Reguli de baza in realizarea securitatii

Reguli de baza in realizarea securitatii

Se pot rezuma 3 norme principale, la care se reduc toate recomandarile legate de implementarea securitatii unei baze de date. Urmate cu atentie, acestea duc la securizarea eficienta a bazei de date daca sunt atent analizate si discutate inainte de a incepe implementarea si bineinteles inainte ca sistemul sa fie dat in folosinta.

Securitate prin design

"Securitatea trebuie sa fie integrata in sistem, nu adaugata dupa terminarea implementarii."

Securitatea nu incepe odata cu autentificarea utilizatorului, ce din momentul in care se incepe proiectarea aplicatiei. Planificarea adecvata duce la o realizarea unei bune securitati a sistemului.

Protejare in adancime

"Securitatea trebuie sa fie compusa din mai multe straturi (niveluri)"

Acest principiu presupune ca nu va exista un singur punct care va face sa cedeze securitatea intregului sistem. Crearea unei securitati pe mai multe niveluri va duce la generarea unei baze de date cu un grad de securitate ridicat. Daca cineva reuseste sa treaca de primul nivel de securitate, urmatorul va putea sa opreasca atacul. Se pot stabili atatea trepte de securitate cat pot sa existe fara a afecta practicitatea intregului sistem.

Astfel se poate folosi un firewall pentru a opri accesul din exterior si a separa accesul utilizatorilor interni. De asemenea se poate folosi criptarea datelor pentru a proteja informatia care circula intr-o retea locala in cadrul organizatiei. Mai departe, utilizatorii din cadrul sistemului pot fi protejati intre ei prin utilizarea securitatii de sistem si de aplicatie. Daca se doreste in plus si protejarea efectiva a datelor stocate, se adauga si o securitate la nivelul fisierelor bazei de date.

Principiul celui mai mic privilegiu

Cea de-a treia norma de baza pentru o securitate eficienta este "asigurarea celui mai mic privilegiu".

Acest lucru inseamna ca utilizatorilor le sunt acordate doar acele drepturi strict necesare pentru a-si indeplini sarcinile si nimic mai mult.

Una dintre cele mai usoare metode de a compromite securitatea unei baze de date este obtinerea accesului la un cont de utilizator care nu este considerat o amenintare, dar caruia i s-au dat mai multe drepturi decat ar fi trebuit.

Motivele pentru care nu se aplica intotdeauna acest principiu este pur si simplu pentru ca este mai usor asa. Unii administratori nu cunosc suficient de bine ce privilegii trebuie acordate unui utilizator pentru a efectua o anumita sarcina si atunci, acorda toate privilegiile, printr-o simpla comanda. De exemplu, daca un utilizator are nevoie sa poata crea un tabel si o procedura stocata, administratorul bazei de date poate acorda in mod gresit respectivului utilizator rolul de administrator (DBA) care asigura un acces nerestrictionat la intreaga baza de date.

Securitatea bazelor de date porneste de la privilegiile (drepturile) acordate utilizatorilor. Utilizarea abuziva a anumitor drepturi de catre persoane neautorizate nu poate avea loc daca respecticul drept nu a fost acordat de la bun inceput utilizatorului.

In plus, orice strategie pentru realizarea securitatii sistemului trebuie sa aiba la baza o analiza a riscului. Aceasta presupune ca pentru fiecare aplicatie, server de baze de date sau baza de date sa se determine modul in care poate fi exploatata, ce probleme pot aparea si cum pot fi rezolvate sau macar ameliorate acestea.

Intr-o analiza a riscului, prima data trebuie ce anume trebuie protejat si valoarea acestora, cantitativa sau calitativa. Urmatorul pas este luarea in calcul a cat mai multe posibile amentari, care pot veni atat din exterior cat si din cadrul organizatiei, din partea diverselor persoane care pot obtine acces la date, dar si din cauze naturale cum ar fi pierderi de curent, incendii, inundatii, cutremure, etc. Ultimul pas consta in a se incerc o anticipare a probabilitatii sa ratei de repetitie aunei anumite probleme. De exemplu, intreruperea temporara a curentului poate avea loc destul de des si de aceea trebuie asigurata o sursa de curent de back-up.

Analiza riscului trebuie sa evolueze in timp, ca urmare a modificarii perspectivei asupra datelor si aplicatiilor utilizate, precum si a cerintelor organizatiei. De asemenea ea trebuie documentata, putand fi utilizata si pentru alte sisteme viitoare si de asemena poate fi folosita ca un ghid pentru auditarea sistemului.

Protejarea fata de neprevazut

Multe dintre atacurile realizate cu succes au loc prin mijloace neconventionale. Intotdeauna trebuie avute in vedere si aspectele mai putin evidente ale sistemului si securitatii acestuia. Nu trebuie considerat niciodata ca un atacator va urma exact calea de acces stabilita la proiectarea securitatii. De exemplu, accesul la baza de date nu este obligatoriu realizat doar prin intermediul aplicatiei cleint implementate, cu o puternica securitate. Astfel trebuie luat in considerare si cazul in care se incearca ocolirea aplicatiei si conectarea directa la baza de date. Presupunind ca si aceasta cale ar fi asigurata, o alta modalitate de a obtine acces la datele stocate ar fi furtul fisierelor backup care de multe ori nu sunt la fel de bine protejate.

Protejarea fata de neprevazut inseamna sa nu se presupuna niciodata ca exista o singura modalitate de a realiza un anumit lucru.

In urma unei astfel de analize si identificarea amenintarilor care pot sa apara, trebuie stabilite si masurile care trebuie luate la aparitia unor astfel de probleme.