Базы данных: как сохранить то, что имеешь?

Виталий Береза, руководитель отдела информационной безопасности компании «БМС Консалтинг»

Источник: журнал "BoS", 12.10.2007

Сегодня, информация – основной актив бизнеса. Любая компания имеет в своей информационной системе базу данных в том или ином виде. Для небольших предприятий это могут быть таблицы MS Access, MS Excel или внутренняя база программного комплекса 1С Бухгалтерия. Для крупных корпораций это кластерные комплексы с промышленными БД, занимающие целые помещения. В таких базах хранятся сведения о контрагентах, платежах, состоянии складов, новых разработках конструкторских бюро. Каждый может продолжить этот список исходя из специфики своего предприятия. В государственных учреждениях к этому списку добавляются реестры граждан и юридических лиц.

Утечка такой информации может стоить владельцу данных значительных финансовых потерь. В том случае, если украденные данные будут обнародованы или станет известен сам факт хищения, к финансовым потерям добавится урон имиджа компании или торговой марки.

Проблема лежит на поверхности и все, в принципе, согласны, что её надо решать. Но большинство владельцев информации почему-то предпочитают жить по принципу «пока гром не грянет – мужик не перекрестится». Это материал предназначен тем, кто хочет играть «на опережение».

Итак, информация в базах данных может быть похищена или уничтожена. Проблема восстановления уничтоженных данных может быть решена с помощью систем резервного копирования, и это отдельная тема, выходящая за рамки данного материала. Если говорить о масштабном хищении данных, то следует заметить, что угроза удаленного воздействия через подключение к Интернет очень маловероятна. То есть угроза подключения и хищения имеется, но незаметно выкачать огромные объемы данных практически невозможно в силу сравнительно небольшой ширины канала подключения в сети Интернет. Кроме того, именно подключение к Интернет, как правило, защищается сильнее всего, и все события, происходящие в точке подключения тщательно фиксируются.

Если незаметно похитить данные извне нельзя, то можно считать, что основная угроза исходит от инсайдеров, то есть людей, имеющих доступ к данным в силу своих профессиональных обязанностей, либо способных относительно легко такой доступ получить. Наиболее вероятный и самый простой способ хищения информации – это копирование её на внешние носители данных. При текущем уровне миниатюризации носителей, среднего размера БД вполне реально вынести в мобильном телефоне. Средства физической безопасности и контроля здесь совершенно бессильны.

Рассмотрим основные направления защиты данных от хищения инсайдерами.

Самым простым и эффективным методом является применение системы управления доступом к устройствам ввода вывода информации на серверах и рабочих станциях. Основными задачами этой системы являются:

	Блокирование доступа персонала к устройствам ввода/вывода информации на основе утвержденной матрицы доступа.
	Регистрация случаев копирования информации персоналом, имеющим соответствующие полномочия.
	Авторизация носителей информации для предотвращения подключения неизвестных устройств.
	Шифрование данных на внешних носителях.

В результате внедрения такой системы безопасности вводятся следующие меры защиты и контроля:

	С внешними носителями информации могут работать только те, кому это необходимо в силу служебных обязанностей.
	Те, кто имеют права доступа, ограничены в выборе портов (например, разрешен доступ к порту USB, но при этом запрещен доступ к порту IEEE 1394 и интерфейсу Wi-Fi) и перечне подключаемых устройств.
	Если информация копируется на внешнее устройство, например USB накопитель, то она шифруется стойкими криптоалгоритмами.
	Любой факт копирования информации может быть предметно исследован администратором информационной безопасности.

Однако, большинство администраторов БД имеют неограниченные права как на серверах, которыми они управляют, так и на своих рабочих станциях. Наличие у сотрудника административных прав сводит ценность любой системы защиты к нулю, поскольку её можно отключить тем или иным способом. Для решения этой задачи должна быть внедрена система ограничения прав администраторов. Название звучит несколько странно, тем не менее, такое ПО существует и позволяет ограничивать права пользователей имеющих административные права в операционной системе. Данное ПО позволяет в полной мере реализовать концепцию разделения полномочий, при которой администратор имеет право управлять системой и базой данных, но при этом не имеет права изменять файлы регистрации событий и останавливать некоторые службы. При этом офицер безопасности имеет права доступа к файлам регистрации, но не имеет прав на работу с данными, обрабатываемыми системой. Следует отметить, что указанная функциональность должна быть в полной мере реализована во всех типах операционных системах, используемых для поддержки работы баз данных.

Злоумышленник может попытаться обойти систему регистрации событий. Так, если нет возможности воздействовать на сами файлы регистрации, то есть подчистить следы своей деятельности, можно попытаться вывести систему регистрации из строя с помощью различных сетевых атак, в том числе, направленных на отказ в обслуживании. Для защиты от этой угрозы, сетевой сегмент хранения и обработки данных должен быть надежно защищен от подобных атак системой предотвращения вторжений. Причем это должна быть высокопроизводительная система, позволяющая обрабатывать трафик на скорости коммутации пакетов, чтобы не вносить дополнительные задержки в процесс работы с БД.

Возможен и иной подход, при котором наиболее критичные поля базы данных могут храниться в зашифрованном виде. Это позволит с одной стороны избежать утечки информации в случае обычного хищения данных, а с другой стороны, сохранить нагрузку на вычислительные ресурсы на допустимом уровне, так как задачи шифрования и дешифрования данных «на лету» являются очень ресурсоёмкими.

Если утечка всё же произошла, то очень важно выявить источник. На помощь офицеру безопасности могут прийти решения для расследования компьютерных правонарушений. Такие системы могут включаться в сеть в пассивном режиме, то есть осуществлять только прослушивание трафика. Далее, на основе заданных критериев офицер безопасности может проводить анализ полученных данных и выявлять источники нарушений политики безопасности. Особенностью системы расследования является наличие встроенных механизмов анализа и корреляции событий, позволяющих выявлять скрытые зависимости, то есть обнаруживать активность нарушителей, применяющих специальные методы маскирования своих действий.

Следует заметить, что эффективная защита может быть обеспечена только комплексом мер, так как каждое из средств, примененное по отдельности не может решить даже трети основных задач по предотвращению угрозы хищения информации из баз данных. Кроме того, с каждым днем появляются новые угрозы информационной безопасности, а значит, защита информации должна представлять собой непрерывный процесс, отвечающий на наиболее актуальные угрозы.

Нужно понимать, что установка самых современных систем не сможет дать 100% гарантию защиты. Но внедрение разумной комбинации наиболее актуальных средств защиты позволит защититься от большинства угроз информационной безопасности, эффективно используя имеющийся бюджет.

Скачать (*.pdf, 157.39 kB)