Bezpieczeństwo baz danych cz. 2 – ataki zewnętrzne

ataki hakerskie na bazy danychAdministrator baz danych musi się zmagać Z różnego rodzaju zagrożeniami, jednym z nich są ataki hakerskie. Ukierunkowane i dobrze przeprowadzone ataki są często trudno dostrzegalne. Bazy danych obsługują zazwyczaj bardzo dużą ilość połączeń. Typowa baza danych przyjmuje do 20 tyś. połączeń na sekundę. W takim gąszczu trudno dostrzec krótki, kilku sekundowy atak bez dodatkowych mechanizmów obronnych. Ich wdrożenie i ciągła kontrola należy do zadań administratora baz danych.

Największym zagrożeniem technicznym dla baz danych jest SQL Incjection. W swojej powszechności przebił nawet Cross Site Scripting. Jego cechą jest bardzo wysoka skuteczność. SQL Injection wykorzystuje lukę lub błąd aplikacji webowych polegającą na nieodpowiednim filtrowaniu lub niedostatecznym typowaniu danych użytkownika. Skuteczny atak SQL Injection może anulować konieczność logowania, pobrać dane z bazy, wprowadzić w niej modyfikacje, nawet wykonać polecenia systemowe czy potraktować bazę jako repozytorium dla kodu złośliwego.

Za cel ataków hakerzy obierają także protokoły sieciowe. Duża część oprogramowania baz danych komunikuje się za pomocą protokołów, które nie posiadają dokumentacji dostępnej publicznie. W takich sytuacjach możliwe jest znalezienie luk umożliwiających obchodzenie mechanizmów uwierzytelnienia czy przekazywania nieautoryzowanych zapytań np. INSERT. Bardzo ważnym aspektem są drobiazgowe audyty. Jeśli administrator bazy danych skrupulatnie monitoruje bazę danych ma szanse na wyłapanie nawet inteligentnych hakerskich inicjatyw.

Bezpieczeństwo baz danych cz. 1

baza danych bezpiecznaDo jednych z kluczowych zdań administratora baz danych jest zapewnienie odpowiedniego bezpieczeństwa powierzonym mu zasobom. Zagrożenia bazy danych czyhają wszędzie. Należą do nich dość powszechne i błahe, związane z wadliwą konfiguracją czy pozostawieniem nośników zawierających kopie zapasowe bez stosownego nadzoru, po złożone i świadome techniczne ataki.

Naruszenie bezpieczeństwa zasobów może się wiązać np. z podatnością systemu operacyjnego, kontrolującego serwer z danymi, lub aplikacji, która komunikuje się z bazą lub samego
oprogramowania bazy.

Nie bez znaczenia jest fakt, że duże zagrożenie dla baz danych stanowią sami pracownicy. Zagrożenie baz danych może się wiązać nie tylko, z niedopatrzeniem swoich obowiązków przez administratora baz danych, dodatkowym aspektem jest kontrola kont użytkowników. Użytkowników kont bazodanowych dzielimy zazwyczaj na właścicieli kont zwykłych i posiadaczy kont uprzywilejowanych. Niewystarczająca kontrola i przypadkowe nadanie specjalnych uprawnień kontom zwykłych użytkowników może prowadzić do naruszenia bezpieczeństwa baz danych.

Jednym z niedocenianych zagadnień jest zagrożenie płynące z wnętrza firmy. Pracownicy czy kontraktorzy, którzy pracują dla danego przedsiębiorstwa nie muszą posługiwać się zaawansowanymi narzędziami. Wystarczy Excel, który ma prostego klienta do komunikacji z bazą czy też podejmowanie prób logowania na konta domyślne.

Czym się zajmuje Administrator baz danych?

Każda poważna firma posiada swoje bazy danych. Są to zbiory informacji o danej firmie zapisane w formie cyfrowej, których przetwarzaniem zajmują się specjalne programy komputerowe. Tworzenie kopii zapasowych to jedna z metod archiwizowania zgromadzonych danych. Każda firma posiadająca swoje bazy danych posiada także pracownika odpowiedzialnego za modyfikowanie jej struktur oraz uaktualnianie. Administrator baz danych zapewnia prawidłowe działanie całego systemu oraz jego bezpieczeństwo. Jeśli wystąpi awaria to on odzyskuje utracone dane i przywraca stabilność systemu.

Najczęściej bazy danych zawierają poufne informacje na temat danej firmy. Administrator tworzy odpowiednie zabezpieczenia bazy, tak by jak najbardziej zminimalizować sytuacje uszkodzenia, awarii lub dostępu do danych przez osoby niepożądane. Do zadań administratora należy także porządkowanie danych przy wykorzystaniu określonych procedur i programów. W jego gestii znajduje się także przydzielanie uprawnień dostępowych poszczególnym użytkownikom. Administrator baz danych jest także odpowiedzialny za odpowiednią konserwację sprzętu.

W pracy administrator baz danych wykorzystuje dokumentację programową, techniczną, swoją wiedzę oraz programy narzędziowe. W tym celu niezbędna jest wiedza z zakresu środowiska bazodanowe Oracle oraz znajomość jedego z języków programowania np. SQL, C++, PLSQL.