10.3 Защита информации в базах данных

БАЗЫ ДАННЫХ (БД) – хранилище структурированных данных, снабжённое СУБД, реализующей функции: просмотр, сортировка, выборка, модификация, выполнение операций определения статических характеристик и т. п.

Как правило, на компьютере пользователя размещаются личные БД, обслуживающие процессы одного пользователя. В локальных и корпоративных сетях обычно используются централизованные БД, а в глобальных сетях – распределённые (серверы с БД размещаются на различных объектах сети).

Если централизованные БД проще решают проблемы защиты от преднамеренных угроз, то распределённые (при условии дублирования данных) обладают высокой защищённостью от стихийных бедствий, аварий, сбоев и диверсий.

ЗАЩИТА ИНФОРМАЦИИ В БД, в отличие от защиты данных в файлах, имеет особенности:

а) необходимость УЧЁТА ФУНКЦИОНИРОВАНИЯ СУБД при выборе механизмов защиты;

б) РАЗГРАНИЧЕНИЕ ДОСТУПА к информации РЕАЛИЗУЕТСЯ не на уровне файлов, а НА УРОВНЕ ЧАСТЕЙ БД.

Средства защиты в БД должны взаимодействовать не только с ОС, но и с СУБД. Возможно встраивание механизмов защиты в СУБД или использование их в виде отдельных компонент. Обычно придать новые функции СУБД можно только на этапе разработки СУБД, а в эксплуатируемые – дополнительные компоненты вносятся расширением или модификацией языка управления.

Сегодняшние БД успешно разграничивают доступ, поддерживают физическую целостность и логическую сохранность данных.

РАЗГРАНИЧЕНИЕ ДОСТУПА К ЗАПИСЯМ, и даже к полям записей, осуществляется С ПОМОЩЬЮ РАЗГРАНИЧЕНИЯ ПОЛНОМОЧИЙ и преодолеть эту защиту можно с помощью фальсификации полномочий или внедрения спецпрограмм.

РАЗГРАНИЧЕНИЕ ДОСТУПА К ФАЙЛАМ БД и к частям БД осуществляется СУБД путём установления полномочий и контроля этих полномочий при допуске. Полномочия пользователей устанавливаются администратором СУБД.

Типовой аутентификатор пользователя – это пароль, передаваемый в зашифрованном виде.

В распределённых АС подтверждение подлинности пользователя дополняется процедурой взаимной аутентификации, а коды аутентификации, относящиеся к конфиденциальной информации, хранятся на внешних ЗУ в зашифрованном виде.

ФИЗИЧЕСКАЯ ЦЕЛОСТНОСТЬ БД достигается путём ИСПОЛЬЗОВАНИЯ ОТКАЗОУСТОЙЧИВЫХ УСТРОЙСТВ (напр., технология RAID - распределение целого по различным местам хранения).

ЛОГИЧЕСКАЯ СОХРАННОСТЬ данных означает невозможность нарушения структуры модели данных.

Логическая целостность и непротиворечивость обеспечивается СУБД на этапе описания модели данных.

В БД, работающих с конфиденциальной информацией, дополнительно используются криптографические средства защиты: шифрование как с помощью единого ключа, так и с помощью индивидуальных ключей пользователей.

С зашифрованными БД работают в 2-х режимах:

а) при выполнении запроса необходимый файл расшифровывается на внешнем носителе, с открытой информацией выполняются необходимые действия, после чего информация на внешнем запоминающем устройстве опять зашифровывается. Здесь независимы между собой средства шифрования и СУБД, работающие последовательно друг за другом. Но при сбое или отказе в системе может оказаться, что часть БД на внешнем носителе останется записанной в открытом виде.

Б) СУБД исполняет запросы без расшифровывания на внешнем ЗУ. Поиск необходимых файлов, записей, полей, групп полей не требует расшифрования. Расшифовывание производится в оперативной памяти непосредственно перед выполнением конкретных действий с данными.

Такой режим возможен, если процедуры шифрования встроены в СУБД.

Вследствие КОНЦЕНТРАЦИИ В БД БОЛЬШОГО КОЛИЧЕСТВА РАЗНООБРАЗНОЙ ИНФОРМАЦИИ, а также ВОЗМОЖНОСТЬЮ ИСПОЛЬЗОВАНИЯ СЛОЖНЫХ ЗАПРОСОВ ОБРАБОТКИ ДАННЫХ, существуют следующие специфические угрозы информации.

А) ИНФЕРЕНЦИЯ – получение конфиденциальной информации из сведений с меньшей степенью конфиденциальности путём умозаключений.

Аналитик может получить конфиденциальные сведения путём сравнения, дополнения и фильтрации данных.

Обрабатывая информацию из открытых БД, средств массовой информации, а также используя просчёты лиц, определяющих степень конфиденциальности явлений, процессов, фактов, полученных результатов, – достигается высокая эффективность получения конфиденциальной информации.

Б) АГРЕГИРОВАНИЕ – способ получения более важных сведений по сравнению с важностью тех отдельно взятых данных, на основе которых получаются эти сведения.

Как агрегирование, так и инференция относятся к способам получения информации, применяемым не только к БД.

В) КОМБИНИРОВАНИЕ ЗАПРОСОВ – способ, используемый при работе с БД. Использование сложных, а также последовательности простых логически связанных запросов позволяет получить данные, к которым доступ пользователю закрыт (обычно базы со статистическими данными). При этом отдельные записи, поля являются закрытыми.

В результате запроса с логическими операциями (AND, OR, NOT) могут быть получены такие величины, как количество записей, сумма, максимальное или минимальное значение.

Сложные перекрёстные запросы с использованием дополнительной информации об особенностях интересующей записи (поля), путём последовательной фильтрации записей позволяют получить доступ к нужной записи (полю).

Для противодействия таким угрозам используются способы:

1) блокировка ответа при неправильном числе запросов: отказ в выполнении запроса, если в нём содержится больше определённого числа совпадающих записей из предыдущих запросов. Это принцип минимальной взаимосвязи запросов. Но сложно запоминать и сравнивать все предыдущие запросы.

2) коррекция ответа путём округления или другим преднамеренным образом: это незначительное изменение точного ответа на запрос. Чтобы сохранить приемлемую точность статистической информации применяется «свопинг» данных – взаимный обмен значений полей записи, в результате чего все статистики i-го порядка, включающие i атрибутов, оказываются защищёнными для всех i, меньших или равных некоторому числу. Выявив некоторые данные, нельзя определить, к какой конкретно записи они относятся.

3) разделение баз данных на группы: в группу включается не более определённого числа записей. Запросы разрешены к любому множеству групп, но запрещаются к подмножеству записей из одной группы. Это ограничивает возможность выделения данных на уровне не ниже группы записей. Этот способ применяется редко из-за сложности получения статистических данных, обновления и реструктуризации данных.