|
ПРОБЛЕМЫ И АНАЛИЗ ЗАЩИТЫ БАЗЫ ДАННЫХ В ИНФОКОММУНИКАЦИОННЫХ СИСТЕМАХ
Гуломов Ш.Р. (ТУИТ, доцент, зав. кафедрой ИБ)
Мамаев Н.Н. (ТУИТ, магистрант ИБ)
Появление новых информационных технологий и развитие мощных компьютерных систем хранения и обработки информации повысили требования к уровню защиты информации и определили необходимость разработки эффективных механизмов защиты информации, адаптированной под современные архитектуры хранения данных. Так постепенно защита экономической информации становится обязательной:
разрабатываются всевозможные документы по защите информации;
формируются рекомендации по защите информации;
приводится закон о защите информации, который рассматривает проблемы защиты информации и задачи защиты информации, а также решает некоторые уникальные вопросы защиты информации.
Обеспечение защиты информации в компании является непрерывным процессом, который предусматривает применение современных методов, позволяющих вести контроль внешней и внутренней среды предприятия, организацию и реализацию мероприятий по поддержке стабильного функционирования сети и вычислительной техники, а также минимизацию потерь в связи с утечкой информации. Для осуществления защиты информации, как в сетях, так и на производстве, на предприятиях должен быть сформирован определенный свод правил и нормативных документов, регламентирующих действия сотрудников по обеспечению безопасности и описывающий технические и программные средства для защиты информации понятие защиты применимо не только к сохраняемым в базе данным. Бреши в системе защиты могут возникать и в других частях системы, что, в свою очередь, подвергает опасности и собственно базу данных. Следовательно, защита базы данных должна охватывать используемое оборудование, программное обеспечение, персонал и собственно данные. База данных — это хранилище информации именованная совокупность данных, отражающая состояние объектов и их отношений в рассматриваемой предметной области.
В любой компании из любой сферы деятельности есть базы данных, которые различаются по типу содержимого и виду.
Защита баз данных это комплексный подход к обеспечению безопасности информации, хранящейся в них. Под этим понятием подразумеваются меры, направленные на предотвращение её потери, хищения или изменения.
Злоумышленников интересуют такие виды информации, как внутренняя операционная информация, персональные данные сотрудников, финансовая информация, информация о заказчиках/клиентах, интеллектуальная собственность, исследования рынка/анализ деятельности конкурентов, платежная информация. Эти сведения в итоге хранятся в корпоративных хранилищах и типы пользователей БД (рис-1):
администраторы баз данных;
администраторы по защите данных;
разработчики приложений;
администраторы приложений;
администраторы сети;
пользователи базы данных.
Рис. 1. Хранятся в корпоративных БД
Поэтому обеспечение надёжной и безопасной аутентификации – важнейшая задача как для разработчиков, так и для администраторов систем.
Аутентификация— это проверка пользователя: действительно ли он тот, за кого пытается себя выдавать. для аутентификации используется информация, предоставить которую может только сам пользователь. В пользователь web–системах для проведения аутентификации в большинстве случаев участвует пара значений имя пользователя и пароль, удостоверяющий, что пользователь действительно тот, за кого себя выдает. Считается, что никто, кроме самого пользователя, не знает пароль.
Существует несколько основных методов аутентификации, которые обеспечивают разную степень безопасности. Выбор метода должен основываться на следующих факторах:
надёжность, достоверность и недоказуемость;
стоимость решения, стоимость администрирования;
соответствие общепринятым стандартам;
простота интеграции в готовые решения и в новые разработки.
Также необходимо обратить внимание на следующие аспекты:
интеграцию с внешними системами аутентификации;
безопасность соединений;
защиту данных на любом уровне;
выборочное шифрование данных;
подробный аудит действий пользователей;
централизованное управление аутентификацией и авторизацией пользователей.
Для преодоления названных проблем обеспечения информационной безопасности БД необходимо перейти от метода закрытия уязвимостей к комплексному подходу обеспечения безопасности хранилищ информации. Основными этапами этого перехода, по мнению авторов, должны стать следующие положения.
Разработка комплексных методик обеспечения безопасности хранилищ, данных на текущем этапе.
Оценка и классификация угроз и уязвимостей БД.
Разработка стандартных (применимых к различным БД без внесения изменений или с минимальными изменениями) механизмов обеспечения безопасности.
Разработка теоретической базы информационной защиты систем хранения и манипулирования данными.
Мероприятия по защите информации должны включать решение следующих вопросов:
определение угроз безопасности и групп потенциальных нарушителей;
определение групп приложений, обеспечивающих бизнес-процессы предприятия;
определение категорий, данных по уровню доступа;
подготовка методики по обеспечению безопасности инфраструктуры сети, БД, серверов приложений, клиентских приложений.
В результате сформулированы общие требования и вопросов к безопасности БД, перспективные пути исследования и развития систем защиты для построения надежных и защищенных серверов по обработке информации. В них вошли как систематизация и развитие существующих подходов в виде выработки методик и стандартизации механизмов защиты, так и направления новых исследований, например, классификация уязвимостей БД и формализация новых моделей данных, построение прогнозирующих средств защиты.
Do'stlaringiz bilan baham: |
