию учетных записей с сильно расширенными привилегиями, за использованием которых стоит следить.

Штатный аудит баз данных

Для проведения такого мониторинга многие организации пользуются «штатным аудитом» – средствами защиты баз данных, входящими в состав коммерческих СУБД. Штатный режим защиты включает ведение журнала подключения к СУБД и выполнения запросов теми или иными пользователями. Если коротко, принцип работы штатного аудита – это включение и настройка триггеров и создание специфичных функций – процедур, которые будут срабатывать при доступе к чувствительной информации и вносить данные о подобном доступе (кто, когда, какой запрос делал) в специальную таблицу аудита. Этого бывает достаточно для выполнения ряда отраслевых требований регуляторов, но не принесет практически никакой пользы для решения внутренних задач информационной безопасности, таких как расследование инцидентов.

Ключевые недостатки штатного аудита как защиты баз данных:

• Дополнительная нагрузка на серверы баз данных (10-40% в зависимости от полноты аудита).
• Вовлечение администраторов баз данных в настройку аудита (невозможность контроля администраторов – основных привилегированных пользователей).
• Отсутствие удобного интерфейса продукта и возможности централизованной настройки правил аудита (особенно актуально для крупных распределенных компаний, в задачи защиты которых входит целый перечень СУБД).
• Невозможность контроля действий пользователей в приложениях с трехзвенной архитектурой (наличие WEB и SQL-сегмента, что сейчас используется повсеместно из соображений безопасности).

Автоматизированные системы защиты баз данных

Более эффективный подход – использование специализированных систем информационной безопасности в области защиты бд – решений классов DAM и DBF.

DAM (Database Activity Monitoring) – это решение независимого мониторинга действий пользователей в СУБД. Под независимостью здесь понимается отсутствие необходимости переконфигурации и донастройки самих СУБД. Системы такого класса могут ставиться пассивно, работая с копией трафика и не оказывая никакого влияния на бизнес-процессы, частью которых являются базы данных.

Преимущество систем такого класса – гибкая система отчетности и интеграции с SIEM-системами большинства вендоров, для более глубокого корреляционного анализа выполняемых запросов.

DBF (Database Firewall) – это смежное по классу решение, которое также обладает возможностью «проактивной» защиты информации. Достигается это блокировкой нежелательных запросов. Для решения этой задачи уже недостаточно работы с копией трафика, а требуется установка компонентов системы защиты «в разрыв».

На российском рынке представлено решение класса DAM «Гарда БД» от компании «Гарда Технологии». Это программно-аппаратный комплекс, который проводит непрерывный мониторинг всех запросов к базам данных и веб-приложениям в реальном времени и хранит их в течение длительного срока. Система проводит сканирование и выявление уязвимостей СУБД, такие как незаблокированные учётные записи, простые пароли, неустановленные патчи. Реагирование на инциденты происходит мгновенно в виде оповещений на e-mail и в SIEM-систему.

Система защиты баз данных устанавливается пассивно, то есть не влияет на производительность сети компании. Интеллектуальная система хранения позволяет формировать архив запросов и ответов к базам данных за любой период времени для дальнейшего ретроспективного анализа и расследования инцидентов. Это первая система класса DAM, вошедшая в реестр отечественного ПО и установленная в ряде крупных российских банков.

В следующей статье мы более подробно рассмотрим задачи, которые часто стоят перед DAM-системами, расскажем, почему для DAM так важно умение работы с http/http’s трафиком и как обеспечить защиту от SQL инъекций.

Источник

Методы защиты баз данных

Защита баз данных
с помощью системы

Контроль исполнения документов

Мониторинг ИТ инфраструктуры

Защита бизнеса от мошенничества

Разработка требований к защите информации

Управление системами фильтрации электронной почты и веб-трафика

АУТСОРСИНГ DLP ДЛЯ ЗАЩИТЫ БИЗНЕСА

В се более широкое использование компьютерных технологий обработки и хранения информации заставляет компании усиливать защиту баз данных. Утечка служебной или персональной информации, находящейся в БД, может обернуться серьезными последствиями: вызвать сбой в работе производственных систем, привести к потере финансовых средств, рассекретить планы развития бизнеса. Существуют разнообразные способы и средства защиты баз данных с использованием СУБД.

Приемы обеспечения безопасности БД

Методики защиты БД условно делят на две группы:

1. Основные – с их помощью предупреждается утечка информации к посторонним, а также устраняются другие угрозы нарушения целостности базы данных;
2. Дополнительные – они используются для усиления основных мер.

Основные способы обеспечения безопасности БД

К ним относится:

• парольная защита;
• шифрование;
• разграничение доступа пользователей к информации, находящейся в базе;
• маскировка полей в таблицах БД;
• резервное копирование.

Парольной защитой называют организацию доступа в систему управления базы данных с использованием пароля, известного только пользователю и администратору БД. В СУБД имеются специальные файлы, в которых хранятся зашифрованные учетные записи пользователей. Недостаток состоит в том, что запомнить пароль удается не всем людям. Обычно его где-то записывают. При небрежном хранении пароль можно потерять, что приведет к несанкционированному доступу к БД. Поэтому такой способ защиты считается не самым надежным.

Шифрование записей , находящихся в БД, является более серьезной защитой. Однако важно иметь надежный ключ и обеспечить его недоступность для посторонних.

Разграничение прав доступа сотрудников к БД устраняет угрозу потери информации, обеспечивает ее защиту от уничтожения. Максимальный доступ предоставляется администратору БД, который отвечает за обеспечение безопасности данных, мониторинг и устранение угроз. Остальные пользователи получают ограниченный доступ с учетом выполняемых ими обязанностей и потребности в использовании информации.

Существует два варианта подхода к проблеме:

1. Избирательный подход предполагает предоставление сотрудникам разного уровня доступа к одним и тем же данным;
2. Обязательный подход означает разбивку информации на группы по степени ценности и предоставление сотрудникам доступа к данным определенного класса. Иногда одинаковые полномочия предоставляются группе сотрудников.

Разграничения отражаются в рабочем файле. Система считывает информацию, в которой имеются учетные записи и пароли пользователей, и предоставляет права на определенные действия в соответствии с заложенной программой.

Такими правами могут быть:

• просмотр таблицы данных;
• внесение изменений в отдельные поля или их полная переделка;
• добавление или удаление;
• изменение общей структуры таблицы.

Маскировка полей. Ограничения вводятся таким образом, чтобы пользователи не могли внести случайные или намеренные изменения в таблицы базовых данных. При этом используются экранные формы маскировки сведений (на экране открывается только часть полей таблицы БД, остальные «прячутся под маской»). В ответ на запрос пользователя выдается неполный отчет об информации, содержащейся в БД.

Резервное копирование. Важным методом, направленным на защиту целостности БД, является резервное копирование данных. Оно позволяет восстановить данные, утерянные в результате сбоя в работе программного обеспечения или компьютерной техники. Рекомендуется настроить программу резервирования таким образом, чтобы файлы копировались одновременно на жесткий диск компьютера и на другой независимый носитель.

Дополнительные способы обеспечения безопасности БД

Дополнительными способами защиты целостности и конфиденциальности БД являются:

• проверка изменения и достоверности данных с помощью встроенных программ контроля активности в БД. В них заложены ограничения, связанные с формированием таблиц. Предотвращается появление некорректных записей (например, введения значений, выходящих за обозначенные пределы, или неполное заполнение отдельных полей);
• использование программ обеспечения целостности данных , входящих одновременно в разные таблицы. Контролируются записи в «ключевых полях», связывающих информацию из различных таблиц. Таким образом предотвращается появление фиктивных ссылок на записи, отсутствующие в других таблицах, то есть искажение информации;
• проверка законности использования данных , которые являются интеллектуальной собственностью и защищены авторскими правами;
• контроль безопасного использования компьютерной техники , применяемой для хранения и обработки информации из БД. Проверка соблюдения правил передачи данных по сети (использование защищенных каналов, ограничение доступности информации различным категориям пользователей). Контролируется действие межсетевых экранов и антивирусных программ.

Для защиты баз данных используются различные СУБД. Например, в системе MySQL задавать настройки безопасности можно с помощью веб-приложения phpMyAdmin. Она предназначена для управления таблицами, доступом пользователей, а также передачи SQL-запросов в БД. При этом обеспечивается трехуровневая безопасность (вход в БД с использование логина и пароля, разграничение полномочий пользователей и анализ попыток отправления запросов в информационную систему).

В системе Microsoft Access используются другие варианты предоставления доступа:

• полный запрет входа в БД;
• разрешение только на просмотр информации;
• просмотр данных, внесение новых значений в отдельные поля, изменение или удаление сведений;
• изменение структуры таблиц БД.

Роль аудита и мониторинга доступа в БД

Важную роль в защите БД играет аудит действий пользователей в информационной системе. Он позволяет анализировать эффективность ограничительных мер. Все данные о запросах пользователей в БД, времени их обращения в систему управления и характере запрашиваемой информации заносятся в специальный журнал (таблицу аудита).

Результаты аудита могут быть использованы для выявления нарушений безопасности данных и проведения внутреннего расследования.

Возможно проведение штатного аудита с использованием универсальных СУБД и с привлечением администраторов БД.

Более эффективным считается аудит с применением автоматизированных систем управления безопасностью (DAM и DBF). Они осуществляют независимый автоматизированный мониторинг действий пользователей (в том числе и администраторов) в базе данных. Выявляют так называемый «контрольный след» операций, выполняемых в БД.

Автоматизированный контроль активности пользователей и анализ изменений в базах данных можно провести с помощью «СёрчИнформ Database Monitor». Бесплатный тест на 30 дней.

Преимуществами автоматизированного мониторинга являются более полный анализ запросов и ответов на них, проверка уязвимости особо важной информации. Возможно также выявление и удаление неиспользуемых учетных записей уволенных сотрудников.

Основными методами защиты конфиденциальных данных являются использование сложных паролей для входа в систему безопасности БД, шифрование информации, разграничение доступа персонала к сведениям определенного уровня секретности. Для ограничения полномочий сотрудников используются специальные программы, с помощью которых поля, нежелательные к просмотру, маскируются при появлении таблицы на экране. Для защиты целостности информации, находящейся в БД, осуществляется ее резервное копирование.

Источник

Виды защиты баз данных

Защита баз данных
с помощью системы

Контроль исполнения документов

Мониторинг ИТ инфраструктуры

Защита бизнеса от мошенничества

Разработка требований к защите информации

Управление системами фильтрации электронной почты и веб-трафика

АУТСОРСИНГ DLP ДЛЯ ЗАЩИТЫ БИЗНЕСА

С охранность базы данных, включающей конфиденциальные сведения, должна быть в приоритете у службы безопасности предприятия. Способов много, универсального решения нет. Выбирая, необходимо ориентироваться на конечные цели организации и нужную степень защиты.

Шифрование

Шифрование применяют для искажения всех данных полностью или отдельного блока информации в процессе хранения и передачи. Даже если злоумышленник похитит важные сведения, прочитать их без ключа он не сможет.
Иногда для защиты ставят пароль на дешифровку. В этом случае работа с информацией происходит следующим образом: перед использованием производится ее расшифровка, а после данные снова «прячутся».

Основные способы шифрования:

• симметричное и ассиметричное;
• хеширование данных;
• шифрование на уровне хранилища;
• на уровне БД;
• на уровне приложений.

Шифрование используется для защиты от несанкционированных пользователей не только информации, но и алгоритмов, функций программ. Однако использование шифрования и дешифровки усложняет работу системы управления базами данных (СУБД), так как дает дополнительную нагрузку на сервер.

Использование пароля к БД

Этот способ защиты информации предусматривает авторизацию пользователей для получения доступа к базе данных. Наличие пароля позволяет избежать несанкционированного доступа.

Защита с помощью пароля может использоваться в комплексе с разграничением доступа к БД. В этом случае сначала защищают информацию на уровне пользователя (когда с одной БД работают несколько человек с разными правами), а затем настраивают парольный доступ к ней.

Парольная защита – надежный метод охраны данных. Чем сложнее комбинация символов, тем тяжелее взломать базу данных. Пароли хранятся в базе, прямого доступа к ним нет.

Требования к надежному паролю:

• комбинирование разных знаков – заглавные и строчные буквы, цифры, специальные символы;
• количество знаков – не меньше 6;
• периодическое обновление;
• хранение в секрете от пользователей без доступа.

Во многих организациях практикуют периодическую смену паролей (каждый день, неделю, месяц). Чем чаще они будут меняться, тем ниже вероятность получения злоумышленниками доступа к секретной информации.

Установлением и изменением паролей к базам данных обычно занимается администратор, в некоторых организациях эта обязанность возлагается на конечного пользователя.

Разграничение прав доступа

Этот способ сохранения конфиденциальных данных применяется, когда с одной БД работают несколько пользователей (или групп) с разным уровнем доступа к информации. Установление прав доступа к использованию данных возможно при работе на одном компьютере или по локальной сети. Каждый будет заходить под своим логином и паролем и использовать БД в зависимости от прав. Например, администратор может изменить данные БД, дополнить их, удалить. А менеджер только прочитать или изменить часть сведений (например, выбранный столбец таблицы или строку).

• содержание в одной базе различных сведений;
• расширение круга пользователей БД;
• организация защиты от непреднамеренного или целенаправленного изменения данных или элементов программного обеспечения;
• защита секретной информации.

Установить ограничения можно не только по доступу к определенным видам информации, но и по принципу работы с ней. Например, можно установить определенные рамки работы с таблицами для выбранной группы пользователей (разрешение или запрет действий):

• запрет доступа;
• режим чтения;
• разрешение на редактирование, удаление данных;
• право на добавление информации и изменение структуры исходных сведений;
• установление защиты поля или строки;
• скрытие объектов БД.

С БД могут возникать проблемы не только в плане защиты их от несанкционированного доступа. СУБД исключает ввод недостоверной информации – в процессе создания таблиц вводятся ограничения на ввод некорректных сведений (если в месяце 30 дней, 31 число поставить нельзя). А также периодически создает резервные копии БД с сохранением на съемные носители или в удаленные хранилища, откуда сведения можно будет восстановить в актуальном состоянии в случае необходимости.

Избирательное и обязательное управление доступом

Система управления БД позволяет разграничить права доступа пользователей или, наоборот, объединить их в группы по признаку разрешенных однотипных действий.

Избирательное управление доступом включает:

1. Распределение доступа к данным – с БД можно работать группой или дать разрешение определенным сотрудникам на использование конкретных сведений.

2. Дополнительный учет данных при входе в систему (информация о том? кто, под какой учеткой, в какое время обращался к базе данных), аудите и изоляции отдельных сведений.

Свою «подлинность» сотрудник подтверждает при входе в БД логином и паролем. При аутентификации могут запрашиваться дополнительные сведения, например, ответ на секретный вопрос. После входа в систему пользователь может реализовать только права, предоставленные ему администратором (или владельцем БД) в зависимости от уровня доступа. Минимальные полномочия (уровень доступа) определяется должностными обязанностями сотрудника.

При обязательном управлении доступом данные классифицируются, например, «секретно», «совершенно секретно», «для общего пользования». Каждый пользователь имеет свой уровень доступа. Чаще всего подобная структура БД присуща правительственным или военным предприятиям. Получить необходимые сведения может только человек с уровнем допуска равным грифу данных или выше.

Разграничения доступа на примерах Access и MySQL

Защита базы данных на уровне пользователя аналогична способам разграничения прав пользователей локальных сетей. В Access создают несколько рабочих групп, разделенных по интересам. Работа доступна одновременно с одной из баз данных. Можно параллельно работать в разных системах Access, если открыть их в отдельных окнах.

Файл рабочей группы создается автоматически. Он содержит информацию об учетной записи каждой группы или отдельного пользователя. Сохранение данных о правах доступа ведется по каждой учетке отдельно.

Рабочая группа состоит из двух групп:

В случае необходимости возможно создание более двух групп пользователей данных. Один и тот же человек может состоять одновременно в разных группах. Каждому из сотрудников можно присвоить разные пароли.

Администратор получает максимальное число привилегий, группа пользователей работает в соответствии с их уровнем доступа.

Формы и отчеты Access можно защитить двумя способами:

1. Чтобы исключить случайное повреждение пользователем приложения, исключается использование режима Конструктора.

2. Скрытие некоторых полей таблицы от пользователей.

Таким образом появляется возможность контролировать использование секретных данных сотрудниками и ограничить доступ к ним посторонних. Расширить права пользователя или группы могут лишь админ и владелец информации (создатель). Имеется возможность передачи базы данных и прав на нее другому владельцу.

Одним из вариантов внедрения безопасной системы авторизации и регистрации является MySQL. Управление сервером происходит через Интернет с помощью РhpMyAdmin. Первый уровень защиты – это вход в БД через логин и пароль. Далее СУБД MySQL разграничивает права доступа. Доступ ограничивается как к системе управления, так и к каждому компоненту БД (таблица, строка, запись и т.п.). Владельцы БД имеют возможность шифровать информацию.

Оригинальные способы сохранности БД

Существует несколько нестандартных способов сохранности ценных сведений:

• создание пароля с использованием непечатных символов (например, пробел);
• модификация файла – манипулирование с заголовками;
• изменение версии БД – проводим аналогию с модификацией файлов;
• использование электронных ключей для доступа к сведениям;
• автоматизированные системы – DAM и DBF.

При работе с DAM-системами перенастраивать СУБД не нужно. Они работают с копией трафика и не затрагивают бизнес-процессы.

Для отслеживания пользовательских операций в БД на профессиональном уровне рекомендуем использовать Database Monitor. Узнать больше.

В случае с DBF-системой охрана данных происходит путем блокировки сторонних запросов. Работать с копией трафика данная программа не будет. Необходима полная установка компонентов. При неправильной настройке ответственность за ложные блокировки ляжет на службу информационной безопасности.

Любой способ обеспечения безопасности конфиденциальной информации не дает стопроцентной гарантии ее защиты. Специалист сможет взломать практически любую СУБД, но его работу необходимо усложнить. Отслеживание новинок в сфере сохранности секретных данных и их применение повысит уровень безопасности информации.

Источник