Mavzu: zamonaviy boshqaruv tizimlarida axborot xavfsizligi. Reja

Zamonaviy boshqaruv tizimlarida ma'lumotlar bazasini boshqarish uchun axborot xavfsizligi

Kamida bitta dasturchi kirish huquqiga ega bo'lgan konfiguratsiyani xavfsiz deb hisoblash mumkin emas. Shu sababli, ma'lumotlar bazalarining axborot xavfsizligini ta'minlash juda murakkab masala bo'lib, asosan relyatsion MBBT xarakteriga bog'liqdir.

Ma'lumotlar bazasini boshqarish uchun axborot xavfsizligining uchta asosiy jihati - konfidentsiallik, yaxlitlik va ochiqliligi muhimdir. 

Ushbu mavzuning

1. 
   Ma'lumotlarga ruxsatsiz kirishdan himoya qilish vositasi. 
   

Xavfsizlik siyosati ma'lumotlar ma'muri tomonidan belgilanadi. Shu bilan birga, ma'lumotlarni himoya qilish bo'yicha yechimlar faqat ma'lumotlar bazasi bilan cheklanib qolmasligi kerak. Mutloq ma'lumotni himoya qilish deyarli mumkin emas, shuning uchun ular odatda nisbiy axborotni himoya qilish bilan kifoyalanadilar.
- unga ruxsatsiz kirish har qanday oqibatlarga olib kelmaguncha uni ma’lum bir vaqt davomida himoya qilish kafolatlanadi. Ma'lumotlarga kirishni differentsiallashtirish shuningdek ma'lumotlar bazasida cheklashlar bilan tavsiflanadi va bu haqda ma'lumot uning tizim katalogida saqlanadi. Ba'zida ma'lumotlar bazasi serveri va mijoz bazasi ishlaydigan mijoz ishlaydigan operatsion tizimlardan qo'shimcha ma'lumot so'ralishi mumkin.
Ma'lumotlar bazasiga ulanish bosqichida ma'lumotlar bazasida ma'lumotlar bazasi ulanadi va autentifikatsiya qilinadi. Keyinchalik, foydalanuvchi yoki jarayon o'zining ruxsatnomalariga muvofiq ma'lumotlarga kirish huquqiga ega bo'ladi. Agar foydalanuvchilarning ma'lumotlar bazasiga ulanishi uzilgan bo'lsa, joriy operatsiya orqaga qaytariladi va ulanish tiklanganida, foydalanuvchi qayta autentifikatsiya qilinishi va uning ma'lumotlari tekshirilishi kerak.
Zamonaviy boshqaruv o'rganlarda foydalanuvchilari
Ma'lumotlarning ma'lumotlar bazasini foydalanuvchilarini uch guruhga bo'lish mumkin:

1. 
   Amaliy dasturchilar - ma'lumotlar bazasidan foydalanadigan dasturlarni yaratish uchun javobgardir.
   

Ma'lumotni himoya qilish ma'nosida, dasturchi yoki ma'lumotlar ob'ektlarini yaratish va boshqarish uchun imtiyozlarga ega foydalanuvchi yoki faqat ma'lumotlarni boshqarish uchun imtiyozlarga ega foydalanuvchi bo'lishi mumkin.

2. 
   Ma'lumotlar bazasining oxirgi foydalanuvchilari - to'g'ridan-to'g'ri terminal yoki ish stantsiyasi orqali ma'lumotlar bazasi bilan ishlash. Odatda, oxirgi foydalanuvchilar ma'lumotlar cheklash bo'yicha cheklangan imtiyozlarga ega. Ushbu to'plam oxirgi foydalanuvchi interfeysini sozlashda aniqlanishi mumkin va o'zgartirilmaydi. Bu holda xavfsizlik siyosati xavfsizlik ma'muri yoki ma'lumotlar bazasi ma'muri tomonidan belgilanadi (agar u o'sha mansabdor shaxs bo'lsa).
   
3. 
   Ma'lumotlar bazasi ma'murlari - ma'lumotlar bazalari foydalanuvchilarining maxsus toifasini tashkil qiladi. Ular ma'lumotlar bazalarini o'zlari yaratadilar, ma'lumotlar bazasining ishlashini texnik nazoratni amalga oshiradilar, tizimning zarur ishlashini ta'minlaydilar. Bundan tashqari, ma'murning vazifalari foydalanuvchilarga zarur bo'lgan ma'lumotlarga kirishni ta'minlash, shuningdek, foydalanuvchi uchun zarur bo'lgan ma'lumotlarning tashqi ko'rinishini yozish (yoki aniqlashda yordam berish) ni o'z ichiga oladi. Ma'mur xavfsizlik va ma'lumotlar yaxlitligi qoidalarini belgilaydi.
   

Ixtiyoriy himoya
Zamonaviy boshqaruv o'rganlarda ixtiyoriy himoya qilishning etarlicha rivojlangan vositalari mavjud.
Erkin foydalanishni boshqarish - nomlangan ob'ektlar va nomlangan ob'ektlar o'rtasida foydalanishni boshqarish. Muayyan kirish huquqiga ega bo'lgan tashkilot ushbu huquqni boshqa har qanday shaxsga o'tkazishi mumkin.

• 
  Ixtiyoriy himoya - bu ko'p darajali mantiqiy himoya.
  

MBBTda mantiqiy himoya - bu himoyalangan ob'ektga nisbatan imtiyozlar yoki rollarning to'plami. Mantiqiy himoya shuningdek jadvalga egalikni ham o'z ichiga oladi (ko'rinish). Jadval egasi imtiyozlar to'plamini o'zgartirishi (kengaytirishi, olib qo'yishi, kirishni cheklab qo'yishi) mumkin (mantiqiy himoya). Mantiqiy himoya ma'lumotlari ma'lumotlar bazasining tizim jadvallarida joylashgan va himoyalangan ob'ektlardan ajratilgan (jadvallar yoki ko'rinishlardan).
Ma'lumotni himoya qilish vositalari ma'lumotlar bazasining maxsus (ishonchli) versiyalari bilan ta'minlanadi.
Majburiy kirishni boshqarish (kirishning majburiy boshqaruvi) - bu ob'ektlar tarkibidagi ma'lumotlarning xarakterli maxfiylik yorlig'i va sub'ektlarning ushbu maxfiylik darajasidagi ma'lumotlarga kirish uchun rasmiy ruxsat (ruxsat) asosida ma'lumotlar ob'ektlariga kirishni taqsimlash.
Nima uchun ma'lumotlari himoyasi kerak? O'zboshimchalik bilan erkin foydalanishni boshqarish xavfsizlik darajasiga xosdir. Odatda, ular asosan tijorat dasturlarining aksariyati uchun yetarli. Shunga qaramay, ular bitta muhim muammoni - axborot uzatilishini kuzatish vazifasini hal qilmaydi. O'zboshimchalik bilan foydalanishni boshqarish vositalari vakolatli foydalanuvchiga qonuniy ma'lumotni olishiga va undan boshqa, ruxsatsiz foydalanuvchilarga kirishiga to'sqinlik qila olmaydi. Bu nima uchun bunday ekanligini tushunish oson. O'zboshimchalik bilan erkin foydalanishni boshqarish bilan, imtiyozlar ma'lumotlardan alohida (o'zaro bog'liq MBBT holatida - o'zaro bog'liq jadvallar satridan alohida) mavjud bo'lib, natijada ma'lumotlar «shaxsiylashtirilgan» bo'lib chiqadi va ularning hech kimga, hatto MBBT tomonidan ham o'tkazilishiga to'sqinlik qilmaydi; siz qilishingiz kerak bo'lgan narsa bu jadvalga yoki ko'rinishga kirish.
Ma'lumotlar bazasini jismoniy muhofaza qilish asosan ma'lumotlarni tavsiflaydi (egalik, ahamiyat, vakillik va boshqalar). Bular asosan mulk guruhini, ob'ekt ma'lumotlarining (jadvallar, ustunlar, satrlar yoki maydonlar) konfidentsiallik darajasi va qiymatlarini tavsiflovchi xavfsizlik belgilaridir. Xavfsizlik yorliqlari (jismoniy himoya) himoyalangan ob'ektning butun hayoti davomida o'zgarmasdir (ular faqat u bilan yo'q qilinadi) va mantiqiy himoyada bo'lgani kabi, tizim katalogida emas, himoyalangan ma'lumotlar bilan birgalikda (diskda) joylashgan.
Ma'lumotlar bazasiga kirishda ma'lumotlar bazasi maxfiylik belgilarini e'tiborsiz qoldirishga imkon bermaydi. Bunday DBMS dasturlari, qoida tariqasida, server mashinasida ham, mijoz mashinasida ham vositalar to'plami bo'lib, operatsion tizimning maxsus himoyalangan versiyasidan foydalanish mumkin. Maxfiylik belgilari orqali ma'lumotlarga kirishni cheklashdan tashqari, himoyalangan MBBT sub'ektlarning himoyalangan ob'ektlarga (audit) kirishini nazorat qilish uchun vositalarni ta'minlaydi.
Majburiy xavfsizlik imkoniyatlariga ega bo'lgan ma'lumotlar bazasini boshqarish ma'lumot tizimida saqlanadigan ma'lumotlarga kirish va nomlangan ma'lumotlar ob'ektlariga kirish o'rtasidagi farqni aniqlashga imkon beradi. Bu holda himoya qilish bloki, xususan, ushbu bitim to'g'risidagi ma'lumotlarni o'z ichiga olgan jadval yoki taqdimot emas, balki N bitim yozuvi bo'ladi. Shartnomaga kirishga harakat qilgan foydalanuvchi endi maxfiylik yorlig'ini chetlab o'tolmaydi. Muayyan jadvalning ma'lum bir satrida ma'lum atributning ma'lum bir qiymatiga kirishni chegaralashga imkon beradigan amaliyotlar mavjud. Maxfiylik yorlig'ining bitta qiymati bilan cheklanib qolmaydi - odatda yorliqning o'zi, masalan, jadval saqlanadigan qurilmaning xavfsizlik darajasi, jadvalning o'zi, xavfsizlik darajasi, atributning xavfsizlik darajasi va ma'lum darajadagi xavfsizlik darajasini aks ettiruvchi qiymatlar to'plamidir.
Ma'lumotlar (jadvallar) ni o'zlariga (ushbu ob'ektga tegishli) va boshqalarga ajratadigan mulk atributi (mantiqiy himoya) bundan mustasno, jismoniy himoya ma'lumotlarni yanada sekinroq buzadi. Ammo jismoniy himoyasiz buni amalga oshirish mumkinmi yoki hech bo'lmaganda, masalan, saqlangan protseduralar majmuasini amalga oshirish orqali sinab ko'rish mumkinmi? Umuman olganda, bunday himoyaning ba'zi bir o'xshashligi yorliqlar jadvalga qo'shimcha atribut sifatida qo'shilsa, jadvallarga kirish umuman rad qilinadi va biron bir dastur SQL so'rovini bajara olmaydi, faqat saqlangan protsedura va hk. Ushbu himoya darajasidagi bir qator amaliyotlar juda mavhum (juda istalgan) nomlari bilan saqlanadigan protseduralar to'plamiga qo'ng'iroqdan foydalanadi. Bunday holatda axborot xavfsizligini amalga oshirish tizimi juda murakkab va xavfsizlik ma'muriga ma'lum darajada ishonishni o'z ichiga oladi, chunki u ma'lumotlar bazasining tuzilishini va shu sababli saqlanadigan protseduralarni, qarashlarni o'zgartirish huquqiga ega. Fizik jihatdan, bu holda xavfsizlik ma'muri sezgir ma'lumotlarni boshqarishdan ajratilmagan.
Bundan tashqari, himoyalangan MBBT ma'lum bir ro'yxatdan o'tgan foydalanuvchilar uchun turli xil ish stantsiyalaridan axborot tizimiga kirishni farqlash, ish rejimlarini aniqlash va turli xil ish stantsiyalaridan ma'lum foydalanuvchilarning ish vaqtiga cheklovlar qo'yish imkonini beradi. Ushbu parametrlarni ilova darajasida amalga oshirishda, qoida tariqasida, «kim kelgan va qayerdan» kuzatib boradigan ilova serverini yaratish vazifasi qisqartiriladi. Server dasturlarining alohida to'plami (odatda ma'lumotlar bazasida ma'lumotlar bazasi himoyasi mavjud bo'lmagan holda saqlanadigan protseduralar) auditni ta'minlaydi.
Ma'lumotlarini himoya qilishni batafsil ko'rib chiqaylik. Misol tariqasida, biz juda aniq sektorda - kuch tuzilmalarida tan olingan «Linter» ma'lumotlar bazasining majburiy himoyasini olamiz, chunki Amerika milliy standartiga muvofiq B3 sinfiga mos keladigan, ruxsatsiz kirishdan himoya qilishning ikkinchi toifasi sertifikatiga ega bo'lgan yagona ma'lumotlar bazasi.
Birinchidan, ro'yxatdagi barcha ob'ektlar (ma'lumotlar bazasidagi ierarxiyasidan qat'i nazar) bu erda a'zolik guruhlariga bo'linadi. Ob'ekt faqat bitta guruhga tegishli bo'lishi mumkin (masalan, tashkilotning bo'linishida bo'lishi mumkin). Sheriklik guruhlari sub'ektlar guruhlari bilan bevosita bog'liqdir (pastga qarang). Agar sub'ektlar guruhlari o'rtasida ishonch munosabatlari o'rnatilmagan bo'lsa, sub'ekt faqat o'z guruhining ma'lumotlarini ko'rishga haqlidir.
Ikkinchidan, barcha ob'ektlar konfidentsiallik darajasi va qiymat yoki ahamiyat darajasi bo'yicha ierarxiyada joylashtirilgan. Maxfiylik darajasi ob'ektlarni o'qishga (va hatto ko'rishga) qarab buzadi. Kirish darajasi past bo'lgan foydalanuvchi hatto yuqori darajadagi maxfiylik ob'ektlarining mavjudligi haqida ham bilmaydi. Qiymat darajasi, aksincha, ma'lumotlarni (ob'ektlarni) ahamiyati bo'yicha ajratadi, ularni yo'q qilish va o'zgartirish imkoniyatini cheklaydi.
Yuqorida tavsiflangan vositalar arsenalini muntazam ravishda ishlatishdan tashqari, ma'muriy va protsessual choralarni, xususan, foydalanuvchi parollarini doimiy ravishda o'zgartiradigan, jismoniy saqlash vositalariga kirishni taqiqlaydigan va boshqalarni qo'llash kerak.

2.