Проверка безопасности PL/SQL

Проверка безопасности PL/SQL – обязательный момент при использовании СУБД. Дело в том, что, когда происходит повышение привилегий пользователей в системе обязательно дают о себе знать уязвимости во встроенных процедурах. Речь может идти о сотне и более уязвимых мест, которые становятся входными точками для атак злоумышленников. Необходимо принять ряд защитных мер, связанных с внутренними настройками компонентов защиты и администрированием, чтобы повысить текущий уровень безопасности.

Главные аспекты поддержания безопасности PL/SQL

Вопреки расхожему мнению, что вопросами защиты информации должны заниматься исключительно системные администраторы и сотрудники службы безопасности принять участие должны и сами разработчики программных продуктов, приложений. Такие условия справедливы потому что вопросы безопасности носят системный характер, не решаются сразу и за один раз. Они требуют кооперации, использования комплексных решений. Также необходимо помнить о том, что сотрудники ответственные за безопасность преимущественно направляют свои действия на защиту самих баз данных, забывая при этом о программном коде и тех инструментах, которые доступны изначально, что делает защиту неполноценной и оставляет множество уязвимостей для злоумышленников. Проводить превентивные и защитные меры необходимо на трёх уровнях:

1. Администрирование. Выполняется путем управления базами данными, системами с помощью системных администраторов. За основу берется управление правами, полями, привилегиями пользователей, контролем доступа. Осуществимо с помощью встроенных инструментов или с привлечением дополнительного ПО ведущего анализ, оценку ситуации по безопасности.

2. Программирование. Выполняется силами разработчиков, проектировщиков архитектуры на начальном этапе создания ПО.

3. Настройка безопасности. Подразумевает использование имеющихся активов безопасности, которые настраивают, активируют для повышения стандартного уровня защиты. Самые используемые решения здесь – шифрование данных, настройка безопасности уровня строк, контексты приложений, аудит процессов, мониторинг пользователей.

Как повысить безопасность PL/SQL и настроить защиту?

Специалисты по безопасности PL рекомендуют использовать ряд взаимно дополняемых защитных мер, чтобы снизить количество уязвимых мест и выполнить в случае необходимости проверку безопасности PL/SQL . К первоочередным защитным мерам относятся:

• Использование шифрования. С его помощью возможно сохранить три важных состояния информации: целостность, конфиденциальность, идентифицируемость. Для этих целей подходит использование алгоритма DSA, который создает электронную подпись, проверяет ее. В основе проверочного действия лежит использование криптографической хэш-функции. Для проверки используются два ключа: открытый и закрытый. Еще одним примером шифрования данных считается использование алгоритма RSA. Связан с работой открытого ключа на основе односторонних функций.

• Настройка безопасности на уровне строк. Реализуется посредством RLS: установка ограничений на присмотр и изменение строк силами пользователей на основании установленных правил и политик безопасности. Механизм RLS опирается на три базовых компонента: политики – команды, определяющие, когда и на основании чего применять ограничения, функции политик – запускаются, чтобы выполнить нужные действия, указанные в политиках, предикат – строка, создаваемая используемой функцией с последующим включением ее в инструкции для пользователей, чтобы обозначить ограничения.

• Контексты приложений. Пары, сочетающие два фактора: имя, значение. Задаются во время сеанса с помощью исполнения хранимых процедур. Подходят для управления доступом к содержимому БД согласно персональным правилам для каждого пользователя.

• Детализированный аудит. Для этой цели используют FGA. Он фиксирует факты выдачи пользователям отдельных команд, выполнения заданных условий. Также помогает осуществлять пользовательские процедуры автоматически при обращении к выборкам данных БД.

Надежность и безопасность приложений, программ складывается из совокупности защиты каждого звена: код, данные, константы, переменные. Только защитив все компоненты системы, можно с уверенностью говорить, что цель достигнута. Проверка безопасности PL/SQL относится к трудоемким задачам, где потребуется командное взаимодействие участников: пользователи, администраторы, сотрудники службы безопасности. Даже самая полная защита имеет определенные уязвимости, поэтому меры безопасности должны совершенствоваться и контролироваться на регулярной основе.