Jak zabezpečit firemní databáze

Když se hovoří o bezpečnosti informačních technologií ve firmě, často se pozornost zaměřuje na nastavení pravidel ...


Když se hovoří o bezpečnosti informačních technologií ve firmě, často se
pozornost zaměřuje na nastavení pravidel firewallů, vypnutí nepotřebných služeb
na serverech nebo na záplatování operačních systémů či aplikací. Může se však
snadno stát, že zůstanou opomenuty jiné důležité oblasti bezpečnosti.
Naše manažerka bezpečnosti dospěla k závěru, že nejslabší článek v řetězci
zabezpečení IT ve firmě představuje aplikační vrstva a konkrétně pak bezpečnost
databází.

Naše manažerka si uvědomila, že slabý článek firemního IT představuje aplikační
vrstva.

Ochrana firemního vlastnictví se, jak se zdá, stává ve světě bezpečnosti
důvěrně známou frází. Identifikace majetku však může být komplikovaná. Pro
mnohé organizace představuje majetek pouze částečky informací uložené na
bezpočtu míst: na lokálních pevných discích, na souborových serverech, v
databázích, v různých fyzických a geografických lokalitách, stejně jako entity
během přenosů datových paketů.
Když jsem přemýšlela o vrstvách zabezpečení v našem prostředí, uvědomila jsem
si, že nejslabší článek v řetězci spočívá v aplikační vrstvě, kam z mého
pohledu i zapadá bezpečnost databází. Hodně pozornosti bylo věnováno auditu
pravidel firewallu, vypnutí nepotřebných služeb na serverech či záplatování
operačních systémů, operačních systémů síťových zařízení či různých aplikací,
jako je Internet Explorer. Zdá se však, že databázové bezpečnosti a auditu
příliš mnoho péče věnováno nebylo. Zcela určitě vím, že u nás jí zatím nebyla
věnována žádná pozornost s tím potřebuji, ačkoliv v těchto věcech nemám příliš
mnoho zkušeností, něco udělat.
Jsem zodpovědná za několik databází včetně DB2, Accessu, SQL a MySQL.
Soustředila jsem se především na to, abych se ujistila, že jsou umístěny pouze
ve vnitřní síti a že pravidla firewallu pro provoz do webových serverů,
respektive z nich, umístěných v demilitarizované zóně (DMZ) jsou jednoznačně
nastavená. Přesvědčila jsem se také, zda jsou servery průběžně záplatovány, a
provedla jsem audit uživatelů umístěných v Active Directory i oprávnění k
účtům. Neudělala jsem však dosud nic, co by se týkalo přímo zmíněných databází.
Nyní naše agentura vyvíjí novou klíčovou aplikaci využívající DB2 a já mám
přijít s bezpečnostními požadavky. Musím o tom získat potřebné vědomosti kde
ale začít?
Shodou okolností mi nakladatelství Elsevier Digital Press nedávno poslalo knihu
Implementing Database Security and Auditing (Implementujeme a auditujeme
bezpečnost databází), kterou napsal Ron Ben Natan. Ta obsahuje příklady pro
řešení od firem Oracle, SQL, DB2 a Sybase. (Předpokládám, že každý bude
souhlasit s tím, že použít databázi Microsoft Access pro obchodně kritické
aplikace by byla chyba. MS Access je v naší agentuře používán pouze pro malé
projekty, jež jsou iniciovány a řízeny jednotlivci, kteří mají specifické
potřeby pro manipulaci s daty stahovanými z různých zdrojů.)

Jak začít
Prvním krokem k zabezpečení databáze DB2 je posílit prostředí. Kniha poskytuje
seznam úkolů, jenž zahrnuje rozličné návrhy, jako jsou například tyto:
Neprovozujte DB2 jako root (nebo jako LocalSystem ve Windows).
Prověřte, že všechny DB2 soubory mají restriktivní oprávnění. n Odstraňte
standardně nastavené (defaultní) účty.
Odstraňte vzorové databáze.
Zkontrolujte defaultní hesla a jejich nastavení.
Zavřete všechny nepotřebné porty a služby.
Odstraňte všechna oprávnění udělená pro realizaci "veřejného přístupu".
Omezte privilegia pro systémovou administraci (sysadmin).
Až sem je vše v pořádku. Některé položky, jako je třeba ta první, se zdají
zřejmé, ale kdo ví možná, že vývojář či programátor vždy provozuje své databáze
jako root. Nic by se nemělo automaticky předpokládat. Dověděla jsem se ale i
některé nové informace, kterých bych si nebyla vědoma, kdyby mi v této knize
nebyly odhaleny. Zde je pár bodů, které byste měli mít na paměti:
Nikdy nepoužívejte klientskou autentizaci. Je-li to možné, použijte
dce_encrypt, server_encrypt nebo krb_server_encrypt.
Zrušte privilegia v systémových katalozích jako syscat.colauth, syscat.dbauth,
syscat.indexauth a syscat.package-auth.
Je to solidní seznam, s nímž se dá začít, a já se cítím (když se jím řídím,
když se ujistím, že databáze obsahuje nejnovější záplaty a neustále sleduji
bezpečnostní bulletiny, které se databáze týkají), jako bych stála na pevné
půdě. Poslala jsem konzultantům, kteří pro nás vyvíjejí aplikaci a v
současnosti spravují databázové prostředí na jednom z našich serverů, e-mailem
seznam úkolů. Ne, nezbavuji se svého dílu zodpovědnosti. Ano, je trochu pozdě
to dělat teprve nyní, ale raději pozdě než nikdy.
Kromě tohoto seznamu úkolů jsem získala i okamžitou pomoc pro zabezpečení
databázového prostředí, uvedenou hned v první kapitole knihy, kde autor
konstatuje, že "středem vaší iniciativy zaměřené na databázovou bezpečnost a
audit" je definování přístupové politiky. Aha! Toto prohlášení mě vytáhlo do
úrovně 10 000 metrů, když jsem přemítala, proč autor použil tento přístup.

Práce pokračují
Druhá kapitola je přehledem obvyklých věcí, které je třeba zahrnout do
bezpečnostní strategie jdoucí do hloubky. V tomto bodě jsem celé problematice
propadla. Nyní, když jsem už získala nějaký základ, nemuselo by být na škodu
přečíst si i kapitolu nebo dvě o některých konceptech. Třetí kapitola pojednává
o tom, jak databáze komunikuje v síti, a obsahuje sekci o SMB/CIFS (Server
Message Block/Common Internet File System). To mě obzvláště zajímalo, především
vzhledem k nedávno zveřejněným zranitelnostem týkajícím se protokolu SMB.
Dosud jsem přečetla první čtyři kapitoly (kapitola 4 se věnuje autentizaci a
bezpečnosti hesel). Avšak po rychlém prolistování dopředu jsem si všimla, že
kniha jde ještě hlouběji a zaměřuje se rovněž na problémy kódování aplikací,
které by mohly stát za pozornost, stejně jako na webové služby, externí
procedury, bezpečnost na úrovni záznamů či bezpečné replikační mechanismy.
Kromě toho se věnuje tomu, jak nastavit monitorování a záznam událostí,
šifrování nebo také dodržování předpisů a konečně i auditu. Jednou z vlastností
knihy, která se mi jeví jako obzvláště cenná, je, že nastiňuje anatomii různých
typů útoků a popisuje, jak jim předejít či zabránit.
Tak tedy s pomocí Rona Bena Natana začínám zabezpečovat naše databáze. Postup
popsaný v jeho knize mi vyhovuje a poprvé mám pocit, jako bych měla při ochraně
našeho majetku nějaký pevně stanovený směr. Vzhledem k tomu, že naše informační
zdroje obsahují v elektronické podobě chráněné informace o našich občanech,
jakákoliv dobrá rada, kterou dostanu, bude zcela jistě neocenitelná.









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.