Bảo mật cơ sở dữ liệu nghĩa là gì?
Trước đây, doanh nghiệp thường có thể bảo mật dữ liệu bằng cách khóa các loại giấy tờ nhạy cảm trong tủ hồ sơ hoặc thực hiện cài mật khẩu cho máy tính. Nhưng với sự thay đổi nhanh chóng mặt trong thời đại kỹ thuật số, giờ đây các doanh nghiệp sẽ phải nỗ lực nhiều hơn với các loại công nghệ và giải pháp mới để bảo mật các hệ thống, ứng dụng và các dữ liệu của doanh nghiệp được toàn vẹn.
Bảo mật về cơ sở dữ liệu đề cập đến phạm vi hoạt động các công cụ, kiểm soát và biện pháp được thiết kế để thiết lập được và duy trì tính bảo mật, tính toàn vẹn cũng như tính khả dụng của cơ sở dữ liệu. Bài viết này cũng sẽ tập trung chủ yếu vào tìm hiểu tính bảo mật vì đó là yếu tố bị xâm phạm trong hầu hết của các vụ vi phạm dữ liệu.
Bảo mật cơ sở dữ liệu là ban phải giải quyết và bảo vệ những điều sau:
- Dữ liệu có sẵn trong cơ sở dữ liệu
- Hệ thống để quản lý cơ sở dữ liệu (DBMS)
- Mọi ứng dụng liên quan
- Máy chủ của cơ sở dữ liệu vật lý và / hoặc máy chủ của cơ sở dữ liệu ảo và phần cứng bên dưới
- Cơ sở hạ tầng các loại máy tính và / hoặc các loại mạng được sử dụng để truy cập cơ sở dữ liệu
Bảo mật các cơ sở dữ liệu là một nỗ lực phức tạp và có đầy thách thức liên quan đến tất cả các phía khía cạnh của công nghệ và thêm thực tiễn bảo mật thông tin. Cơ sở dữ liệu hiện càng dễ tiếp cận và sử dụng được, thì cơ sở dữ liệu cũng càng dễ bị tấn công bởi các mối đe dọa bảo mật; cơ sở dữ liệu nếu như càng bất khả xâm phạm trước các mối đe dọa thì cũng sẽ càng khó truy cập và sử dụng.
Bối cảnh chung về bảo mật cơ sở dữ liệu
Môi trường công nghệ thông tin phát triển đang làm cho cơ sở dữ liệu càng dễ bị đe dọa hơn. Dưới đây là các xu hướng hiện có thể dẫn đến các kiểu tấn công mới vào các cơ sở dữ liệu hoặc có thể yêu cầu về các biện pháp phòng thủ mới:
- Khối lượng của dữ liệu ngày càng tăng — lưu trữ , thu thập và thực hiện xử lý dữ liệu đang tăng lên theo cấp số nhân có trên hầu hết các tổ chức. Bất kỳ các công cụ hoặc thực hành bảo mật dữ liệu nào cũng đều phải có khả năng được mở rộng cao để giải quyết các yêu cầu trong tương lai gần và xa.
- Cơ sở và hạ tầng phân tán – môi trường mạng hiện đang ngày càng phức tạp, đặc biệt khi các doanh nghiệp chuyển đổi khối lượng công việc sang các kiến trúc đám mây được kết hợp hoặc đa đám mây, khiến việc triển khai, quản lý và thực hiện lựa chọn các giải pháp bảo mật trở nên khó khăn hơn.
- Các yêu cầu về quy định ngày càng chặt chẽ — bối cảnh cũng tuân thủ quy định trên toàn thế giới ngày càng thêm phức tạp, do đó, việc tuân theo tất cả các loại nhiệm vụ ngày càng trở nên khó khăn hơn.
- Sự thiếu hụt mạnh mẽ kỹ năng về an ninh mạng — sự thiếu hụt trên toàn cầu về các chuyên gia an ninh mạng có tay nghề cực kỳ cao và các tổ chức đang gặp khó khăn trong việc có thể thực hiện các vai trò bảo mật. Điều này cũng có thể gây khó khăn hơn trong việc bảo vệ cơ sở hạ tầng khá quan trọng, bao gồm cả cơ sở dữ liệu.
Các hiểm hoạ về bảo mật cơ sở dữ liệu của doanh nghiệp
Số lỗ hổng về bảo mật trong các hệ thống quản trị cơ sở dữ liệu được phát hiện ngày càng nhiều hơn. Một số chuyên gia đã chứng tỏ rằng hacker hoàn toàn có thể tạo ra các loại virus chuyên lây lan qua hệ quản trị cơ sở dữ liệu và thậm chí là các rootkit trong bản thân hệ quản trị cơ sở dữ liệu.
Những mối đe doạ nguy hiểm đó hầu như không thể ngăn chặn bằng các biện pháp như là phòng vệ “cổ điển” do tường lửa cùng với các hệ thống IDS/IPS cung cấp, vì những lỗ hổng bảo mật CSDL thường liên quan đến từng phiên bản khá là cụ thể của mỗi hệ quản trị CSDL và thay đổi liên tục.
Nhưng điều đó cũng sẽ không có nghĩa là CSDL chỉ có thể bị tấn công thông qua những kỹ thuật cao cấp. Theo Top 20 – 2007 Security Risks của SANS Institute cho biết thì các lỗ hổng trên máy chủ cơ sở dữ liệu thuộc nhóm 20 rủi ro bảo mật hàng đầu, trong đó thì những lỗ hổng thường gặp nhất là:
- Dùng cấu hình chuẩn với các tên người dùng và mật khẩu mặc định.
- Tấn công SQL Injection thông qua công cụ của cơ sở dữ liệu, ứng dụng thứ ba hay các ứng dụng duyệt web của người dùng.
- Dùng mật khẩu dễ để dò tìm cho các tài khoản cao cấp.
- Các lỗi tràn bộ đệm trong toàn bộ các tiến trình “lắng nghe” các cổng phổ biến
Điều đó chứng tỏ một thực tế là cơ sở dữ liệu có thể bị tấn công bằng những phương pháp rất là đơn giản. Nếu xét kỹ hơn, chúng ta cũng sẽ thấy có rất nhiều lỗ hổng trong hệ thống cơ sở dữ liệu do con người tự tạo ra. Dữ liệu của doanh nghiệp cũng có thể nằm rải rác ở những điểm khác nhau ngay bên ngoài máy chủ chính, đó có thể là các đĩa/băng để lưu trữ, các máy chủ dự phòng hay máy chủ để phục vụ nhu cầu báo cáo hay thậm chí là máy chủ dành cho việc phát triển/kiểm thử ứng dụng.
Trong khi các hệ thống thực hiện lưu trữ, dự phòng có thể cũng được bảo vệ nghiêm ngặt và gần như các hệ thống chính thì cơ sở dữ liệu cho phát triển và kiểm thử ứng dụng thường sẽ không được quan tâm nhiều. Đó là một lỗ hổng khá là lớn vì các cơ sở dữ liệu đó thường chứa cả những thông tin nhạy cảm ví dụ như số dư, giao dịch thực tế của khách hàng nhưng cũng lại có thể bị những nhóm người dùng đông đảo và không hề có thẩm quyền truy cập.
Cũng như các công tác bảo mật nói chung, phòng ngự theo những chiều sâu (defense-in-depth) và bảo vệ có trọng điểm là một trong những nguyên tắc cơ bản của bảo mật cơ sở dữ liệu. Để có thể thực hiện được điều này, doanh nghiệp cần biết rõ họ cũng đã triển khai những cơ sở dữ liệu nào, chúng hiện đang được sử dụng để lưu thông tin gì, chúng đang có được những điểm yếu nào. Vì vậy, bảo mật cho cơ sở dữ liệu phải bắt đầu bằng việc thu thập thông tin, phân loại và thực hiện xác định mức độ ưu tiên.
Một biện pháp khác khá đơn giản và hiệu quả nhưng ít người chú ý thực hiện là gỡ bớt các loại mô-đun không cần thiết để giảm thiểu bình diện dễ tấn công. Hầu hết các hệ quản trị cơ sở dữ liệu hiện nay (đặc biệt là các phiên bản dành riêng cho doanh nghiệp) đều chứa rất nhiều mô-đun hay tuỳ chọn với những loại công dụng mà bình thường ít dùng tới. Tất nhiên, càng có thêm nhiều chức năng thì khả năng có lỗ hổng và dễ bị lợi dụng để tấn công càng lớn. Vì vậy, hãy rà soát cấu hình cơ sở dữ liệu theo định kỳ để loại bỏ những thành phần không cần thiết.
Với việc các lỗ hổng bảo mật của các hệ quản trị cơ sở dữ liệu liên tiếp được phát hiện, công việc cũng không thể bỏ qua đối với các doanh nghiệp là có thể áp dụng các bản vá do các nhà cung cấp cho phân phối. Việc áp dụng các bản để vá không đơn giản là tải xuống và cài đặt. Đối với các hệ thống quản trị cơ sở dữ liệu, việc áp các bản vá còn phức tạp hơn rất nhiều so với các thiết bị mạng hay các ứng dụng các phần mềm khác.
Vì các cơ sở dữ liệu là yếu tố sống còn quyết định của các hệ thống ứng dụng chính nên mỗi một sai sót nhỏ cũng có thể ảnh hưởng rất lớn. Trước khi thực hiện cài đặt bất kỳ bản vá nào đều cần phải thử nghiệm thật là cẩn thận và lên kế hoạch để đảm bảo hệ thống có thể hoạt động ổn định sau khi triển khai cũng như là giúp giảm thiểu thời gian dừng (downtime).
Trong bảo mật cơ sở dữ liệu, kiểm soát truy cập là yếu tố thiết yếu và điều đó phải được người thực hiện dựa trên nguyên tắc quyền tối thiểu. Mỗi người dùng hay mỗi ứng dụng chỉ được phép có những quyền đủ để có thể phục vụ cho công việc. Điều này sẽ không chỉ áp dụng cho quá trình phân quyền đầu tiên mà cũng cần phải được kiểm tra định kỳ. Không ít doanh nghiệp được cấp quyền truy cập sâu cho nhân viên tư vấn hay các lập trình viên bên ngoài cho một dự án ngắn ngày nhưng cũng lại quên không cắt hay thay đổi quyền khi công việc hoàn tất.
Vì những quyền đọc thường có vẻ rất vô hại cũng có thể dùng làm bàn đạp phù hợp dành cho những cuộc tấn công có quy mô trong tương lai nên chúng ta cũng cần xem xét việc phân quyền của cả những quyền riêng nhỏ nhất. Bên cạnh đó, cần phải có biện pháp kiểm soát và theo dõi việc thực hiện truy cập từ các phương tiện lưu trữ dữ liệu cũng như cố gắng để hạn chế những mối đe doạ đối với bảo mật cơ sở dữ liệu từ quá trình phát triển và kiểm thử phần mềm. Phải đảm bảo rằng dữ liệu thật không được dùng vào quá trình phát triển hay đẻ kiểm thử, cơ sở dữ liệu dùng vào những công việc đó cũng không được nằm chung trên máy chủ chứa cơ sở dữ liệu thật.
Mã hoá cơ sở dữ liệu là biện pháp tiếp theo cần áp dụng để bảo mật cơ sở dữ liệu, là lớp bảo vệ trong trường hợp các biện pháp kiểm soát lượng truy cập đã bị vượt qua. Việc mã hoá này cũng phải được thực hiện một cách đúng đắn để đảm bảo người dùng được có toàn quyền trên hệ điều hành cũng không thể nào đọc được dữ liệu nếu không thông qua kiểm soát của các ứng dụng.
Yếu tố quan trọng đầu tiên là luôn cần xét đến trong quy trình mã hoá dữ liệu là để quản lý các khoá, nếu hệ thống quản lý khoá không thể đảm bảo thì những tác dụng của mã hoá cũng giảm đi rất nhiều. Vấn đề mà các bạn cần lưu ý là lựa chọn các phương án mã hoá riêng như thế nào để có thể đảm bảo an toàn thông tin mà sẽ không ảnh hưởng đến hiệu năng của hệ thống?
Chúng ta cũng sẽ cùng xem xét một số lựa chọn. Nếu như nhấn mạnh vấn đề thực hiện bảo mật, có thể lựa chọn mã hoá được tất cả các loại trường trừ trường mã số (ví dụ như ;à mã khách hàng). Cách làm như thế này chỉ có thể áp dụng được nếu mọi yêu cầu truy cập cơ sở dữ liệu (dù là truy vấn, thêm mới, cập nhật hay là xoá) đều dựa trên trường mã số.
Nếu có yêu cầu để truy cập dữ liệu dựa trên các trường khác, ảnh hưởng của việc thực hiện mã hoá/giải mã dữ liệu sẽ rất lớn (ví dụ như là việc tìm kiếm theo tên khách hàng sẽ yêu cầu được giải mã tất cả các bản ghi). Điều đó dẫn đến như là một phương án khác là chỉ mã hoá những trường được chứa dữ liệu nhạy cảm, cần bảo vệ tất cả như số thẻ tín dụng…
Cách làm như thế này chỉ ảnh hưởng đến những câu lệnh truy cập phù hợp dựa trên số thẻ tín dụng. Nhưng cũng rất có thể ứng dụng lại có chức năng là tìm kiếm chỉ dựa trên số thẻ tín dụng. Vì vậy, trước khi bạn quyết định mã hoá trong một trường dữ liệu nào đó, chúng ta cũng cần xem xét các câu lệnh truy cập dữ liệu hay dùng để có thể biết việc mã hoá ảnh hưởng thế nào đến hiệu năng của hệ thống.
Cần lưu ý rằng các hệ thống cơ sở dữ liệu thường rất phức tạp vì chúng liên kết với rất nhiều ứng dụng khác nhau. Chỉ một lỗi trong một các cấu phần cũng có thể làm lộ dữ liệu của hệ thống. Vì thế nên việc bảo mật riêng cơ sở dữ liệu là không đủ, tất cả các loại ứng dụng và cấu phần liên quan phải được bảo mật. Việc bạn áp dụng hệ thống mã hoá trong suốt với những người dùng cho tất cả các thiết bị nhớ di động khá là phức tạp và tốn kém nhưng vẫn có thể coi là cực kỳ đơn giản nếu so với nhiệm vụ ngăn chặn rò rỉ thông tin.
Gần đây trên các thị trường đang nổi lên một mảng giải pháp và cùng sản phẩm mới với tên gọi DLP (data loss prevention). Mặc dù vẫn còn nhiều tranh cãi nhưng các giải pháp hiện đều có tâm điểm là hệ thống giám sát và lọc nội dung. Khả năng để phân tích nội dung cho phép các công cụ rà soát mọi kiểu luồng thông tin trao đổi trên mạng cũng như dữ liệu nằm ở ngay trên đĩa, gỡ bỏ các lớp vỏ (ví dụ như là với các bảng tính hay tệp PDF được nén) để xác định được các thông tin nhạy cảm dựa trên các chính sách bảo mật thông tin của doanh nghiệp.
Bắt đầu với các loại công cụ giám sát nhằm phát hiện rò rỉ thông tin thông qua các kênh trao đổi phổ biến như thư điện thử, tin nhắn tức thời ngay (IM), FTP và HTTP, các giải pháp DLP cũng dần phát triển thêm những tính năng như rà soát các loại kho dữ liệu và các thư mục được chia sẻ trong mạng để có thể phát hiện thông tin nhạy cảm chưa được bảo vệ, giám sát được việc sử dụng dữ liệu trên máy tính của nhiều người dùng (ví dụ như chép tài liệu quan trọng đưa ra thiết bị nhớ USB, cắt dán thông tin).
Phương pháp bảo mật cơ sở dữ liệu tốt nhất cho doanh nghiệp
Bảo mật Vật Lý
Cho dù các máy chủ cơ sở dữ liệu của bạn được đặt tại cơ sở hay trong trung tâm dữ liệu kiểu đám mây, nó phải được đặt ở trong một môi trường an toàn, được kiểm soát về các loại khí hậu. (Nếu như các máy chủ cơ sở dữ liệu của bạn nằm ở trong trung tâm dữ liệu đám mây, nhà cung cấp các dịch vụ đám mây của bạn sẽ nhanh chóng giải quyết việc này cho bạn.)
Sử dụng tường lửa
Tường lửa chính là phương thức bảo mật được sử dụng phổ biến nhất thời điểm hiện nay. Nhờ có tường lửa mà những thông tin về cơ sở dữ liệu sẽ được bảo vệ khỏi các mối đe dọa nguy hiểm từ bên ngoài. Tường lửa sẽ ngăn chặn được những truy cập trái phép và bất thường. Qua đó, các cơ sở dữ liệu của tổ chức sẽ được bảo mật một cách an toàn và cũng hiệu quả hơn.
Kiểm soát số lượng, quyền hạn truy cập
Để bảo mật được tốt cơ sở dữ liệu và ngăn chặn các dữ liệu bị rò rỉ ra bên ngoài, các doanh nghiệp cũng cần phải quản lý được thật tốt số lượng và quyền hạn truy cập. Các tổ chức cũng cần phải giới hạn tối thiểu số lượng người có thể tham gia truy cập, cũng như giới hạn các quyền của họ cũng chỉ được thực hiện ở mức tối thiểu cần thiết để thực hiện các công việc của mình. Việc giới hạn về số lượng và quyền hạn truy cập sẽ hạn chế tối đa những cuộc đánh cắp các loại cơ sở dữ liệu.
Bảo mật tài khoản và thiết bị của người dùng cuối
Các tổ chức, doanh nghiệp vẫn phải luôn biết được ai đang truy cập vào các nguồn cơ sở dữ liệu. Và nguồn cơ sở dữ liệu đó sẽ được truy cập khi nào và được dùng vào các mục đích gì. Ứng dụng thuộc các biện pháp giám sát và theo dõi dữ liệu cũng sẽ cảnh báo cho doanh nghiệp các truy cập và để sử dụng dữ liệu trái phép và bất thường. Các thiết bị mà người dùng khi truy cập phải luôn tuân thủ theo các biện pháp kiểm soát bảo mật.
Mã hoá dữ liệu
Tất cả các loại dữ liệu trong hệ thống cơ sở dữ liệu phải được bảo vệ riêng bằng cách mã hoá Encryption. Việc mã hóa cũng sẽ giúp bảo mật thông tin tốt hơn, giúp cho các quá trình truyền tải dữ liệu giữa các thiết bị với nhau trở nên được an toàn hơn.
Sử dụng những phần mềm cơ sở dữ liệu cập nhật nhất
Các cuộc tấn công an ninh mạng hiện ngày càng trở nên tinh vi và hiện đại hơn. Chính vì thế mà các tổ chức, doanh nghiệp phải luôn tham gia sử dụng, cập nhật và ứng dụng những phần mềm quản lý bảo mật.
Lưu trữ các thông tin đăng nhập
Các tổ chức cũng cần phải ghi lại tất cả các thông tin đăng nhập vào máy chủ các cơ sở dữ liệu. Bên cạnh đó, cần ghi lại được tất cả các hoạt động trên cơ sở dữ liệu của những nguồn đăng nhập này. Qua đó có thể nhanh chóng phát hiện ra những sai phạm, những lưu lượng truy cập bất thường và trái phép.
Bài viết trên đã giới thiệu đến bạn đọc khái niệm và tổng hợp những cách để bảo mật cơ sở dữ liệu hiệu quả nhất cho các công ty, doanh nghiệp. Chúc bạn thành công trong công cuộc bảo vệ những dữ liệu quan trọng này.
