مقاله بررسی امنیت در پایگاه داده های کامپیوتری

تحقیق بررسی امنیت در پایگاه داده های کامپیوتری;پژوهش بررسی امنیت در پایگاه داده های کامپیوتری;مقاله بررسی امنیت در پایگاه داده های کامپیوتری;دانلود تحقیق بررسی امنیت در پایگاه داده های کامپیوتری;بررسی امنیت در پایگاه داده های کامپیوتری;امنیت در پایگاه ;داده های کامپیوتری

مقاله بررسی امنیت در پایگاه داده های کامپیوتری در 25 صفحه ورد قابل ویرایش

پایگاه داده

چكیده :

پایگاه داده مجموعه‌ای از داده‌های بهم مرتبط است كه توسط برنامه‌ای كه DBMS نامیده می‌شود، سازماندهی می‌شود. پایگاه داده‌ها اطلاعات مهمی را برای كاربراشان مهیا می‌كنند. بنابراین امنیت و حفاظت از آنها از اهمیت بسیار زیادی برخوردار است. امنیت پایگاه داده‌ها به حفاظت اطلاعات و كنترل دسترسی كاربران توجه دارد. این مقاله به اصول امنیت و سیاستهای مهم دراین مورد و احتیاجات امنیتی سیستمها می‌پردازد. همچنین راههایی را برای كنترل دسترسی كه از مهمترین احتیاجات هر سیستم پایگاه داده‌ای است، ارائه می‌كند.

دراین مقاله با معرفی چند زمینه پیشرفته مطالعاتی امروزی بعضی مشكلات حل نشده دراین زمینه را نیز به خوانند معرفی می‌كند.

فهرست

? – مقدمه ?
? کنترل دسترسی (مفاهیم و سیاستها) ?
?ـ? مفاهیم اساسی ?
?ـ? سیاستهای کنترل دسترسی : ?
?ـ?ـ? سیاست کنترل دسترسی احتیاطی : ?
?ـ?ـ? سیاست کنترل دسترسی الزامی ?
?ـ? سیاستهای سرپرستی ?
?- سیستمها و مدلهای کنترل دسترسی احتیاطی ?
?ـ? مدلهای اعطای مجوز برای DBMSهای رابطه‌ای ?
?ـ? مدلهای اعطای مجوز برای DBMSهای شیئی گرا ??
?ـ?ـ? مدل Orion 11
3ـ?ـ? مدل Iris 11
3ـ? مدلهای اعطای مجوز برای DBMSهای فعال ??
?ـ? کنترل دسترسی احتیاطی در DBMSهای تجاری ??
امتیازات سیستم و امتیازات شیئی : ??
? امنیت چندلایه درسیستمهای پایگاه داده‌ای ??
?ـ? مدل داده‌ای رابطه‌ای چند لایه ??
?ـ? معماری ??
?ـ? محصولات تجاری ??
? زمینه‌های تحقیق ??
?ـ جمع بندی ??
– مراجع ??

مقدمه :

در طی سه دهة اخیر تعداد پایگاه داده‌های كامپیوتری افزایش بسیاری داشته است. حضور اینترنت به همراه توانائیهای شبكه، دسترسی به داده و اطلاعات را آسانتر كرده است. به عنوان مثال، كاربران امروزه می‌توانند به حجم بالایی از اطلاعات در فاصلة زمانی بسیار كوتاهی دسترسی پیدا كنند. به همین نسبتی كه ابزارها و تكنولوژی دسترسی و استفاده از اطلاعات توسعه می‌یابند، نیاز به حفاظت اطلاعات هم بوجود می‌آید. بسیاری دولتها و سازمانها صنعتی داده‌های مهم و طبقه بندی شده‌ای دارند كه باید حفاظت شوند. سازمانهای بسیار دیگری هم مثل مؤسسات دانشگاهی نیز اطلاعات مهمی در مورد دانشجویان و كارمندانشان دارند. در نتیجه تكنیكهایی برای حفاظت داده های ذخیره شده در سیستمهای مدیریت پایگاه داده، اولویت بالایی پیدا كرده‌اند.

در طول سه دهة اخیر، پیشرفتهای بسیاری در مورد امنیت پایگاه داده‌ها حاصل شده است. بسیاری از كارهای اولیه روی امنیت پایگاه داده‌های آماری انجام شد. در دهة 70، همزمان با شروع تحقیقات روی پایگاه داده‌های رابطه‌ای، توجه مستقیماً به سمئله كنترل دسترسی بود و بیشتر از همه، كار روی مدلهای كنترل دسترسی احتیاطی شروع شد؛ ولی در واقع تا مطالعات نیروی هوایی در 1982، كه تلاش وسیعی برای DBMSهای امن چند سطحی بود، كار مهمی انجام نشد.

در هزارة جدید با حضور تكنولوژیهای مثل كتابخانه‌های دیجیتال، شبكه گستره جهانی و سیستمهای محاسباتی اشتراكی، علاقه بسیاری به امنیت نه تنها در بین سازمانهای دولتی، بلكه بین سازمانهای اقتصادی هم وجود دارد. این مقاله مروری به پیشرفتها و محصولات در سیستمهای پایگاه داده‌ای امن در بر دو زمینة اجباری و احتیاطی دارد.

2ـ كنترل دسترسی (مفاهیم و سیاستها) :

دراین بخش مفاهیم پایه در كنترل دسترسی معرفی می‌شوند. سپس در مورد سیاستهای كنترل دسترسی احتیاطی و الزامی بحث می‌شود و نهایتاً مروری داریم بر سیاستهای سرپرستی.

2ـ1ـ مفاهیم اساسی :

كنترل دسترسی معمولاً در مقابل، مجموعه ای از قوانین اعطای مجوز كه توسط مدیران امنیتی یا كاربران براساس بعضی سیاستهای خاص ارائه می‌شوند، قرار دارد.

قانون اعطای مجوز، در حالت كلی بیان می‌كند كه فرد (Subject) S اجازه دارد كه امتیاز P (Priuilege) را بروی شیئی (Object) O بكار ببرد.

اشیاء مجاز : تركیبات غیرفعال سیستم هستند كه باید در مقابل دسترسی‌های غیرمجاز محافظت شوند. اشیایی كه باید به آنها متوجه شدند به مدل داده‌ای مورد استفاده بستگی دارند. به عنوان مثال، در یك سیستم عامل فایلها و دایركتوریها اشیاء هستند. در حالیكه، در یك DBMS منابعی كه باید محافظت شوند رابطه ها، دیدها و صفات هستند.

اشخاص مجاز : موجودیتهایی در سیستم هستند كه اجازة دسترسی به آنها داده می‌شود. اشخاص به دسته‌های زیر تقسیم بندی می‌شدند :

كاربران : كه شخصیتهای مجزا و مشخصی هستند كه با سیستم در ارتباطند.
گروهها مجموعه ای از كاربران.
نقشها : مجموعه‌ای نامدار از امتیازها كه احتیاج دارند، فعالیت خاصی را در رابطه با سیستم انجام دهند.
· سلسله عملیات : كه برنامه‌هایی را برای كاربر اجراء می‌كند. به طور كلی، سلسله عملیات به آدرسهای حافظه، استفاده از CPU ، فراخوانی برنامه‌های دیگر و عملیات بروی داده اشاره می‌كند.
· امتیازهای مجاز : انواع عملیاتی را كه یك فرد می‌تواند روی یك شیئی در سیستم اجراء كند، بیان می‌كند. مجموعة این امتیازها به منابعی كه باید محافظت شوند، بستگی دارد. به عنوان مثال، در یك سیستم عامل خواندن، نوشتن و اجراء از امتیازها هستند. ولی، دریك DBMS رابطه‌ای، انتخاب، درج، تغییر و حذف از جمله امتیازها به شمار می‌روند.

2ـ2ـ سیاستهای كنترل دسترسی :

سیاستهای كنترل دسترسی، معیارهایی هستند كه براساس آنها تعیین می‌شود آیا یك درخواست دسترسی باید مجاز شمرده شود یا نه. یك طبقه بندی كلی بین سیاستهای كنترل دسترسی احتیاطی و الزامی است.

2ـ2ـ1ـ سیاستهای كنترل دستری احتیاطی :

سیاستهای كنترل دسترسی احتیاطی (DAC) ، دسترسی افراد به اشیاء را براساس شناسه افراد و قوانین و مجوزها كنترل می‌كند. و قوانین برای هر فرد مجوزهایی را كه می‌تواند برای انجام عملیات روی اشیاء بكار برد، بیان می‌كند. وقتی تقاضای درخواستی به سیستم می‌آید، مكانیسم دسترسی مشخصی می‌كند آیا قانونی برای تأیید این درخواست وجود دارد یا نه. اگر قانونی وجود داشت درخواست مجاز شمرده می‌شود در غیراین صورت رد می‌شود. چنین مكانیزمی احتیاطی است و در آن به اشخاص اجازه داده می‌شود كه مجوز دسترسی به داده‌هایشان را به دیگران بدهند.

سیاستهای دسترسی احتیاطی انعطاف پذیری زیادی دارند. به طوری كه، اجازه تعریف محدوده وسیعی از قوانین كنترل دسترسی را با استفاده از انواع مختلف مجوزها را می‌دهند. مثل مجوزهای مثبت و منفی و مجوزهای قوی و ضعیف. در زیر توضیح مختصری از هر كدام ارائه می‌شود.

· مجوزهای مثبت و منفی :

در سیستمی كه مجوز مثبت دارد. هرگاه فردی بخواهد به شیئی خاصی دسترسی داشته باشد، سیستم چك می‌كند آیا مجوزی وجود دارد و فقط در صورت وجود، به شخص اجازه دسترسی داده می‌شود. عدم وجود مجوز به معنی رو درخواست است. مشكل این خط مشی این است كه، عدم وجود مجوزهای منفی حل شد كه به معنی رد قطعی مجوز در چنین مواردی است.

· مجوزهای قوی و ضعیف :

بعضی مدلهایی كه هر دو مجوز مثبت و منفی را دارند به دو دسته مجوزهای قوی و ضعیف نیز تقسیم می‌شوند. مجوزهای قوی (چه مثبت و چه منفی) باطل نمی‌شوند. در حالیكه، مجوزهای ضعیف براساس قوانین خاصی توسط مجوزهای قوی یا ضعیف دیگری می‌توانند باطل شوند.

2ـ2ـ2ـ سیاستهای كنترل و دسترسی الزامی :

سیاستهای كنترل دسترسی الزامی (MAC) بیان كننده دسترسی است كه افراد به اشیاء براساس رده بندی شیئی و فرد، دارند. این نوع از امنیت تحت عنوان امنیت چند لایه هم نام برده می‌شود. سیستمهای پایگاه داده‌ای كه خصوصیات امنیت چند لایه را تأمین می‌كنند. DBMS های این چند لایه (MLS/DBMS) یا DBMS های مطمئن نامیده می‌شوند. بیشتر MLS/DBMSها براساس سیاست Bell و Lapadula ، طراحی و ساخته شده‌اند. دراین خط‌مشی‌ها، افراد به عنوان سطوح مجاز مطرح می‌شوند و می‌توانند در سطح مجاز خود عمل كنند. اشیاء به سطوح مجاز مطرح می‌شوند و می‌توانند در سطوح مجاز خود عمل كنند. اشیاء به سطوح حساسیت ارجاع می‌شوند. سطوح مجاز حساسیت را سطوح امنیت می‌نامند. آنچه در زیر می‌آید، دو قانون مهم این خط مشی است :

3ـ2ـ1ـ مدل Orion :

مدل اعطای مجوز Orion، مجوزهای مثبت و منفی و همچنین قوی و ضعیف را حمایت می‌كند. مجوز قوی همیشه اولویت بیشتری نسبت به مجوز ضعیف دارد. مجوزها به جای كاربران تكی به نقشها داده می‌شوند و یك كاربر مجاز است عملی را روی یك شیئی انجام دهد، اگر نفشی وجود داشته باشد كه اجازه این كار را داشهژته باشد. نقشها، اشیاء و امتیازها تحت یك سلسله مراتب سازماندهی می‌شوند و یكسری قوانین انتشار یا تكثیر اعمال می‌شود :

اگر یك نقش مجوز دسترسی به یك شیئی را داشته باشد تمام نقشهای بالاتر از آن در سلسه مراتب همان مجوز را دارند.
اگر یك نقش مجوز منفی برای دسترسی به یك شیئی را داشته باشد تمام نقشهای بعداز آن همان مجوز منفی را خواهند داشت.

قوانین انتشار یكسانی برای امتیازها هم تعریف می‌شدند. نهایتاً قوانین انتشار بر یك شیئی اجازة مجوزهایی را می‌دهد كه از مجوزهای شیئی كه، منقطاً با آن در ارتباط است، مشتق شده باشد. به عنوان مثال مجوز خواندن یك كلاس، مجوز خواندن تمام نمونه‌های آن را صادر می‌كند.

3ـ2ـ2ـ مدل Iris :

در مدل Iris ، صفات و متددها هر دو به عنوان تابع تعریف می‌شدند و تنها امتیازی كه توسط مدل حمایت می‌شود، فراخوانی تابع است. یك فرد كه امتیاز فراخوانی یك تابع را دارد مجاز برای فراخواندن آن تابع است. فردی كه ایجاد كننده یك تابع است، مالك آن محسوب می‌شود و به طور خودكار امتیاز فراخوانی آن را دریافت می‌كند. علاوه براین مالك یك تابع می‌تواند امتیاز فراخوانی تابع را به افراد دیگر هم بدهد. این اعطای امتیاز می‌تواند شامل شرایط هم باشد، كه به شخصی كه امتیاز را می‌گیرد اجازه می‌دهد كه آن را به دیگران هم بدهد.

این مدل اجازه می‌دهد كه یك امتیاز هم به گروه و هم به كاربر داده شود یا گرفته شود. یك كاربر می‌تواند متعلق به چندین گروه باشد. توابع مشتق شده تحت عنوان توابع دیگر تعریف می‌شوند. علاوه براین، گروه‌ها می‌توانند تو در تو باشند. مدل Iris دو خط مشی برای حفاظت از توابع مشتق شده دارد.

تحت خط مشی كه مجوز استاتیك نامیده می‌شود، فردی كه تقاضای اجرای یك تابع مشتق را دارد. فقط باید اجازه فراخوانی تابع مشتق را داشته باشد. در خط مشی دیگر، مجوز دینامیك، فرا خواننده هم باید مجوز فراخوانی تابع مشتق را داشته باشد و هم مجوز برای فراخوانی تمام توابعی كه تابع مشتق آنها را اجراء می‌كند. هنگام ایجاد یك تابع مشتق باید مشخص كنیم كه از كدامیك از این دو خط مشی برای بررسی تقاضاهای اجراء استفاده كنیم.

3ـ4ـ كنترل دسترسی احتیاطی در DBMSهای تجاری :

دراین بخش، توضیح می‌دهیم كه چگونه DAC در سیستم شیئی رابطه‌ای اوراكل اعمال می‌شود. در اوراكل، امتیازها به هر دو گروه كاربران و نقشها داده می‌شود. نقشها در یك سلسه مراتب سازمان دهی شده‌اند و یك نقش تمام امتیازات نقشهای زیر خود در سلسله مراتب را بدست می‌آورد. یك كاربر ممكن است مجاز برای ایفای چند نقش در یك فاصلة زمانی باشد. با هر نقشی ممكن است یك كلمه عبور همراه شود. تا از استفاده غیرمجاز امتیازها جلوگیری كند.

مجموعه‌ای از پیش تعریف شده از امتیازها فراهم است كه می‌تواند به هر كدام از نقشها در اوراكل تغییر داده شود. وقتی یك فرد نقشی را ایجاد می‌كند، نقش به طور خودكار با اختیارات سرپرستی به ایجاد كننده داده می‌شود، كه به او اجازه می دهد نقش را به نقشی دیگر بدهد یا از او بگیرد و این كار را می‌توان با اختیارات سرپرستی یا بدون آن باشد. ارواكل همچنین گروه خاص، عمومی را حمایت می‌كند كه برای هر فردی قابل دسترسی است. امتیازها در پایگاه داده اوراكل به دو بخش تقسیم می‌شوند: امتیازات سیستم و امتیازات شیئی. امتیازات سیستم به فرد اجازه می دهد، اعمال سیستمی و یا عملی را روی داده خاصی انجام دهد. بیش از 60 محدود از امتیازات سیستمی مهیاست. مثالی از این امتیازها، امتیاز حذف تاپل از هر جدولی در DB است. به علت اینكه امتیازات سیستمی قدرتمند هستند، اغلب فقط به DBA یا تولید كنندگان برنامه‌های كاربردی داده می‌شدند. مثل نقشها این امتیازات می‌توانند با اختیارات سرپرستی داده شوند و اگر شخصی امتیاز سیستمی با اختیارات سرپرستی را داشته باشد می‌تواند این امتیاز را به افراد دیگر بدهد یا از آنها بگیرد.

لینک دانلود و توضیحات فایل”مقاله بررسی امنیت در پایگاه داده های کامپیوتری”