Угрозы и уязвимости процесса

Безопасность участников и объектов базы данных

Участниками являются отдельные пользователи, группы и процессы, которым предоставляется доступ к ресурсам системы. Защищаемыми объектами является сервер, база данных и объекты, которые содержит база данных. Для каждого них существует набор разрешений.

В настоящее время для определения совокупности разрешений и прав доступа используются именованные «роли», определяющие совокупность задач, которые можно выполнять при назначении этой роли.

Например, роли приложений можно использовать для разрешения доступа к строго определенным данным только тем пользователям, которые подключены посредством конкретного приложения.

Безопасность процесса обеспечивается согласно политике безопасности, которая представляет собой запись процессов и процедур, применяемых на предприятии для предотвращения, отслеживания и реагирования на угрозы безопасности. Содержит политики для правильного доступа к системе, обновлений, брандмауэров и антивирусных механизмов.

В соответствии с принципом «наименьших прав доступа», система должна предоставлять лишь необходимый уровень доступа к защищенному объекту. Доступ должен предоставляться только лицам, непосредственно нуждающимся в нем, и только на точно определенное время.

Угрозы и уязвимости платформы могут представлять:

· Нерегулярное обновление программных продуктов;

· Атаки на сетевые порты;

· Недопустимые параметры учетных записей;

· Включение ненужных хранимых процедур.

Угрозы и уязвимости проверки подлинности могут представлять:

· Простые пароли;

· Несвоевременный аудит учетных записей пользователей.

Программные угрозы и уязвимости могут представлять:

· Внедрение вредоносного запроса в правильный запрос, называемое атака «инъекция SQL» (SQL Injection);

· Сохранение некоторыми приложениями строк соединения с сервером/сетью в файлах программы или конфигурации.

Основная форма атаки путем внедрения кода SQL состоит в непосредственной вставке в пользовательские вводимые данные программного кода, который объединяется с динамически создаваемыми и выполняемыми предложениями SQL и выполняется. Менее явная атака внедряет вредоносный код в строки, предназначенные для хранения в таблице или в словаре данных в качестве метаданных. Когда впоследствии сохраненные строки объединяются с предложением SQL, происходит выполнение вредоносного кода.

Если внедренный код SQL синтаксически верен, искаженные данные нельзя выявить программно. Поэтому необходимо проверять правильность всех вводимых пользователями данных, а также внимательно просматривать код для исполнения SQL на сервере.

Обобщенно в качестве крупных категорий пользователей выделяют уровень администратора БД владельца БД, владельца объекта БД.

Администратор БД - пользователь с расширенными правами, всегда может получить права доступа ко всем объектам, созданным членами данной рабочей группы;

Владелец БД всегда может открыть БД;

Владелец объекта наделен полными правами доступа к этому объекту.

Для удобства управления разрешениями на сервере имеются несколько ролей участников обеспечения безопасности. Роли уровня сервера также называются предопределенными ролями сервера, поскольку пользователь не может создавать новые роли уровня сервера. Разрешения ролей уровня сервера распространяются на весь сервер.

В следующей таблице представлены роли уровня сервера и их возможности.

Предопределенные роли базы данных задаются на уровне базы данных и предусмотрены в каждой базе данных. В следующей таблице представлены предопределенные роли уровня базы данных и их возможности.

Основная литература

Дополнительная литература