Web-Veritabanı Güvenliği
Veri tabanının ele eeçirilmesine neden olan tehtidler ve veri tabanı güvenliği yöntemleri nelerdir.
Veri Tabanının Ele Geçirilmesine Neden Olan Tehtidler Nelerdir?
– Kullanıcı izinlerinin iyi bir kontrol mekanizması ile yönetilmemesi: Kullanıcılara ihtiyaçlarının üzerinde haklar verilmesi, bu kullanıcıların hesap bilgilerinin çalınması durumunda sistemin kolayca ele geçirilmesine neden olacaktır.
– Kullanıcı haklarının kötüye kullanılması: Kullanıcının sahip olduğu izinleri yetkisiz erişimler için kullanılması
-SQL zafiyetleri: İstismar kodunun web uygulamasının girdi alanlarına enjekte edilmesiyle gerçekleştirilen SQL enjeksiyon saldırılarına yol açan ve saldırgana bütün bir veri tabanına ulaşma imkanı veren sistem açıklıkları.
– Zararlı yazılım bulaştırma: Çalışanın mail hesabına gönderilen oltalama maili ile zararlı yazılımın indirtilip kullanıcı bilgisayarı üzerinde nveri tabanı sistemine ulaşılması
– Zayıf sistem kayıtları mekanizması: Otomatize edilmiş olay kayıtları veri tabanı sistemlerinin güvenliği için büyük önem taşımaktadır. Kayıtlar düzenli tutulmadığı takdirde çeşitli sorunlara yol açacaktır.
– Depolama alanı açıkta bırakma: Genelde canlı sistemler daha iyi korunmaya alınmaktadır. Ancak yedekleme dosyalarının ve yedekleme ortamının güvenliği de canlı sistemler kadar önemlidir. Saldırganlar şifrelenmemiş bir yedekleme dosyası üzerinden sisteme sızabilir.
– DOS saldırıları: Hizmet engelleme saldırısı olarak adlandırılan DOS atakları ağ cihazlarına veya verilere erişimi engelleyen bir saldırı türüdür. Veri tabanı sistmelerine karşı gerçekleştirilen DOS saldırılarında, sistemde büyük oranda bir kaynak kullanımına neden olan arama yapma ve istek gönderme işlemleri gerçekleştirilerek sunucya aşırı yük bindirilmesi ve hizmet veremez hale getirilmesi hedeflenir.
Veri Tabanı Güvenliği Yöntemleri
– Veri tabanındaki datanın önem derecesine göre sınıflandırılması: Bu yöntemle asıl güvene alınması gereken hassas verilrin daha kolay tanımlanabilmesini sağlar.
– Veri tabanı sunucularının varsayılan(default) olarak sahip olduğu denetim mekanizmalarının kullanılması: Bu yöntem denetim mekanizması fazla karmaşık olmayan sistemler için kullanılabilir.
– Üçüncü parti bir denetim yazılımı ve ağ cihazı kullanılması: Hem koruma hem de monitoring servisi veren bu cihazlar veri tabanı sunucusundan ayrı olarak kuruldukları için suncuuya ek yük bindirmezler. Kullanıcının gereksinimlerine göre özelleştirilebilen bu çözümler birçok özelliğe sahip olmasının yanı sıra aynı zamanda yüksek oranda analiz sonucu alabilmek için detaylı denetim yaparlar.
Veri tabanı güvenliğinin önemli bileşenlerinden biri de data şifreleme yöntemidir. Durağan haldeki datanın şifrelenmesi kadar hareket halindeki datanın da güçlü kimlik doğrulama kontrolleri ile iletimi de büyük önem taşımaktadır. Durağan haldeki veriler için AES şifreleme algoritması önerilmektedir. Her bir uygulamanın güvenlğinin öncelik derecesine göre seçilebilecek farklı şifreleme algoritmaları arasında DES, Triple DES, DESX, 128-bit ATE, 192-bit AES, 256-bit AES sayılabilir.
Veri tabanı güvenliğinin sürekli sağlanması için periyodik olarak uygulanması gereken adımlar:
– Analiz edlip güvenliğinin sağlanması gereken veri tabanını tespit etmek
-Gereklilikler göz önüne alınarak sistemin veya verinin güvenlik önceliğine göre sınıflandırılması
– Veri tabanını zafiyetler, yanlış yapılandırmalar ve kritik değişiklikler için taramak
– Dataların sınıflandırılması esas alınarak yüksek önemdeki açıklıkalrın yüksek öncelik verilerek kapatılması
– Zafiyetler için uygun bir düzeltme tespit etmek, zafiyetleri kapatmak ve sistemi güncellemek için yamaları uygulamak
– Zafiyet düzeltme işlemlerinin etkisini ölçmek için düzeltmeden sonra denetim işlemi tekrarlanmalıdır ve bu döngü periyodik olarak tekrarlanmalıdır.
