Безопасность баз данных

menu icon

Безопасность баз данных

Узнайте о сложностях, связанных с безопасностью баз данных, а также о методах, политиках и технологиях обеспечения конфиденциальности, целостности и доступности данных.

Что такое безопасность баз данных

Понятие «безопасность баз данных» включает в себя целый ряд инструментов, средств контроля и мер, направленных на обеспечение и поддержку конфиденциальности, целостности и доступности баз данных. Основное внимание в данной статье уделяется вопросам конфиденциальности, поскольку большинство инцидентов безопасности связано с утечкой конфиденциальных данных.

Безопасность баз данных должна включать в себя следующие элементы:

  • Данные, хранящиеся в базе данных
  • Система управления базами данных (СУБД)
  • Любые связанные приложения
  • Физический сервер базы данных и/или виртуальный сервер базы данных и используемое оборудование
  • Вычислительные ресурсы и/или сетевая инфраструктура, предназначенная для доступа к базе данных

Безопасность баз данных — сложная и комплексная инициатива, охватывающая все аспекты технологий и методов в области информационной безопасности. Кроме того, требования к безопасности баз данных и удобству использования часто противоречат друг другу. Чем доступнее и удобнее база данных для конечных пользователей, тем уязвимее она для угроз безопасности; чем защищеннее база данных от угроз, тем сложнее получить доступ к данным (этот парадокс также известен как правило Андерсона (внешняя ссылка)).

Почему это важно?

Под утечкой данных понимают неспособность обеспечить конфиденциальность данных в базе данных. Степень серьезности последствий утечки данных для предприятия зависит от целого ряда событий или факторов:

  • Утечка интеллектуальной собственности: интеллектуальная собственность — коммерческая тайна, изобретения, запатентованные методики — может иметь крайне важное значение для сохранения конкурентного преимущества на рынке. В случае кражи или раскрытия интеллектуальной собственности будет трудно или даже невозможно сохранить или восстановить конкурентные преимущества.
  • Ущерб для репутации бренда: если клиенты и партнеры не доверяют вам в вопросах защиты данных, это неизбежно скажется на объеме продаж ваших продуктов или услуг (или желании сотрудничать с вашей компанией).
  • Бесперебойная работа (или невозможность ее обеспечения): некоторые компании не могут продолжать работу, пока не будет устранен инцидент утечки данных.
  • Штрафы или санкции за несоблюдение нормативных требований: несоблюдение глобальных требований, в частности Закона Сарбейнза-Оксли или стандарта Payment Card Industry Data Security Standard (PCI DSS), отраслевых законов в области конфиденциальности данных, например HIPAA, или региональных норм, например Общеевропейского регламента о защите персональных данных (GDPR), может повлечь за собой катастрофические финансовые последствия. В наиболее серьезных случаях штрафы могут превышать несколько миллионов долларов за каждое нарушение.
  • Расходы на устранение последствий и уведомление клиентов: помимо расходов на информирование клиентов об инциденте, организация вынуждена оплачивать услуги по расследованию инцидентов, кризисному управлению, приоритизации, восстановлению затронутых систем и пр.

Распространенные угрозы и проблемы

Существует множество ошибок конфигурации ПО, уязвимостей, примеров халатного отношения или ненадлежащей эксплуатации, которые могут привести к утечке данных. Ниже приводятся наиболее распространенные виды и причины атак на систему безопасности баз данных.

Внутренние угрозы

Внутренняя угроза — это угроза безопасности, исходящая от любого из трех возможных источников, обладающих привилегированным доступом к базе данных:

  • Внутренний злоумышленник, целенаправленно совершающий противоправные действия для нанесения ущерба
  • Внутренний злоумышленник, совершающий ошибки по небрежности, в результате чего база данных становится уязвимой для атак
  • Проникший злоумышленник — стороннее лицо, которое каким-либо образом завладело идентификационными данными, например с помощью фишинга или получения доступа к самой базе учетных данных

Внутренние угрозы относятся к основным причинам нарушений в сфере безопасности баз данных и часто являются результатом чрезмерного количества привилегированных учетных записей.

Ошибки, вызванные человеческим фактором

Случайности, ненадежные пароли, предоставление паролей другим лицам и другие непродуманные или недальновидные действия пользователей по-прежнему составляют около половины (49%) всех зарегистрированных случаев утечки данных (внешняя ссылка).

Использование уязвимостей ПО баз данных

Поиск уязвимостей в разнообразных программных продуктах, включая ПО для управления базами данных, и проведение преднамеренных атак с их использованием — источник заработка для злоумышленников. Все крупные производители коммерческого ПО для баз данных и открытые платформы управления базами данных регулярно выпускают исправления безопасности для устранения обнаруженных уязвимостей, однако несвоевременная установка таких исправлений повышает вероятность атак.

Атаки путем внедрения кода SQL/NoSQL

Этот вид угроз, характерных для баз данных, заключается во внедрении произвольных строк SQL или другого кода в запросы к базе данных, обрабатываемые веб-приложениями или заголовками HTTP. Организации, которые не придерживаются рекомендаций по созданию защищенного кода веб-приложений и не выполняют регулярное тестирование на наличие уязвимостей, могут стать жертвами таких атак.

Атаки переполнения буфера

Переполнение буфера происходит, когда процесс пытается записать в блок памяти фиксированной длины данные, размер которых превышает максимально допустимое значение. Для проведения атак злоумышленники могут использовать дополнительные данные, хранящиеся в соседних адресах памяти.

Атаки типа «отказ в обслуживании» (DoS/DDoS)

Во время атаки типа «отказ в обслуживании» (DoS) злоумышленник обрушивает на целевой сервер — в данном случае сервер базы данных — такое количество запросов, что сервер не в состоянии выполнять запросы реальных пользователей. В большинстве случаев это приводит к нестабильной работе или отказу сервера.

При распределенной атаке типа «отказ в обслуживании» (DDoS) поток запросов поступает одновременно с нескольких серверов, из-за чего прервать атаку становится еще труднее. Более подробную информацию вы найдете в нашем видео «Что такое DDoS-атака» (3:51):

Вредоносное ПО

Вредоносное ПО — это программное обеспечение, разработанное с целью использовать уязвимости базы данных или причинить другой ущерб. Вредоносное ПО может проникнуть в систему через любое конечное устройство, подключенное к сети базы данных.

Атаки на резервные копии

Организации, пренебрегающие строгими мерами защиты резервных копий данных, уязвимы для атак на резервные копии.

Следующие факторы повышают уровень серьезности этих атак:

  • Растущие объемы данных: объемы собираемых, хранимых и обрабатываемых данных растут в геометрической прогрессии практически в любой организации. Каждый инструмент или метод обеспечения безопасности данных должен обладать масштабируемостью для реализации потребностей как в ближайшем, так и в отдаленном будущем.
  • Разрастание инфраструктуры: в результате непрерывного роста сложности сетевых сред, особенно в связи с переносом задач в мультиоблако или гибридное облако, процесс выбора, развертывания и обслуживания решений в области безопасности становится в разы сложнее, чем когда-либо раньше.
  • Ужесточение требований регуляторов: соблюдение всех глобальных нормативных требований становится все более трудной задачей.
  • Нехватка навыков в области кибербезопасности: согласно прогнозам экспертов, к 2022 году в мире будет 8 млн вакансий в сфере кибербезопасности.

Передовые методы

При постоянном сетевом доступе к базам данных любая угроза безопасности, нацеленная на определенный компонент или часть сетевой инфраструктуры, является угрозой и для самой базы данных. Любая атака, затрагивающая пользовательское устройство или рабочую станцию, может угрожать безопасности базы данных. Таким образом, безопасность баз данных не должна ограничиваться одной лишь базой данных.

При оценке уровня безопасности базы данных с целью определения приоритетных задач следует обратить внимание на следующие вопросы:

  • Физическая безопасность: вне зависимости от расположения сервера базы данных, в локальном или облачном ЦОД, это должно быть защищенное, кондиционируемое помещение. (Если сервер базы данных размещается в облачном ЦОД, этими вопросами должен заниматься поставщик облачных услуг.)
  • Административный контроль и управление доступом к сети: минимально допустимое количество пользователей должно обладать доступом к базе данных; пользователям должны быть предоставлены минимально необходимые права доступа в соответствии с выполняемыми задачами. Доступ к сети также должен быть ограничен до минимально необходимого уровня разрешений.
  • Безопасность устройств и учетных записей конечных пользователей: крайне важно обеспечить постоянный контроль доступа к базе данных и действий с данными. Решения для мониторинга данных позволяют получать уведомления о нетипичных или подозрительных действиях с данными. Все пользовательские устройства, подключающиеся к сети базы данных, должны быть физически защищены (и доступны только разрешенным пользователям), в том числе с использованием средств контроля безопасности.
  • Шифрование: все данные, включая данные в базе данных и идентификационные данные, должны быть защищены с помощью передовых алгоритмов шифрования — в процессе передачи и во время хранения. Необходимо придерживаться рекомендаций по управлению ключами шифрования.
  • Безопасность ПО базы данных: следует всегда использовать новейшую версию ПО управления базами данных и устанавливать все исправления по мере их выхода.
  • Безопасность веб-сервера/сервера приложений: любой сервер приложений или веб-сервер, взаимодействующий с базой данных, может оказаться каналом проведения атаки, поэтому следует обеспечить непрерывное тестирование безопасности и передовые методы управления.
  • Безопасность резервных копий: все резервные копии, реплики или образы базы данных должны находиться под не менее строгим контролем безопасности, чем сама база данных.
  • Аудит: необходимо регистрировать все операции входа в операционную систему и на сервер базы данных, а также действия с конфиденциальными данными. Необходимо обеспечить проведение регулярного аудита безопасности базы данных.

Средства контроля и политики

Помимо реализации многоуровневой системы контроля безопасности в масштабе сетевой среды, важно также внедрить правильные средства контроля и политики доступа к самой базе данных. А именно:

  • Административный контроль: для управления установкой, изменениями и конфигурациями базы данных.
  • Профилактический контроль: для управления доступом, шифрованием, токенизацией и маскированием.
  • Обнаружение: для отслеживания действий с базой данных с помощью инструментов предотвращения утечки данных. Эти решения позволяют обнаруживать нестандартные или подозрительные действия и информировать о них.

Политики в сфере безопасности баз данных должны согласовываться с общими бизнес-целями, включая защиту важных объектов интеллектуальной собственности, политиками обеспечения кибербезопасности и политиками обеспечения безопасности в облачной среде. Внутри организации должны быть определены ответственные лица за обслуживание и аудит мер безопасности. Кроме того, важно, чтобы ваши внутренние правила дополняли политики поставщика облачных услуг в соглашениях о коллективной ответственности. Формальные политики безопасности должны быть подкреплены средствами контроля безопасности, программами обучения и повышения осведомленности в сфере безопасности, стратегиями тестирования на возможность проникновения и оценки уязвимостей.

Инструменты и платформы защиты данных

Сегодня потребителям доступен широкий спектр инструментов и платформ, обеспечивающих защиту данных. Комплексное решение должно предоставлять все из перечисленных ниже функций:

  • Обнаружение: выбирайте инструмент, который позволяет сканировать и классифицировать уязвимости во всех имеющихся базах данных, будь то в облаке или в среде заказчика, а также получать рекомендации по устранению обнаруженных уязвимостей. Зачастую функции обнаружения являются обязательными для демонстрации соблюдения нормативных требований.
  • Мониторинг действий с данными: правильно подобранное решение должно поддерживать мониторинг и аудит любых действий с данными по всем базам данных, независимо от способа развертывания — в среде заказчика, в облаке или в контейнерной среде. Для более быстрого реагирования на угрозы вы должны получать уведомления о подозрительных операциях в режиме реального времени. Оптимальное решение должно поддерживать принудительное применение правил, политик и разделение обязанностей, а также наглядное представление состояния данных на основе единого многофункционального пользовательского интерфейса. Убедитесь, что выбранное вами решение генерирует отчеты, необходимые для подтверждения выполнения нормативных требований.
  • Функции шифрования и токенизации: в случае утечки данных шифрование останется последним препятствием для разглашения информации. Какой бы инструмент вы ни выбрали, он должен предоставлять гибкие функции шифрования для защиты данных в локальной, облачной, гибридной или мультиоблачной среде. Обратите внимание на следующее: соответствуют ли функции шифрования файлов, томов и приложений отраслевым требованиям; поддерживается ли токенизация (маскирование данных) или расширенные функции управления ключами безопасности, если они обязательны в вашей отрасли.
  • Оптимизация защиты данных и анализ рисков: инструмент, объединяющий информацию о безопасности данных с расширенной аналитикой для извлечения контекстной информации, позволит решать задачи, связанные с оптимизацией, анализом рисков и созданием отчетов. Выбирайте решение, способное хранить и синтезировать огромные объемы хронологических и текущих данных о работоспособности и безопасности ваших баз данных. Также стоит обратить внимание на наличие комплексной, удобной сводной панели для самостоятельного изучения данных, аудита и подготовки отчетов.

Безопасность баз данных и IBM Cloud

Управляемые IBM облачные базы данных содержат встроенные функции обеспечения безопасности, дополняемые услугами IBM Cloud Security, включая управление идентификацией и доступом, наглядное представление, аналитику и функции защиты данных. Выбирая управляемую IBM облачную базу данных, вы можете быть уверены в надежной защите среды базы данных и сокращении административной нагрузки.

IBM также предлагает IBM Security Guardium — интеллектуальную платформу защиты данных, в состав которой входят функции поиска данных, мониторинга, шифрования, токенизации, оптимизации безопасности и анализа рисков для всех баз данных, хранилищ данных, общих файловых ресурсов и платформ больших данных, независимо от способа размещения — в среде заказчика, в облаке или в гибридных средах.

Кроме того, IBM предоставляет управляемые услуги Data Security Services for Cloud, которые включают услуги по поиску и классификации данных, мониторингу действий с данными, функции шифрования и управления ключами для защиты данных от внутренних и внешних угроз на основе упрощенного подхода к снижению рисков.

Для того чтобы приступить к работе, создайте учетную запись IBM Cloud.