2 Обеспечение безопасности внешних и внутренних серверов баз данных от направленных атак
Согласно последним оценкам ведущих аналитических агентств, большая часть современных атак нацелена на информацию из баз данных. Это вызвано тем, что именно в базах данных содержится большинство самой ценной для организаций информации. Причем угрозы хранящейся в базах данных информации возникают не только извне, но и изнутри со стороны легальных пользователей. Наиболее типичным примером является скачивание базы данных системным администратором перед увольнением, или воровство базы сотрудником, имеющим к ней доступ в связи с должностными обязанностями.
Существует целый ряд технологий и приёмов атак на базы данных, эффективность которых зависит от конфигурации базы данных и сервера, на котором она функционирует, от того, насколько правильно спроектирована и реализована ИТ-инфраструктура и топология сети в целом, от человеческого фактора и лояльности персонала.
Атаки на web-сервера и на сервера баз данных зачастую преследуют одни и те же цели, запускаются одними и теми же лицами, и имеют схожий характер. Поэтому и защита информации в базах данных строится на использовании решений, имеющих похожие принципы работы и архитектуру.
Решения класса DataBase Firewall представляют собой сетевой шлюз безопасности, который может работать либо в режиме мониторинга копии трафика – в этом случае возможно только обнаружение атак и сбор необходимой информации об инцидентах, либо в режиме In-Line, когда трафик к защищаемым серверам проходит через шлюз и возможно блокирование атак «на лету». Безопасность баз данных обеспечивается, как правило, за счет того, что решения такого класса интегрируются с базами данных (с использованием специализированных программных агентов), они способны отслеживать активность пользователей, выявлять случаи отклонения от разрешенного или нормального поведения, и предпринимать различные меры реагирования.
Основные функции решений по защите информации в базах данных класса DataBase Firewall
Обеспечение безопасности внешних и внутренних серверов баз данных от направленных атак;
независимый контроль и аудит действий пользователей, защита от несанкционированного доступа к базам данных;
сигнатурный и поведенческий анализ;
обнаружение чрезмерных прав пользователей и блокировка подозрительной активности.
Результат применения решения
снижение рисков компрометации серверов баз данных, вывода их из строя, кражи конфиденциальной информации;
обеспечение непрерывности бизнеса и повышение надежности функционирования ИТ-инфраструктуры;
соответствие требованиям законодательства и регуляторов (как российских, так и международных).
Предлагаемые решения
Компания «Микротест» предлагает профессиональные услуги по консалтингу, выбору решения, проектированию, внедрению следующих систем класса Data Base
Firewall
Imperva;
IBM;
McAfee
FortiNet;
и других
Особенности защиты БД
Хранилища данных включает в себя два компонента: хранимые данные (собственно База данных) и программы управления (Системы Управления Базами данных).
Обеспечение безопасности хранимой информации, в частности, невозможно без обеспечения безопасного управления данными. Исходя из этого, все уязвимости и вопросы безопасности Систем управления базами данных можно разделить на две категории: зависящие от данных и не зависящие от данных.
Уязвимости, независящие от данных, являются характерными и для всех прочих видов ПО. Их причиной, например, может стать несвоевременное обновление по, наличию неиспользуемых функций или недостаточная квалификация администраторов ПО.
Большинство аспектов безопасности Систем Управления Базами данных является именно зависящими от данных. В то же время многие уязвимости возникают косвенно зависимыми от данных. Например, большинство систем управления база данных,поддерживают запросы к данным с использованием некоторого языка запросов, содержащего наборы доступных пользователю функций (которые, в свою очередь, тоже можно считать операторами запросного языка) или произвольные функции на языке программирования.
Архитектура применяемых языков, по крайней мере, то, что касается специализированных языков и наборов функций, напрямую связана с моделью данных, применяемой для хранения информации. Таким образом, модель определяет особенности языка, и наличие в нем тех или иных уязвимостей. Причем такие уязвимости, например, как инъекция, выполняются по-разному (sql-инъекция, java-инъекция) в зависимости от синтаксиса языка.
Требования к безопасности База данных
На основании разделения уязвимостей можно выделить зависящие и независящие от данных меры обеспечения безопасности хранилищ информации
Не зависящими от данных можно назвать надлежащие требования к безопасной системе Баз данных:
Функционирование в доверенной среде.
Под доверенной средой следует разуметь инфраструктуру предприятия и ее защитные механизмы, обусловленные политиками безопасности. Таким образом, речь идет о функционировании системы управления базами данных в соответствии с правилами безопасности, применяемыми и ко всем прочим системам предприятия.
Организация физической безопасности файлов данных.
Требования к физической безопасности файлов данных системы управления базами данных в целом не отличаются от требований, применяемых к любым другим файлам пользователей и приложений.
Организация безопасной и актуальной настройки системы управления базами данных.
Данное требование включает в себя общие задачи обеспечения безопасности, такие как своевременная установка обновлений, отключение неиспользуемых функций или применение эффективной политики паролей.
Следующие требования можно назвать зависящими от данных:
Безопасность пользовательского ПО.
Сюда можно отнести задачи построения безопасных интерфейсов и механизмов доступа к данным.
Безопасная организация и работа с данными.
Вопрос организации данных и управления ими является ключевым в системах хранения информации. В эту область входят задачи организации данных с контролем целостности и другие, специфичные для систем управления базами данных проблемы безопасности. Фактически эта задача включает в себя основной объем зависящих от данных уязвимостей и защиты от них.
Угрозы, специфичные для Системы Управления Базами Данных
Главный источник угроз, специфичных для Системы Управления Базами Данных, лежит в самой природе баз данных. Основным средством взаимодействия с Системой Управления Базами Данных является язык SQL - мощный непроцедурный инструмент установления и манипулирования данными. Хранимые процедуры добавляют к этому репертуару управляющие конструкции. Механизм правил дает возможность выстраивать сложные, трудные для анализа цепочки действий, позволяя попутно неявным образом передавать право на выполнение процедур, даже не имея, строго говоря, полномочий на это. В результате потенциальный злоумышленник получает в свои руки мощный и удобный инструментарий, а все развитие Системы Управления Базами Данных направлено на то, чтобы сделать этот инструментарий еще мощнее и удобнее.
Мы рассмотрим несколько угроз, возникающих при использовании злоумышленником средств языка SQL.
Виды привилегий
Привилегии в Системы Управления Базами Данных можно подразделить на две категории: привилегии безопасности и привилегии доступа. Привилегии безопасности позволяют выполнять административные действия. Привилегии доступа, в соответствии с названием, определяют права доступа субъектов к определенным объектам.
3.3.1. Привилегии безопасности
Привилегии безопасности всегда выделяются конкретному пользователю (а не группе, роли или всем) во время его создания (оператором CREATE USER) или изменения характеристик (оператором ALTER USER). Таких привилегий пять:
security - право управлять безопасностью Системы Управления Базами Данных и отслеживать действия пользователей. Пользователь с этой привилегией может подключаться к любой базе данных, создавать, удалять и изменять характеристики пользователей, групп и ролей, передавать права на доступ к базам данным другим пользователям, управлять записью регистрационной информации, отслеживать запросы других пользователей и, наконец, запускать INGRES-команды от имени других пользователей. Привилегия security необходима администратору сервера баз данных, а также лицу, персонально отвечающему за информационную безопасность. Передача этой привилегии другим пользователям (например, администраторам баз данных) увеличивает число потенциально слабых мест в защите сервера баз данных.
createdb - право на создание и удаление баз данных. Этой привилегией, помимо администратора сервера, должны обладать пользователи, которым отводится роль администраторов отдельных баз данных.
operator - право на выполнение действий, которые традиционно относят к компетенции оператора. Имеются в виду запуск и остановка сервера, сохранение и восстановление информации. Помимо администраторов сервера и баз данных этой привилегией целесообразно наделить также администратора операционной системы.
maintain_locations - право на управление расположением баз администраторы сервера баз данных и операционной системы.
trace - право на видоизменение состояния флагов отладочной трассировки. Данная привилегия полезна администратору сервера баз данных и другим знающим пользователям при анализе сложных, непонятных ситуаций.