- •Модуль 2 Конспект лекций Введение
- •1. Постановка задачи обеспечения информационной безопасности баз данных
- •1.1. Этапы научного формирования проблемы обеспечения информационной безопасности баз данных
- •1.2. Критерии качества баз данных
- •1.3. Сущность понятия безопасности баз данных
- •1.4. Основные подходы к методам построения защищенных информационных систем
- •1.5. Архитектура систем управления базами данных
- •2. Угрозы информационной безопасности баз данных
- •2.1. Источники угроз информации баз данных
- •2.2. Классификация угроз информационной безопасности баз данных
- •2.3. Угрозы, специфичные для систем управления базами данных
- •3. Атаки, специфические для баз данных
- •3.1. Подбор и манипуляция с паролями как метод реализации несанкционированных прав
- •3.2. Нецелевое расходование вычислительных ресурсов сервера
- •3.3. Использование триггеров для выполнения незапланированных функций
- •3.4. Использование sql-инъекции для нештатного использования процедур и функций
- •4. Политика безопасности
- •4.1. Сущность политики безопасности
- •4.2. Цель формализации политики безопасности
- •4.3. Принципы построения защищенных систем баз данных
- •4.4. Стратегия применения средств обеспечения информационной безопасности
- •5. Обеспечение безопасности баз данных
- •5.1. Методы обеспечения безопасности
- •5.2. Избирательное управление доступом
- •5.3. Обязательное управление доступом
- •5.4. Шифрование данных
- •5.5. Контрольный след выполняемых операций
- •5.6. Поддержка мер обеспечения безопасности в языке sql
- •5.7. Директивы grant и revoke
- •5.8. Представления и безопасность
5.8. Представления и безопасность
Создавая представления, и давая пользователям разрешение на доступ к нему, а не к исходной таблице, можно тем самым ограничить доступ пользователя, разрешив его только к заданным столбцам или записям. Таким образом, представления позволяют осуществить полный контроль над тем, какие данные доступны тому или иному пользователю.
Заключение
Для минимизации риска потерь необходима реализация комплекса нормативных, организационных и технических защитных мер, в первую очередь: введение ролевого управления доступом, организация доступа пользователей по предъявлению цифрового сертификата, а в ближайшей перспективе – промышленное решение по выборочному шифрованию и применение алгоритмов ГОСТ для шифрования выбранных сегментов базы.
Для полного решения проблемы защиты данных администратор безопасности должен иметь возможность проводить мониторинг действий пользователей, в том числе с правами администратора. Поскольку штатная система аудита не имеет достаточных средств защиты, необходима независимая система, защищающая корпоративную сеть не только снаружи, но и изнутри. В будущем должны также появиться типовые методики комплексного решения задачи защиты баз данных для предприятий разного масштаба – от мелких до территориально распределенных.