Проблемы безопасности баз данных. Обеспечение безопасности в СУБ

15.10.16 в 05:44

ОГЛАВЛЕНИЕ

ВВЕДЕНИЕ… 3

Глава 1.Определение защиты информации…. 7

1.1.Основные определения и понятия.. 7

1.2. Защита информации в базах данных.. 10

Глава 2.Ключевые подходы защиты базы данных     15

2.1.Политика прав доступа к данным… 15

2.2. Система защиты СУБД Access. 16

2.3.  Организация системы защиты СУБД MS SQL Server.. 21

ЗАКЛЮЧЕНИЕ… 33

СПИСОК ИСПОЛЬЗУЕМОЙ ЛИТЕРАТУРЫ….. 37

ВВЕДЕНИЕ

Доступ  к  ресурсам  информационной  системы –  это,  фактически,  доступ  к  данным, находящимся  в  хранилище  под  управлением  СУБД.  В  таком  контексте  нарушением безопасности  является  несанкционированный  доступ,  который  тем  или  иным  способом может  получить  потенциальный  злоумышленник.  Поэтому  обеспечение  надёжной  и безопасной  аутентификации –  важнейшая  задача  как  для  разработчиков,  так  и  для администраторов  систем.  Существует  несколько  основных  методов  аутентификации, которые обеспечивают разную степень безопасности. Выбор метода должен основываться на следующих факторах:

•   надёжность, достоверность и неотказуемость;

•   стоимость решения, стоимость администрирования;

•   соответствие общепринятым стандартам;

•   простота интеграции в готовые решения и в новые разработки.

  Как  правило,  более  надёжные  методы  являются  более  дорогостоящими  как  для разработки, так и для администрирования. Наиболее надёжным методом аутентификации на  сегодняшний  день  является  двухфакторная  аутентификация  с  использованием цифровых  сертификатов X.509,  которые  хранятся  в  защищённой  памяти  смарт-карт  или USB-ключей.  Оба  этих  устройства  обеспечивают  одинаковую  степень  надёжности аутентификации,  но  смарт-карты  требуют  дополнительного  оборудования,  что, естественно, увеличивает стоимость решения. 

Также необходимо обратить внимание на следующие аспекты:

•  интеграцию с внешними системами аутентификации;

•  безопасность соединений;

•  защиту данных на любом уровне;

•  выборочное шифрование данных;

•  подробный аудит действий пользователей;

•  централизованное управление аутентификацией и авторизацией пользователей. 

Обычно  разработчики  программного  обеспечения  не  уделяют  должного  внимания вопросам  защиты  данных,  стараясь  по  максимуму  удовлетворить  пожелания  заказчиков по  функциональности  системы.  В  результате  подобные  проблемы  решаются  зачастую  в процессе  внедрения  системы,  и  это  приводит  к  ситуациям,  когда «защищённое» приложение  содержит «секретные»  коды,  прошитые  в  исходных  текстах  программ  или  в файлах настройки. 

 Определённые  трудности  для  разработчиков  представляют  ситуации,  когда  заказчик системы  сам  толком  не  представляет,  от  кого  и  что  собственно  следует  защищать.

Интеграторы при внедрении систем на предприятии заказчика уделяют большое внимание защите,  но  здесь  акценты  смещены  в  сторону  внешних атак –  троянов,  вирусов,  хакеров.

Вопросы «внутренней»  безопасности  и  в  этом  случае  остаются  открытыми.  В  такой ситуации усилия системных администраторов, неосведомлённых в полной мере о бизнес-процессах  предприятия,  направлены  на «урезание»  прав  пользователей,  что  существенно осложняет работу системы в целом, а иногда приводит к её полной остановке.

 Мероприятия по защите информации должны включать решение следующих вопросов:

 •   определение угроз безопасности и групп потенциальных нарушителей;

•   определение групп приложений, обеспечивающих бизнес-процессы предприятия;

•   определение категорий данных по уровню доступа;

•   определение групп пользователей системы;

•   определение объектов, хранящих данные и подлежащих защите;

•   определение политик безопасности;

•   определение методов хранения связей пользователь – права доступа – данные;

•   выбор метода аутентификации и способов её реализации;

• подготовка  методики  по  обеспечению  безопасности  инфраструктуры  сети,  СУБД, серверов приложений, клиентских приложений.

 Также  весьма  популярным  способом  получения  несанкционированного  доступа  к содержимому  базы  данных  является  попытка  прочитать  файлы  БД  на  уровне  ОС (как обычные файлы). Если администратором БД не были предприняты дополнительные меры по  шифрованию  содержащейся  в  ней  информации (а  чаще  всего  это  именно  так),  то простое  копирование  файлов  БД  по  сети  и  последующий  прямой  просмотр  их содержимого  позволят  злоумышленнику  получить  доступ  к  хранящейся  в  БД информации. 

 Именно  поэтому  защищённая  система  должна  быть  спроектирована  и  построена  так, чтобы:

 •  файлы программного обеспечения СУБД не были доступны по сети; 

•  к файлам БД на сервере не было доступа по сети — пользователи получают доступ

к информации, хранящейся в БД, только посредством СУБД;

•  сами  файлы  БД  были  зашифрованы.  Шифрование  файлов  БД  используется  как

простой и эффективный способ защиты данных от несанкционированного доступа

в случае физического обращения злоумышленника к носителю информации;

•   сервер БД не выполнял функции файлового сервера. Актуальность данной темы обусловлена тем, что на сегодняшний день использование баз данных встречается практически в любой сфере деятельности, начиная от библиотеки и заканчивая организацией занимающейся транспортировкой.[8]

Целью данной работы является рассмотрение основных задач и проблем, при разработке оптимальной системы защиты и безопасности, поставленных перед управляющим баз данных. В данной работе будут рассмотрены в основе своей, проблемы, связанные с обеспечением безопасности, а так же сохранением целостности базы данных.

Объект исследования в данной работе это база данных. Мы будем рассматривать как понятие базы данных в целом, так и будем рассматривать конкретные примеры некоторых основных баз данных, таких как MS SQL Server, Oracle, Microsoft Access.

Большая часть терминов и основных понятий была взята из книги авторов Голицына О.Л., Максимов Н.В. и др. «Базы данных», это позволило дать вначале своего рода введение в основную часть курсовой работы.

Таким образом, в данной работе мы рассмотрим как обобщённые понятия и задачи базы данных, так и конкретные примеры и проблемы встречающиеся в частных случаях.

Основная часть данной работы будет направлена на рассмотрение основных аспектов защиты баз данных, а так же их реализация на нескольких примерах существующих СУБД.

СПИСОК ИСПОЛЬЗУЕМОЙ ЛИТЕРАТУРЫ

1. Артёмов.Д.К., «Microsoft SQL Server 2000: профессионалы для профессионалов» — Ростов на Дону: Русская Редакция, 2005, С. 88-112
2. Голицына О.Л., Максимов Н.В. и др. «Базы данных» — Москва: ИНФРА-М ,2007,С. 10-135.
3. Гольев Ю.И., Ларин Д.А., Тришин А.Е., Шанкин Г.П. Криптографическая деятельность в США XVIII-XIX веков. // Защита информации. Конфидент. №6, 2004, С. 68-74
4. Гринвальд Р., Стаковьяк Р., Стерн Дж.« Oraclee 11g. Основы. 4-е изд.» — Москва: Символ, 2009 – С. 65-97
5. ГашковС. Б. У., Э. А. Применко, М. А. Черепнев «Криптографические методы защиты информации» — Москва: Академия, 2010, С 40-45
6. Дунаев В. И. «Базы данных. Язык SQL для студента» — Санкт Петербург: СПб:Питер, 2007, С. 91-95
7. Ищейнов В. Я., М. В. Мецатунян «Защита конфиденциальной информации» — Челябинск:Форум, 2009,С.114-145
8. Корнеев И. К., Е. А. «Защита информации в офисе» — Казань: ТК Велби, 2008, С.38-56
9. Кошелев В.Е., «Базы данных в Access 2007» — Москва: Бином, 2009, С. 47 – 98
10. Кригель А. К., Борис Трухнов «SQL. Библия пользователя»- Москва: Вильям, 2010, С. 68 – 71
11. Кумскова И. А. «Базы Данных».-Москва:КноРус, 2011, С. 140-142
12. Партыка Т.Л., Попов И.И. «Информационная безопасность» — Москва: Форум: инфра, 2004, С. 45-87
13. Северин В. А. «Комплексная защита информации на предприятии» — Москва:Городец,2008, С 92
14. Сергеева Ю. С. «Защита информации. Конспект лекций» — Санкт Петербург: А-Приор, 2011, С. 150-176
15. Смирнов.С. Н. «Безопасность систем баз данных» — Москва: Гелиос АРВ,2007, 224 с.
16. Безопасность баз данных на примере Oraclee [Электронный ресурс].URL: http://www.flenov.info/favorite.php?artid=32