Атаки на уровне СУБД

31 июля 2012

Системы управления базами данных (СУБД), как правило, являются хорошо защищенными и защита СУБД считается одной из наиболее простых задач защиты информации. Это обусловлено тем, что БД имеют четкую внутреннюю структуру, и четко определенные операции над элементами БД. В общем случае над элементами баз данных определены всего четыре основные операции: поиск, вставка, замена и удаление. Другие операции носят вспомогательный характер и используются относительно редко. Такая простая структура упрощает защиту и администрирование СУБД, при этом делая сложным задачу преодоления этой защиты. В большинстве случаев злоумышленники не пытаются атаковать СУБД, поскольку преодолеть защиту автоматизированной банковской системы на уровнях операционной системы и сети гораздо проще.

Однако, в некоторых случаях преодоление защиты, реализуемой СУБД, вполне возможно:

  • если в автоматизированной банковской системе используется СУБД, защита которой недостаточно надежна;
  • если используется недостаточно хорошо протестированная версия СУБД, содержащая ошибки в программном обеспечении;
  • если администраторы базы данных допускают грубые ошибки при определении политики безопасности.

Известны два вида атак на СУБД автоматизированных банковских систем, для защиты от которых требуются специальные меры:

  • “атака салями”, когда результаты округления результатов арифметических операций прибавляются к значению некоторого элемента базы данных (например, к некоторому личному счету);
  • статистическая идентификация, когда получают конкретные значения тех полей базы данных, для которых доступна только статистическая информация. Идея заключается в том, чтобы так сформировать запрос, что множество записей, по которым собирается статистика, включает в себя только одну запись.

Рейтинг@Mail.ru