Защита баз данных

Защита баз данных — это комплексный подход к обеспечению безопасности информации, хранящейся в них. Под этим понятием подразумеваются меры, направленные на предотвращение её потери, хищения или изменения.

База данных — это хранилище информации. В любой компании из любой сферы деятельности есть базы данных, которые различаются по типу содержимого и виду.

Примеры:

• CRM-системы имеют базы данных контрагентов;
• бухгалтерия имеет соответствующую базу данных;
• операторы связи хранят данные своих клиентов, журналы звонков и сообщений;
• медицинские учреждения заводят базы данных пациентов с историями болезней и персональной информацией.

Базы данных не только хранят ценную информацию для компаний и их клиентов, но и позволяют составлять аналитические отчёты.

Обеспечение безопасности баз данных позволяет защитить компанию от угроз:

• непреднамеренный или преднамеренный несанкционированный доступ с последующим хищением или уничтожением конфиденциальной информации, изменением метаданных, структуры, программ или безопасности со стороны хакеров, неавторизованных пользователей, администратора базы данных;
• ограничение пропускной способности, перегрузка, снижение производительности с последующим ограничением работы авторизованных пользователей;
• ввод неверных данных, команд, ошибки администрирования, саботаж с последующим повреждением данных или их потерей;
• хищение информации, получение запатентованных и личных данных, нанесение вреда программам, отказ в доступе к базам данных или его прерывание, сбой в работе вследствие инфекций вредоносных программ;
• несанкционированная эскалация привилегий, программные ошибки;
• преднамеренное или непреднамеренное причинение физического ущерба серверам баз данных.

Для защиты баз данных необходимо обеспечить им доступность, целостность и конфиденциальность.

Способы защиты

Защита базы данных требует комплексного подхода. Методов большое множество — рассмотрим только основные.

Штатный аудит и мониторинг

Это средство защиты часто используется коммерческими организациями и входит в состав систем управления базами данных (далее — СУБД). Механизм работы штатного аудита заключается в настройке и включении триггеров, а также создании специфических процедур, которые начинают срабатывать во время запроса доступа к чувствительной информации. При этом ведется журнал запросов и подключений к системе управления базами данных в виде таблицы, где указаны данные о том, в какое время, кем и какой запрос был сделан.

Штатный аудит отвечает основным отраслевым требованиям регуляторов, но бесполезен в случае необходимости проведения внутренних расследований инцидентов и решения задач информационной безопасности.

Резервное копирование

Настройка регулярного резервного копирования на жестком диске с дублированием на другом носителе позволяет восстановить информацию в случае сбоя в работе системы управления базами данных.

Шифрование

Это использование устойчивого криптоалгоритма для шифрования информации в базах данных. В случае применения такого метода защиты, злоумышленник увидит информацию в нечитаемом виде в отличие от пользователей, имеющих ключ доступа.

Проблема заключается в способе хранения ключей, так как нет гарантии того, что ключ не будет намеренно передан третьему лицу. Кроме того, шифрование не обеспечивает безопасность от администратора базы данных.

VPN и двухфакторная аутентификация

Организация доступа внутренних пользователей и администраторов к базам данных с применением VPN и двухфакторной аутентификацией (использование двух разных типов аутентификации) значительно повышает уровень защиты от несанкционированного проникновения.

Помимо стандартной пары логина и пароля для доступа к защищенному сегменту сети используется еще один фактор участвующий в аутентификации, например:

• USB-ключи, смарт-карты, iButton;
• одноразовый код в виде СМС или email;
• генератор паролей (технология SecurID);
• биометрические данные и т. д.

Автоматизированные системы защиты

Это специализированные системы обеспечения безопасности баз данных, представляющие собой решения DAM (Database Activity Monitoring) и DBF (Database Firewall). Применяются, когда уже реализованы вышеописанные меры защиты баз данных.

DAM производит мониторинг пользователей в системах управления базами данных. При этом не требуется специально изменять настройки или конфигурации систем управления базами данных. Поэтому это решение называется независимым. DAM может работать пассивно с копией трафика, тем самым не оказывая влияния на бизнес-процессы.

DAM (Database Activity Monitoring):

• ведёт аудит ответов и SQL-запросов, классифицируя их по группам;
• анализирует трафик пользователей, работающих с базами данных;
• архивирует действия пользователей для расследования инцидентов;
• обладает высокой степенью фильтрации потенциальных инцидентов среди миллионов запросов;
• классифицирует информацию;
• проверяет уязвимости;
• получает матрицу доступа к информации, что помогает выявить неиспользуемые расширенные привилегии доступа, учётные записи.

DBF (Database Firewall) — это сетевой шлюз, смежное с DAM решение, которое может работать как в проактивном режиме, так и в пассивном с копией трафика.

Основные функции DBF (Database Firewall):

• защита внутренних и внешних серверов баз данных;
• независимый мониторинг пользователей;
• поведенческий анализ;
• блокировка подозрительных запросов;
• выявление повышенных прав пользователей.

Штатный аудит баз данных

Для проведения такого мониторинга многие организации пользуются «штатным аудитом» – средствами защиты баз данных, входящими в состав коммерческих СУБД. Штатный режим защиты включает ведение журнала подключения к СУБД и выполнения запросов теми или иными пользователями. Если коротко, принцип работы штатного аудита – это включение и настройка триггеров и создание специфичных функций – процедур, которые будут срабатывать при доступе к чувствительной информации и вносить данные о подобном доступе (кто, когда, какой запрос делал) в специальную таблицу аудита. Этого бывает достаточно для выполнения ряда отраслевых требований регуляторов, но не принесет практически никакой пользы для решения внутренних задач информационной безопасности, таких как расследование инцидентов.

Ключевые недостатки штатного аудита как защиты баз данных:

• Дополнительная нагрузка на серверы баз данных (10-40% в зависимости от полноты аудита).
• Вовлечение администраторов баз данных в настройку аудита (невозможность контроля администраторов – основных привилегированных пользователей).
• Отсутствие удобного интерфейса продукта и возможности централизованной настройки правил аудита (особенно актуально для крупных распределенных компаний, в задачи защиты которых входит целый перечень СУБД).
• Невозможность контроля действий пользователей в приложениях с трехзвенной архитектурой (наличие WEB и SQL-сегмента, что сейчас используется повсеместно из соображений безопасности).

Резервное копирование

Резервное копирование (РК, Backup copy, бэкап) — создание копий личных или корпоративных файлов, папок или систем на дополнительных (локальных или облачных) носителях информации.

Резервное копирование необходимо для формирования архива данных, защищенного от изменений и повреждений, а также восстановления в случае повреждения или сбоев в первоисточнике.

Виды бэкапов:

• Полный — создание копии всех данных на устройстве или в отдельном разделе памяти. Последующие копии создаются также в полном объеме. Например, размер исходных данных 100 ГБ и 7 полных копий в сумме составят 700 ГБ в архиве.

• Инкрементальный — создание резервной копии, которая содержит только изменения в файлах и автоматически дополняет или изменяет их в исходной полной копии. При инкрементальном бэкапе файлы не заменяются, а дополняются. Например, размер исходных данных составляет 100 ГБ. Изменения за один день занимают 10 ГБ, также выполняются 7 инкрементальных копий, что в сумме дает 170 ГБ в архиве (одна полная копия и измененные данные).

• Дифференциальный — создание копии, включающей только файлы и данные, измененные с момента предыдущего копирования. Например, размер исходных данных составляет 100 ГБ, изменения за один день – 10 ГБ. Относительно копии предыдущего дня уникальные данные занимают 5 ГБ. В итоге 7 дифференциальных копий суммарно составят 135 ГБ в архиве (одна полная копия и измененные данные относительно предыдущего бекапа).

Почему резервное копирование важно

Резервное копирование важно для бизнеса, так как позволяет иметь неизменяемый архив данных и файлов (документов, контактов, переписок, бухгалтерского учета), который защищен от случайного удаления или изменения, вирусов-шифровальщиков, ошибок в системе, аварий внешней среды (экстренное отключение света), отказа жестких дисков и других сбоев.

Резервное копирование больше не является сложным комплексом из набора различного ПО и серверов. Все задачи резервного копирования для бизнеса возможно решить быстро и навсегда: от бэкапа документов на устройстве с облачным доступом, до сложных систем при отсутствии виртуализации в компании

Таким образом, резервное копирование позволяет бизнесу минимизировать риски, связанные с репутационными и финансовыми потерями, а также нарушением действующих бизнес-процессов.

Чем бэкап отличается от архивирования и синхронизации данных

Резервное копирование, архивирование и синхронизация данных отличаются по принципу работы и использования.

• Резервное копирование выполняется вручную или автоматически, а резервные копии используются только для восстановления данных в случае повреждения или потери рабочего первоисточника.
• Архивирование предназначено для создания копии данных, актуальной на тот момент. Этот метод нужен для сохранения исторических данных (отчеты, исследования, завершенные проекты) без возможности последующего дополнения. Для обновления или дополнения нужно создавать новый архив.
• Синхронизация предназначена для поддержания актуальности данных в выбранных хранилищах. Также позволяет создавать полную копию данных и системы, которую можно воспроизвести на любом устройстве. Например, для переноса данных со смартфона на смартфон. В выбранном хранилище создается полная копия первоисточника и изменяется вместе с ним. При этом она не является методом РК, так как все ошибки и сбои в исходном файле будут автоматически перенесены и на файлы-дубликаты.

Как часто, в каком объеме и какие данные следует копировать

Резервное копирование может требовать значительных ресурсов. Правила по созданию бэкапов следует разрабатывать так, чтобы затраты на процесс не превышали суммы потенциального ущерба от потери данных.

При этом периодичность создания бэкапов должна зависеть от их масштабов, частоты обновления файлов и их важности. К примеру, копии финансовых документов, дополняемых или изменяемых ежедневно, желательно делать тоже каждый день. А вот копии рабочей станции, программ и настроек допустимо делать раз в три месяца. Периодичность копирования серверов, на которых хранятся данные, зависит от критичности систем. Но принятым стандартом является ежедневное копирование, так как от работы серверов зависит работа всех сотрудников и бизнеса компании.

Объем создаваемых бэкапов зависит от количества значимых файлов и данных (переписок, контактов и других). При этом в компании должна быть разработана стратегия РК, в которой определены типы файлов и данных для обязательного сохранения.

Как правило:

• общие файлы, не изменяемые в процессе использования (например, инструкции, внутренние регламенты и другие) сохраняют только один раз — при общем копировании;
• важные, часто используемые данные (бухгалтерские отчеты, конструкторские разработки, проекты разработки и другие) сохраняют на регулярной основе (частота определяется компанией);
• временные или устаревшие файлы можно не включать в перечень резервного копирования.

Где и как хранить резервные копии

Распространенная концепция резервного копирования — система «3-2-1». Она подразумевает создание сразу трех копий — двух на изолированных физических носителях и одной в облачном хранилище.

В качестве физических носителей могут использоваться жесткие диски компьютеров и серверов, портативные жесткие диски, USB-накопители и другие устройства. При этом важно размещать файлы резервного копирования в выделенный сегмент памяти, защищенный от перезаписи и свободного доступа. Кроме того, выбранные физические носители должны быть абстрагированы от главного компьютера, с которого делается резервная копия. На каждом из физических носителей с резервными копиями должны быть установлены антивирусные программы и параметры защиты от случайного форматирования.

Для размещения резервной копии в облаке можно воспользоваться услугами облачных провайдеров. При этом выбранное хранилище должно легко масштабироваться, быть доступным в любой момент, обеспечивать стабильность передачи трафика и надежную защиту данных.

Аппаратное и программное обеспечение, облачные решения для РК

При размещении копий используются различные подходы, которые могут применяться вместе или отдельно:

• Аппаратное обеспечение — жесткие диски, NAS-хранилища, DVD и Blu-ray, ленточные устройства.
• Программное обеспечение — софт для автоматизации резервирования с возможностью настройки периодичности, уровней резервирования и других параметров;

или

• Облачные сервисы — решения для удаленного хранения резервных копий с возможностью масштабирования выделенного пространства и получения доступа к ним с любого устройства. Сервис уже включает все необходимые компоненты для резервного копирования.

Шифрование баз данных средствами MS SQL Server

В Microsoft SQL Server 2008 впервые реализовано прозрачное шифрование баз данных (Transparent Data Encryption). Прозрачное шифрование кодирует базы данных целиком. Когда страница данных записывается из оперативной памяти на диск, она шифруется. Когда страница загружается обратно в оперативную память, она расшифровывается. Таким образом, база данных на диске оказывается полностью зашифрованной, а в оперативной памяти – нет. Основным преимуществом TDE является то, что шифрование и дешифрование выполняются абсолютно прозрачно для приложений. Использовать преимущества шифрования может любое приложение, использующее для хранения своих данных Microsoft SQL Server. При этом модификации или доработки приложения не потребуется.

В Microsoft SQL Server 2012 функции шифрования были улучшены и расширены. Для увеличения надежности криптозащиты и уменьшения нагрузки на систему применяется специальная иерархия ключей.

1. Каждой базы данных шифруется при помощи специального ключа – Database Encryption Key.

2. Database Encryption Key шифруется сертификатом, который создан в базе данных Master.

3. Сертификат базы данных Master шифруется ее главным ключом.

4. Главный ключ БД Master шифруется главным ключом службы Service Master Key.

5. Главный ключ службы SMK шифруется службой защиты данных операционной системы.

Наглядно схема работы с зашифрованной базой данных выглядит следующим образом:

Рисунок 1 - Схема работы с зашифрованной базой данных

В приведенной схеме используется, как симметричное, так и ассиметричное шифрование. Симметричное шифрование менее требовательно к ресурсам системы, но крайне уязвимо в управлении криптоключами. Ассиметричный метод, наоборот, защищен на этапе менеджмента ключей, но, по той же причине, требует значительно больше вычислительных ресурсов. Использование комбинации обоих методов позволяет нейтрализовать недостатки каждого из них, но повысить ИТ-безопасность и производительность в целом.

Так, база данных защищается более быстрым симметричным шифрованием, которое, при учете больших объемов информации, предпочтительнее. В свою очередь, ассиметричному шифрованию подвергаются ключи шифрования базы, размер которых несоизмеримо мал, но критичность их защиты выше. Использование такого подхода, на серверах с низким уровнем ввода/вывода, низким потреблением процессорного времени и оперативной памятью, достаточной для хранения больших массивов информации, влияет на производительность на 3-5% при включении TDE. Серверы с меньшим объемом ОЗУ, чьи приложения нагружают ЦПУ и систему ввода/вывода, будут страдать на 28%, что достигается асинхронным выполнением процедур SQL (распараллеливание процессов).

Защита баз данных (DBF/DAM)

Что такое DBF/DAM (Database firewall / Data access management)?

Практически вся критичная информация компаний хранится в базах данных различных информационных систем, это могут быть: системы управления персоналом, CRM системы, различные системы класса ДБО, биллинг. Базы данных (БД) могут содержать персональные данные сотрудников, информацию о клиентах, финансовую информацию, конфиденциальные данные компании. Нарушения безопасности БД могут привести не только к утечке критически важных данных, но и к полному отказу работоспособности всей информационной системы, и, как следствие, остановке бизнес-процессов.

Для решения задачи контроля доступа к базам данных и обрабатываемой в них информации используются системы мониторинга действий с базами данных (Database Activity Monitoring, DAM), позволяющие в реальном времени осуществлять централизованный контроль действий пользователей (как внутренних, так и внешних) при работе с базами данных и тем самым снизить следующие риски информационной безопасности:

• несанкционированный доступ (НСД) к системам управления базами данных (СУБД);
• необходимость организации контроля действий пользователей и администраторов при их работе с информационными ресурсами;
• неэффективность системы учета и расследования инцидентов информационной безопасности. В частности, отсутствие мониторинга обращений пользователей web-приложений к БД в системах с трехзвенной архитектурой;
• превышение привилегий доступа;
• уязвимости программного обеспечения информационных ресурсов;
• уязвимости механизмов аутентификации.

С какой целью используют системы DBF/DAM?

• обеспечение соответствия требованиям законодательства, отраслевых стандартов и международных соглашений, в том числе 152-ФЗ, 1119-ПП, 161-ФЗ, 382-ПП, PCI DSS, СТО БР ИББС;
• повышения общего уровня защищённости и обеспечения контроля за информационными ресурсами компании;
• минимизация экономического и репутационного ущерба за счет снижения рисков утечки критичной информации из компании;
• предоставление возможности проведения расследования инцидентов информационной безопасности;
• создание доказательной базы с целью предоставления ее в суд и правоохранительные органы в случае инцидентов информационной безопасности;
• обеспечение возможности применения санкций к лицам, виновным в утечке критичной информации;
• повышение эффективности работы подразделений ИБ заказчика за счет автоматизации деятельности их сотрудников в части выявления и реагирования на инциденты информационной безопасности;
• оптимизация бизнес-процессов компании.

Какие задачи решают системы DBF/DAM?

• обнаружение и инвентаризация всех БД компании;
• классификация БД;
• сканирование и выявление уязвимостей систем управления базами данных (далее – СУБД);
• выявление небезопасных конфигураций СУБД;
• сканирование БД на наличие конфиденциальной информации;
• мониторинг обращений к БД со стороны пользователей в режиме реального времени;
• контроль доступа к данным и их изменений;
• защита данных – преобразование данных путем маскировки и шифрования;
• предотвращение утечки данных;
• выявление и анализ аномального времени обращения или источника запросов;
• хранение всех запросов к БД для ретроспективного анализа.

Как работает система DAM?

Система DAM контролирует обращения к базам данных в режиме реального времени.

Трафик БД может контролироваться системой DAM одним из следующих способов:

• Зеркалирование – копия трафика БД передается в систему DAM с сетевого оборудования, через который проходит трафик. Подобная схема актуальна в том случае, когда пользователи имеют выделенные учётные записи и обращаются к БД напрямую. Данный способ не оказывает влияния на серверы СУБД и работу пользователей.
•  С помощью агентов, устанавливающихся на сервер СУБД. Данный способ позволяет контролировать локальные и сетевые подключения к БД.
•  Активная защита. Система DAM устанавливается в разрыв между сервером СУБД и пользователями и позволяет блокировать нежелательные действия пользователей баз данных по различным параметрам, в соответствии с политиками безопасности. Отказоустойчивость схемы обеспечивается bypass-адаптером системы DAM.

Весь перехваченный трафик анализируется на соответствие настроенным в системе DAM политикам информационной безопасности. При обнаружении подозрительных операций с базами данных (нехарактерные действия, массовое изменение или удаление данных) система оповещает офицера безопасности о событии, блокирует операцию (если настроена активная защита) и протоколирует запрос.

Какие услуги мы оказываем?

Наша команда предлагает комплексный подход по внедрению систем DAM/DBF, включающий:

• консультации по выбору системы DAM/DBF и сравнение систем DAM/DBF различных производителей с целью выбора оптимального решения;
• проведение пилота системы DAM/DBF на Вашей территории (возможно использование как Вашего, так и нашего оборудования);
• проведение всех стадий проектных работ (в том числе в соответствии с ГОСТ) в части внедрения системы DAM/DBF;
• сопровождение внедренной системы DAM/DBF.