Monitoring na straży baz danych
-
- Krzysztof Jakubik,
- 06.11.2007
Kontrola aktywności użytkowników sieci LAN to ważny element bezpieczeństwa, bo ponad 70% włamań do baz danych wykonywanych jest przez pracowników zatrudnionych w firmach.
Kontrola aktywności użytkowników sieci LAN to ważny element bezpieczeństwa, bo ponad 70% włamań do baz danych wykonywanych jest przez pracowników zatrudnionych w firmach.
Naruszenia bezpieczeństwa są dokonywane przez przypadkowych hakerów, ale coraz częściej to efekt zaplanowanej i sprawnie zorganizowanej akcji. Co jednak szczególnie ciekawe, rośnie liczba ataków wykonywanych wewnątrz systemów IT z poziomu sieci LAN. Forrester Research ocenia, że ponad 70% włamań do baz danych wykonywanych jest przez wewnętrznych pracowników zatrudnionych w firmach.
Płynie z tego oczywisty wniosek - firmy powinny zwrócić uwagę również na ochronę danych przez monitoring aktywności użytkowników sieci LAN - stosować systemy działające w czasie rzeczywistym i umożliwiające wewnętrzną kontrolę dostępu do informacji zapisanych w bazach danych.
Monitoring dla wszystkich
Ważnym elementem monitoringu podejrzanej aktywności jest poprawna identyfikacja różnych rodzajów zagrożeń. A dobry plan bezpieczeństwa wymaga zrozumienia zmieniającej się ich natury. Ponieważ do sieci z reguły podłącza się coraz więcej osób z zewnątrz, a pracownicy chcieliby mieć zdalny dostęp do zasobów firmy, definicja osób atakujących od wewnątrz zmienia się i obecnie zawiera kilka podstawowych typów użytkowników:
- Autoryzowani użytkownicy to głównie pracownicy: księgowi, finansiści, sprzedawcy, zaopatrzeniowcy i inni. Praktycznie wszyscy, którzy mają przyznany dostęp do danych lub systemów w ramach przedsiębiorstwa.
- Uprzywilejowani użytkownicy to osoby indywidualne z przyznanymi prawami dostępu i wiedzą odnośnie do bazy danych - administratorzy baz danych, programiści, testerzy, kontraktorzy i konsultanci.
- Użytkownicy techniczni - pracownicy z dostępem i wiedzą odnośnie do systemów i protokołów bezpieczeństwa, tacy jak administratorzy IT i sieci, odpowiedzialni za bezpieczeństwo czy personel audytowy.
- Użytkownicy obcy z dostępem z wewnątrz firmy lub wiedzą na temat luk w systemie. Dosyć wyszukana grupa przestępców w białych kołnierzykach.
Czas pomiędzy ujawnieniem luki w systemie a udostępnieniem odpowiedniej łaty jest kluczowy z punktu widzenia bezpieczeństwa każdego systemu IT. Stąd wynika potrzeba tworzenia systemów proaktywnej ochrony baz danych. Próby opracowania takiej technologii podjęły się mało znana firma Sentrigo z Izraela, która oferuje system "wirtualnego łatania luk" Hedgehog oraz Guardium prezentująca urządzenia Guardium DBLP do monitorowania baz danych i zabezpieczania przed niekontrolowanym wyciekiem danych.
Oprogramowanie Sentrigo Hedgehog nakłada dodatkową warstwę na serwery baz danych Oracle, dając możliwość monitorowania aktywności systemu i chroniąc go przed włamaniami. W ten sposób Hedgehog chroni zarówno przed znanymi zagrożeniami, jak też tzw. atakami dnia zerowego. Szefowie firmy twierdzą, że ich technologia całkowicie zastępuje łatki dostarczane przez producentów aplikacji i systemów, chociaż dbałość o ich bieżącą aktualizację nigdy nie zaszkodzi. Rozwiązanie opracowane przez Sentrigo umożliwia jednak bardziej elastyczne podejście do łatania systemu baz danych, tym bardziej że operacja aktualizacji i łatania luk często wiąże się z koniecznością chwilowego wstrzymania pracy produkcyjnej, na co nie wszystkie firmy mogą sobie pozwolić. Oprogramowanie jest dostępne w wersji bezpłatnej Hedgehog Standard, umożliwiającej tylko pasywne monitorowanie systemu oraz Hedgehog Enterprise, która umożliwia aktywne blokowanie ataków i kosztuje 2000 USD za procesor.
Podobną funkcjonalność, ale wykorzystującą rozwiązanie sprzętowe, oferuje firma Guardium. Urządzenie appliance Guardium DBLP jest wyposażone w wersję 6.0 platformy Guardium do monitorowania baz danych. Jest to rozwiązanie zabezpieczające przed wyciekiem danych (Leak Prevention). W skład Guardium DBLP wchodzi m.in. moduł do klasyfikacji treści baz danych oraz system utrzymania polityk bezpieczeństwa, analizujący m.in. szczegółowo każdy przypadek próby dostępu do danych wrażliwych, jak numery kart kredytowych ubezpieczenia. Wszystkie podejrzane transakcje są natychmiast blokowane, jeśli urządzenie będzie skonfigurowane w trybie aktywnego firewalla bazy danych. Guardium DBLP kosztuje ok. 65 tys. USD.
