Οι τρεις καταστάσεις των δεδομένων
Οι ομάδες ασφάλειας χωρίζουν τον κύκλο ζωής των δεδομένων σε τρεις καταστάσεις. Κάθε μία εκτίθεται σε διαφορετικούς επιτιθέμενους που χρησιμοποιούν διαφορετικές τεχνικές, γι' αυτό κάθε μία χρειάζεται δικούς της ελέγχους.
Οι καταστάσεις δεν είναι στάδια που περνούν μία φορά. Η ίδια εγγραφή συνήθως βρίσκεται σε ηρεμία για το μεγαλύτερο μέρος της ζωής της, περνά σύντομα σε μεταφορά κατά τη διάρκεια λίγων μεταφορών και βρίσκεται σε χρήση μόνο για τα δευτερόλεπτα που μια εφαρμογή εργάζεται πάνω της. Μια στρατηγική που καλύπτει μόνο μία κατάσταση αφήνει ανοιχτές τις άλλες δύο.
| Κατάσταση | Πού βρίσκονται | Κύριος κίνδυνος |
|---|---|---|
| Δεδομένα σε ηρεμία | Δίσκος, βάση δεδομένων, αντίγραφο ή αφαιρούμενο μέσο | Μη εξουσιοδοτημένη πρόσβαση στο μέσο |
| Δεδομένα σε μεταφορά | Κυκλοφορούν σε δίκτυο ή μεταξύ κέντρων δεδομένων | Υποκλοπή στη γραμμή |
| Δεδομένα σε χρήση | Φορτωμένα στη μνήμη RAM ή σε καταχωρητή CPU | Σάρωση μνήμης και πρόσβαση μέσω debugger |
Πού βρίσκονται τα δεδομένα σε ηρεμία
Δεδομένα σε ηρεμία είναι κάθε μέσο αποθήκευσης που διατηρεί δεδομένα όταν τίποτα δεν τα διαβάζει ή δεν τα γράφει ενεργά. Στην πράξη, αυτό καλύπτει τοποθεσίες με πολύ διαφορετικά επίπεδα έκθεσης.
Το κοινό στοιχείο είναι η διατήρηση. Τα δεδομένα παραμένουν ανακτήσιμα από το μέσο πολύ μετά το κλείσιμο της εφαρμογής που τα δημιούργησε, γι' αυτό οι έλεγχοι σε επίπεδο αποθήκευσης είναι απαραίτητοι και όχι προαιρετικοί. Τυπικές τοποθεσίες είναι:
- Τοπική αποθήκευση: δίσκοι σε διακομιστές, σταθμούς εργασίας και laptop, με προσωρινά αρχεία, swap και εικόνες αδρανοποίησης
- Βάσεις δεδομένων: σχεσιακές ή NoSQL, on-premise ή φιλοξενούμενες, με τα ακατέργαστα αρχεία δεδομένων στον δίσκο
- Αφαιρούμενα και φορητά μέσα: USB, εξωτερικοί δίσκοι, CD/DVD και κάρτες μνήμης
- Αντίγραφα ασφαλείας και αρχεία: βιβλιοθήκες ταινιών, συσκευές backup και στιγμιότυπα, που συχνά διατηρούνται για χρόνια
- Αποθήκευση στο cloud: κάδοι αντικειμένων, κοινόχρηστα αρχεία και διαχειριζόμενες βάσεις, όπου η πρόσβαση συνήθως ρυθμίζεται από τον πελάτη
Γιατί τα δεδομένα σε ηρεμία αποτελούν διακριτό κίνδυνο
Τρεις ιδιότητες κάνουν τα αποθηκευμένα δεδομένα ελκυστικά για επιτιθέμενους και insiders, ενώ τα παροδικά δεδομένα δεν τις έχουν.
Η πρώτη είναι ο όγκος. Μια βάση δεδομένων ή ένα αντίγραφο ασφαλείας συσσωρεύει εγγραφές επί μήνες ή χρόνια, οπότε μία επιτυχημένη πρόσβαση μπορεί να εκθέσει πολύ περισσότερα από όσα θα εξέθετε η υποκλοπή μίας μετάδοσης.
Η δεύτερη είναι ο χρόνος. Τα δεδομένα σε μεταφορά εκτίθενται για χιλιοστά του δευτερολέπτου. Τα δεδομένα σε ηρεμία μένουν εκτεθειμένα όσο είναι αποθηκευμένα, δηλαδή μήνες ή χρόνια, αν μια εσφαλμένη ρύθμιση περάσει απαρατήρητη.
Η τρίτη είναι η φυσική έκθεση. Ένα μέσο αποθήκευσης είναι φυσικό αντικείμενο που μπορεί να κλαπεί, να χαθεί, να πεταχτεί ή να μεταπωληθεί, παίρνοντας μαζί του τα δεδομένα του ανεξάρτητα από την προστασία του δικτύου.
Οι κανονισμοί αντικατοπτρίζουν αυτή τη διάκριση. Πολλοί νόμοι και πρότυπα προστασίας δεδομένων απαιτούν κρυπτογράφηση ή ισοδύναμο αντισταθμιστικό έλεγχο ειδικά για τις αποθηκευμένες εγγραφές, χωριστά από τις απαιτήσεις για τη μετάδοση.
Πώς προστατεύονται τα δεδομένα σε ηρεμία
Κανένας μεμονωμένος έλεγχος δεν προστατεύει πλήρως τα αποθηκευμένα δεδομένα. Η συνήθης προσέγγιση συνδυάζει πολλούς ελέγχους σε επίπεδα, ώστε η αστοχία του ενός να συλλαμβάνεται από τον άλλον.
Ο κατάλληλος συνδυασμός εξαρτάται από το πόσο ευαίσθητα είναι τα δεδομένα, πού αποθηκεύονται και τι απαιτεί ένας συγκεκριμένος κανονισμός ή συμβόλαιο. Η κρυπτογράφηση και ο έλεγχος πρόσβασης είναι οι δύο βασικοί έλεγχοι που σχεδόν κάθε πλαίσιο θεωρεί απαραίτητους.
| Έλεγχος | Τι κάνει |
|---|---|
| Κρυπτογράφηση σε ηρεμία | Ένας κλεμμένος δίσκος ή ένα αντίγραφο αρχείου βάσης είναι αδιάβαστα χωρίς κλειδί |
| Έλεγχος πρόσβασης | Περιορίζει ποιος και τι μπορεί να διαβάσει ή να αλλάξει την αποθήκευση |
| Διαχείριση κλειδιών | Κρατά τα κλειδιά μακριά από τα δεδομένα που προστατεύουν και περιορίζει την πρόσβαση |
| Ασφαλής διαγραφή και εξυγίανση | Καθιστά τα δεδομένα μη ανακτήσιμα όταν αποσύρεται το μέσο ή λήγει η διατήρηση |
| Παρακολούθηση και ίχνη ελέγχου | Καταγράφει ποιος είχε πρόσβαση στα αποθηκευμένα δεδομένα ή τα αντέγραψε |
Πώς φαίνεται στο Anexet
Στο Anexet, ο αποθηκευμένος όγκος δεδομένων φαίνεται στην επισκόπηση του Central Server, η οποία εμφανίζει κάθε βάση με το μέγεθος των δεδομένων και το πλήθος των εγγραφών της. Ο Reports Server ορίζει πού διατηρούνται τα συλλεγμένα δεδομένα και για πόσο χρονικό διάστημα.
Η περίοδος διατήρησης ορίζει πόσο καιρό μια εγγραφή μένει εκτεθειμένη σε ηρεμία, γι' αυτό πρέπει να αντιστοιχεί στο πόσο ευαίσθητα είναι τα δεδομένα. Ελέγξτε την μαζί με τη ρύθμιση του λογισμικού DLP, ώστε οι κανόνες αποθήκευσης και αποκλεισμού να ακολουθούν την ίδια κατηγοριοποίηση.
1 / 2
Τι δεν λύνει η προστασία σε ηρεμία
Η κρυπτογράφηση μιας βάσης ή ενός δίσκου δεν προσφέρει τίποτα στα δεδομένα τη στιγμή που μια εξουσιοδοτημένη εφαρμογή τα αποκρυπτογραφεί για να τα εμφανίσει, να τα επεξεργαστεί ή να τα εξαγάγει. Τότε τα δεδομένα φεύγουν από την κατάσταση της ηρεμίας, και οι σχετικοί κίνδυνοι γίνονται δεδομένα σε χρήση και διαρροή δεδομένων.
Η κρυπτογράφηση σε ηρεμία δεν εμποδίζει ούτε έναν νόμιμο, πιστοποιημένο χρήστη να αντιγράψει δεδομένα σε μη κρυπτογραφημένη τοποθεσία, να τα στείλει με email εκτός εταιρείας ή να τα εκτυπώσει.
Η προστασία σε ηρεμία είναι λοιπόν ένα επίπεδο ενός ευρύτερου προγράμματος προστασίας δεδομένων, που καλύπτει και τις τρεις καταστάσεις και τους κανόνες χρήσης των δεδομένων αφού ξεκλειδωθούν.
Από πού να ξεκινήσετε
Ξεκινήστε από τις τοποθεσίες που φιλοξενούν τα πιο ευαίσθητα δεδομένα και μετά αναζητήστε τα αντίγραφα που δεν παρακολουθεί κανείς: παλιά αντίγραφα ασφαλείας, αφαιρούμενα μέσα χωρίς διαχείριση και εξαγωγές που έμειναν σε κοινόχρηστους φακέλους. Οι πολιτικές που γράφονται για όλα τα αρχεία μαζί καταλήγουν να μπλοκάρουν τη δουλειά και να απενεργοποιούνται.
Περισσότερα: Κρυπτογράφηση, κωδικοποίηση και κατακερματισμός – ποια είναι η διαφορά;; Ασφάλεια πληροφοριών βάσεων δεδομένων.
Δεν μπορείτε να προστατεύσετε ένα αντίγραφο του οποίου δεν γνωρίζετε την ύπαρξη.
Anexet Team