امنیت داده

ارائه کننده:
شرکت راهکارهای امن ویرا
تاریخ
26 مرداد 1398
وب سایت:
www.ViraSecSolutions.com
دسته بندی:
امنیت داده، Data Security

امنیت داده

بی شک داده، یکی از ارزشمندترین دارایی هر سازمان و کسب و کار است و نگرش اصولی مدیران به این موضوع، دغدغه حفاظت از این دارایی ها را در ذهن آن ها ایجاد خواهد نمود.

نتایج تحقیقات انجام شده، بیانگر این واقعیت است که سالانه نیمی از کاربران کامپیوتر، اطلاعات خود را به اشکال مختلف از دست می دهند. بروز نقص در تجهیزات ذخیره سازی داده ها، خطاهای انسانی، سرقت کامپیوترها، حملات ویروسی و خطاهای نرم افزاری و نیز حوادثی نظیر آتش سوزی و زلزله، از شایع ترین عوامل تخریب و از دست دادن اطلاعات و داده های کامپیوتری و دیجیتال است.

 شرکت راهکارهای امن ویرا به منظور حفاظت از داده ها و تامین امنیت سیستم های کامپیوتری، خدمات تخصصی زیر را ارائه می نماید:

  • طراحی و پیاده سازی روال های تهیه نسخه های پشتیبان از داده های دیجیتال
  • مانیتورینگ روال های تهیه نسخه های پشتیبان از لحاظ صحت عملکرد
  • آزمایش نسخه های پشتیبان از لحاظ یکپارچگی و کارایی

حفاظت از داده های دیجیتال در برابر تخریب و دسترسی غیر مجاز

  • پیاده سازی سیستم مدیریت کاربران و سطوح دسترسی به داده ها
  • پیاده سازی مکانیزم های رمز نگاری بر روی داده ها

تامین امنیت سیستم های کامپیوتری و امن سازی سیستم عامل

  • پیاده سازی حداقل الزامات امنیتی بر روی سیستم های کامپیوتری برای مقابله با تهدیدهای نرم افزاری
  • مانیتورینگ سیستم های کامپیوتری از لحاظ امنیت و صحت عملکرد مکانیزم های امنیتی

ذخیره سازی امن و پایدار داده های کامپیوتری

  • پیاده سازی مکانیزم های پایدار ذخیره سازی داده ها بر روی کامپیوتر سرور
  • مانیتورینگ مکانیزم ها و تجهیزات ذخیره سازی داده ها از لحاظ صحت و کیفیت عملکرد
  • مدیریت طول عمر تجهیزات ذخیره سازی داده ها

امنیت پایگاه داده

امنيت پايگاه داده را مي‌توان محافظت از محرمانگي/حساسيت داده ذخيره شده در يك مخزن در نظر گرفت. لايه‌هاي امنيتي مختلفي در پايگاه داده وجود دارد. اين لايه‌ها عبارتند از: مدير بخش مديريت پايگاه داده، افسر امنيت (security officer)، توسعه دهندگان و كارمندان. مهاجم مي‌تواند امنيت پايگاه داده را در هر كدام از اين لايه‌ها به خطر اندازد.
مهاجمين به سه دسته تقسيم مي‌شوند:
1- مزاحمين
مزاحم كاربري غيرمجاز است كه به صورت غيرقانوني به سيستم رايانه دسترسي دارد و بدنبال استخراج اطلاعات باارزش است.
2- كارمندان داخلي
كارمند داخلي كسي است كه متعلق به گروهي از كاربران معتمد است اما از دسترسي خود استفاده نابجا مي‌كند و تلاش دارد به اطلاعاتي علاوه بر آنچه كه بدان نياز دارد دست يابد.
3- مدير
مدير كسي است كه مجوز مديريت سيستم رايانه‌اي را دارد اما از اين مجوز به صورت غيرقانوني و برخلاف خط مشي امنيتي سازمان براي جاسوسي در DBMS و بدست آوردن اطلاعات باارزش استفاده مي‌كند.
مهاجم بعد از شكستن سطوح محافظتي، تلاش بر انجام يكي از حملات مي‌كند:
1- حملات مستقيم
حمله مستقيم به معني مورد حمله قرار دادن هدف به صورت مستقيم است. اين حملات، حملات مشهودي هستند و فقط در صورتي كه پايگاه داده هيچگونه مكانيزم محافظتي را پياده سازي نكرده باشد موفق خواهد بود. اگر اين حمله موفق نباشد، مهاجم از طريق حملات غيرمستقيم وارد مي‌شود.
2- حملات غيرمستقيم
حملات غيرمستقيم، حملاتي هستند كه مستقيماً روي هدف اجرا نمي‌شوند اما از طريق يكسري شيء مياني ديگر، مي‌توان به اطلاعاتي از يا درباره هدف رسيد. رديابي اين حملات مشكل است.
همچنين، حملات روي پايگاه داده مي‌تواند به حملات فعال (attack) و غيرفعال (passive) تقسيم بندي شود:
الف) حمله غيرفعال:
مهاجم در حمله غيرفعال داده‌اي را كه در پايگاه داده است فقط مشاهده مي‌كند. حمله غيرفعال مي‌تواند به صورت يكي از روش‌هاي زير انجام شود:
1- نشت استاتيك:
در اين نوع حمله، بوسيله مشاهده تصوير لحظه‌اي (snapshot) در زماني خاص، مي‌توان اطلاعاتي را درباره مقادير متن ساده (plaintext) بدست آورد.
2- نشت پيوندي:
در اينجا، بوسيله برقراري ارتباط بين مقادير پايگاه داده با مكان آن مقادير در ايندكس، اطلاعاتي درباره مقادير متن ساده قابل دستيابي است.
3- نشت پويا:
در اين نوع، تغييراتي كه در بازه‌هاي زماني روي پايگاه داده انجام مي‌شود، قابل مشاهده و تحليل است و مي‌توان اطلاعاتي را درباره مقادير متن ساده بدست آورد.
ب)حملات فعال:
در حمله فعال، مقادير پايگاه داده واقعي تغيير يافته است. اين نوع حملات بدليل فريب كاربر پيچيده‌تر هستند. به برخي از روش‌هاي انجام اين نوع حمله در ذيل اشاره مي‌شود:
1- كلاهبرداري (spoofing):
در اين نوع حمله، مقدار متن رمز بوسيله يك مقدار توليد شده جايگزين شده است.
2- پيوند زدن (splicing):
در اينجا، مقدار متن رمز بوسيله متن رمزي متفاوت جايگزين مي‌شود.
3- تكرار:
تكرار نوعي از حمله است كه در آن مقدار متن رمز با يك متن رمز قبلي جايگزين مي‌شود.
در ادامه تهديدات و چالش‌هاي مختلف در امنيت پايگاه داده بحث مي‌شود.

تهديدات امنيتي روي پايگاه داده

‌أ- استفاده نابجا از دسترسي‌هاي اضافي
زماني كه كاربران (يا برنامه‌هاي كاربردي) علاوه بر آنچه بدان نياز دارند مجوزهاي دسترسي به پايگاه داده دارند، ممكن است از اين مجوزها براي اهداف بدخواهانه استفاده كنند. به طور مثال، كاربري بايد فقط امكان تغيير اطلاعات تماس كارمندان را داشته باشد اما ممكن است از دسترسي اضافه‌‌تري براي تغيير اطلاعات حقوقي كارمندان هم برخوردار باشد.
‌ب- استفاده نابجا از دسترسي‌هاي قانوني
استفاده نابجا از دسترسي‌هاي قانوني زماني است كه كاربر مجاز، از حقوق دسترسي قانوني كه روي پايگاه داده دارد براي اهداف غيرمجاز استفاده مي‌كند. به طور مثال، اين استفاده نابجا مي‌تواند به شكل انجام فعاليتي غيرقانوني توسط كاربران، مديران شبكه يا مدير سيستم و يا سوء استفاده از داده‌هاي حساس باشد.