چگونه امنیت بانک های اطلاعاتی را تامین کنیم؟

کمیته رکن چهارم – امنیت اطلاعات به محرمانگی، یکپارچگی و در دسترس بودن داده‌ها مربوط است. امنیت در حوزه فناوری اطلاعات رایانه بر حصول اطمینان از در دسترس بودن و عملکرد صحیح رایانه‌ها متمرکز است. واقعیت این است که امنیت اطلاعات یک فرایند پیچیده نرم‌افزاری و سخت‌افزاری رایانه‌ای است. به‌طوری که سازمان‌ها برای پیاده‌سازی درست زیرساخت‌های ارتباطی و بانک‌های اطلاعاتی مجبور هستند بر مبنای خط‌ مشی‌های دقیق و حساب شده‌ای از تجهیزات و ابزارهای امنیتی استفاده کنند تا داده‌های حساس سازمانی با چالش روبرو نشوند.

امنیت داده‌ها در عصر جدید

امنیت اطلاعات و ایمن‌سازی شبکه‌های رایانه‌ای از جمله مسئولیت‌هایی است که مستلزم استخدام نیروهای زبده است. پرداختن به مقوله امنیت اطلاعات و ایمن‌سازی شبکه‌های رایانه‌ای، مستلزم توجه همه کاربران صرفنظر از موقعیت شغلی و سنی به جایگاه امنیت اطلاعات و ایمن‌سازی شبکه‌های رایانه‌ای است. وجود ضعف امنیتی در شبکه‌های رایانه‌ای و اطلاعاتی، عدم آموزش و توجیه صحیح همه کاربران صرف نظر از مسئولیت شغلی آنان نسبت به جایگاه و اهمیت امنیت اطلاعات، عدم وجود دستورالعمل‌های لازم برای پیشگیری از نقایص امنیتی، عدم وجود سیاست‌های مشخص و مدون به منظور برخورد مناسب و بموقع با اشکالات امنیتی، مسائلی را به دنبال خواهد داشت که ضرر آن متوجه یک سازمان و افرادی می‌شود که با آن سازمان مرتبط هستند.

دستیابی به سه اصل کلیدی دنیای امنیت

در دنیای امنیت سه‌گانه اصل حفظ محرمانگی، یکپارچگی و دسترس‌پذیری کلید حل تمامی مشکلات حوزه امنیت هستند. اگر سه اصل محرمانگی، یکپارچگی و دسترس‌پذیری به درستی رعایت شود اطلاعاتی که درون بانک‌های اطلاعاتی ذخیره می‌شوند قابل استناد بوده و این اطمینان خاطر وجود خواهد داشت که افراد غیرمجاز به سوء استفاده از آن‌ها نپرداخته یا آن‌ها را دستکاری نکرده‌اند. تعریف هر یک از این سه اصل به شرح زیر است.

محرمانگی

محرمانگی به معنای عدم دسترسی افراد غیرمجاز به اطلاعات است. به عنوان مثال، برای خرید با کارت‌های اعتباری بر روی اینترنت نیاز به ارسال شماره کارت اعتباری از خریدار به فروشنده و سپس به مرکز پردازش معامله است. در این مورد شماره کارت و دیگر اطلاعات مربوط به خریدار و کارت اعتباری او نباید در اختیار افراد غیرمجاز بیفتد و این اطلاعات باید محرمانه بماند. در این مورد برای محرمانه نگهداشتن اطلاعات، شماره کارت رمزنگاری می‌شود و در طی انتقال یا جاهایی که ممکن است ذخیره شود (در پایگاه‌های داده، فایل‌های ثبت وقایع سامانه، پشتیبان‌گیری، چاپ رسید، و غیره) رمز شده باقی می‌ماند. همچنین دسترسی به اطلاعات و سامانه‌ها نیز محدود می‌شود. اگر فرد غیرمجازی به هر نحو به شماره کارت دست یابد، نقض محرمانگی رخ داده‌است. نقض محرمانگی ممکن است اشکال مختلف داشته باشد. مثلاً اگر کسی از روی شانه شما اطلاعات محرمانه نمایش داده شده روی صفحه نمایش رایانه شما را بخواند. یا فروش یا سرقت رایانه لپ‌تاپ حاوی اطلاعات حساس. یا دادن اطلاعات محرمانه از طریق تلفن همه موارد نقض محرمانگی است.

یکپارچگی

یکپارچگی به معنای جلوگیری از تغییر داده‌ها به‌طور غیرمجاز و تشخیص تغییر در صورت دستکاری غیرمجاز اطلاعات. یکپارچگی وقتی نقض می‌شود که اطلاعات نه فقط در حین انتقال بلکه در حال استفاده یا ذخیره شدن ویا نابودشدن نیز به صورت غیرمجاز تغییر داده شود. سامانه‌های امنیت اطلاعات به‌طور معمول علاوه بر محرمانه بودن اطلاعات، یکپارچگی آن را نیز تضمین می‌کنند.

دسترس‌پذیری

اطلاعات باید زمانی که مورد نیاز توسط افراد مجاز هستند در دسترس باشند. این بدان معنی است که باید از درست کار کردن و جلوگیری از اختلال در سامانه‌های ذخیره و پردازش اطلاعات و کانال‌های ارتباطی مورد استفاده برای دسترسی به اطلاعات اطمینان حاصل کرد. سامانه‌های با دسترسی بالا در همه حال حتی به علت قطع برق، خرابی سخت‌افزار، و ارتقاء سامانه در دسترس باقی می‌ماند. یکی از راه‌های از دسترس خارج کردن اطلاعات و سامانه اطلاعاتی درخواست‌های زیاد از طریق خدمات از سامانه اطلاعاتی است که در این حالت چون سامانه توانایی و ظرفیت چنین حجم انبوه خدمات دهی را ندارد از خدمات دادن به‌طور کامل یا جزئی عاجز می‌ماند.

امنیت پایگاه داده چیست؟

امنیت پایگاه داده در رابطه با استفاده از طیف وسیعی از روش‌های کنترل امنیت اطلاعات است به منظور محافطت از پایگاه داده (شامل داده، برنامه‌های کاربردی یا توابع ذخیره شده، سیستم‌های پایگاه داده، سرورهای پایگاه داده) در برابر توافقات محرمانگی، جامعیت و در دسترس‌پذیری پایگاه داده. که این شامل انواع مختلف از روش‌های کنترلی مانند فنی، رویه‌ای و فیزیکی می‌باشد. امنیت پایگاه داده یک موضوع تخصصی در عرصه امنیت رایانه‌ای، امنیت اطلاعات و مدیریت ریسک است. برای مثال، ریسک‌های امنیتی مرتبط با سیستم‌های پایگاه داده شامل موارد زیر است:

مشکلات بدافزارها که می‌تواند باعث بروز حوادثی مانند دسترسی غیرمجاز، افشای اطلاعات شخصی یا اختصاصی، حذف یا صدمه به داده‌ها یا برنامه‌ها، وقفه یا محرومیت از دسترسی مجاز به پایگاه داده، حمله به سیستم‌های دیگر و شکست غیرمنتظره از سرویس‌های پایگاه داده شود.

عیوب طراحی یا باگ‌های برنامه‌نویسی در پایگاه داده‌ها و برنامه‌ها و سیستم‌های مرتبط که زمینه‌ساز بروز آسیب‌پذیری‌های امنیتی مختلف می‌ شوند که از آن جمله باید به از دست رفتن داد‌ه‌ها، خراب شدن داده‌ها، کاهش کارایی و غیره اشاره کرد.

فعالیت‌های غیر مجاز یا ناخواسته یا سوء استفاده توسط کاربران مجاز پایگاه داده، راهبران پایگاه داده، مدیران سیستم / شبکه، یا توسط کاربران غیرمجاز و هکرها (برای مثال دسترسی نامناسب به داده‌های حساس، متا داده یا توابع درون پایگاه داده، یا تغییرات نامناسب در برنامه‌های پایگاه داده، ساختارها یا تنظیمات امنیتی)؛

اضافه بار، محدودیت‌های کارایی و مسایل مربوط به ظرفیت و در نتیجه ناتوانی کاربران مجاز در استفاده از پایگاه داده.

آسیب‌های فیزیکی وارد شده به سرور پایگاه داده که ممکن است به دلیل آتش‌سوزی اتاق سرور، سیل، گرمای بیش از حد، رعد و برق و… اتفاق افتد.

خراب شدن داده‌ها یا از دست رفتن آن به دلیل ورود داده یا دستور غیر معتبر، اشتباهات در پایگاه داده یا فرایندهای مدیریت سیستم، خرابکاری‌های عمدی یا آسیب‌های جنایی و غیره.

از مهم‌ترین لایه‌ها و روش‌های کنترل امنیت اطلاعات در ارتباط با پایگاه‌های داده باید به کنترل دسترسی، ممیزی پایگاه داده (Database auditing)، اصالت‌سنجی، رمزگذاری، یکپارچگی داده، پشتیبان‌گیری و امنیت برنامه کاربردی (Application security) اشاره کرد.

به لحاظ سنتی پایگاه‌های داده به میزان قابل توجهی در برابر هکرها از طریق مکانیزم‌های امنیتی تحت شبکه مانند فایروال ها، سامانه تشخیص نفوذ مبتنی بر شبکه، امن شده‌اند. در حالی‌که کنترل‌های امنیتی شبکه همچنان در این زمینه با ارزش هستند، ایمن ساختن سیستم‌های پایگاه داده، و برنامه ها/توابع و داده‌های درون آن، به‌طور مستدل بسیار بحرانی تر شده‌اند هنگامیکه شبکه‌ها به منظور دسترسی گسترده‌تر بازتر می‌شوند، مخصوصاً دسترسی از طریق اینترنت. علاوه بر این، سیستم، برنامه، تابع و کنترل‌های دسترسی به داده، همراه با شناسایی کاربر مرتبط، تصدیق و توابع مدیریتی حقوق، همواره برای محدود کردن و در برخی موارد پیگیری فعالیت‌های مدیران و کاربران مجاز مهم است.

بسیاری از سازمان‌ها خط مبنای استانداردهای امنیتی و طرح جزییات اقدامات اساسی کنترل امنیتی برای سیستم‌های پایگاه داده خود را توسعه داده‌اند.

ارزیابی آسیب‌پذیری ها

یک روش برای ارزیابی امنیت پایگاه داده شامل انجام ارزیابی آسیب‌پذیری یا تست نفوذ به پایگاه داده می‌باشد. آزمایش کنندگان همواره تلاش می‌کنند تا آسیب‌پذیری‌های امنیتی را پیدا کنند که می‌تواند برای از بین بردن یا دور زدن کنترل‌های امنیتی استفاده شوند. مدیران پایگاه داده یا مدیران امنیت اطلاعات ممکن است به عنوان مثال از اسکن‌های خودکار آسیب‌پذیری برای یافتن اشکلات پیکربندی استفاده کنند. از نتایج چنین اسکنهایی باعث مقاوم شدن پایگاه داده (بهبود کنترل‌های امنیتی) و بستن آسیب‌پذیری‌های خاص شناسایی شده‌استفاده می‌شود، اما متأسفانه دیگر آسیب‌پذیری‌ها معمولاً ناشناخته باقی می‌ماند. برنامه نظارت مستمر برای پیروی از استانداردهای امنیتی پایگاه داده، یک وظیفه مهم دیگر در محیط پایگاه داده است. دو جنبه مهم از انطباق امنیت پایگاه داده عبارتند از: مدیریت وصله و بررسی و مدیریت مجوزها (به خصوص عمومی) که درون پایگاه داده به اشیاء داده می‌شود. اشیای پایگاه داده ممکن است شامل جدول یا اشیاء دیگر از طریق پیوند بین جداول به وجود می آیند، باشد.

انتزاع

مکانیزم‌های دسترسی و تصدیق در سطح برنامه‌های کاربردی باید به عنوان یک وسیله مؤثر جهت فراهم نمودن انتزاع در سطح لایه پایگاه داده در نظر گرفته شود.

نظارت بر فعالیت پایگاه داده

یکی دیگر از لایه‌های امنیتی که از یک ماهیت پیچیده تر برخوردار است شامل نظارت بر فعالیت‌های پایگاه داده، با استفاده از تجزیه و تحلیل ترافیک پروتکل (SQL) بر روی شبکه، یا با مشاهده فعالیت‌های پایگاه داده محلی بر روی هر سرور با استفاده از عوامل نرم‌افزار یا هر دو می‌باشد. استفاده از عامل‌ها به منظور ضبط فعالیت‌های اجرا شده بر روی سرور پایگاه داده، که معمولاً شامل فعالیت‌های مدیران پایگاه داده است، مورد نیاز است.

تجزیه و تحلیل را می‌توان به منظور شناسایی سوء استفاده شناخته شده یا نقض سیاست، یا خطوط مبنایی که در طول زمان می‌تواند ضبط شود، اجرا کرد تا یک الگوی طبیعی را ساخت برای تشخیص فعالیت غیرعادی که می‌تواند نشان دهنده نفوذ باشد. این سیستم علاوه بر مکانیسم‌های تشخیص نفوذ می‌تواند دنباله‌ای جامع از بازرسی‌های پایگاه داده فراهم می‌کند، و همچنین برخی از سیستم‌ها به وسیلهٔ خاتمه دادن به جلسات کاربران یا با قرنطینه کردن کاربرانی که رفتار مشکوک دارند یک سطح از حفاظت را فراهم آورند.

بازرسی محلی

علاوه بر استفاده از ابزارهای نظارت یا بازرسی، قابلیت‌های بازرسی پایگاه داده به صورت محلی، برای بسیاری از پلتفرم‌های پایگاه داده موجود است. دنباله‌ای از بازرسی‌های محلی را می‌توان به صورت منظم استخراج کرده و به یک سیستم امنیتی طراحی شده انتقال داد که مدیران پایگاه داده به آن دسترسی نداشته باشند.

فرایند و رویه‌ها

یک برنامه امنیتی پایگاه داده باید شامل یکسری بازدیدهای منظم از مجوزهایی که به حساب‌های کاربری شخصی و حسابهایی که توسط فرایندهای خودکار اعطا شده باشد. حسابی که توسط فرایند خودکار استفاده می‌شود باید کنترل‌های مناسبی در ارتباط با ذخیره رمز عبور داشته باشد به عنوان مثال رمزنگاری و کنترل‌های دسترسی کافی بمنظور کاهش ریسک توافقات. برای حساب‌های شخصی، یک نوع اصالت سنجی باید در یک محیط پایگاه داده در نظر گرفته شود جایی که ریسک متناسب با هزینه‌های مرتبط با سیستم‌های تصدیق باشد.

منبع : زومیت