Защитите базы данных в сложных серверных системах с помощью этих 5 лучших практик

В сегодняшнюю эпоху, ориентированную на технологии, когда информация имеет жизненно важное значение, базы данных и их безопасность стали сложной задачей для каждой организации. Базы данных могут содержать важную информацию, такую как личные данные, информацию о кредитных картах, финансовые транзакции и системные пароли или пароли приложений, которые могут быть ценными для хакеров и киберпреступников. Согласно индексу уровня нарушений Gemalto, в первой половине 2018 года было зарегистрировано около 3,5 миллиардов записей, что на 72 процента больше, чем в первой половине 2017 года. Последствия таких утечек данных дорого обходятся организациям-жертвам. Даже небольшая лазейка или ошибка могут позволить злоумышленникам завладеть системами баз данных, стоимость которых может достигать миллионов. Чтобы предотвратить такие последствия, организациям всегда следует учитывать модель угроз «все будет сломано» для защиты баз данных и предотвращения компрометации ценной информации.

В случае сложных серверных систем, а также там, где база данных содержит важные данные, такие как информация о кредитной карте клиента, организация очень подвержена киберугрозам. Ниже приведены несколько передовых методов, которые могут помочь организациям в значительной степени защитить базы данных, чтобы потенциальные злоумышленники перешли к более легкой цели:

• Изоляция веб-серверов и баз данных
• Настройка брандмауэров веб-приложений (WAF) и решений для защиты от вредоносных программ
• Реализовать шифрование данных и резервное копирование
• Управление учетными записями пользователей
• Регулярно обновлять и внедрять исправления

1. Изолируйте веб-серверы и базы данных

Размещение приложений и баз данных на одном компьютере облегчает злоумышленникам проникновение в систему и взлом учетной записи администратора только одного сервера для получения доступа ко всей базе данных. Это большая дыра в безопасности, которая приглашает любого злоумышленника, который сидит за кулисами и хочет получить жизненно важную информацию из системы.

Рекомендация. Чтобы защитить конфиденциальную информацию организации от несанкционированного доступа, ИТ-администраторы должны строго хранить оба сервера (приложения и базы данных) на разных физических машинах. Высокопроизводительный хост-сервер для приложения может быть правильным выбором, но для хранения ценных данных клиентов организации должны выбрать отдельный сервер базы данных с поддержкой функций высокого уровня безопасности (таких как многофакторная аутентификация) и надлежащими разрешениями на доступ.

2. Настройте брандмауэры веб-приложений (WAF) и решения для защиты от вредоносных программ.

Настройка брандмауэра — еще один надежный способ защититься от злоумышленников. В то время как брандмауэры обеспечивают безопасность базы данных, блокируя трафик, поступающий через неавторизованный источник, это также полезный способ контролировать доступ к серверу сотрудников компании, если это необходимо. Например, SQL-инъекция — наиболее распространенная атака, которую проводят киберпреступники для проникновения в систему. Но это можно проверить правильной настройкой брандмауэра.

Передовой опыт. После того как организации настроят базу данных, они должны убедиться, что машина полностью защищена брандмауэром, способным фильтровать любые исходящие подключения и любые запросы (кроме необходимых), предназначенные для доступа к полезной информации. Кроме того, организации должны убедиться, что сервер базы данных также защищен от любых вредоносных файлов, установив программное обеспечение для защиты от вредоносных программ и программ-вымогателей. Трафик должен быть разрешен только из доверенного источника или определенного веб-сервера. Правила брандмауэра на сервере базы данных следует регулярно пересматривать. Правила защиты компьютера и брандмауэра следует периодически проверять с помощью сканирования сети или разрешения сканирования интернет-провайдера. Любые неиспользуемые или ненужные службы на сервере базы данных, которые не требуются часто, должны быть отключены.

3. Внедрите шифрование данных и резервное копирование

Модель угроз «все будет сломано» говорит о том, что организация всегда должна быть готова к внедрению дополнительного уровня безопасности для предотвращения компрометации данных. Этот дополнительный уровень защиты может быть реализован с помощью шифрования. Это снимает вишенку с торта для злоумышленников, потому что им нужно приложить дополнительные усилия для взлома шифра, даже если они получат доступ к базе данных.

Передовой опыт. Первый этап шифрования предусматривает защиту данных с помощью закрытого ключа на сервере приложений или сервере базы данных. Таким образом, даже если злоумышленники получат доступ к базе данных, они не смогут легко расшифровать или прочитать данные. Второй этап предполагает шифрование данных при передаче, что означает, что данные шифруются до того, как они начнут перемещаться по сети с сервера приложений на сервер базы данных и наоборот.

4. Установите управление учетными записями пользователей

Вам нужно беспокоиться не только о киберпреступниках: сотрудники организации также могут представлять значительную угрозу ценным данным. Вполне вероятно, что многие пользователи с разными ролями могут часто обращаться к базе данных. Несмотря на благие намерения, возможна утечка конфиденциальной информации в больших масштабах. Вот почему становится жизненно важным тщательно управлять учетными записями пользователей.

Передовой опыт. Организации должны стремиться к тому, чтобы наименьшее количество пользователей могло получить доступ к базе данных. Авторизованным пользователям следует предоставлять доступ к базе данных с использованием метода одноразового пароля (OTP) только при необходимости, чтобы избежать несанкционированного доступа в неурочное время. Доступ к базе данных должен быть разрешен только ограниченному числу клиентов. Необходимо обеспечить использование надежных паролей для доступа к базе данных. Учетные данные базы данных должны храниться в хешированном и соленом формате, чтобы их нельзя было прочитать. Журналы действий следует вести регулярно, чтобы отслеживать все действия, относящиеся к запросам и запросам. Аудит и ведение журналов могут помочь в расследовании подозрительных действий, если в организации произошла утечка данных.

5. Пропатчить операционную систему и приложения

Многие серверные системы используют сторонние API, приложения и плагины в своих приложениях, и это может быть уязвимой целью для киберпреступников. Чтобы справиться с этим, организация должна создать надежную систему управления исправлениями, чтобы избежать использования любых известных уязвимостей.

Рекомендация. Держите все стороннее программное обеспечение, API и плагины обновленными до последних версий. Эти обновления должны выполняться через регулярные промежутки времени или всякий раз, когда новые исправления выпускаются поставщиками API или подключаемых модулей. Это гарантирует, что последний выпуск или версии способны защитить систему от недавно обнаруженных киберугроз. Мало того, плагины, API или сервисы, которые не используются в приложении, должны быть полностью удалены из системы или деактивированы.

Дополнительные рекомендации по защите баз данных

Независимо от того, насколько сильно защищен сервер базы данных, у злоумышленника всегда есть шанс проникнуть в систему. Регулярное создание резервных копий зашифрованной копии базы данных также должно быть частью повседневных рутинных задач. Задание cron может помочь любой организации достичь этого через регулярные промежутки времени. Это гарантирует вздох облегчения и возможность восстановления данных, даже если они будут скомпрометированы в худшем случае.

Настройка прокси-сервера базы данных также может оказаться хорошим решением, поскольку он находится между приложением и базой данных. Он анализирует запросы и принимает запросы только от сервера приложений и блокирует любые другие запросы, которые не идентифицированы как генерируемые через доверенный источник.

Безопасные базы данных означают более безопасную организацию

Организация обязана обеспечивать безопасность ценных данных клиента до такой степени, чтобы это не приводило к каким-либо юридическим последствиям и потере доверия клиентов. Эти пять передовых практик, если они приняты и реализованы надлежащим образом, не только помогают защитить базы данных и снизить риск неправильного обращения с ценной информацией, но и гарантируют, что организация будет готова противостоять любой непредвиденной атаке, которая может нанести ущерб.