מה זה אבטחת מסד נתונים?
אבטחת מסדי נתונים מתייחסת למגוון הכלים, הבקרות והאמצעים שנועדו לבסס ולשמר את סודיות מסד הנתונים, היושרה והזמינות. מאמר זה יתמקד בעיקר בסודיות מכיוון שזהו המרכיב שנפגע ברוב הפרות הנתונים.
בקר גם ב: פורום סייבר
אבטחת מסדי נתונים חייבת לטפל ולהגן על הדברים הבאים:
- הנתונים במסד הנתונים
- מערכת ניהול מסד הנתונים (DBMS)
- כל היישומים הקשורים
- שרת מסד הנתונים הפיזי ו/או שרת מסד הנתונים הווירטואלי והחומרה הבסיסית
- תשתית המחשוב ו/או הרשת המשמשת לגישה למסד הנתונים
אבטחת מסדי נתונים היא מאמץ מורכב ומאתגר הכולל את כל ההיבטים של טכנולוגיות ופרקטיקות אבטחת מידע. זה גם סותר באופן טבעי עם השימושיות של מסד הנתונים. ככל שמסד הנתונים נגיש ושמיש יותר, כך הוא פגיע יותר לאיומי אבטחה; ככל שמסד הנתונים אינו פגיע יותר לאיומים, כך קשה יותר לגשת אליו ולהשתמש בו. (הפרדוקס הזה מכונה לפעמים ' כלל אנדרסון' . (הקישור נמצא מחוץ ל-IBM)
למה אבטחת מסד נתונים זה חשוב?
בהגדרה, הפרת נתונים היא כשל בשמירה על סודיות הנתונים במסד נתונים. מידת הנזק שהפרצת נתונים גורמת לארגון שלך תלויה במספר השלכות או גורמים:
- קניין רוחני שנפגע: הקניין הרוחני שלך – סודות מסחריים, המצאות, שיטות קנייניות – עשוי להיות קריטי ליכולת שלך לשמור על יתרון תחרותי בשוק שלך. אם הקניין הרוחני הזה נגנב או נחשף, היתרון התחרותי שלך עשוי להיות קשה או בלתי אפשרי לשמור או לשחזר.
- פגיעה במוניטין המותג: ייתכן שלקוחות או שותפים לא יהיו מוכנים לקנות את המוצרים או השירותים שלך (או לעשות עסקים עם החברה שלך) אם הם לא מרגישים שהם יכולים לסמוך עליך שתגן על הנתונים שלך או שלהם.
- המשכיות עסקית ( או היעדרה): עסקים מסוימים אינם יכולים להמשיך לפעול עד שהפרה תיפתר.
- קנסות או קנסות בגין אי ציות: ההשפעה הכספית של אי עמידה בתקנות גלובליות כגון חוק Sarbannes-Oxley (SAO) או תקן אבטחת מידע של תעשיית כרטיסי התשלום (PCI DSS), תקנות פרטיות נתונים ספציפיות לתעשייה כגון HIPAA, או תקנות אזוריות לפרטיות מידע, כמו תקנת הגנת המידע הכללית של אירופה (GDPR) עלולות להיות הרסניות, עם קנסות במקרים הגרועים ביותר שיעלו על כמה מיליוני דולרים לכל הפרה .
- עלויות תיקון הפרות ויידוע לקוחות: בנוסף לעלות העברת הפרה ללקוח, על ארגון שנפרץ לשלם עבור פעולות משפטיות וחקירה, ניהול משברים, טריאג', תיקון המערכות שנפגעו ועוד.
איומים ואתגרים נפוצים
תצורות שגויות רבות של תוכנה, פגיעויות או דפוסים של חוסר זהירות או שימוש לרעה עלולים לגרום להפרות. להלן בין הסוגים או הגורמים הנפוצים ביותר להתקפות אבטחה של מסדי נתונים והגורמים להן.
איומי פנים
איום פנימי הוא איום אבטחה מכל אחד משלושה מקורות בעלי גישה מוסמכת למסד הנתונים:
- מקורב זדוני שמתכוון להזיק
- גורם פנימי רשלני שעושה שגיאות שהופכות את מסד הנתונים לפגיע להתקפה
- מסתנן – אדם מבחוץ אשר משיג איכשהו אישורים באמצעות סכמה כגון דיוג או על ידי קבלת גישה למסד הנתונים של האישורים עצמו
איומים פנימיים הם בין הגורמים הנפוצים ביותר לפרצות אבטחה של מסדי נתונים ולעתים קרובות הם תוצאה של מתן אפשרות לעובדים רבים מדי להחזיק באישורי גישה מורשים למשתמש.
טעות אנוש
תאונות, סיסמאות חלשות, שיתוף סיסמאות והתנהגויות אחרות של משתמשים לא נבונות או לא מושכלות ממשיכות להיות הגורם לכמעט מחצית (49%) מכל הפרצות הנתונים המדווחות .
ניצול נקודות תורפה של תוכנת מסדי נתונים
האקרים מתפרנסים מאיתור ומיקוד של פגיעויות בכל מיני תוכנות, כולל תוכנות לניהול מסדי נתונים. כל ספקי תוכנת מסדי הנתונים המסחריים הגדולים ופלטפורמות ניהול מסדי נתונים בקוד פתוח מנפיקות תיקוני אבטחה רגילים כדי לטפל בפגיעויות אלו, אך אי יישום התיקונים הללו בזמן יכול להגביר את החשיפה שלך.
התקפות הזרקת SQL/NoSQL
איום ספציפי למסד נתונים, אלה כוללים הכנסה של מחרוזות תקיפה שרירותיות של SQL או שאינן SQL לתוך שאילתות מסד נתונים המוגשות על ידי יישומי אינטרנט או כותרות HTTP. ארגונים שאינם פועלים לפי נוהלי קידוד אפליקציות אינטרנט מאובטחים ומבצעים בדיקות פגיעות רגילות פתוחים להתקפות אלו.
ניצול של הצפת מאגר
הצפת מאגר מתרחשת כאשר תהליך מנסה לכתוב יותר נתונים לבלוק זיכרון באורך קבוע ממה שהוא רשאי להחזיק. תוקפים עשויים להשתמש בנתונים העודפים, המאוחסנים בכתובות זיכרון סמוכות, כבסיס לביצוע התקפות.
תוכנה זדונית
תוכנה זדונית היא תוכנה שנכתבה במיוחד כדי לנצל נקודות תורפה או לגרום נזק למסד הנתונים. תוכנה זדונית עשויה להגיע דרך כל התקן נקודת קצה המתחבר לרשת של מסד הנתונים.
התקפות על גיבויים
ארגונים שלא מצליחים להגן על נתוני גיבוי עם אותם בקרות מחמירות המשמשות להגנה על מסד הנתונים עצמו עלולים להיות פגיעים להתקפות על גיבויים.
איומים אלה מוחמרים על ידי הדברים הבאים:
- הגדלת נפחי הנתונים: לכידת, אחסון ועיבוד נתונים ממשיכים לגדול באופן אקספוננציאלי כמעט בכל הארגונים. כל כלי או שיטות אבטחת מידע צריכים להיות ניתנים להרחבה כדי לענות על צרכים עתידיים קרובים ורחוקים.
- התפשטות התשתית : סביבות הרשת הופכות מורכבות יותר ויותר, במיוחד כשעסקים מעבירים עומסי עבודה לארכיטקטורות ענן מרובות או היברידיות , מה שהופך את הבחירה, הפריסה והניהול של פתרונות אבטחה למאתגרים יותר.
- דרישות רגולטוריות מחמירות יותר ויותר: נוף הציות לרגולציה ברחבי העולם ממשיך לגדול במורכבות, מה שמקשה על עמידה בכל המנדטים.
- מחסור במיומנויות אבטחת סייבר: מומחים צופים שייתכנו עד 8 מיליון משרות אבטחת סייבר לא מאוישות עד 2024.
התקפות מניעת שירות (DoS/DDoS).
בהתקפת מניעת שירות (DoS), התוקף מעביר את שרת היעד – במקרה זה שרת מסד הנתונים – עם כל כך הרבה בקשות שהשרת לא יכול עוד למלא בקשות לגיטימיות ממשתמשים בפועל, ובמקרים רבים, השרת הופך לא יציב או קורס.
שיטות עבודה מומלצות
מכיוון שבסיסי נתונים כמעט תמיד נגישים לרשת, כל איום אבטחה על כל רכיב בתוך או חלק של תשתית הרשת מהווה גם איום על מסד הנתונים, וכל התקפה המשפיעה על התקן או תחנת עבודה של משתמש יכולה לאיים על מסד הנתונים. לפיכך, אבטחת מסד הנתונים חייבת להתרחב הרבה מעבר לגבולות מסד הנתונים בלבד.
בעת הערכת אבטחת מסד הנתונים בסביבה שלך כדי להחליט על סדר העדיפויות העליון של הצוות שלך, שקול כל אחד מהתחומים הבאים:
- אבטחה פיזית: בין אם שרת מסד הנתונים שלך נמצא במקום או במרכז נתונים בענן, עליו להיות ממוקם בתוך סביבה מאובטחת ומבוקרת אקלים. (אם שרת מסד הנתונים שלך נמצא במרכז נתונים בענן, ספק הענן שלך ידאג לכך עבורך).
- בקרות גישה מנהלתיות ורשתות: למספר המינימלי המעשי של משתמשים צריכה להיות גישה למסד הנתונים, וההרשאות שלהם צריכות להיות מוגבלות לרמות המינימליות הדרושות עבורם כדי לבצע את עבודתם. כמו כן, הגישה לרשת צריכה להיות מוגבלת לרמת המינימום של ההרשאות הדרושה.
- אבטחת חשבון/התקן של משתמש קצה: תמיד היה מודע למי ניגש למסד הנתונים ומתי וכיצד נעשה שימוש בנתונים. פתרונות ניטור נתונים יכולים להתריע אם פעילויות נתונים חריגות או נראות מסוכנות. כל מכשירי המשתמש המתחברים לרשת המאכסנת את מסד הנתונים צריכים להיות מאובטחים פיזית (בידי המשתמש הנכון בלבד) ונתונים לבקרות אבטחה בכל עת.
- הצפנה: כל הנתונים – כולל נתונים במסד הנתונים ונתוני אישורים – צריכים להיות מוגנים עם ההצפנה הטובה מסוגה בזמן מנוחה ובמעבר. יש לטפל בכל מפתחות ההצפנה בהתאם להנחיות השיטות הטובות ביותר.
- אבטחת תוכנת מסדי נתונים: השתמש תמיד בגרסה העדכנית ביותר של תוכנת ניהול מסד הנתונים שלך, והחל את כל התיקונים ברגע שהם מונפקים.
- אבטחת אפליקציות/שרת אינטרנט: כל אפליקציה או שרת אינטרנט המקיימים אינטראקציה עם מסד הנתונים יכולים להיות ערוץ להתקפה ועליו להיות כפוף לבדיקות אבטחה מתמשכות ולניהול שיטות עבודה מומלצות.
- אבטחת גיבוי: כל הגיבויים, העותקים או התמונות של מסד הנתונים חייבים להיות כפופים לאותם בקרות אבטחה (או מחמירות באותה מידה) כמו מסד הנתונים עצמו.
- ביקורת: רשום את כל ההתחברות לשרת מסד הנתונים ולמערכת ההפעלה, ותעד את כל הפעולות שבוצעו גם בנתונים רגישים. יש לבצע ביקורת תקני אבטחת מסדי נתונים באופן קבוע.
בקרות ומדיניות
בנוסף להטמעת בקרות אבטחה מרובדות על פני כל סביבת הרשת שלך, אבטחת מסד הנתונים מחייבת אותך לבסס את הבקרות והמדיניות הנכונים לגישה למסד הנתונים עצמו. אלו כוללים:
- בקרות ניהול לניהול התקנה, שינויים וניהול תצורה עבור מסד הנתונים.
- בקרות מניעה לניהול גישה, הצפנה, אסימון ומיסוך.
- בקרות בילוש לניטור ניטור פעילות מסד הנתונים וכלים למניעת אובדן נתונים. פתרונות אלו מאפשרים לזהות ולהתריע על פעילויות חריגות או חשודות.
מדיניות אבטחת מסדי נתונים צריכה להיות משולבת ולתמוך ביעדים העסקיים הכוללים שלך, כגון הגנה על קניין רוחני קריטי ומדיניות אבטחת הסייבר ומדיניות אבטחת ענן שלך . ודא שהגדרת אחריות לתחזוקה וביקורת של בקרות האבטחה בתוך הארגון שלך ושהמדיניות שלך משלימה את אלה של ספק הענן שלך בהסכמי אחריות משותפת. בקרות אבטחה, תוכניות הכשרה וחינוך למודעות אבטחה, ואסטרטגיות בדיקות חדירה ואסטרטגיות הערכת פגיעות אמורות להיקבע כתמיכה במדיניות האבטחה הרשמית שלך.
כיום, מגוון רחב של ספקים מציעים כלים ופלטפורמות להגנה על נתונים. פתרון בקנה מידה מלא צריך לכלול את כל היכולות הבאות:
- גילוי: חפש כלי שיכול לסרוק ולסווג פגיעויות בכל מסדי הנתונים שלך – בין אם הם מתארחים בענן או במקום – ולהציע המלצות לתיקון כל פגיעות שזוהו. לעתים קרובות נדרשות יכולות גילוי כדי להתאים למנדטים של ציות לרגולציה.
- ניטור פעילות נתונים: הפתרון אמור להיות מסוגל לנטר ולבקר את כל פעילויות הנתונים בכל מסדי הנתונים, ללא קשר אם הפריסה שלך היא מקומית, בענן או בקונטיינר . זה אמור להתריע על פעילויות חשודות בזמן אמת כדי שתוכל להגיב לאיומים מהר יותר. תרצה גם פתרון שיכול לאכוף כללים, מדיניות והפרדת תפקידים ומציע נראות לגבי מצב הנתונים שלך באמצעות ממשק משתמש מקיף ומאוחד. ודא שכל פתרון שתבחר יכול להפיק את הדוחות שתצטרך כדי לעמוד בדרישות התאימות.
- יכולות הצפנה וטוקניזציה: במקרה של פריצה, ההצפנה מציעה קו הגנה אחרון מפני פשרה. כל כלי שתבחר צריך לכלול יכולות הצפנה גמישות שיכולות להגן על נתונים בסביבות מקומיות, ענן, היברידיות או רב עננים. חפש כלי עם יכולות הצפנת קבצים, נפח ואפליקציות התואמות את דרישות התאימות של התעשייה שלך, מה שעשוי לדרוש טוקניזציה (מיסוך נתונים) או יכולות ניהול מפתחות אבטחה מתקדמות.
- אופטימיזציה של אבטחת נתונים וניתוח סיכונים: כלי שיכול לייצר תובנות הקשריות על ידי שילוב מידע אבטחת נתונים עם ניתוח מתקדם יאפשר לך לבצע אופטימיזציה, ניתוח סיכונים ודיווח בקלות. בחר פתרון שיכול לשמור ולסנתז כמויות גדולות של נתונים היסטוריים ועדכניים על המצב והאבטחה של מסדי הנתונים שלך, וחפש פתרון שמציע יכולות חקר נתונים, ביקורת ודיווח באמצעות לוח מחוונים מקיף אך ידידותי למשתמש בשירות עצמי.