Безопасность баз данных

 

Негосударственное образовательное  учреждение высшего профессионального  образования  Московский технологический  институт «ВТУ»

 

Факультет Техники и современных  технологий                                                     Кафедра Информатики и автоматизации

 

                                                         

 

 

 

КУРСОВАЯ РАБОТА

по дисциплине База данных

 

                                                 на тему:

« Безопасность баз данных »

 

 

 

 

 

 

 

 

 

 

Уровень образования  бакалавриат

Направление Информатика  и вычислительная техника 230100

Профиль  Программное  обеспечение вычислительной техники  и автоматизированных систем

 

 

 

 

Выполнил (а):

Студент (ка)  3 курса

Форма обучения Экстернат

Москва 2013

 

Оглавление

ВВЕДЕНИЕ. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .  . . . . . . .  . . 2 

1. Защита информации. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .  .  . . 3

1.1 Понятие защиты информации. . . . . . . .  . . . . . . . . . . . . . . . . . . . . . . .  . . . . . 3

2. Защита ПК от несанкционированного доступа . . . .  . . . . . . . . . . . . . . . . . . 6
3. Защита информации в базах данных. . . . . . . . . . . . . . . . . . . . . . . . . . . . .8

2.  Реализация защиты  в некоторых СУБД. . . . . . . . . . . . . . . . . . . . . . . . . . .17

2.1 Архитектура защиты Microsoft Access. . . . . . . . . . . . .. . . . . . . . . . . . . .17

2.2  Microsoft SQL Server. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . .19

 -Управление доступом . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .. .19

- Тип подключения к  SQL Server. . . .. . . . . . . . . . .. . .. . . . . . . . .. . . . . .. . .21 

- Организация защиты.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22

- Пользователи базы данных и их роли. . . . . . . . . . . . . . . . . . . . . . . . . . . .27

2.3 Безопасность данных  в Oracle 7 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .33

- Ограничение доступа. . . . .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33

- Использование пакетов. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35

3. Юридическая защита  авторских прав на базы данных. . . . . . . . . . . . . . .36

ЗАКЛЮЧЕНИЕ. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .  . .40

СПИСОК ИСПОЛЬЗУЕМОЙ ЛИТЕРАТУРЫ . . . . . . . . . . . . . . . . . . . . . . 42

ПРИЛОЖЕНИЯ. . . . . . . . . . . . . . . . . . . . . . . . . . .. . . . . . . . . . . . . . . . . . . . . 43

 

 

 

 

 

 

 

 

 

 

1 Защита информации

1.1 Понятие защиты информации

Защита информации — комплекс мероприятий, направленных на обеспечение важнейших аспектов информационной безопасности (целостности, доступности и, если нужно, конфиденциальности информации и ресурсов, используемых для ввода, хранения, обработки и передачи данных).

В то время как информационная безопасность — это общее понятие для защиты информационной среды, защита информации представляет собой деятельность по предотвращению утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.

Система называется безопасной, если она, используя соответствующие  аппаратные и программные средства, управляет доступом к информации так, что только должным образом  авторизованные лица или же действующие  от их имени процессы получают право  читать, писать, создавать и удалять  информацию.

Не секрет, что абсолютно  безопасных систем не существует, и  речь идет о надежной системе на которую можно положиться. Система  считается надежной, если она с  использованием достаточных аппаратных и программных средств обеспечивает одновременную обработку информации разной степени секретности группой  пользователей без нарушения  прав доступа.

Степень доверия, или надежность систем, оценивается по двум основным критериям: политика безопасности и гарантированность.

Активным компонентом  защиты, включающим в себя анализ возможных  угроз и выбор мер противодействия  называется политикой безопасности. Набор законов, правил и норм поведения, определяющих, как организация обрабатывает, защищает и распространяет информацию. В частности, правила определяют, в каких случаях пользователь имеет право оперировать с определенными наборами данных. Чем надежнее система, тем строже и многообразнее должна быть политика безопасности.

 В зависимости от  сформулированной политики обеспечивающие  безопасность системы, можно выбирать  конкретные механизмы .

Гарантированность это мера доверия, которая может быть оказана  архитектуре и реализации системы. Гарантированность может происходить  как из тестирования, так и из проверки (формальной или нет) общего замысла и исполнения системы  в целом и ее компонентов.

Гарантированность показывает, насколько уместны механизмы, отвечающие за проведение в жизнь политики безопасности. Гарантированность можно считать  пассивным компонентом защиты, надзирающим  за самими защитниками.

Важным средством обеспечения  безопасности является механизм подотчетности (протоколирования). Надежная система  должна фиксировать все события, касающиеся безопасности. Ведение протоколов должно дополняться аудитом, то есть анализом регистрационной информации.При  рассмотрении степени гарантированное, с которой систему можно считать  надежной, центральное место занимает достоверная (надежная) вычислительная база. Систему можно считать надежной если, концепция надежной вычислительной базы является центральной при оценке степени гарантированности. Надежная вычислительная база — это совокупность защитных механизмов компьютерной системы (включая аппаратное и программное  обеспечение), отвечающих за проведение в жизнь политики безопасности. Надежность вычислительной базы определяется исключительно  ее реализацией и корректностью  исходных данных, которые вводит административный персонал (например, это могут быть данные о степени благонадежности  пользователей). Граница достоверности вычислительной базы образует периметр безопасности.

Компоненты вне вычислительной базы могут быть и не надежными, однако это не должно влиять на безопасность системы в целом. В итоге, для  оценки надежности компьютерной системы  достаточно рассмотреть только ее вычислительную базу. Так как на данном этапе времени широко применяются распределенные системы обработки данных, то под «периметром безопасности» понимается область владений определенной организации, в подчинении которой находится эта система. Тогда по аналогии то, что находится внутри этой области, считается надежным. Посредством шлюзовой системы, которая способна противостоять потенциально ненадежному, осуществляется связь через границу.

Главным назначением надежной вычислительной базы является выполнение функции монитора обращений, то есть контроль допустимости выполнения субъектами определенных операций над объектами. Монитор контролирует каждое обращение  пользователя к программам или данным на предмет согласованности со списком  действий, допустимых для пользователя.

 В следствии монитора  обращений требуется выполнение  трех главных свойств:

• Полнота. Монитор должен вызываться при каждом обращении, не должно быть способов его обхода;
• Верифицируемость. Монитор должен быть компактным, чтобы его можно было проанализировать и протестировать, будучи уверенным в полноте тестирования;
• Изолированность. Монитор должен быть защищен от отслеживания своей работы.

Ядром безопасности называется реализация монитора обращений. Это  основа, на которой строятся все  защитные механизмы.Кроме перечисленных  выше свойств монитора обращений, ядро должно гарантировать собственную  неизменность.

1.2 Защита ПК от несанкционированного доступа

Можно наблюдать из практики , несанкционированный  доступ (НСД) представляет одну из главных  угроз для злоумышленного завладения защищаемой информацией в современных  АСОД. Злоумышленник – это нарушитель, намеренно идущий на нарушение. Внешний нарушитель может осуществлять НСД следующими способами:

• через автоматизированные рабочие места, подключенные к сетям общего пользования или сетям международного обмена (например, Интернет);
• с помощью программного воздействия на защищаемую информацию (программные закладки, вирусы и др.);
• через элементы автоматизированной системы, которые побывали за пределами контролируемой зоны (например, съемные носители информации);

 По сравнению с большими  ЭВМ для ПК опасность данной  угрозы повышается, чему способствуют  следующие объективно существующие  обстоятельства:

• первоначально ПК создавались именно как персональное средство автоматизации обработки информации, а потому и не оснащались специально средствами защиты от НСД;
• современные ПК оснащены несъемными накопителями на ЖД очень большой емкости, причем информация на них сохраняется даже в обесточенном состоянии;
• многие ПК служат коллективным средством обработки информации, что обезличивает ответственность, в том числе и за защиту информации;                                                  
• подавляющая часть ПК располагается непосредственно в рабочих комнатах специалистов, что создает благоприятные условия для доступа к ним посторонних лиц;
• накопители на ГД производятся в таком массовом количестве, что уже используются для распространения информации так же, как и бумажные носители.

В итоге всего следует те пользователи , которые хотят сохранить конфиденциальность своей информации, должны хорошо позаботиться об оснащении используемой ПК высокоэффективными средствами защиты от НСД.

Главными механизмами  защиты ПК от несанкционированного доступа  могут быть представлены следующими пунктами:

• регистрация всех обращений к защищаемой информации. Ниже излагаются общее содержание и способы использования перечисленных механизмов;
• криптографическое закрытие защищаемой информации в процессе непосредственной ее обработки;
• разграничение доступа к элементам защищаемой информации;
• опознавание (аутентификация) пользователей и используемых компонентов обработки информации;
• физическая защита ПК и носителей информации.
• криптографическое закрытие защищаемой информации, хранимой на носителях (архивация данных);

Что касается данных, то очень важно, чтобы их могли обрабатывать только уполномоченные лица. Для предотвращения мер  несанкционированного доступа  к данным, вы можете использовать следующие  средства:

• пароль  первое в истории и наиболее распространенное средство защиты от несанкционированного использования компьютера; хороший пароль должен быть длинным и сложным, содержать большие и маленькие буквы, цифры, и отсутствующие в обычном алфавите знаки;
• физические ресурсы позволяют ограничить реальный доступ к носителям данных;
• шифрование обеспечивает конфиденциальность, что делает возможным обработку данных, только доверенным лицом (лицами). В результате шифрования, читаемая форма информации меняется в нечитаемую. Вы можете ограничить доступ, как к файлам, средствам массовой информации, так и к носителям данных;
• биометрические устройства предоставляют доступ к данным, по отпечаткам пальцев и сканируя радужную оболочку глаз.

1.3 Защита информации в базах данных

Основной формой организации информационных массивов в ИС являются базы данных. Базу данных можно определить как совокупность взаимосвязанных хранящихся вместе данных при наличии такой минимальной избыточности, которая допускает их использование оптимальным образом для одного или нескольких приложений. В отличие от файловой системы организации и использования информации , БД существует независимо от конкретной программы и предназначена для совместного использования многими пользователями. Такая централизация и независимость данных в технологии БД потребовали создания соответствующих СУБД - сложных комплексов программ, которые