Проблемы информационной безопасности СУБД на территории РБ

Размещено на http://www.allbest.ru/

Учреждение образования "Барановичский государственный университет"

Проблемы информационной безопасности СУБД на территории РБ

А.А. Бердникова, А.Ю. Бузук

В данной статье рассматриваются некоторые вопросы информационной безопасности, целостности и конфиденциальности информации, и в первую очередь безопасности СУБД. Даётся определение информационной безопасности и основные цели её защиты, рассмотрены аспекты понятия надёжности информационных систем. Определены основные направления борьбы с потенциальными угрозами безопасности информации, и в частности СУБД, с учётом их специфики и в соответствии с законодательством РБ. Опираясь на статистические данные, приводятся выводы о необходимости разработки новых алгоритмов и поиска способов решения этих задач.

This article discusses some of the issues of information security, integrity and privacy of information and especially the security of the database management system. There are definition of the information security, the main aims of its security, examined aspects of the concept of the reliability of information systems. The main areas for intervention with potential threats of the information security and especially of the database management system, taking into account their specificities and in accordance with the laws of the Republic of Belarus are determined there. Based on the statistical data, the findings are necessary to develop new algorithms and search methods of solving these problems.

Ключевые слова: информация, информационная безопасность, криптология, СУБД, средства защиты СУБД

Keywords: information, information security, cryptology, database management system, protection means of database management system

Введение

Развитие вычислительных систем обусловило необходимость организации обработки, хранения и предоставления доступа к данным больших объёмов в электронном виде, которые имеют тенденцию увеличивать свои объёмы достаточно регулярно. Актуальность вопросов целостности и конфиденциальности информации, содержащейся в системах баз данных, поднимают вопросы проблемы информационной безопасности.

В современном обществе под понятием "информационной безопасности" понимают защищённость информации и её структурных компонентов от случайных или преднамеренных воздействий естественного либо искусственного характера, которые могут нанести какой-либо ущерб субъектам информационных отношений.

В понятие защиты данных включаются вопросы сохранения их целостности и санкционированной доступности в результате деятельности, как посторонних лиц, так и специальных программ-вирусов.

Абсолютно безопасных систем нет и это очевидно. Система будет считаться надежной, если с помощью определенных аппаратных и программных средств будет обеспечиваться одновременная обработка информации различной степени секретности группой пользователей без нарушения каких-либо прав доступа.

Защита информации - это комплекс мероприятий, направленных на обеспечение целостности, доступности и, если нужно, конфиденциальности информации и ресурсов, используемых для ввода, хранения, обработки и передачи данных, т. е. важнейших аспектов информационной безопасности.

Основные цели защиты информации: обеспечение физической целостности; обеспечение логической целостности; предупреждение несанкционированного получения; предупреждение несанкционированной модификации; предупреждение несанкционированного копирования.

Одной из наук, занимающейся методами шифрования и дешифрования является криптология - это самостоятельное научное направление, изучающее и разрабатывающее научно-методологические основы, способы, методы и средства криптографического преобразования информации.

Основные направления использования криптографических методов - передача конфиденциальной информации по каналам связи, установление подлинности передаваемых сообщений, хранение информации на носителях в зашифрованном виде. Криптографические методы защиты информации в автоматизированных системах могут применяться как для защиты информации, обрабатываемой в ЭВМ или хранящейся в различного типа запоминающих устройствах, так и для закрытия информации, передаваемой между различными элементами системы по линиям связи.

В Республике Беларусь существует закон об информации, информатизации и защите информации, в главе 7 которого рассмотрены основные вопросы защиты информации. В ней выделены основные цели, требования, методы организации мер по защите информации:

1. правовыми мерами защиты информации названы заключаемые между обладателем информации и пользователем информации договоры, в которых установлены условия использования информации, а также законодательная ответственность сторон по договору за нарушение, прописанных в договоре условий;

2. организационными мерами защиты информации называют обеспечение режима особого допуска на территорию предприятия или организации, где осуществляется доступ к информации, хранящейся на различного вида носителях, а также приоритетность доступа к информации круга лиц и характера информации;

3. программно-техническими мерами защиты информации называют различные меры использования средств защиты информации, в том числе криптографических, а также систем контроля доступа и регистрации фактов доступа к информации.

На государственные органы и юридические лица, осуществляющие обработку и распространение информации, предоставление которой ограничено, возлагается ответственность за обеспечение защиты информации, путем назначения соответствующих подразделений или должностных лиц. электронный шифрование информация

Выделим основные направления борьбы с потенциальными угрозами конфиденциальности и целостности информации: идентификация и подлинность пользователей; разграничение приоритета доступа к данным; учет и анализ всех действий, влияющих на безопасность данных; защита зарегистрированной информации от преобразований и ее анализ; защита информации, передаваемой по каналам связи.

Обозначенные направления применимы как к информации в целом, так и к системам управления базами данных (СУБД) в частности.

Следует отметить, что специфика СУБД делает потенциально возможными новые угрозы и, соответственно, требует особых мер защиты.

СУБД имеют особую внутреннюю структуру, которую даже можно назвать строгой и капризной, а значит, и операции над их элементами определены четко и конкретно. Как правило, на производстве, эти операции включают в себя четыре основных действия, а именно: поиск, вставка, удаление, замена элемента.

Остальные являются вспомогательными и применяются достаточно редко.

Как показывает статистика, злоумышленники не уделяют особого внимания СУБД, и предпочитают взламывать защиту сети на уровне операционной системы (ОС) и получают доступ к файлам СУБД средствами ОС. Иногда злоумышленники без труда преодолевают защиту, установленную непосредственно в самой СУБД, но лишь тогда, когда используется СУБД с низким уровнем защитных механизмов, плохо протестированная версия СУБД, администратор-программист СУБД при определении политики безопасности допустил ошибки.

Существуют два наиболее распространённых сценария попыток взлома СУБД:

в первом случае округляются в меньшую сторону результаты арифметических операций над числовыми полями СУБД, а в некоторой другой записи СУБД суммируется разница;

во втором случае злоумышленники получают доступ к полям записей СУБД, содержащим только накапливаемую статистическую информацию.

Главный источник угроз для СУБД, лежит в самой природе баз данных, хранящей информацию. Задача взломщика - сформулировать запрос таким образом, чтобы множество записей, для которого собирается статистика, состояло только из одной записи.

Основным средством взаимодействия с СУБД является язык SQL - формальный непроцедурный язык программирования, применяемый для создания, модификации и управления данными в произвольной реляционной базе данных, управляемой соответствующей системой управления базами данных. SQL основывается на исчислении кортежей. Механизм правил дает возможность выстраивать сложные, трудные для анализа цепочки действий, позволяя попутно неявным образом передавать право на выполнение процедур, даже не имея, строго говоря, полномочий на это. В результате потенциальный злоумышленник получает под свой контроль мощный и удобный инструментарий, а, как известно, развитие СУБД направлено на то, чтобы сделать этот инструментарий еще более мощным и удобным.[1]

Заключительная часть

Вопросы, связанные с решением проблем по защите информации в целом, и в частности СУБД, остаются довольно актуальными. На текущий момент эффективны следующие средства защиты данных в СУБД: разграничение прав доступа к объектам базы данных, защита паролем, шифрование данных и программ. В результате исследования проблем информационной безопасности можно отметить, что существуют такие виды атак, которые преодолевают данные средства защиты и в связи с этим необходима разработка новых алгоритмов и поиск способов решений задач информационной безопасности.

Список цитируемых источников

1. Citforum [Электронный ресурс]/ This Web server launched on February 24, 1997 Copyright © 1997-2000 CIT. - Режим доступа: http//www.citforum.ru/database/kbd96/49.shtml. - Дата доступа: 25.08.2014

Размещено на Allbest.ru