• Cara melindungi koneksi.
• Apa itu audit tindakan dan bagaimana cara merekam apa yang terjadi pada bagian basis data dan menghubungkannya.
• Bagaimana melindungi data dalam database itu sendiri dan teknologi apa yang ada untuk ini.

Perlindungan Koneksi

• apakah satu pengguna bisnis setara dengan satu pengguna DBMS;
• Apakah akses ke data DBMS disediakan hanya melalui API yang Anda kontrol, atau apakah ada akses ke tabel secara langsung;
• apakah DBMS dialokasikan dalam segmen yang dilindungi secara terpisah, siapa yang berinteraksi dengannya dan bagaimana;
• apakah pooling / proxy dan middleware digunakan, yang dapat mengubah informasi tentang bagaimana koneksi dibangun dan siapa yang menggunakan database.

1. Gunakan solusi kelas firewall basis data. Lapisan perlindungan tambahan, setidaknya, akan meningkatkan transparansi dari apa yang terjadi di DBMS, sebagai maksimum - Anda dapat memberikan perlindungan data tambahan.
2. . , . — -, , . , , .
   
   , MS SQL Vulnerability Assessmen . 
3. . , , , , , . .
4. Konfigurasikan SSL, jika Anda tidak memiliki pemisahan jaringan DBMS dari pengguna akhir, ia tidak berada dalam VLAN terpisah. Dalam kasus seperti itu, perlu untuk melindungi saluran antara konsumen dan DBMS itu sendiri. Alat perlindungan adalah di antara sumber terbuka.

Bagaimana ini akan mempengaruhi kinerja DBMS?

pgbench.exe --connect -c 10 -t 5000 "host=192.168.220.129 dbname=taskdb user=postgres sslmode=require 
sslrootcert=rootCA.crt sslcert=client.crt sslkey=client.key"

pgbench.exe --connect -c 10 -t 5000 "host=192.168.220.129 dbname=taskdb user=postgres"

pgbench.exe -c 10 -t 5000 "host=192.168.220.129 dbname=taskdb user=postgres sslmode=require
sslrootcert=rootCA.crt sslcert=client.crt sslkey=client.key"

pgbench.exe -c 10 -t 5000 "host=192.168.220.129 dbname=taskdb user=postgres"

scaling factor: 1
query mode: simple
number of clients: 10
number of threads: 1
number of transactions per client: 5000
number of transactions actually processed: 50000/50000

Audit tindakan

• log default - logging bawaan;
• ekstensi: pgaudit - jika Anda tidak memiliki cukup penebangan default, Anda dapat menggunakan pengaturan terpisah yang menyelesaikan beberapa masalah.

Bagaimana ini akan mempengaruhi kinerja DBMS?

$ pgbench -p 3389 -U postgres -i -s 150 benchmark
$ pgbench -p 3389 -U postgres -c 50 -j 2 -P 60 -T 600 benchmark
$ pgbench -p 3389 -U postgres -c 150 -j 2 -P 60 -T 600 benchmark

• Kecepatan tidak banyak berubah: tanpa logging - 43.74 detik, dengan logging - 53.23 detik.
• Performa pada RAM dan CPU akan tenggelam, karena Anda perlu membuat file dengan audit. Juga terlihat pada yang produktif.

• ada banyak data;
• audit diperlukan tidak hanya melalui syslog di SIEM, tetapi juga ke file: tiba-tiba terjadi sesuatu dengan syslog, file di mana data disimpan harus dekat dengan database;
• audit memerlukan rak terpisah, agar tidak tenggelam pada disk I / O, karena membutuhkan banyak ruang;
• Kebetulan karyawan IS membutuhkan GOST di mana-mana, mereka memerlukan identifikasi tamu.

Pembatasan akses data

1. Enkripsi dan kebingungan prosedur dan fungsi (Wrapping) - yaitu, alat dan utilitas terpisah yang membuat kode tidak dapat dibaca dari kode yang dapat dibaca. Benar, maka itu tidak dapat diubah atau dikembalikan lagi. Pendekatan semacam itu kadang-kadang diperlukan setidaknya di sisi DBMS - logika pembatasan lisensi atau logika otorisasi dienkripsi secara tepat di tingkat prosedur dan fungsi.
2. (RLS) — , , - - .
3. (Masking) — , , - . , .
4. Security DBA/Application DBA/DBA — , , , database- application-. open source , . , .
5. . , , .
6. — .
7. End-to-end encryption — client-side .
8. . , — , .

?

CREATE EXTENSION pgcrypto;
CREATE TABLE t1 (id integer, text1 text, text2 text);
CREATE TABLE t2 (id integer, text1 bytea, text2 bytea);
INSERT INTO t1 (id, text1, text2)
VALUES (generate_series(1,10000000), generate_series(1,10000000)::text, generate_series(1,10000000)::text);
INSERT INTO t2 (id, text1, text2) VALUES (
generate_series(1,10000000),
encrypt(cast(generate_series(1,10000000) AS text)::bytea, 'key'::bytea, 'bf'),
encrypt(cast(generate_series(1,10000000) AS text)::bytea, 'key'::bytea, 'bf'));

psql -c "\timing" -c "select * from t1 limit 1000;" "host=192.168.220.129 dbname=taskdb
user=postgres sslmode=disable" > 1.txt

psql -c "\timing" -c "select id, decrypt(text1, 'key'::bytea, 'bf'),
decrypt(text2, 'key'::bytea, 'bf') from t2 limit 1000;"
"host=192.168.220.129 dbname=taskdb user=postgres sslmode=disable" > 2.txt

Fitur keamanan dalam DBMS komersial dan open source

1. Lebih dari Ceph: MCS Block Cloud Storage .
2. Bagaimana memilih database untuk proyek, agar tidak memilih lagi .