راهکاری جامع و انعطاف‌پذیر
درباره AVDF که یک فرهنگ سازمانی جدید در حوزه دیتابیس و امنیت است
سعید شجاعی، مدیر واحد راهکارهای اوراکل شرکت رمیس؛ عصر تراکنش ۶۲ / امروزه امنیت در حوزه داده و دیتابیس به‌عنوان یکی از اصلی‌ترین دغدغه‌های تیم‌های مدیریتی و امنیتی سازمان‌ها شناخته می‌شود و امروزه سازمان‌ها در حوزه‌های مختلفی در لایه امنیت از جمله Network security، User security، Email security و حتی SIEM اقدامات متعددی انجام می‌دهند، اما سؤال مهم اینجاست که کدام‌یک از این راهکارها به‌صورت تخصصی در حوزه امنیت دیتابیس هستند؟
لزوم پیاده‌سازی DAM
اگر دیتابیس‌ها و داده‌ها را به‌عنوان یکی از اصلی‌ترین دارایی‌های یک سازمان تلقی کنیم، لزوم استفاده از راهکاری تخصصی در این حوزه جهت افزایش امنیت بیش از پیش احساس می‌شود. یکی از مهم‌ترین این راهکارها، راهکارهای مبتنی بر DAM (Database Activity Monitoring) هستند. راهکارهای مبتنی بر DAM باید چندین ویژگی زیر را داشته باشند:
- پشتیبانی از انواع دیتابیس از جمله Oracle، SQL server، MySQL و…؛
- نظارت و ممیزی تمامی فعالیت‌های دیتابیس؛
- ذخیره‌سازی فعالیت‌ها و رخدادهای دیتابیس به‌صورت امن و خارج از دیتابیس فعلی؛
- امکان ایجاد هشدار در صورت نقض سیاست‌های امنیتی در لایه دیتابیس.
شرکت اوراکل به‌عنوان مالک یکی از مهم‌ترین گونه‌های دیتابیس در دنیا با معرفی محصولی به نام Oracle Audit Vault and Database Firewall در راستای تعریف و پیاده‌سازی محصولی مبتنی بر DAM فعالیت کرده است. این محصول (AVDF) همزمان سه ویژگی را به لایه امنیت سازمان اضافه می‌کند:
- Database Activity Morning؛
- Activity and reporting؛
- Database and Firewall.
همان‌طور که مطرح شد، با توجه به اینکه یکی از الزامات DAM این است که به‌صورت multivendor فعالیت کند، این محصول نیز تعداد بسیار زیادی دیتابیس از جمله Oracle DB، SQL Server DB، MY SQL DB و حتی Porsgres SQL را پشتیبانی می‌کند.
AVDF؛ ابزاری برای پیاده‌سازی اصول امنیت داده در سازمان‌ها
AVDF را می‌توان ابزاری جهت پیاده‌سازی یک فرهنگ سازمانی جدید در حوزه دیتابیس و امنیت معرفی کرد. این محصول به‌صورت یکپارچه از دو ماژول « Database Firewall» و « Audit Vault» ایجاد شده است.در این محصول با استفاده از Audit Vault می‌توان ویژگی بسیار مهم Auditing را در دیتابیس‌ها و سیستم‌عامل‌ها فعال کرد و با توجه به اینکه این داده‌ها (Audit Data) در بستری خارج از دیتابیس فعلی تجمیع و ذخیره می‌شوند، می‌توان آنها را از دیتابیس‌های اصلی حذف و به این ترتیب کاهش عملکرد دیتابیس به‌دلیل فعال‌کردن Auditing را تا میزان زیادی کم کرد.
ماژول Database Firewall را می‌توان یکی از اعجاب‌برانگیزترین محصولات اوراکل معرفی کرد. این ماژول مانند Firewall واقعی در مسیر شبکه قرار گرفته و این امکان را فراهم می‌کند که تیم امنیت و تیم دیتابیس بتوانند روی دستورات SQL و تمامی ورودی‌های دیتابیس قوانین امنیتی تعریف کنند؛ امکانی که اکنون در Firewallهای موجود امکان‌پذیر نیست.
بدین ترتیب بعد از پیاده‌سازی این محصول می‌توان روی تمامی دستورات SQL از تمامی ورودی‌های ممکن به یک دیتابیس، قبل از رسیدن به دیتابیس تصمیم گرفت. در ادامه به برخی ویژگی‌های منحصربه‌فرد AVDF اشاره می‌کنم:
- راهکارهای جامع جهت پشتیبانی از دیتابیس‌های سازمان اعم از اوراکلی و غیراوراکلی؛
- امکان تعریف Ruleهای امنیتی در لایه دستورات SQL جهت مدیریت اتفاقات قبل از رسیدن به دیتابیس‌ها؛
- امکان بهره‌مندی از ویژگی Auditing در دیتابیس با محدودیت Audit Vault؛
- امکان تعریف Data Life Cycle جهت مدیریت داده‌های AVDF به‌صورت داده‌های Online و Archive؛
- بهره‌مندی از امکان Backup Recovery مبتنی بر راهکارهای اوراکل جهت بالا بردن ضریب حفظ داده‌ها؛
- بهره‌مندی از امکان دریافت Alert چه در قالب Email و چه در قالب ارسال فایل به SIEM؛
- عدم نیاز به اینترنت و لایسنس؛
- امکان شناسایی و صدور مجوز کلیه Unknown Trafficها بر اساس قوانین متفاوت دیتابیس‌های مختلف؛
- پشتیبانی از مکانیسم‌های High Availability جهت افزایش پایداری Audit Vault و Database Firewall؛
- بهره‌مندی از داشبوردها و گزارش‌های مدیریتی متنوع تحت وب جهت پایش بهتر سازمان.
با توجه به اتفاقات ناگوار امنیتی که در سالیان اخیر در کشورمان در لایه‌های مختلف صورت پذیرفته، لزوم بهره‌گیری از راهکارهای جامع در حوزه امن‌سازی دیتابیس‌ها بیش از پیش حس می‌شود. راهکار AVDF از یک سو با توجه به اینکه مختص دیتابیس‌های اوراکل نبوده و تمامی دیتابیس‌های مرسوم را پشتیبانی می‌کند و از سوی دیگر به‌دلیل اینکه به‌صورت همزمان می‌توان روی مدیریت یک فرایند قبل از وقوع توسط Database Firewall و بعد از وقوع توسط Audit Vault اقدام انجام داد، به‌عنوان حلقه مفقوده سازمان‌ها در حوزه امنیت دیتابیس‌ها شناسایی و دسته‌بندی می‌شود.