Шифрування баз даних, Журнал мережевих рішень
Інструменти для шифрування баз даних є центральним елементом комплексної концепції шифрування інформації.
Там, де зловживання даними можливе, воно обов'язково трапиться: скандал, що вибухнув навколо повної клієнтської бази даних компанії T-Mobile, доступ до якої можна було порівняно легко отримати через мережу Internet, — лише один із багатьох актуальних прикладів. У базах даних, як правило, міститься важлива та конфіденційна інформація, тому інструменти для шифрування баз даних повинні бути центральним елементом комплексної концепції шифрування інформації.
Підприємства роздрібної торгівлі, банки та постачальники послуг працюють з базами даних, де зберігається інформація про клієнтів, їх кредитні картки та здійснені транзакції, тому для них захист даних вкрай важливий. Стандарт безпеки Payment Card Industry Data Security Standard (PCI DSS) передбачає 12 спеціальних вимог захисту інформації у середовищі електронних платежів. Як один з найважливіших елементів виступає шифрування. Згідно з цією директивою, всі відомості, що містяться в базі даних, повинні бути захищені за допомогою шифрування, а криптографічні ключі зберігатися у високонадійному середовищі. Такий рівень захисту необхідно забезпечити і для інших документів, хоча обов'язкові до виконання стандарти існують лише у небагатьох сферах.
Лише небагато підприємств працюють з однією-єдиною базою даних. Найчастіше інформація зберігається у кількох базах, розроблених різними постачальниками, і розташовується у різних точках інфраструктури ІТ. Кожен виробник пред'являє свої вимоги до управління безпекою (Security Management), тому, перш ніж ухвалити остаточне рішення,слід поцікавитися, чи буде продукт для шифрування підтримувати все різноманіття корпоративних баз даних, серверів Web, додатків та файлів, і переконатися у відсутності прив'язки до єдиного виробника.
Підприємствам слід придивитися до рішень з підтримкою таких стандартів шифрування, як AES, 3DES, RSA або HMACSHA-1. Застосування стандартних алгоритмів спрощує вибір продукту, тим більше, що за належної довжині ключа практично виключаються атаки з підбором пароля (Brute Force).
Однак навіть найкраще рішення для шифрування виявиться марним, якщо доступ до дешифрування не буде захищений так само надійно - він повинен надаватися лише за наявності правильного ключа. Найбільш зручними на практиці виявилися так звані апаратні модулі безпеки (Hardware Security Module, HSM), де збереження, генерація та використання ключів відбувається у захищеному середовищі. HSM є більш надійним місцем зберігання, ніж будь-яке програмне забезпечення або сама база даних. На ринку вже з'явилися оптимізовані для шифрування бази даних HSM, оснащені готовим інтерфейсом. У той час, як традиційне рішення HSM лише зберігає ключ, оптимізовані рішення підтримують автоматичну регулярну зміну ключів і тим самим відповідають ще одній вимогі PCI DSS.
Для оптимального захисту збережених даних шифрування баз даних має бути частиною багаторівневого підходу та доповнюватись іншими рівнями захисту. Повне шифрування жорсткого диска (Full Disc Encryption) захищає всі дані, що зберігаються на ньому, навіть якщо носій буде втрачений і потрапить в руки зловмисників.
Шифрування файлів і папок забезпечує захист окремих конфіденційних відомостей, що зберігаються на серверах, робочих станціях, ноутбуках та іншихмобільних пристроях, а шифрування програм захищає різні області даних, які безпосередньо прив'язані до програм, що працюють з цією інформацією. Чітко визначені ролі та права користувачів, а також ретельно регульований контроль доступу до програм дозволяють гарантувати безпеку даних.
Дані необхідно захищати і в процесі їх передачі корпоративною мережею. У такому разі при виборі методу шифрування слід брати до уваги затримки та надмірне навантаження (Overload), що викликається цим рішенням, а також величину пропускної спроможності, якої потребує підприємство.
Ансгар Додт - директор з продажу інтегрованих систем по регіону EMEA компанії SafeNet.
Малюнок 1. Один етап шифрування в AES: лише інструменти адміністрування та інтегрована безпека перетворюють шифрування на цей інструмент забезпечення безпеки.
Особливості застосування засобів шифрування для захисту баз даних
p align="justify"> Робота з базами даних принципово відрізняється від захищеного обміну повідомленнями (пошти) або електронного документообігу. Великі обсяги даних та виборчий доступ до інформації ускладнюють реалізацію ефективного підходу, коли вміст попередньо дешифрується, а потім після використання шифрується назад. Зберегти звичний інструментарій і порядок роботи дозволяє метод «прозорого шифрування», у якому інформація автоматично розшифровується під час зчитування з носія (якщо було введено правильний ключ) і автоматично зашифровується під час запису. Такий підхід робить рішення незалежним від використовуваних програм, він застосовується як до логічних дисків, так і до папок та файлів. При виборі продукту слід звертати увагу на те, чи може захист встановлюватись динамічно, не перериваючипроцесу роботи, або потрібно відключення баз даних на період шифрування, на що може піти багато часу.
На відміну від запису на диску, зашифрований файл може бути переданий у незмінному вигляді для розшифровки на локальному комп'ютері. Внаслідок цього шифрування інформації в мережі не знадобиться, а процедура резервного копіювання радикально спрощується. Деяким компромісом між дисками та файлами виступають захищені віртуальні диски (контейнери), які, як і файли, зберігають інформацію у зашифрованому вигляді, але після надання справжнього ключа шифрування сприймаються системою як додаткові диски.
Зазначимо, що більшість інцидентів із витоком бази даних пов'язані не із зовнішніми атаками, а з діями (недбалими чи навмисними) користувачів, які мають легітимний доступ до інформації. Тому обране рішення має припиняти можливість доступу до даних при винесенні персонального ключа та зашифрованого файлу або диска (або його образу) з компанії та подальшого підключення до середовища, де зловмисник має повноваження. Зокрема, ця опція захисту реалізована у програмному рішенні InfoWatch CryptoStorage.
З іншого боку, часто виникає ситуація, коли для роботи потрібні конфіденційні дані, а підключення до корпоративної мережі неможливе (у відрядженнях, ділових зустрічах, конференціях тощо). І те й інше забезпечується за рахунок продуманого управління ключами, як і відновлення ключа шифрування при його втраті або зловмисному знищенні. При цьому важливо, щоб необхідні права надавалися не окремому користувачеві, який отримує доступ до всієї конфіденційної інформації, а групі уповноважених представників компанії, що виключає неконтрольований доступ до ключів шифрування.
ОлександрІванов – системний аналітик компанії InfoWatch.
Поділіться матеріалом з колегами та друзями