Bezpieczeństwo informacji w bazach danych

Bazy danych to zbiór dużej puli informacji uporządkowanej wokół jednego lub wielu zagadnień. Technologia ta stanowi podstawę przechowywania informacji we wszystkich obszarach działalności człowieka. Dlatego bezpieczeństwo informacji w bazach danych ma dla firm ogromne znaczenie. Przyjrzyjmy się temu tematowi razem z Anexet.

Czym jest baza danych

Baza danych (BD) to system uporządkowanego przechowywania informacji na potrzeby jej dalszego przetwarzania i zarządzania nią. Główną zasadą tworzenia baz danych jest zapewnienie szybkiego i łatwego dostępu do przechowywanych informacji. Nowoczesne bazy danych są wykorzystywane niemal we wszystkich dziedzinach życia — w bankach i instytucjach finansowych, placówkach edukacyjnych, urzędach i innych organizacjach.

Znaczenie ochrony rośnie wraz ze wzrostem ilości danych przechowywanych w bazach, poziomu ich poufności oraz liczby zagrożeń wymierzonych w ich kompromitację.  

Jakie są rodzaje baz danych?

Bazy danych są wykorzystywane w różnych dziedzinach, a ich typy klasyfikuje się według sposobu organizacji informacji.

Relacyjne bazy danych (SQL) to najpopularniejszy typ baz danych. Informacje są w nich przechowywane w postaci tabel (model relacyjny), w których dane są ustrukturyzowane i powiązane ze sobą. Główną zaletą tego typu jest intuicyjna organizacja i łatwość obsługi. Każdy wiersz tabeli to rekord identyfikowany unikalnym kluczem, a kolumny zawierają niezbędne atrybuty. Dzięki temu łatwo budować relacje między danymi.

Nierelacyjne bazy danych (NoSQL) to inny sposób organizacji danych, zapewniający wysoką skalowalność i elastyczność struktury. W odróżnieniu od tradycyjnych systemów relacyjnych bazy nierelacyjne nie ograniczają się do tabel i dają więcej możliwości pracy z dużymi wolumenami danych. Sprawdzają się idealnie w projektach Big Data. 

Obiektowe bazy danych (OODB) przechowują informacje w postaci obiektów, co czyni je szczególnie przydatnymi w programowaniu. 

Grafowe bazy danych budują strukturę informacji na podstawie węzłów i połączeń między nimi (krawędzi), co pozwala skutecznie analizować i przedstawiać złożone relacje między obiektami. Takie podejście jest wygodne przy przetwarzaniu danych o wielu wzajemnych powiązaniach.

Dlaczego bezpieczeństwo baz danych jest ważne?

Bazy danych przechowują krytyczne i wrażliwe informacje firmy (finansowe, osobowe, bankowe, biznesowe itp.). To nie jest zwykły zbiór danych, lecz kompletny zestaw aktywów informacyjnych, którymi dysponuje firma i które bezpośrednio wpływają na jej efektywność, konkurencyjność oraz przetrwanie. Naruszenie bezpieczeństwa bazy danych może oznaczać dla firmy straty finansowe i szkody wizerunkowe. 

Nowoczesne cyberzagrożenia w dużej mierze koncentrują się na tej wartości i wykorzystują każdą okazję do przeniknięcia przez perymetr bezpieczeństwa przedsiębiorstwa.  

Zadania baz danych i ich zależność od bezpieczeństwa informacji

Jakie zadania realizują bazy danych? Można wskazać kilka najważniejszych:

• zapewnienie poufności. Bazy danych chronią informacje istotne dla przedsiębiorstwa przed szkodliwym działaniem osób nieprzyjaznych;

• zapewnienie integralności informacji. Bazy danych, jako unikalny sposób przechowywania informacji, gwarantują jednocześnie integralność danych i powiązań między nimi, a także uporządkowane przechowywanie zapisów; 

• zapewnienie terminowego dostępu do przechowywanego zbioru danych. Bazy danych są otwarte dla uprawnionych użytkowników w dowolnym momencie, o ile warunki korzystania nie stanowią inaczej;

• zapewnienie weryfikacji tożsamości użytkownika poprzez uwierzytelnianie i autoryzację;

• zapewnienie rejestrowania zdarzeń i audytu aktywności użytkowników w systemie, aby wykrywać potencjalne zagrożenia i im zapobiegać.

Rzetelność i niezawodność realizacji tych zadań zależy bezpośrednio od bezpieczeństwa bazy danych, dlatego tak ważne jest stworzenie optymalnych warunków korzystania z tego rodzaju magazynu informacji.  

Zagrożenia dla bezpieczeństwa baz danych

Ponieważ bazy danych mają bardzo szerokie zastosowanie, główne zagrożenia dla ich bezpieczeństwa są równie różnorodne i obejmują wiele typowych problemów bezpieczeństwa informacji. Przyjrzyjmy się im bliżej.

• Rozproszone ataki odmowy usługi (DDoS)

To masowe próby uzyskania dostępu i autoryzacji użytkowników w systemie, których celem jest przeciążenie serwerów bazy danych i odmowa obsługi wszystkim klientom bez wyjątku, łącznie z uprawnionymi.

• Wstrzyknięcia SQL

To metoda włamywania się do stron internetowych i programów opartych na bazach danych. Oszuści wprowadzają złośliwy kod SQL, który wykonuje z góry określone polecenia, na przykład śledzi ruch albo przechwytuje dane poufne.

• Nieuprawniony dostęp 

Jedno z głównych zagrożeń, które może pochodzić zarówno z wewnętrznych obwodów bezpieczeństwa, jak i z obiektów zewnętrznych. Atakujący, przejmując autoryzację, uzyskuje dostęp do danych poufnych przechowywanych w bazie i może wykonać na nich dowolne operacje.

• Zagrożenia wewnętrzne wynikające z nieostrożności

Pracownicy lub inni użytkownicy wewnętrzni mogą przypadkowo albo celowo uszkodzić informacje w bazie danych. Ten rodzaj naruszeń wymaga stałego monitorowania, ponieważ tacy użytkownicy są już uwierzytelnieni i nie muszą przełamywać perymetru bezpieczeństwa przedsiębiorstwa.

• Złośliwe oprogramowanie i wirusy 

Działanie złośliwego oprogramowania i wirusów może mieć poważne konsekwencje dla biznesu: zaszyfrowanie, modyfikację, zablokowanie dostępu, usunięcie lub rozpowszechnienie danych przechowywanych w bazie.  

Ogólne zasady zarządzania bezpieczeństwem baz danych

Biorąc pod uwagę istniejące ryzyka, w zarządzaniu bezpieczeństwem baz danych należy stosować przede wszystkim minimalizowanie uprawnień dostępu do informacji, szyfrowanie danych, monitorowanie aktywności sieciowej, regularne aktualizowanie oprogramowania oraz tworzenie kopii zapasowych.

Minimalizowanie uprawnień zapewnia pierwszy poziom bezpieczeństwa bazy danych: ogranicza krąg osób zaufanych i rozdziela ich role w bazie. Można wyróżnić kilka odrębnych ról:

• administrator systemu zarządzania bazą danych (SZBD);

• administrator bazy danych;

• administrator bezpieczeństwa;

• użytkownik.

Administrator SZBD to specjalista zarządzający oprogramowaniem służącym do tworzenia i modyfikowania zapytań do bazy danych oraz zarządzania nimi. Do jego głównych obowiązków należą instalacja i konfiguracja SZBD, monitorowanie systemu, optymalizacja zapytań, tworzenie kopii zapasowych i odtwarzanie danych oraz inne zadania. Ma on niezbędne uprawnienia do ich wykonywania.

Administrator bazy danych może mieć szeroki zakres zadań związanych z zarządzaniem samymi danymi, ich strukturą i wykorzystaniem. Odpowiada za projektowanie bazy danych, zapewnienie jej integralności, zarządzanie tabelami, indeksowaniem i kluczami w celu poprawy wydajności. Do jego obowiązków należy również obsługa zapytań i raportowania. 

Administrator cyberbezpieczeństwa również odpowiada za bazy danych w ramach ogólnego bezpieczeństwa firmy. Może wdrażać dodatkowe poziomy ochrony, takie jak uwierzytelnianie dwuskładnikowe dla administratorów i użytkowników, a także monitorować aktywność w systemie.

Użytkownik to zwykły pracownik firmy, który ma dostęp do bazy danych wyłącznie w zakresie swoich obowiązków służbowych.

Każda rola związana z zarządzaniem bazą danych ma własną specyfikę i ograniczenia w zakresie poziomu dostępu oraz korzystania z uprawnień.

Rola szyfrowania danych w bazach danych

Szyfrowanie danych to kluczowa metoda ochrony baz danych przed nieuprawnionym dostępem i cyberatakami. Polega na przekształceniu danych w postać zaszyfrowaną przy użyciu algorytmów takich jak symetryczny AES, asymetryczny RSA czy funkcje skrótu SHA. Odszyfrować dane i uzyskać do nich dostęp może wyłącznie posiadacz odpowiedniego klucza. Szyfrowanie stosuje się zarówno przy przechowywaniu (na serwerach i nośnikach zewnętrznych), jak i przy przesyłaniu informacji między klientem a serwerem lub między serwerami. Na poziomie aplikacji szyfrowanie może się odbywać jeszcze przed zapisaniem danych w bazie.

Szyfrowanie obejmuje również zarządzanie kluczami kryptograficznymi (np. za pomocą usług takich jak HashiCorp Vault, AWS KMS czy Azure Key Vault), które zapewniają bezpieczne przechowywanie kluczy i zarządzanie dostępem do nich. W bazach danych technologia szyfrowania jest często zintegrowana na poziomie SZBD i działa automatycznie, szyfrując i odszyfrowując dane przy minimalnym wpływie na wydajność systemu. Ma to szczególne znaczenie dla ochrony danych w spoczynku, ponieważ nie wymaga istotnych zmian w architekturze przechowywania.

Szyfrowanie kopii zapasowych to obowiązkowy środek bezpieczeństwa. Jeśli kopie trafią w niepowołane ręce, atakujący uzyskają dostęp do danych. Dlatego administratorzy zwykle je szyfrują.

Monitorowanie aktywności użytkowników

Monitorowanie aktywności użytkowników polega na ciągłym śledzeniu działań pracowników i procesów związanych z bazą danych, aby wychwycić podejrzaną aktywność. Może to obejmować wykrywanie nieuprawnionego dostępu, przekazywania danych logowania czy wycieków informacji z bazy danych.

Zapewnia stałą obserwację operacji na bazie danych wykonywanych przez pracowników, użytkowników i procesy, aby wykryć nietypową aktywność, która może się przejawiać w nieuprawnionym dostępie, przekazywaniu loginu i hasła do autoryzacji albo rozpowszechnianiu informacji z bazy danych.

Do monitorowania aktywności użytkowników możesz wykorzystać system Anexet DLP. Zapewnia on przejrzystość cyfrowej aktywności pracowników i blokuje rozpowszechnianie danych poufnych.

Regularne aktualizacje oprogramowania

Zapewniają terminowe usuwanie podatności dzięki instalowaniu aktualizacji od dostawcy oprogramowania, które eliminują wykryte problemy bezpieczeństwa. Administrator bezpieczeństwa informacji może śledzić aktualizacje ręcznie, w miarę udostępniania nowych wersji przez producentów, albo opracować specjalny harmonogram i konsekwentnie go przestrzegać.

Kopie zapasowe

Jedno z najskuteczniejszych narzędzi ograniczania skutków naruszeń bezpieczeństwa, zwłaszcza w odniesieniu do ochrony baz danych. Kopie zapasowe gwarantują, że dane w bazie pozostaną nienaruszone w razie ataku.  

Oprogramowanie i usługi do ochrony baz danych

Istnieją różne wyspecjalizowane programy i usługi, które pomagają chronić bazy danych:

• Wbudowane mechanizmy bezpieczeństwa SZBD. Pozwalają włączyć wbudowane funkcje ochrony, takie jak szyfrowanie i kontrola dostępu, oferowane przez nowoczesne systemy zarządzania bazami danych (np. Oracle, Microsoft SQL Server);

• Systemy wykrywania włamań (IDS/IPS). Analizują ruch pod kątem podejrzanej aktywności i zapobiegają potencjalnym atakom;

• Monitorowanie baz danych (DAM). Wyspecjalizowane narzędzia śledzące wszystkie operacje w bazie danych w celu wykrycia zagrożeń;

• Zapora dla baz danych. Chroni bazy danych przed nieuprawnionymi atakami sieciowymi;

• Systemy DLP do monitorowania aktywności użytkowników baz danych i zapobiegania rozpowszechnianiu poufnych informacji z baz danych. 

Metody uwierzytelniania w bazach danych

Uwierzytelnianie to proces weryfikacji tożsamości użytkownika przed udzieleniem dostępu do bazy danych. W przypadku baz danych ma ono szczególne znaczenie, ponieważ zapewnia rozgraniczenie i precyzję w przyznawaniu dostępu zgodnie z rolami przyjętymi w przedsiębiorstwie. Najpopularniejsze metody to:

• stosowanie haseł dostępu. Zapewnia podstawową ochronę na poziomie pierwszego wejścia do bazy danych, po wpisaniu poprawnego loginu i hasła użytkownika;

• uwierzytelnianie dwuskładnikowe. Polega na dodaniu kolejnego kroku (składnika) uwierzytelniania, czyli na potwierdzeniu tożsamości użytkownika, który podał już poprawny login i hasło. Dodatkowym składnikiem może być hasło jednorazowe, wiadomość wysłana na urządzenie mobilne albo identyfikacja biometryczna;

• stosowanie protokołów uwierzytelniania użytkowników i usług za pośrednictwem zaufanych serwerów. Często stosuje się je w sieciach korporacyjnych. Działają jak swego rodzaju router, bezpieczna brama między internetem a użytkownikami;

• uwierzytelnianie w bazie danych za pomocą tokenów. Służy do uzyskiwania dostępu do bazy danych przy użyciu tymczasowych tokenów cyfrowych generowanych przez serwer. Taki token to unikalny klucz wygenerowany przez system i przekazany użytkownikowi w celu dostępu do chronionych zasobów. Użytkownik otrzymuje token od usługi lub aplikacji i może uwierzytelnić się w bazie danych bez loginu i hasła. Okres ważności tokenu jest jednak ograniczony, w odróżnieniu od hasła i loginu.

Jak działa uwierzytelnianie tokenowe:

• żądanie uwierzytelnienia;

• wprowadzenie danych logowania (nazwy użytkownika i hasła) do systemu;

• generowanie tokenu;

• zakodowanie danych użytkownika i przedstawienie ich w postaci tokenu, który serwer podpisuje kluczem kryptograficznym, aby nie dało się go podrobić;

• użycie tokenu;

• wejście do bazy danych i uzyskanie dostępu;

• czas życia tokenu;

• ograniczony czas życia, aby zminimalizować ryzyko nadużycia w razie kompromitacji.

Metody audytu baz danych

Po co przeprowadzać audyty baz danych? Ten proces, podobnie jak audyt systemu bezpieczeństwa i procesów biznesowych, ma kluczowe znaczenie dla bezpieczeństwa informacji. Polega na analizie operacji na danych i sprawdzeniu, czy były autoryzowane. W razie wykrycia rozbieżności między uprawnieniami a wykonanymi operacjami można zablokować konto, objąć działania monitorowaniem i przeanalizować przyczyny naruszenia. 

Do głównych metod audytu bezpieczeństwa baz danych należą:

• rejestrowanie transakcji. Zapisywanie wszystkich operacji związanych z dostępem do danych, co pozwala śledzić historię zmian, a w razie awarii przywrócić wersję sprzed niepożądanego zdarzenia;

• monitorowanie działań użytkowników i analiza nietypowej aktywności. Śledzenie aktywności użytkowników, w tym autoryzacji, zmian danych i nieuprawnionych prób dostępu do bazy danych. Na tym etapie warto sięgnąć po system DLP;

• okresowe kontrole systemów ochrony informacji w bazach danych. Regularna analiza systemów bezpieczeństwa, ich aktualności i poprawności zapewni terminowe wykrywanie oraz usuwanie podatności.

Podsumowanie

Bezpieczeństwo informacji w bazach danych to złożony proces, który wymaga kompleksowego podejścia. Zagrożenia rozwijają się wraz z technologiami, dlatego firmy muszą wdrażać skuteczne środki ochrony swoich danych. Od solidnego uwierzytelniania i szyfrowania po regularne audyty: każdy z tych elementów pomaga utrzymać wysoki poziom ochrony i zapobiegać wyciekom, które mogą poważnie zaszkodzić zarówno użytkownikom, jak i firmom.