Xây dựng hàng rào bảo vệ cơ sở dữ liệu

Bảo vệ cơ sở dữ liệu tổng hợp bao gồm việc bảo vệ các dữ liệu có nguy cơ nguy hiểm cao và thực thi các hàng rào bảo vệ bốn nguyên tắc.

Hãng bảo mật Barak Engel của tập đoàn Loyalty Lab tại San Francisco không lưu lại mã số thẻ tín dụng của khách hàng mà sử dụng các chương trình khách hàng có độ tin tưởng cao. Các chương trình này có khả năng bảo vệ mã số một cách chắc chắn.

Loyalty Lab sử dụng dịch vụ rà soát lỗ hổng và sắp xếp lại chương trình của Qualys. Dịch vụ này kiểm tra chỗ yếu trên toàn bộ phạm vi mạng của Loyalty, trong khi chức năng nhận dạng “hai yếu tố” của RSA Security kiểm chứng nhân dạng người dùng. Còn Tripwire Enterprise của Tripwire chỉnh sửa các thay đổi trong môi trường của công ty và đánh dấu những chỗ bị lạm dụng. Phần mềm Nessus của Idealogica kiểm tra lỗ hổng trên các server. SecureDB của nCipher PLC thì tự mã hoá dữ liệu chương trình.

Có nhiều hàng rào bảo vệ cơ sở dữ liệu vài trăm megabyte của các mã số thẻ tín dụng. Nhưng khách hàng, các nhà điều hành và các nhà đầu tư đang đòi hỏi các công ty cung cấp phần mềm bảo vệ “dữ liệu tạm trú”. Phần mềm này sẽ kiểm tra xem dữ liệu tạm trú có nằm trong cơ sở dữ liệu cấu trúc, trên các băng đĩa sao lưu, trên mạng lưu trữ khu vực, trong một bảng tính hay notebook của máy hay không

Với Engel, một trong các tiêu chuẩn bảo mật dữ liệu được sử dụng trong hàng rào bảo vệ là Payment Card Industry (PCI). Tiêu chuẩn này đưa ra 12 yêu cầu cho tất cả các công ty cho phép sử dụng thẻ tín dụng. Trong đó có mã hóa truyền vận dữ liệu giữa các bên giữ thẻ, kiểm tra mạng định kỳ, các điều khiển truy cập vật lý và logic, và các hoạt động giám sát, đăng nhập. Để đáp ứng được đầy đủ các yêu cầu, các tổ chức phải tìm được đâu là dữ liệu nhạy cảm họ sở hữu, nơi lưu trữ, cách dùng và dự đoán kiểu tấn công có thể xảy ra. Sau đó họ phải bảo vệ dữ liệu bằng cách dùng các chức năng như điều khiển truy cập, hệ thống thẩm định, bộ rà soát lỗ hổng, chức năng giám sát quyền truy cập dữ liệu và mã hoá.

Hiểu biết về các mối đe doạ

Các mối đe doạ có thể đến từ các nhân viên bất mãn, họ sử dụng quyền truy cập hợp pháp của mình để dò tìm dữ liệu. Cũng có thể từ những người dùng hay quên, với quyển sổ đầy dữ liệu bị đánh cắp. Hoặc các nhân viên không trung thực, bán thông tin cho kẻ nào trả giá cao nhất. Nếu bạn tin tưởng một quản trị viên cơ sở dữ liệu (hoặc chính là bạn), nhiều quy định đòi hỏi một “sự phân định nhiệm vụ” là cần thiết. Chúng sẽ giúp giới hạn các thông tin một quản trị viên có thể được xem.

Dữ liệu tạm trú là thông tin đã được lưu trữ, có khi chỉ là tạm thời, nó ngược với dữ liệu đang được truyền qua mạng. Hầu hết thông tin trong dữliệu tạm trú là dữ liệu có được mã hoá như các hàng, các cột trong cơ sở dữ liệu quan hệ. Đôi khi có thể là dữ liệu không cấu trúc tạo bởi các trình ứng dụng khác như chương trình word, bảng tính, e-mail.

“Khi không đánh giá trước được thông tin, các tổ chức thường mã hoá dữ liệu quá nhỏ, quá lớn, hoặc xây dựng hàng rào bảo vệ lỗi khi đối phó với các mối đe doạ nguy hiểm nhất”, nhà phân tích Rich Mogull của Gartner nói. Một số lỗ hổng có thể được rà soát và các chức năng truy cập cơ sở dữ liệu có thể giúp khách hàng tìm kiếm cơ sở dữ liệu mà đôi khi chính họ cũng không biểt mình có. Chúng cũng có thể dò tìm được vị trí để dữ liệu nhạy cảm và cách thức sử dụng. Các chức năng này còn giúp xác định thông tin cần bảo vệ, cũng như thông tin cần mã hoá và giải mã dễ dàng hơn.

“Việc mã hoá nhiều dữ liệu hơn cần thiết có thể làm hỏng cơ sở dữ liệu hoặc việc thực thi các trình ứng dụng” - Trent Henry, một chuyên gia phân tích giàu kinh nghiệm của Burton Group, hãng nghiên cứu ở Midvale, Utah nói. Việc này có thể dẫn đến tai hoạ nếu bạn không thể tìm được các khoá giải mã khi bạn cần dùng dữ liệu. Một bản tóm tắt thông tin cũng có thể giúp đảm bảo rằng bạn đang mã hoá dữ liệu cho những điểm thông tin dễ bị tấn công nhất.

Các chức năng bảo vệ

Nhiều khách hàng sử dụng kết hợp cả bốn kỹ thuật bảo vệ, tuỳ theo yêu cầu và ngân sách của họ. Các điều khiển truy cập, chức năng thẩm định kiểm chứng nhận dạng người dùng, đồng thời xác định và cho phép truy cập các cơ sở dữliệu, trình ứng dụng, thông tin cho từng đối tượng. Nhiều chức năng nằm trong cơ sở dữ liệu kinh tế và chúng không đòi hỏi những công cụ hỗ trợ khác. Bộ rà soát lỗ hổng kiểm tra lỗi cơ sở dữ liệu (đôi khi là cà các server) như mật khẩu yếu, đang chạy các dịch vụ hay tiến trình không cần thiết, sau đó chỉnh sửa hoặc ghi lại danh sách kết quả.

Chức năng giám sát quyền truy cập cơ sở dữ liệu sẽ tìm xem ai có quyền truy cập dữ liệu nào trong cơ sở dữ liệu nào; cũng như giám sát khi nào dữ liệu được chấp nhận và liệu chúng có thể được thay đổi như thế nào. Sau đó nó cảnh báo cho người quản lý bảo mật các hoạt động đáng ngờ như truy vấn toàn bộ mã thẻ tín dụng khách hàng lúc nửa đêm chẳng hạn. Các khoá sẽ mô tả đặc điểm nổi bật để tìm kiếm, như các điều khiển quyền cập, chức năng thẩm định trong đó có khả năng tạo và thực hiện nhiều thực thể dạng “hột”, các điều khiển truy cập vai trò cơ bản, khả năng tạo ra các bản ghi sửa chữa dễ hiểu. Một số tuỳ chọn cũng có thể tạo ra các bản ghi khớp với đòi hỏi của các quy định cụ thể, tập trung vào một số kiểu nào đó của người dùng, như các quản trị viên cơ sở dữ liệu.

Dễ dàng trong sử dụng và tự động hoá là chìa khoá cho các khách hàng, như David Fumas, CIO của Gila Regional Medical Center ở thành phố Siler, N.M . Ông ta nói rằng đang tìm kiếm phần mềm giám sát truy cập dữ liệu có thể giúp giảm được một nửa trong số 20 giờ sử dụng mỗi tháng để “tìm ra tất cả truy cập thích hợp, xác đáng”, tương ứng với dữ liệu của các chức năng đa giám sát trong việc tìm kiếm những cuộc tấn công có thể xảy ra.

“Khi bạn bắt đầu nói về các vấn đề như điều khiển kép, điều khiển phân tách, quy tắc luân phiên khoá, khôi phục khoá thì bạn cần phải có các cân nhắc đáng kể”. Engel nói. Đó là lý do vì sao ông ta, giống như nhiều khách hàng khác mua phần mềm mã hoá riêng biệt với chức năng quản lý giải mã, mặc dầu hiện nay nhiều cơ sở dữ liệu được gắn với khả năng mã hoá tự nhiên.

Các khách hàng, các nhà phân tích và các hãng đại lý đồng ý rằng sự tổng hợp công nghệ là cần thiết để đáp ứng được đòi hỏi của các môi trường. Bổ sung thêm trong phần mã hoá, Ewing sử dụng các tường lửa tầng ứng dụng SecureSphere của Imperva để bảo vệ dịch vụ Web, cơ sở dữ liệu, cũng như lỗ hổng và chức năng kiểm tra sự xâm nhập.

Các khách hàng rất tin tưởng vào chức năng điều khiển và giám sát truy cập cơ sở dữ liệu của Sarbanes-Oxley Act, Prat Moghe, nhà sáng lập và cũng là CEO của Tizor System ở Maynard, Mass nói. Nhưng họ thường sử dụng chương trình mã hoá PCI hơn.

Thậm chí với các sản phẩm chỉ cho phép người dùng mã hoá các cột cơ sở dữ liệu nhất định (như mã số thẻ tín dụng), người quản trị vẫn có thể cấu trúc lại một số cơ sở dữ liệu để làm cho chương trình mã hoá trở nên khả thi. Nếu số Social Security của khách hàng được dùng như là trường index, giúp xác định tất cả các thông tin khác về khách hàng, việc mã hoá số Social Security có thể đòi hỏi phải mã hoá các cột cho từng truy vấn. Do đó làm hỏng việc thực thi cơ sở dữ liệu. Có thể sử dụng cách khác, Jeff Montgmery, giám đốc maketing của Cambrige, nCipher, England nói, là mã hoá tất cả nhưng bốn con số cuối cùng trong dãy số nhạy cảm thì không.

Các khách hàng nên mã hoá dữ liệu hơn là chỉnh sửa các trình ứng dụng, Mogull nói. Các công ty cũng có thể chỉ đơn thuần mã hoá file hay ổ cứng lưu trữ file (để làm lệch hướng các cuộc tấn công trên cơ sở dữ liệu) và sử dụng chức năng giám sát quyền truy cập dữ liệu để theo dõi các hoạt động đáng ngờ bên trong ứng dụng.

Lựa chọn sai như sử dụng công cụ mã hoá không phù hợp có thể gây lãng phí nhiều tiền bạc, gây nguy hiểm lớn cho dữ liệu và làm cho người dùng chằng mấy vui vẻ. Đó là lý do vì sao, điều cốt yếu đầu tiên là phải hiểu được các mối đe doạ dữ liệu bạn phải đối mặt. Sau đó mới bắt đầu xây dựng hàng rào bảo vệ cho mình.