Bezpieczeństwo bazy danych

menu icon

Bezpieczeństwo bazy danych

Poznaj złożoność zagadnienia bezpieczeństwa baz danych oraz niektóre praktyki, zasady i technologie, które pozwolą chronić poufność, integralność i dostępność danych Twojego przedsiębiorstwa.

Czym jest bezpieczeństwo baz danych

Bezpieczeństwo baz danych odnosi się do zakresu narzędzi, mechanizmów kontroli i środków zaprojektowanych z myślą o zapewnieniu poufności, integralności i dostępności baz danych. Niniejszy artykuł skupia się głównie na poufności, ponieważ to głównie ten obszar jest narażony w większości przypadków wystąpienia naruszeń zabezpieczeń danych.

Bezpieczeństwo baz danych musi uwzględniać i chronić następujące elementy:

  • Dane w bazie danych
  • System zarządzania bazami danych (DBMS)
  • Wszystkie powiązane aplikacje
  • Fizyczny serwer bazy danych i/lub wirtualny serwer bazy danych oraz sprzęt bazowy
  • Infrastrukturę obliczeniową i/lub sieciową wykorzystywaną do uzyskiwania dostępu do bazy danych

Zapewnienie bezpieczeństwa baz danych jest złożonym i wymagającym przedsięwzięciem, które obejmuje wszystkie aspekty technologii i praktyk związanych z bezpieczeństwem informacji. Ponadto w naturalny sposób stoi w sprzeczności z użytecznością bazy danych. Im bardziej baza danych jest dostępna i użyteczna, tym bardziej jest podatna na zagrożenia; z kolei im bardziej baza danych jest odporna na zagrożenia, tym trudniejszy jest do niej dostęp i jej użytkowanie. (Ten paradoks jest czasami określany Regułą Andersona (odsyłacz prowadzi poza serwis IBM)).

Dlaczego jest to ważne?

Z definicji wynika, że naruszenie zabezpieczeń danych to sytuacja, w której nie zachowano poufności danych w bazie danych. To, jak duże szkody wyrządzi Twojemu przedsiębiorstwu naruszenie ochrony danych, zależy od szeregu konsekwencji lub czynników:

  • Naruszenie własności intelektualnej: własność intelektualna Twojego przedsiębiorstwa — tajemnice handlowe, wynalazki, prawnie zastrzeżone praktyki — może być kluczowa dla zdolności przedsiębiorstwa do utrzymania przewagi konkurencyjnej. Jeśli ta własność intelektualna zostanie skradziona lub ujawniona, utrzymanie lub odzyskanie przewagi na rynku może być trudne lub niemożliwe.
  • Nadszarpnięcie reputacji marki: klienci lub partnerzy mogą nie być skłonni do zakupu produktów lub usług (lub współpracy z przedsiębiorstwem), jeśli nie czują, że mogą zaufać przedsiębiorstwu w kwestii ochrony danych.
  • Ciągłość biznesowa (lub jej brak): niektóre firmy mogą nie być w stanie kontynuować działalności do czasu usunięcia skutków naruszenia.
  • Grzywny lub kary za nieprzestrzeganie przepisów: skutki finansowe nieprzestrzegania globalnych przepisów, takich jak ustawa Sarbannes-Oxley'a (SAO) czy Standard bezpieczeństwa danych branży kart płatniczych (PCI DSS), przepisów branżowych dotyczących ochrony danych, takich jak ustawa HIPAA, lub regionalnych przepisów dotyczących ochrony danych, takich jak RODO, mogą być druzgocące, a grzywny w najgorszych przypadkach mogą przekraczać kilka milionów dolarów za każdy przypadek naruszenia.
  • Koszty naprawy naruszeń i powiadamiania klientów: oprócz kosztów związanych z poinformowaniem klientów o naruszeniu, organizacja, której zabezpieczenia zostały naruszone, musi ponieść koszty działań kryminalistycznych i dochodzeniowych, zarządzania kryzysowego, usuwania skutków naruszenia czy naprawy naruszonych systemów.

Częste zagrożenia i wyzwania

Naruszenia mogą być skutkiem wielu błędnych konfiguracji oprogramowania, luk w zabezpieczeniach czy też nieostrożnego lub niewłaściwego użytkowania. Poniżej wymieniono najczęstsze typy ataków na bezpieczeństwo baz danych oraz ich przyczyny.

Zagrożenia wewnętrzne

Zagrożenie ze strony użytkownika wewnętrznego to zagrożenie dla bezpieczeństwa pochodzące z jednego z trzech źródeł posiadających uprzywilejowany dostęp do bazy danych:

  • Użytkownik wewnętrzny, który chce wyrządzić szkodę
  • Niedbały użytkownik wewnętrzny, który popełnia błędy sprzyjające atakom na bazy danych
  • Infiltrator — osoba z zewnątrz, która w jakiś sposób uzyskuje dane uwierzytelniające za pomocą mechanizmu, takiego jak phishing, lub uzyskuje dostęp do samej bazy danych uwierzytelniających

Zagrożenia ze strony użytkowników wewnętrznych należą do najczęstszych przyczyn naruszeń zabezpieczeń baz danych i często są wynikiem dopuszczenia zbyt dużej liczby pracowników do posiadania uprawnień dostępu jako uprzywilejowany użytkownik.

Błąd człowieka

Wypadki, słabe hasła, udostępnianie haseł i inne nierozsądne lub nieświadome zachowania użytkowników nadal są przyczyną prawie połowy (49%) wszystkich zgłoszonych przypadków naruszenia danych. (Odsyłacz prowadzi poza serwis IBM)

Wykorzystywanie luk w oprogramowaniu baz danych

Hakerzy zarabiają na życie, znajdując i wykorzystując luki we wszelkiego rodzaju oprogramowaniu, w tym w oprogramowaniu do zarządzania bazami danych. Wszyscy główni producenci komercyjnego oprogramowania do baz danych oraz platformy Open Source do zarządzania bazami danych regularnie wydają aktualizacje zabezpieczeń w celu wyeliminowania tych luk, ale niezastosowanie ich w odpowiednim czasie może zwiększyć narażenie użytkownika na atak.

Ataki z wstrzyknięciem kodu SQL/NoSQL

Zagrożenie specyficzne dla baz danych, polegające na wstawianiu dowolnych złośliwych instrukcji SQL lub NoSQL do zapytań wysyłanych do baz danych obsługiwanych przez aplikacje sieciowe lub do nagłówków HTTP. Narażone na takie ataki są często organizacje, które nie stosują praktyk bezpiecznego kodowania aplikacji WWW i nie testują regularnie słabych punktów zabezpieczeń.

Wykorzystanie przepełnienia bufora

Przepełnienie bufora występuje wtedy, gdy proces próbuje zapisać do bloku pamięci o stałej długości więcej danych niż może on pomieścić. Atakujący mogą wykorzystać nadmiar danych przechowywanych w sąsiednich adresach pamięci jako podstawę do przeprowadzenia ataku.

Ataki typu „odmowa usługi” (DoS/DDoS)

W ataku typu „odmowa usługi” (DoS) atakujący zalewa serwer docelowy — w tym przypadku serwer bazy danych — tak dużą liczbą żądań, że serwer nie może już spełnić prawdziwych żądań od rzeczywistych użytkowników, a w wielu przypadkach staje się niestabilny lub ulega awarii.

W przypadku rozproszonego ataku DDoS zalanie żądaniami pochodzi z wielu serwerów, co utrudnia powstrzymanie ataku. Więcej informacji znajdziesz w naszym filmie pt. „Czym jest atak DDoS” (3:51):

Szkodliwe oprogramowanie

Szkodliwe oprogramowanie to oprogramowanie napisane w celu wykorzystania luk w zabezpieczeniach lub w inny sposób powodujące szkody w bazie danych. Szkodliwe oprogramowanie może zostać dostarczone przez dowolne urządzenie końcowe łączące się z siecią bazy danych.

Ataki na kopie zapasowe

Organizacje, które nie chronią danych znajdujących się na kopiach zapasowych przy użyciu tych samych rygorystycznych środków kontroli, które są stosowane do ochrony samej bazy danych, mogą być narażone na ataki na kopie zapasowe.

Zagrożenia te są spotęgowane przez następujące czynniki:

  • Rosnąca ilość danych: przechwytywanie, przechowywanie i przetwarzanie danych rośnie wykładniczo w niemal wszystkich organizacjach. Wszelkie narzędzia i praktyki związane z bezpieczeństwem danych muszą być wysoce skalowalne, aby sprostać zarówno obecnym, jak i przyszłym potrzebom.
  • Rozrost infrastruktury: środowiska sieciowe stają się coraz bardziej złożone, szczególnie w miarę przenoszenia obciążeń do środowiska wielochmurowego lub chmury hybrydowej, co sprawia, że wybór i wdrażanie rozwiązań z dziedziny bezpieczeństwa oraz zarządzanie nimi staje się jeszcze większym wyzwaniem.
  • Coraz bardziej rygorystyczne wymagania prawne: na całym świecie procedury zachowania zgodności z przepisami stają się coraz bardziej złożone, co sprawia, że przestrzeganie wszystkich wymogów jest coraz trudniejsze.
  • Niedobór umiejętności dotyczących cyberbezpieczeństwa: eksperci przewidują, że do 2022 r. aż 8 milionów stanowisk związanych z bezpieczeństwem cybernetycznym może pozostać nieobsadzone.

Sprawdzone procedury

Ponieważ bazy danych są prawie zawsze dostępne z poziomu sieci, każde zagrożenie dla bezpieczeństwa dowolnego komponentu lub fragmentu infrastruktury sieciowej jest również zagrożeniem dla bazy danych, a każdy atak wpływający na urządzenie lub stację roboczą użytkownika może być zagrożeniem dla bazy danych. Dlatego też bezpieczeństwo bazy danych musi wykraczać daleko poza samą bazę danych.

Przy ocenianiu bezpieczeństwa baz danych w środowisku przedsiębiorstwa i podejmowaniu decyzji o najważniejszych priorytetach dla zespołu należy rozważyć każdy z wymienionych poniżej obszarów:

  • Ochrona fizyczna: niezależnie od tego, czy serwer bazy danych znajduje się na miejscu, czy w centrum przetwarzania danych w chmurze, musi być umieszczony w bezpiecznym, kontrolowanym klimatycznie środowisku. (Jeśli serwer bazy danych znajduje się w centrum przetwarzania danych w chmurze, dostawca chmury zadba o to za Ciebie).
  • Kontrola dostępu administracyjnego i sieciowego: dostęp do bazy danych powinna mieć możliwie najmniejsza liczba użytkowników, a ich uprawnienia powinny być ograniczone do minimalnych poziomów niezbędnych do wykonywania przez nich pracy. Podobnie dostęp do sieci powinien być ograniczony do minimalnego poziomu niezbędnych uprawnień.
  • Konta użytkowników końcowych / bezpieczeństwo urządzeń: zawsze należy wiedzieć, kto ma dostęp do bazy danych oraz kiedy i w jaki sposób dane są wykorzystywane. Rozwiązania do monitorowania danych mogą wysłać ostrzeżenie, jeśli działania związane z danymi są nietypowe lub wydają się ryzykowne. Wszystkie urządzenia użytkowników łączące się z siecią, w której znajduje się baza danych, powinny być zabezpieczone fizycznie (pozostawać tylko w rękach właściwego użytkownika) i cały czas podlegać kontroli bezpieczeństwa.
  • Szyfrowanie: WSZYSTKIE dane — w tym dane w bazie danych i dane uwierzytelniające — powinny być chronione najlepszym w swojej klasie mechanizmem szyfrowania, zarówno w spoczynku, jak i w trakcie przesyłania. Wszystkie klucze szyfrujące powinny być obsługiwane zgodnie z wytycznymi opartymi na sprawdzonych procedurach.
  • Bezpieczeństwo oprogramowania bazy danych: zawsze należy używać najnowszej wersji oprogramowania do zarządzania bazami danych i instalować wszystkie aktualizacje natychmiast po ich wydaniu.
  • Bezpieczeństwo aplikacji / serwera WWW: każda aplikacja lub serwer WWW, który współdziała z bazą danych, może być kanałem ataku i dlatego powinien podlegać ciągłemu testowaniu zabezpieczeń i być zarządzany zgodnie ze sprawdzonymi procedurami.
  • Bezpieczeństwo kopii zapasowych: wszystkie kopie zapasowe, kopie lub obrazy bazy danych muszą podlegać takim samym (lub równie rygorystycznym) kontrolom bezpieczeństwa, jak sama baza danych.
  • Kontrola: należy rejestrować wszystkie logowania do serwera bazy danych i systemu operacyjnego, a także rejestrować wszystkie operacje wykonywane na danych wrażliwych. Należy również regularnie przeprowadzać kontrole standardów bezpieczeństwa baz danych.

Mechanizmy kontroli i strategie

Oprócz wdrażania warstwowych zabezpieczeń w całym środowisku sieciowym, bezpieczeństwo baz danych wymaga ustanowienia odpowiednich mechanizmów kontroli i odpowiednich strategii udzielania dostępu do samej bazy danych. Obejmują one:

  • Kontrole administracyjne do nadzorowania instalacji, zmian i zarządzania konfiguracją baz danych.
  • Kontrole prewencyjne do nadzorowania dostępu, szyfrowania, tokenizacji i maskowania.
  • Kontrole detekcyjne do monitorowania aktywności baz danych i narzędzi umożliwiających zapobieganie utracie danych. Rozwiązania te umożliwiają identyfikację nietypowych lub podejrzanych działań i ostrzeganie o nich.

Strategie zabezpieczania baz danych powinny wspierać ogólne cele biznesowe, takie jak ochrona newralgicznej własności intelektualnej, strategie cyberbezpieczeństwa czy strategie bezpieczeństwa chmury, i być z nimi zintegrowane. Warto więc zadbać o wyznaczenie osoby, która będzie w organizacji odpowiedzialna za zapewnienie zabezpieczeń i ich kontrolę oraz o to, aby posiadane przez organizację strategie zapewniania bezpieczeństwa uzupełniały polityki dostawcy chmury w ramach umów o współodpowiedzialności. Tworzenie mechanizmów zabezpieczeń, szkoleń i programów edukacyjnych dotyczących świadomości związanej z bezpieczeństwem oraz strategii oceny słabych punktów zabezpieczeń powinno służyć wspieraniu formalnych strategii bezpieczeństwa.

Platformy i narzędzia do ochrony danych

Obecnie szeroki wachlarz dostawców oferuje różnorodne platformy i narzędzia służące ochronie danych. Kompletne rozwiązanie powinno zawierać wszystkie poniższe funkcje:

  • Wykrywanie: należy szukać narzędzia, które potrafi skanować i klasyfikować luki we wszystkich bazach danych przedsiębiorstwa — niezależnie od tego, czy są one przechowywane w chmurze, czy lokalnie — oraz proponuje zalecenia dotyczące usuwania zidentyfikowanych luk. Funkcje wykrywania są często niezbędne w celu spełnienia wymogów dotyczących zachowania zgodności z przepisami.
  • Monitorowanie aktywności danych: rozwiązanie powinno być w stanie monitorować i kontrolować wszystkie działania związane z danymi we wszystkich bazach danych, niezależnie od tego, czy są one przechowywane lokalnie, w chmurze, czy w kontenerze. Powinno ono ostrzegać o podejrzanych działaniach w czasie rzeczywistym, dzięki czemu można szybciej reagować na zagrożenia. Ważne jest również, aby rozwiązanie mogło egzekwować reguły, strategie i separację obowiązków oraz oferować wgląd w stan danych za pośrednictwem kompleksowego i zunifikowanego interfejsu użytkownika. Warto upewnić się, że niezależnie od tego, które rozwiązanie zostanie wybrane, będzie ono generować raporty niezbędne do spełnienia wymogów dotyczących zachowania zgodności z przepisami.
  • Możliwości szyfrowania i tokenizacji: w przypadku naruszenia szyfrowanie stanowi ostatnią linię obrony przed narażeniem danych na niebezpieczeństwo. Każde narzędzie powinno zawierać elastyczne funkcje szyfrowania, które mogą chronić dane w środowiskach lokalnych, chmurowych, hybrydowych lub wielochmurowych. Warto szukać narzędzia z funkcjami szyfrowania plików, woluminów i aplikacji, które spełnia wymogi dotyczące zachowania zgodności z przepisami obowiązujące w danej branży i wymaga tokenizacji (maskowania danych) lub zaawansowanych funkcji zarządzania kluczami zabezpieczającymi.
  • Optymalizacja bezpieczeństwa danych i analiza ryzyka: narzędzie, które może generować kontekstowe wnioski, łącząc informacje o bezpieczeństwie danych z zaawansowaną analityką, umożliwia optymalizację, analizę ryzyka i łatwe raportowanie. Warto więc wybrać rozwiązanie, które może przechowywać i syntetyzować duże ilości historycznych i aktualnych danych o stanie i bezpieczeństwie baz danych, a także oferuje możliwości eksploracji danych, kontroli i raportowania za pomocą kompleksowego, ale przyjaznego dla użytkownika samoobsługowego panelu kontrolnego.

Bezpieczeństwo bazy danych i IBM Cloud

Bazy danych w chmurze zarządzanej przez IBM są wyposażone w rodzime zabezpieczenia oparte na rozwiązaniu IBM Cloud Security, w tym wbudowane funkcje zarządzania tożsamością i dostępem, widoczności, inteligencji i ochrony danych. Posiadając bazę danych w chmurze zarządzanej przez IBM, przedsiębiorstwo zyskuje pewność, że jego dane są przechowywane w środowisku, które jest z natury bezpieczne, oraz że jego obciążenia administracyjne będą znacznie mniejsze.

IBM oferuje również inteligentną platformę ochrony danych, IBM Security Guardium, która obejmuje funkcje wykrywania, monitorowania, szyfrowania i tokenizacji danych, a także optymalizacji bezpieczeństwa i analiz ryzyka dla wszystkich baz danych, hurtowni danych, współużytkowanych zasobów plikowych i platform wielkich zbiorów danych, niezależnie od tego, czy są one udostępniane lokalnie, w chmurze, czy w środowiskach hybrydowych.

Ponadto IBM oferuje zarządzane usługi zabezpieczania danych w chmurze, Data Security Services for Cloud, które obejmują wykrywanie i klasyfikację danych, monitorowanie aktywności danych oraz możliwości szyfrowania i zarządzania kluczami w celu ochrony danych przed zagrożeniami wewnętrznymi i zewnętrznymi dzięki usprawnionej strategii ograniczania ryzyka.

Aby rozpocząć korzystanie z usług IBM Cloud, już dziś załóż konto IBM Cloud.