Тема номера: Информационная безопасность

Александр Додохов,
к.т.н. Алексей Сабанов

О защите данных под управлением СУБД Oracle

Источник: журнал “Биллинг”, №6, 2004, http://www.cti-online.ru/pdf1/6_30/20-22.pdf
Старья перепечатывается с разрешения авторов и редакции журнала

Актуальность задачи защиты баз данных

Бурное развитие рынка телекоммуникационных услуг обуславливает продолжающийся процесс объединения азрозненных операторов связи в мощные региональные структуры. В связи с этим особенно актуальной представляется задача выбора единой СУБД для построения комплексных систем, объединяющих биллинг, бухгалтерское, управленческое и другие виды программного обеспечения. Выбранная СУБД должна обеспечить не только предоставление полного спектра технологий и инструментальных средств для реализации бизнес_задач оператора, но и надежность хранения данных, а также их безопасность.

Одной из самых популярных СУБД масштаба предприятия является Oracle. Об этой СУБД можно говорить и как о платформе, обеспечивающей широкий набор технологий по разработке прикладного ПО, надежности и безопасности, инструментов администрирования и аудита. Обычно разработчики прикладного программного обеспечения не уделяют должного внимания вопросам защиты данных, стараясь по максимуму удовлетворить пожелания заказчиков по функциональности системы. В результате задачи защиты информации чаще всего решаются в процессе внедрения системы, что приводит к ситуациям, когда “защищенное” приложение содержит “секретные” коды, прошитые в исходных текстах программ или в файлах настройки. Определенные трудности для разработчиков представляют ситуации, когда заказчик системы сам толком не представляет, от кого и что, собственно, следует защищать.

Интеграторы при внедрении систем на предприятия заказчика уделяют большое внимание защищенности системы, но в данном случае акценты, как правило, смещаются в сторону защиты от внешних атак – “троянов”, вирусов, хакеров. Вопросы “внутренней” безопасности и в этом случае остаются открытыми. В такой ситуации усилия системных администраторов, неосведомленных в полной мере в бизнес_процессах предприятия, направленные на “урезание” прав пользователей, существенно осложняют работу системы в целом, а иногда приводят к ее полной остановке.

Согласно существующим нормативным документам мероприятия по защите информации должны включать решение следующих вопросов:

• определение угроз безопасности и групп потенциальных нарушителей;
• определение групп приложений, обеспечивающих бизнес-процессы предприятия;
• определение категорий данных по уровню доступа;
• определение групп пользователей системы;
• определение объектов, предназначенных для хранения данных, подлежащих защите;
• определение политик безопасности;
• определение методов хранения связей пользователь - права доступа – данные;
• выбор метода аутентификации и способов ее реализации;
• подготовка методики по обеспечению безопасности инфраструктуры сети, СУБД, серверов приложений, клиентских приложений.

Выработку решений по комплексной защите информации, как на этапе проектирования системы, так и на этапе эксплуатации, следует доверять организациям, специализирующимся на технологиях безопасности. Одна из таких компаний – Aladdin Software Security R.D., интегрирующая собственные технологии с решениями в области безопасности, предоставляемыми Oracle. В настоящее время подготовлено промышленное решение для приложений, построенных по архитектуре “клиент_сервер”, которое обеспечивает аутентификацию в СУБД Oracle по цифровым сертификатам, хранящимся в памяти смарт_карт или USB_ключей eToken.

Вопросы информационной безопасности для операторов связи становятся все более приоритетными. Это продиктовано как защитой собственного бизнеса, так и действующим законодательством. Например, согласно ст.53 (“Базы данных об абонентах операторов связи”) “Закона о связи”:

“Сведения об абонентах и оказываемых им услугах связи, ставшие известными операторам связи в силу исполнения договора об оказании услуг связи, являются конфиденциальной информацией и подлежат защите в соответствии с законодательством Российской Федерации. К сведениям об абонентах относятся фамилия, имя, отчество или псевдоним абонента_гражданина, наименование (фирменное наименование) абонента - юридического лица, фамилия, имя, отчество руководителя и работников этого юридического лица, а также адрес абонента или адрес установки оконечного оборудования, абонентские номера и другие данные, позволяющие идентифицировать абонента или его оконечное оборудование, сведения баз данных систем расчета за оказанные услуги связи, в том числе о соединениях, трафике и платежах абонента...”

С другой стороны, те же реалии отечественного рынка порождают новых злоумышленников. Как это ни странно, ими все чаще оказываются собственные сотрудники компании (вспомним нашумевшую историю с появлением в переходах метро CD с абонентскими базами МГТС и МТС). Таким образом, для обеспечения должного уровня безопасности информации недостаточно только лишь защиты внешнего периметра корпоративной информационной среды. Система защиты должна быть комплексной, включать в себя как программно-аппаратные средства, так и административно-правовые меры защиты, выраженные в утвержденных политиках безопасности. Каждый администратор и сотрудник обязательно должен нести ответственность за те действия, которые он производит в информационной системе предприятия.

Стоит отметить, что комплексность защиты также подразумевает ее многоуровневость. Многоуровневая система защиты предусматривает несколько труднопроходимых для злоумышленника барьеров. В частности, этоможет быть упрощенная схема:

1. Физическая защита доступа персонала в служебное помещение оператора связи, осуществляемая методом визуального контроля и ведением служебного журнала;
2. Система управления доступом персонала в помещение, где находится АРМ, реализованное, например, с применением электронных замков на дверях служебных помещений, открываемых с помощью персональных RFID_меток;
3. Защита АРМ от начальной загрузки;
4. Защищенный доступ к корпоративной сети;
5. Защищенный доступ к приложению, работающему с базой данных;
6. Защита самих данных в БД Oracle.

В данной статье ограничимся рассмотрением задач 4-6.

Два уровня защиты

1-й уровень. Защищенный доступ к корпоративной сети, защищенный доступ к приложениям на основе одного цифрового сертификата

Считаем, что:

• Корпоративная сеть находится под управлением сервера Windows 2000/2003;
• На сервере развернут реестр пользователей в Active Directory, права пользователей по доступу к сети определяются структурой доменов и описанием прав доступа, например, в расширении Extended Key Usage цифрового сертификата Х.509;
• Доступ к сети осуществляется по технологии Smart Card Logon (опция в настройках параметров локальной безопасности АРМа). При этом другие способы аутентификации запрещены политиками локальной безопасности АРМа;
• на АРМах пользователей установлен Windows 2000/XP.

Данный уровень защиты обеспечивает выполнение следующих задач с точки зрения обеспечения информационной безопасности:

• Сохранение конфиденциальности;
• Доступность приложений, описанных в расширении Extended Key Usage цифрового сертификата Х.509;
• Невозможность отказа пользователя от совершенных действий, подкрепляемая соответствующими приказами и распоряжениями.

2'й уровень защиты. Защищенный доступ к БД Oracle (архитектура “клиент'сервер”, рис.1.)

Считаем, что:

• Прикладное ПО использует стандартный механизм доступа к БД Oracle: OCI, ODBC, JDBC и использует все преимущества опции Oracle Advanced Security;
• Сервер БД сконфигурирован на использование протокола SSL;
• Служба LDAP (Oracle Internet Directory) защищена на первом уровне защиты и используется для централизованного администрирования;
• Аутентификация пользователей в БД построена на использовании цифровых сертификатов X.509;
• Сертификаты хранятся на отчуждаемых носителях (USB-ключи и смарт-карты eToken);
• Политики и регламент доступа к данным описаны. Для их реализации используются технологии Oracle (Virtual Private Databases, Label Security);
• Особо секретные данные защищены выборочным шифрованием;
• Критические действия пользователей регистрируются подробным аудитом Oracle (Fine Grained Audit):
• В рамках компании строго зафиксирована персональная ответственность каждого сотрудника, имеющего доступ к конфиденциальной информации.

Данный уровень защиты обеспечивает выполнение следующих задач с точки зрения обеспечения информационной безопасности:

• Строгая (двухфакторная) аутентификация;
• Защита сетевого трафика;
• Сокрытие данных на любом уровне прав пользователей;
• Выборочное шифрование данных;
• Подробный аудит действий пользователей;
• Централизованное управление доступом пользователей.

Использование цифровых сертификатов для организации централизованной системы управления доступом пользователей к корпоративной сети и бизнес_приложениям имеет ряд преимуществ, вытекающих, прежде всего, из сущности решений на базе инфраструктуры открытых ключей. Одним из таких преимуществ стали некоторые удобные возможности управления доступом пользователя. Например, в зависимости от обстоятельств, действие его цифровых сертификатов “легким движением руки” администратора по безопасности можно:

• приостановить;
• отозвать;
• признать недействительными.

При этом очень важно, чтобы закрытые ключи пользователей хранились в защищенном отчуждаемом личном носителе (персональном идентификаторе), имеющем вид смарт_карты или токена (eToken) и обеспечивающем полную сохранность записывающихся в защищенную память чипа данных. Сохранность должна быть гарантирована производителем чипа.

Таким образом, даже при рассмотренной простой схеме двухуровневой системы безопасности можно получить достаточно надежную степень защиты информации и удобные рычаги управления доступом.

Примерные оценки стоимости предлагаемой защиты

Среди руководителей IT-предприятий распространено мнение о высокой стоимости и низкой окупаемости проектов с комплексной системой аутентификации, авторизации и безопасного администрирования. Однако это не совсем верно. Приведем некоторые данные об экономической эффективности внедрения интегрированного решения по безопасности, построенного на использовании PKI и защищенных хранилищ сертификатов (по материалам Gartner Group Study/ROI Tool – Nov 2002). Естественно, для российского рынка данные цифры несколько условны, но дают общее представление об эффективности подобного решения.

Итак, рассмотрим типичное предприятие с информационной системой, построенной на Web-технологиях, предлагаемых Oracle, с количеством пользователей около 25000.

Стоимость управления аутентификацией и авторизацией:

• Администрирование: 15 хранилищ данных (в среднем, 3 оперативных), Web-приложений клиентов. Доступ по Single Sign_On (включая управление PKI) экономит в среднем $24/пользователь/год, т.е. около $600 000 в год.
• Поддержка: Отказ от паролей – в среднем, около 8 на пользователя.

Обращения в службу поддержки, связанные с забытыми или скомпрометированными паролями, в среднем, 16 обращений/пользователь/год – $23.40/обращение.

Управление паролями, связанное с генерацией/переустановкой – $17.90/обращение.

Таким образом, экономия может составить около $450 000/год.

Данные сведения отражают лишь часть экономии, связанной с отказом от парольного доступа. Цифры предотвращенных убытков от компрометации конфиденциальных данных могут быть в десятки раз большими. Даже с учетом российских реалий можно говорить о быстрой окупаемости предлагаемых решений.