Segurança da informação de bancos de dados

Bancos de dados são o conjunto de um grande volume de informações organizadas em um ou mais assuntos. Essa tecnologia é a base para a preservação de informações em todas as áreas da atividade humana. Por isso, a segurança da informação de bancos de dados é extremamente importante para as empresas. Vamos explorar esse tema junto com a Anexet.

Definição de banco de dados

Banco de dados (BD) é o sistema de armazenamento organizado de informações para posterior processamento e gerenciamento desses dados. O principal princípio na criação de bancos de dados é proporcionar acesso rápido e fácil às informações armazenadas. Os bancos de dados modernos são usados em quase todas as áreas da vida — em instituições bancárias e financeiras, instituições de ensino, serviços públicos e outras organizações.

A importância de organizar a proteção cresce junto com o aumento do volume de dados armazenados nos bancos de dados, o nível de confidencialidade deles e o número crescente de ameaças voltadas ao seu comprometimento.  

Quais tipos de bancos de dados existem?

Os bancos de dados são usados em diversos campos, e existe uma certa classificação de seus tipos, dependendo do método de organização das informações.

Bancos de dados relacionais (SQL) são o tipo mais popular de banco de dados. As informações neles são armazenadas na forma de tabelas (modelo relacional), em que os dados são estruturados e vinculados entre si. A principal vantagem desse tipo é sua organização intuitiva e facilidade de uso. Cada linha da tabela representa um registro identificado por uma chave única, e as colunas contêm os atributos necessários. Isso facilita a construção de relações entre os dados.

Bancos de dados não relacionais (NoSQL) são outra forma de organizar dados, oferecendo alta escalabilidade e flexibilidade de estrutura. Diferentemente dos sistemas relacionais tradicionais, os bancos de dados não relacionais não se limitam a tabelas e oferecem mais possibilidades para trabalhar com grandes volumes de dados. Esses bancos de dados são ideais para trabalhar com Big Data. 

Bancos de dados orientados a objetos (OOBDs) armazenam informações na forma de objetos, o que os torna particularmente úteis para uso em programação. 

Bancos de dados em grafo constroem a estrutura das informações com base em nós e suas interconexões (arestas), o que permite analisar e exibir com eficácia relações complexas entre objetos. Essa abordagem é conveniente para processar dados com múltiplas relações entre as informações armazenadas.

Por que a segurança do banco de dados é importante?

Os bancos de dados armazenam informações críticas e sensíveis da empresa (como dados financeiros, pessoais, bancários, comerciais etc.). Isso não é apenas um conjunto de dados, mas um verdadeiro complexo de todos os ativos de informação que uma empresa possui e que afetam diretamente sua eficiência, competitividade e sobrevivência. A violação da segurança do banco de dados pode resultar em perdas financeiras e danos à reputação da empresa. 

As ameaças cibernéticas modernas estão em grande parte voltadas a esse valor e exploram oportunidades para penetrar no perímetro de segurança da empresa.  

Tarefas do banco de dados e sua dependência da segurança da informação

Quais tarefas os bancos de dados desempenham? Podem ser identificadas várias tarefas principais:

• garantir a confidencialidade. Os bancos de dados protegem informações importantes para uma empresa contra a influência negativa de pessoas mal-intencionadas;

• garantir a integridade das informações. Os bancos de dados, como meio único de armazenamento de informações, garantem a integridade simultânea dos dados e de suas inter-relações, bem como a preservação estruturada das narrativas; 

• garantir acesso oportuno ao conjunto de dados armazenados. Os bancos de dados ficam abertos a usuários autorizados a qualquer momento, salvo disposição em contrário nos termos de uso;

• garantir a verificação da identidade do usuário por meio de autenticação e autorização;

• garantir o registro e a auditoria de eventos da atividade do usuário no sistema para identificar e prevenir possíveis ameaças.

A precisão e a confiabilidade dessas tarefas dependem diretamente da segurança do banco de dados, por isso é tão importante criar condições ideais para o uso desse tipo de armazenamento de informações.  

Ameaças à segurança do banco de dados

Como os bancos de dados têm uma ampla gama de aplicações, as principais ameaças à sua segurança também são variadas e abrangem muitos tipos de problemas padrão de segurança da informação. Vamos analisar mais de perto.

• Ataques de negação de serviço distribuído (DDoS)

São tentativas massivas de obter acesso e autorização de usuários no sistema, com o objetivo de forçar a sobrecarga dos servidores do banco de dados e negar o serviço a todos os clientes, sem exceção, incluindo os autorizados.

• Injeção de SQL

Este é um método de invasão de sites ou programas baseados em bancos de dados. Os fraudadores inserem código SQL malicioso que executa comandos predeterminados, como rastrear tráfego ou interceptar dados confidenciais.

• Acesso não autorizado 

Uma das principais ameaças que pode se originar tanto de circuitos internos de segurança quanto de agentes externos. Um invasor obtém acesso a dados confidenciais armazenados no banco de dados ao capturar a autorização e pode realizar qualquer tipo de ação sobre essas informações.

• Ameaças internas por negligência

Funcionários ou outros usuários internos podem danificar informações no banco de dados de forma acidental ou intencional. Esse tipo de intrusão requer monitoramento constante, já que não há necessidade de autorizar usuários ou buscar invasão do perímetro de segurança da empresa.

• Malware e vírus 

O impacto negativo de malware e vírus pode ter consequências significativas para uma empresa: criptografia, modificação, bloqueio de acesso, exclusão ou distribuição de dados armazenados no banco de dados.  

Princípios gerais de gerenciamento da segurança do banco de dados

Com base nos riscos de segurança existentes, os principais princípios que devem ser aplicados ao gerenciamento da segurança do banco de dados são: minimizar os direitos de acesso às informações, criptografar dados, monitorar a atividade na web, atualizar regularmente o software e criar backups.

Minimizar os direitos de acesso proporciona o primeiro nível de segurança do banco de dados, limitando o círculo de indivíduos confiáveis e distribuindo suas funções dentro do banco de dados. Várias funções distintas podem ser identificadas:

• administrador do SGBD;

• administrador do banco de dados;

• administrador de segurança;

• usuário.

Um administrador do SGBD é um especialista que gerencia o software projetado para criar, modificar e gerenciar consultas ao banco de dados. Suas principais responsabilidades incluem instalar e configurar o SGBD, monitorar o sistema, otimizar consultas, fazer backup e restaurar dados, entre outras funções. Ele possui os direitos necessários para realizar essas tarefas.

O administrador do banco de dados pode ter uma ampla gama de tarefas relacionadas ao gerenciamento dos próprios dados, de sua estrutura e uso. Ele é responsável por projetar o banco de dados, garantir sua integridade, gerenciar tabelas, índices e chaves para melhorar o desempenho. Suas responsabilidades também incluem dar suporte a consultas e relatórios. 

O administrador de segurança cibernética também é responsável pelos bancos de dados como parte da segurança geral da empresa. Ele pode implementar níveis adicionais de proteção, como autenticação de dois fatores para administradores e usuários, e monitorar a atividade no sistema.

Um usuário é um funcionário comum da empresa que tem acesso ao banco de dados apenas dentro do escopo de suas responsabilidades de trabalho.

Cada função associada ao gerenciamento do banco de dados tem suas próprias características e restrições em termos de nível de acesso e uso de privilégios.

Criptografia de dados em bancos de dados: papel

A criptografia de dados é um método essencial para proteger bancos de dados contra acesso não autorizado e ataques cibernéticos. Ela envolve converter dados em uma forma criptografada usando algoritmos como AES simétrico, RSA assimétrico e hashing SHA. Somente quem possui a chave apropriada pode descriptografar os dados e acessá-los. A criptografia é usada tanto para armazenamento (em servidores e mídias externas) quanto para transferência de informações entre um cliente e um servidor ou entre servidores. No nível da aplicação, a criptografia também pode ocorrer antes de os dados serem gravados no banco de dados.

A criptografia também inclui o gerenciamento de chaves criptográficas (por exemplo, usando serviços como HashiCorp Vault, AWS KMS ou Azure Key Vault), que oferecem armazenamento seguro e gerenciamento de acesso. Nos bancos de dados, a tecnologia de criptografia costuma ser integrada no nível do SGBD e funciona automaticamente, criptografando e descriptografando dados com impacto mínimo no desempenho do sistema. Isso é especialmente importante para proteger dados em repouso, pois não exige mudanças significativas na arquitetura de armazenamento.

Criptografar backups é uma medida de segurança obrigatória. Se os backups caírem em mãos erradas, invasores podem obter acesso aos dados. Por isso, os administradores costumam criptografar os backups para proteção.

Monitoramento da atividade do usuário

O monitoramento da atividade do usuário envolve o rastreamento contínuo das ações dos funcionários e dos processos relacionados ao banco de dados para identificar atividades suspeitas. Isso pode incluir a detecção de acesso não autorizado, compartilhamento de credenciais ou vazamentos de informações do banco de dados.

Proporciona monitoramento contínuo das atividades do banco de dados realizadas por funcionários, usuários e processos no banco de dados para identificar atividades anômalas, que podem se manifestar em acesso não autorizado, transferência de login e senha para autorização ou disseminação de informações do banco de dados.

Para monitorar a atividade do usuário, você pode usar o sistema Anexet DLP. Ele proporciona transparência das atividades digitais dos funcionários e bloqueia a distribuição de dados confidenciais.

Atualizações regulares de software

Garante a eliminação oportuna de vulnerabilidades por meio da instalação de atualizações de um fornecedor de software que corrigem problemas de segurança identificados. Um administrador de segurança da informação pode acompanhar as atualizações manualmente à medida que novas versões são lançadas pelos fornecedores de software, ou criar um cronograma especializado e segui-lo.

Backup

Uma das ferramentas mais eficazes para mitigar as consequências de violações de segurança, especialmente no que diz respeito à proteção de bancos de dados. Os backups garantem que os dados no banco de dados permaneçam intactos em caso de ataque.  

Software e serviços de segurança para bancos de dados

Existem diversos programas e serviços especializados que ajudam a proteger bancos de dados:

• Recursos de segurança do SGBD. Oferecem a instalação de recursos de segurança integrados, como criptografia e controle de acesso, disponibilizados pelos sistemas modernos de gerenciamento de banco de dados (por exemplo, Oracle, Microsoft SQL Server);

• Sistemas de detecção de intrusão (IDS/IPS). Analisam o tráfego em busca de atividades suspeitas e evitam possíveis ataques;

• Monitoramento de banco de dados (DAM). Ferramentas especiais que rastreiam todas as ações no banco de dados para identificar ameaças;

• Firewall de banco de dados. Protege os bancos de dados contra ataques de rede não autorizados;

• Sistemas DLP para monitorar a atividade do usuário no banco de dados e evitar a disseminação de informações confidenciais dos bancos de dados. 

Métodos de autenticação em bancos de dados

A autenticação é o processo de verificação da identidade de um usuário antes de conceder acesso ao banco de dados. É particularmente relevante no contexto de bancos de dados, pois garante diferenciação e precisão na concessão de acesso de acordo com as funções estabelecidas dentro de uma empresa. Os métodos mais populares para bancos de dados são:

• uso de senhas de acesso. Oferece proteção básica no nível do acesso inicial ao banco de dados quando o login e a senha corretos do usuário são inseridos;

• autenticação de dois fatores. É obtida por meio da adição de uma etapa (fator) de autenticação adicional para confirmar a identidade de um usuário que já inseriu o login e a senha corretos. Fatores adicionais podem incluir uma senha, uma mensagem enviada a um dispositivo móvel ou identificação biométrica;

• uso de protocolos de autenticação de usuários e serviços por meio de servidores confiáveis. Frequentemente usados em redes corporativas. Eles atuam como uma espécie de roteador, um gateway seguro entre a internet e os usuários;

• autenticação de banco de dados via tokens. Usada para acessar o banco de dados por meio de tokens digitais temporários gerados por um servidor. Esse token é uma chave única gerada pelo sistema e transmitida a um usuário para acessar recursos protegidos. Assim, o usuário recebe o token do serviço ou aplicativo e pode se autenticar no banco de dados sem login e senha. No entanto, o período de validade desse token é limitado, ao contrário de uma senha e login.

Como funciona a autenticação baseada em token:

• solicitação de autenticação;

• inserção dos dados de login (nome de usuário e senha) no sistema;

• geração do token;

• codificação dos dados do usuário e apresentação na forma de um token, que é assinado por um servidor usando uma chave criptográfica para que não possa ser falsificado;

• uso do token;

• entrada e acesso ao banco de dados;

• tempo de vida do token;

• tempo de vida limitado para minimizar o risco de uso indevido em caso de comprometimento.

Métodos de auditoria em bancos de dados

Por que é necessário realizar auditorias de banco de dados? Esse processo, assim como as auditorias de sistemas de segurança e processos de negócio, é vital para garantir a segurança da informação. Consiste em analisar as operações de dados e verificar sua autorização. Se forem detectadas discrepâncias entre os direitos de acesso e as operações, podem ser aplicados bloqueio de conta, monitoramento das ações realizadas e análise das causas da invasão. 

Os principais métodos de auditoria de segurança de bancos de dados incluem:

• registro de transações. Gravação de todas as operações relacionadas ao acesso a dados, o que permite rastrear o histórico de alterações e, em caso de falha, restaurar a versão anterior ao impacto negativo;

• monitoramento das ações do usuário e análise de atividades anômalas. Rastreamento da atividade do usuário, incluindo autorização, alterações de dados e tentativas não autorizadas de acesso ao banco de dados. Nessa etapa, é lógico usar o sistema DLP;

• verificações periódicas dos sistemas de proteção de informações em bancos de dados. A análise regular dos sistemas de segurança, sua relevância e precisão garantirá a detecção e eliminação oportunas de vulnerabilidades.

Conclusão

A segurança da informação de bancos de dados é um processo complexo que exige uma abordagem abrangente. As ameaças à segurança evoluem junto com a tecnologia, e as empresas devem implementar medidas eficazes para proteger seus dados. Da autenticação e criptografia robustas às auditorias regulares, cada medida ajuda a manter um alto nível de proteção e a prevenir vazamentos de dados que poderiam causar sérios danos tanto a usuários quanto a empresas.