بعنوان مثال فردی را در نظر بگیرید که مسئول کنترل ورود و خروج کارکنان سازمان می باشد. این شخص براحتی می تواند از اعتمادی که سازمان به او دارد سوء استفاده کرده و با دسترسی غیرمجاز ساعت های کارکرد و ورود و خروج کارکنان را به نفع شخصی تغییر دهد. حال اگر دسترسی به پایگاه داده دارای ضرایب امنیتی باشد احتمال اینکار بی نهایت پائین و یا غیر ممکن است.
تجربه نشان داده بیشترین مواردی که به سیستم ها آسیب رسانده و یا اطلاعات ما را دچار مشکل کرده است، ضعف های مدیریتی و سهل انگاری ها در شیوه های مدیریتی می باشد. متاسفانه بسیاری از مدیران شبکه محافطت از اطلاعات در پایگاه داده را امری ساده تلقی می کنند و یا در بهترین حالت دید امنیتی خود را متمرکز بر حملات حرفه ای کرده و روش های ساده حملات و رخنه را از یاد می برند.
دانستن و رعایت نکات کلیدی امنیتی در پایگاه داده، حفظ و نگهداری داده ها را تا بالاترین ضریب امنیتی برای ما به ارمغان می آورد. نکته مهم دیگری که باید به آن اشاره کرد این است که با یکبار پیکربندی پیچیده و حرفه ای و رعایت اصول اولیه نمی توان ۱۰۰% امنیت را تضمین کرد. همان طور که می دانیم امنیت یک سیستم دائمی می باشد که مرتب می بایست بصورت دوره ای بررسی و در صورت لزوم مجدد پیکربندی شود، زیرا نقاط ضعف پایگاه های داده به مرور پدیدار می شود و روش های نفوذ نیز دائم تغییر و بروز رسانی می شود. پس اولین نکته مهم این است که یک بار پیکربندی قوی و حرفه ای نمی تواند تا مدت های زیاد امنیت را تضمین نماید.
در این بین آموزش کارکنان، مدیران و مدیران پایگاه داده نیز امری ضروری و لازم می باشد. به آنها می بایست یاد دهیم که اطلاعات غیر ضروری را دسته بندی و یا از روی سیستم به جای دیگر منتقل کنند. سرویس های اضافی غیر فعال شوند تا فاکتور های نفوذ به کمترین حد برسند.
این را هم می بایست در نظر داشته باشیم که نفوذ کننده صرفا یک شخص خارجی نیست بلکه می تواند یک کارمند مورد اعتماد سازمان باشد که به راحتی می تواند دسترسی های مجاز برای انجام کارها بگیرد و یا این دسترسی ها را برای خود ایجاد نماید.پس یک مدیر امنیتی حرفه ای با فرض نفوذ ار داخل و خارج سیستم پایگاه داده خود را امن می نماید.
نکته دیگر در امن کردن پایگاه داده نصب وصله های امنیتی ای که بصورت دوره انتشار می یابند است تا بتوان ضعف های سیستم پایگاه داده را از بین برده و ضریب امنیتی را در آن بالا برد. از طرفی دسترسی به اطلاعات و پایگاه داده می بایست با جدیدترین روش های احراز هویت و همچنین عملیات تهیه گزارش از دسترسی ها و تغییرات همراه باشد که در صورت تغییر و یا دسترسی غیر مجاز بتوان ردیابی های مورد نظر را انجام داد.
بعنوان مثال می توان تلاش های یک تیم امنیت را نام برد که پس از تحقیقات زیاد درباره ضعف های پایگاه داده متوجه شدند که حدود نیمی از آسیب های وارده به پایگاه داده مستقیم یا غیر مستقیم به سهل انگاری در مدیریت وصله های امنیتی در پایگاه داده می باشد.در برخی موارد مدیران پایگاه داده به صورت دوره های زیاد مثلا ۳ ماه و یا حتی یک سال پایگاه داده خود را با وصله های امنیتی بروز کرده اند که این یک فاجعه بزرگ می باشد.
حال با توجه به موارد بالا به بررسی مهمترین موارد آسیب پذیری در پایگاه های داده می پردازیم:
به کارگیری نام کاربری/رمز عبور پیش فرض یا خالی یا از نظر امنیتی ضعیف
ممکن است در سازمان های بزرگ، پیگیری صدها یا هزاران پایگاه های داده، وظیفه ای طاقت فرسا و دلهره آور باشد. اما از بین بردن نام کاربری و رمز ورود به سیستم که هنوز در حالت پیش فرض، خالی (blank) یا از نظر امنیتی ضعیف هستند، اولین مرحله مهم برای پر کردن حفره های زره محافظ بانک اطلاعاتی سازمان می باشد. افراد نفوذگر همواره در گام اول نفوذ به دنبال پیگیری حساب هایی هستند که نام کاربری و رمز عبوری پیش فرض دارند، و هر زمانی که این امکان برایشان میسر شود لحظه ای در نفوذ به سیستم ها تردید نخواهند کرد.
متاسفانه بسیاری از مدیران پایگاه داده پس از راه اندازی آن و برای سهولت در کار پیکربندی و اتصال به پایگاه داده از رمزهای ساده و یا بدون رمز استفاده می کنند. یک نفوذگر می داند که معمولا کلمه کاربری Administrator و یا Systemadmin و مشابه آن است پس یک قدم جلوست. حال با چک کردن پسوردهای ساده شروع به تلاش برای دسترسی به پایگاه داده می کند. در قبل اشاره شد که سیستم های کنترل دسترسی مانند Event Log ها در این موارد بسیار به کمک ما می آیند و تلاش برای دسترسی را به ما نشان می دهند.
تزریق کدها:
وقتی بستر نرم افزاری یا پلت فرم پایگاه داده شما نتواند ورودی ها را پاکسازی نماید، مهاجمان قادر به اجرای تزریق SQL شبیه به روشی که در حملات مبتنی بر وب انجام می دهند خواهند بود، که در نهایت به آنها این امکان را می دهد که امتیازات کاربری خود را بالاتر برده و به طیف گسترده ای از عملکرد های درونی سیستم یا شبکه دسترسی یابند.
بسیاری از توسعه دهندگان امنیتی به طور مرتب وصله هایی را برای جلوگیری از بروز این مشکلات منتشر می کنند، اما این اصلاحات نمی تواند برای شما کار چندانی انجام دهد اگر: سیستم مدیریتی پایگاه داده یا DBMS شما بدون وصله شدن به حال اولیه رها شده باشد.
البته امروزه با پیشرفت فایروال ها تا حدودی می توان از تزریق کدها جلوگیری کرد در صورتی که پایگاه داده ما در محیط DMZ قرار داشته باشد و دسترسی چه از داخل چه از خارج از طریق فایروال ها صورت بگیرد. خاطر نشان می شود که فایروال ها تا حدودی نه مطلق، می توانند جلوی این خطرها و نفوذ ها را بگیرند.
اعطای حق دسترسی گسترده و زیاد به گروه ها و کاربران:
لازم است سازمانها و ادارات از این مسئله اطمینان حاصل کنند که امکانات دسترسی کاربران خود به کسانی که در نهایت قرار است از آنها همان استفاده ای کنند که یک سرایدار با جمع آوری کلیدهای مختلف روی دسته کلید و ساختن شاه کلید، اعطا نشود. (به عبارت دیگر بسیاری از امکانات مهم دسترسی برای همه کاربران کاربرد ندارد.) در عوض توصیه می شود تنها کاربران معینی را در گروهها یا پست ها مشخص شده ای سازماندهی کرده و امتیازات و سطوح تعریف شده ای از دسترسی به سیستم را به آن نقش ها اعطا کنیم، که این امر مدیریت جمعی و بالابردن امنیت کلی را بسیار آسان تر از حالتی می کند که به طور مستقیم به همه کاربران حق و حقوقی بیش از حد نیازشان اعطا کنیم.
تجربه نشان داده که همیشه در سازمان افرادی بودند که از روی کنجکاوی و یا تضاد با سیاست های شرکت خود، می خواستند با نفوذ به پایگاه داده از اطلاعات سایر همکاران خود و یا درآمدهای شرکت سر در بیاورند و از آنها به نفع خود و برای پیشبرد کار خود استفاده نمایند.
از این رو دسترسی های دقیق می تواند یک قدم ما را به امنیت بیشتر نزدیکتر نماید.
عدم فعال کردن امکانات و ویژگی های پایگاه داده:
در هنگام نصب هر بانک اطلاعاتی همراه با ملزومات، بسته های افزونه یا به کلام ساده تر امکانات اضافه در اشکال و اندازه های مختلف مشاهده می شوند که اکثر آنها در عمل برای برخی از سازمان ها و ارگان ها بلااستفاده محسوب می شوند. از آنجا که قاعده بازی در بحث امنیت پایگاه داده عبارت است از کاهش سطح حملات، شرکت ها باید به دنبال بسته هایی باشند که از آن هیچ گونه بهره برداری نمی شود و آنها را غیر فعال کرده و یا به طور کامل حذف کنند.
این امر نه تنها باعث کاهش خطرات ناشی از حملات اولیه از طریق این بردارها می شود، بلکه در عین حال مدیریت وصله ها (patch management) را نیز ساده تر می کند. هنگامی که این قبیل بسته ها نیاز به سرهم بندی و پچ کردن نداشته باشند، سازمان نیازی به تقلا و کوشش زیاد نخواهد برای بروز رسانی این امکانات اضافه و مدیریت آنها نخواهد داشت.
عدم مدیریت تنظیمات از هم گسیخته:
به طور مشابه، پایگاه های داده کاملاً مجهز به گزینه های مختلف تنظیمات و ملاحظات در مورد آنالیزورهای پایگاه داده یا DBA برای تنظیم بهینه عملکردها و ویژگی های ارتقا یافته می باشند. لازم است سازمانها و شرکت ها مواظب اعمال تنظیمات ناامن در پایگاه داده باشند که می تواند به طور پیش فرض فعال بوده و یا به منظور سهولت برای کار با DBA ها یا توسعه دهندگان نرم افزاری این تنظیمات ضعیف اما سهل الوصول توسط افراد ناآگاه فعال گردد.
برنامه های تهیه گزارش مانند Crystal report و مشابه آنها نیاز به تنظیماتی به منظور دسترسی و تهیه گزارش دارند که این امکان شاید به صورت پیش فرض بر روی پایگاه داده فعال باشد در حالی که شرکت نخواهد از این برنامه ها استفاده کند. پس نصب پیش فرض و تنطیمات پیش فرض حتماً و حتماً می بایست مورد بازبینی دقیق قرار بگیرد.
