Cresterea securitatii infrastructurii

Cresterea securitatii infrastructurii

Pentru asigurarea securitatii bazei de date, trebuie in primul rand asigurata securitatea celor trei componente care interactioneaza cu baza de date: sistemul de operare, reteaua si serverul de aplicatii.

In general , la instalarea sistemelor de baze de date, configurarile sunt stabilite implicit de asa natura incat utilizatorul sa poata folosi sistemul respectiv cat mai repede cu putinta. De aceea, unul dintre primele lucruri care trebuie realizate pentru protejarea impotriva atacurilor este modificare configurarilor potrivit nevoilor viitorului sistem.

Sistemul de operare

Desi actiunile care trebuie intreprinse pentur securizarea SO depind de tipul sistemului versiune si rolul pe care acesta il are, exista citeva reguli generale care ar trebui avute in vedere:

Potejarea fizica a serverelor pentru a nu intra in posesia unor persoane neautorizate sau pentru a nu fi deteriorate in nici un fel. Valoarea serverelor este in general mare datorita atat partii hardware, de obicei destul de scumpa, dar si pentru ca stocheaza informatia;

Oprirea demonilor si a serviciilor nefolosite. In general, nu este nevoie explicita de acestea, ar trebui dezactivate toate servciile standard cum ar fi: Telnet, Ftp, Finger, Serviciile de printare, etc. Cea mai buna abordare este oprirea tuturor serviciilor si apoi pornirea doar a celor necesare;

Verificarea permisiunilor asupra directoarelor si fisierelor. Sistemul de fisiere trebuie securizat corespunzator pentru a preveni accesarea lor de catre utilizatorii neautorizati;

Dezactivarea si stergerea conturilor de utilizatori nefolosite. Multe sisteme vin cu anumite conturi predefinite, legate de unele servicii dezactivarea acestora trebuind urmata de inlaturarea corespunzatoare a conturilor de utilizatori. ;

Inlaturarea software-ului nefolosit. Dezinstalarea programelor care nu sunt necesare pentru functionarea sistemului in scopul stabilit;

Blocarea calculatoarelor inactive temporar, inseamna prevenirea accesului la statia resaectiva in lipsa utilizatorului de drept;

Folosirea unui sistem de detectare a intruziunilor (Use an Intrusion Detection System IDS) pentru a gasi eventualele accesari si actiuni neautorizate;

Oprirea banner-elor pentru a preveni fingerprinting profiling), adica pentru a impiedica interogarea sistemului de catre un utilizator extern si aflarea producatorului si modelului serverului si exploatarea apoi a eventualelor vulnerabilitati ale sistemului respectiv;

Folosirea unui program antivirus pentru a proteja intreaga organizatie de posibilitatea infectarii;

Actualizarea software-ului sistemului cu ultimele patch-uri aparute;

Monitorizarea fisierelor log ale sistemului pentru descoperirea eventualelor activitati suspecte si protejarea acestor fisiere de utilizatorii fara drepturi de administrare

Limitarea numarului de utilizatori cu drepturi depline.Acesti utilizatori sunt responsabili pentru tot ce se poate intampla rau cu sistemul. De asemenea trebuie asigurata securitatea parolei acestor conturi

Reteaua

Securitatea ofera cea mai mare provocare in ceea ce priveste securitatea. Conectivitatea sta la baza intregului sistem, dar de asemenea este si cea care poate cauza cele mai mari vulnerabilitati fiind o cale de acces atat pentru utilizatorii autorizati cat si pentur cei neautoizati. De asemena, informatia care circula in cadrul retelei poate fi interceptata daca nu este suficeint de bine protejata. Astfel, securitatea retelei se rezuma la criptarea fluxlui de date, verificari ale intergritatii datelor si limitarea accesului la anumite parti ale retelei si servere pentru persoanele neautorizate:

Folosirea unei topologii de retea adecvate. Aceasta presupune folosirea de routere, hub-uri, firewall-uri, modemuri si puncte de acces wireless. Proiectarea unei retele trebuie atent analizata din punct de vedere al securitatii dar si din punct de vedere al costului de banda si hardware.

Utilizarea VPN-urilor (Virtual Private Network) care asigura securitatea traficului, indiferent de protocolul folosit. Aceasta solutie este recomandata mai ales cand trebuie sa fie interconectate birourile unei companii, aflate in diverse locatii, atunci cand este folosita o retea publica.

Folosirea criptarii si autentificarii Secure Socket Layer (SSL), standardul in securitatea traficului http si care sta sa baza tehnologiei e-commerce.

Firewall-urile.Se recomanda folosirea mai multor produse de la furnizori diferiti, pentru a acoperi eventualele brese de securitate existente in unele produse. Provocarea consta in configurarea adecvata a acestora

Verificarea regulata a constrangerilor. Configurarea retelei ar trebui sa porneasca de la cea mai restrictiva politica, urmand ca apoi, treptat sa poata fi indeplinita nevoia utilizarii anumitor porturi sau protocoale

Folosirea NAT (Network Address Translations ) pentru a ascunde adresele IP reale ale calculatoarelor din cadrul retelei fata de accesul din exterior protejand reteaua de hackeri.

Aplicarea patchurilor pentru software-ul routere-lor, switch-urilor,  si softwareul de retea cat mai des posibil.

Folosirea unui sistem de detectare a intruziunilor (IDS) pentru a furniza un alt nivel de protectie a retelei. Aceste sisteme monitorizeaza reteaua si pot detecta atacuri de tipul "denial of service",  "IP spoofing" sialte activitati malitioase

Application Server

Serverul de aplicatii este o parte critica a infrastructurii, furnizand accesul la baze de date ce contin informatii esensiale cum ar fi chei de criptare. Majoritatea actiunilor pentru securizarea serverelor de aplicatii sunt asemanatoare cu securizarea sistemului de operare:

Dezactivarea bannerelor

Inlaturarea porturilor si dezactivarea serviciilor nefolosite

Folosirea porturilor non-standard pentru servciile utilizate. Aproape toata lumea cunoaste porturile standard pentru http, LDAP s.a.m.d. Schimbarea porturilor, in situatia dezactivarii bannerelor si oprirea tuturor serviciilor inutile poate imbunatati securitatea, un eventual atacator trebuind sa ghiceasca care dintre cele 65.000 de porturi au fost folosite

Folosirea virtual hosting pentru a ascunde numele real as gazdei. Este un concept similar folosirii NAT, ascunzand hackerilor numele real al serverului de aplicatii.