بررسی امنیت در پایگاه داده های کامپیوتری

توجه : به همراه فایل word این محصول فایل پاورپوینت (PowerPoint) و اسلاید های آن به صورت هدیه ارائه خواهد شد

 بررسی امنیت در پایگاه داده های کامپیوتری دارای ۲۸ صفحه می باشد و دارای تنظیمات در microsoft word می باشد و آماده پرینت یا چاپ است

فایل ورد بررسی امنیت در پایگاه داده های کامپیوتری  کاملا فرمت بندی و تنظیم شده در استاندارد دانشگاه  و مراکز دولتی می باشد.

این پروژه توسط مرکز بررسی امنیت در پایگاه داده های کامپیوتری۲ ارائه میگردد

توجه : در صورت  مشاهده  بهم ریختگی احتمالی در متون زیر ،دلیل ان کپی کردن این مطالب از داخل فایل ورد می باشد و در فایل اصلی بررسی امنیت در پایگاه داده های کامپیوتری،به هیچ وجه بهم ریختگی وجود ندارد

---

بخشی از متن بررسی امنیت در پایگاه داده های کامپیوتری :

بررسی امنیت در پایگاه داده های کامپیوتری

پایگاه داده

چکیده :

پایگاه داده مجموعه‌ای از داده‌های بهم مرتبط است که توسط برنامه‌ای که DBMS نامیده می‌شود، سازماندهی می‌شود. پایگاه داده‌ها اطلاعات مهمی را برای کاربراشان مهیا می‌کنند. بنابراین امنیت و حفاظت از آنها از اهمیت بسیار زیادی برخوردار است. امنیت پایگاه داده‌ها به حفاظت اطلاعات و کنترل دسترسی کاربران توجه دارد. این مقاله به اصول امنیت و سیاستهای مهم دراین مورد و احتیاجات امنیتی سیستمها می‌پردازد. همچنین راههایی را برای کنترل دسترسی که از مهمترین احتیاجات هر سیستم پایگاه داده‌ای است، ارائه می‌کند.

دراین مقاله با معرفی چند زمینه پیشرفته مطالعاتی امروزی بعضی مشکلات حل نشده دراین زمینه را نیز به خوانند معرفی می‌کند.

بررسی امنیت در پایگاه داده های کامپیوتری
فهرست

– مقدمه
کنترل دسترسی (مفاهیم و سیاستها)
ـ مفاهیم اساسی
ـ سیاستهای کنترل دسترسی :
ــ سیاست کنترل دسترسی احتیاطی :
ــ سیاست کنترل دسترسی الزامی
ـ سیاستهای سرپرستی
– سیستمها و مدلهای کنترل دسترسی احتیاطی
ـ مدلهای اعطای مجوز برای DBMSهای رابطه‌ای
ـ مدلهای اعطای مجوز برای DBMSهای شیئی گرا
ــ مدل Orion 11
۳ــ مدل Iris 11
۳ـ مدلهای اعطای مجوز برای DBMSهای فعال
ـ کنترل دسترسی احتیاطی در DBMSهای تجاری
امتیازات سیستم و امتیازات شیئی :
امنیت چندلایه درسیستمهای پایگاه داده‌ای
ـ مدل داده‌ای رابطه‌ای چند لایه
ـ معماری
ـ محصولات تجاری
زمینه‌های تحقیق
ـ جمع بندی
– مراجع

مقدمه :

در طی سه دهه اخیر تعداد پایگاه داده‌های کامپیوتری افزایش بسیاری داشته است. حضور اینترنت به همراه توانائیهای شبکه، دسترسی به داده و اطلاعات را آسانتر کرده است. به عنوان مثال، کاربران امروزه می‌توانند به حجم بالایی از اطلاعات در فاصله زمانی بسیار کوتاهی دسترسی پیدا کنند. به همین نسبتی که ابزارها و تکنولوژی دسترسی و استفاده از اطلاعات توسعه می‌یابند، نیاز به حفاظت اطلاعات هم بوجود می‌آید. بسیاری دولتها و سازمانها صنعتی داده‌های مهم و طبقه بندی شده‌ای دارند که باید حفاظت شوند. سازمانهای بسیار دیگری هم مثل مؤسسات دانشگاهی نیز اطلاعات مهمی در مورد دانشجویان و کارمندانشان دارند. در نتیجه تکنیکهایی برای حفاظت داده های ذخیره شده در سیستمهای مدیریت پایگاه داده، اولویت بالایی پیدا کرده‌اند.

در طول سه دهه اخیر، پیشرفتهای بسیاری در مورد امنیت پایگاه داده‌ها حاصل شده است. بسیاری از کارهای اولیه روی امنیت پایگاه داده‌های آماری انجام شد. در دهه ۷۰، همزمان با شروع تحقیقات روی پایگاه داده‌های رابطه‌ای، توجه مستقیماً به سمئله کنترل دسترسی بود و بیشتر از همه، کار روی مدلهای کنترل دسترسی احتیاطی شروع شد؛ ولی در واقع تا مطالعات نیروی هوایی در ۱۹۸۲، که تلاش وسیعی برای DBMSهای امن چند سطحی بود، کار مهمی انجام نشد.

در هزاره جدید با حضور تکنولوژیهای مثل کتابخانه‌های دیجیتال، شبکه گستره جهانی و سیستمهای محاسباتی اشتراکی، علاقه بسیاری به امنیت نه تنها در بین سازمانهای دولتی، بلکه بین سازمانهای اقتصادی هم وجود دارد. این مقاله مروری به پیشرفتها و محصولات در سیستمهای پایگاه داده‌ای امن در بر دو زمینه اجباری و احتیاطی دارد.

۲ـ کنترل دسترسی (مفاهیم و سیاستها) :

دراین بخش مفاهیم پایه در کنترل دسترسی معرفی می‌شوند. سپس در مورد سیاستهای کنترل دسترسی احتیاطی و الزامی بحث می‌شود و نهایتاً مروری داریم بر سیاستهای سرپرستی.

۲ـ۱ـ مفاهیم اساسی :

کنترل دسترسی معمولاً در مقابل، مجموعه ای از قوانین اعطای مجوز که توسط مدیران امنیتی یا کاربران براساس بعضی سیاستهای خاص ارائه می‌شوند، قرار دارد.

قانون اعطای مجوز، در حالت کلی بیان می‌کند که فرد (Subject) S اجازه دارد که امتیاز P (Priuilege) را بروی شیئی (Object) O بکار ببرد.

اشیاء مجاز : ترکیبات غیرفعال سیستم هستند که باید در مقابل دسترسی‌های غیرمجاز محافظت شوند. اشیایی که باید به آنها متوجه شدند به مدل داده‌ای مورد استفاده بستگی دارند. به عنوان مثال، در یک سیستم عامل فایلها و دایرکتوریها اشیاء هستند. در حالیکه، در یک DBMS منابعی که باید محافظت شوند رابطه ها، دیدها و صفات هستند.

اشخاص مجاز : موجودیتهایی در سیستم هستند که اجازه دسترسی به آنها داده می‌شود. اشخاص به دسته‌های زیر تقسیم بندی می‌شدند :

• کاربران : که شخصیتهای مجزا و مشخصی هستند که با سیستم در ارتباطند.
• گروهها مجموعه ای از کاربران.
• نقشها : مجموعه‌ای نامدار از امتیازها که احتیاج دارند، فعالیت خاصی را در رابطه با سیستم انجام دهند.
• · سلسله عملیات : که برنامه‌هایی را برای کاربر اجراء می‌کند. به طور کلی، سلسله عملیات به آدرسهای حافظه، استفاده از CPU ، فراخوانی برنامه‌های دیگر و عملیات بروی داده اشاره می‌کند.
• · امتیازهای مجاز : انواع عملیاتی را که یک فرد می‌تواند روی یک شیئی در سیستم اجراء کند، بیان می‌کند. مجموعه این امتیازها به منابعی که باید محافظت شوند، بستگی دارد. به عنوان مثال، در یک سیستم عامل خواندن، نوشتن و اجراء از امتیازها هستند. ولی، دریک DBMS رابطه‌ای، انتخاب، درج، تغییر و حذف از جمله امتیازها به شمار می‌روند.

۲ـ۲ـ سیاستهای کنترل دسترسی :

سیاستهای کنترل دسترسی، معیارهایی هستند که براساس آنها تعیین می‌شود آیا یک درخواست دسترسی باید مجاز شمرده شود یا نه. یک طبقه بندی کلی بین سیاستهای کنترل دسترسی احتیاطی و الزامی است.

۲ـ۲ـ۱ـ سیاستهای کنترل دستری احتیاطی :

سیاستهای کنترل دسترسی احتیاطی (DAC) ، دسترسی افراد به اشیاء را براساس شناسه افراد و قوانین و مجوزها کنترل می‌کند. و قوانین برای هر فرد مجوزهایی را که می‌تواند برای انجام عملیات روی اشیاء بکار برد، بیان می‌کند. وقتی تقاضای درخواستی به سیستم می‌آید، مکانیسم دسترسی مشخصی می‌کند آیا قانونی برای تأیید این درخواست وجود دارد یا نه. اگر قانونی وجود داشت درخواست مجاز شمرده می‌شود در غیراین صورت رد می‌شود. چنین مکانیزمی احتیاطی است و در آن به اشخاص اجازه داده می‌شود که مجوز دسترسی به داده‌هایشان را به دیگران بدهند.

سیاستهای دسترسی احتیاطی انعطاف پذیری زیادی دارند. به طوری که، اجازه تعریف محدوده وسیعی از قوانین کنترل دسترسی را با استفاده از انواع مختلف مجوزها را می‌دهند. مثل مجوزهای مثبت و منفی و مجوزهای قوی و ضعیف. در زیر توضیح مختصری از هر کدام ارائه می‌شود.

• · مجوزهای مثبت و منفی :

در سیستمی که مجوز مثبت دارد. هرگاه فردی بخواهد به شیئی خاصی دسترسی داشته باشد، سیستم چک می‌کند آیا مجوزی وجود دارد و فقط در صورت وجود، به شخص اجازه دسترسی داده می‌شود. عدم وجود مجوز به معنی رو درخواست است. مشکل این خط مشی این است که، عدم وجود مجوزهای منفی حل شد که به معنی رد قطعی مجوز در چنین مواردی است.

• · مجوزهای قوی و ضعیف :

بعضی مدلهایی که هر دو مجوز مثبت و منفی را دارند به دو دسته مجوزهای قوی و ضعیف نیز تقسیم می‌شوند. مجوزهای قوی (چه مثبت و چه منفی) باطل نمی‌شوند. در حالیکه، مجوزهای ضعیف براساس قوانین خاصی توسط مجوزهای قوی یا ضعیف دیگری می‌توانند باطل شوند.

۲ـ۲ـ۲ـ سیاستهای کنترل و دسترسی الزامی :

سیاستهای کنترل دسترسی الزامی (MAC) بیان کننده دسترسی است که افراد به اشیاء براساس رده بندی شیئی و فرد، دارند. این نوع از امنیت تحت عنوان امنیت چند لایه هم نام برده می‌شود. سیستمهای پایگاه داده‌ای که خصوصیات امنیت چند لایه را تأمین می‌کنند. DBMS های این چند لایه (MLS/DBMS) یا DBMS های مطمئن نامیده می‌شوند. بیشتر MLS/DBMSها براساس سیاست Bell و Lapadula ، طراحی و ساخته شده‌اند. دراین خط‌مشی‌ها، افراد به عنوان سطوح مجاز مطرح می‌شوند و می‌توانند در سطح مجاز خود عمل کنند. اشیاء به سطوح مجاز مطرح می‌شوند و می‌توانند در سطوح مجاز خود عمل کنند. اشیاء به سطوح حساسیت ارجاع می‌شوند. سطوح مجاز حساسیت را سطوح امنیت می‌نامند. آنچه در زیر می‌آید، دو قانون مهم این خط مشی است :

۳ـ۲ـ۱ـ مدل Orion :

مدل اعطای مجوز Orion، مجوزهای مثبت و منفی و همچنین قوی و ضعیف را حمایت می‌کند. مجوز قوی همیشه اولویت بیشتری نسبت به مجوز ضعیف دارد. مجوزها به جای کاربران تکی به نقشها داده می‌شوند و یک کاربر مجاز است عملی را روی یک شیئی انجام دهد، اگر نفشی وجود داشته باشد که اجازه این کار را داشهژته باشد. نقشها، اشیاء و امتیازها تحت یک سلسله مراتب سازماندهی می‌شوند و یکسری قوانین انتشار یا تکثیر اعمال می‌شود :

• اگر یک نقش مجوز دسترسی به یک شیئی را داشته باشد تمام نقشهای بالاتر از آن در سلسه مراتب همان مجوز را دارند.
• اگر یک نقش مجوز منفی برای دسترسی به یک شیئی را داشته باشد تمام نقشهای بعداز آن همان مجوز منفی را خواهند داشت.

قوانین انتشار یکسانی برای امتیازها هم تعریف می‌شدند. نهایتاً قوانین انتشار بر یک شیئی اجازه مجوزهایی را می‌دهد که از مجوزهای شیئی که، منقطاً با آن در ارتباط است، مشتق شده باشد. به عنوان مثال مجوز خواندن یک کلاس، مجوز خواندن تمام نمونه‌های آن را صادر می‌کند.

۳ـ۲ـ۲ـ مدل Iris :

در مدل Iris ، صفات و متددها هر دو به عنوان تابع تعریف می‌شدند و تنها امتیازی که توسط مدل حمایت می‌شود، فراخوانی تابع است. یک فرد که امتیاز فراخوانی یک تابع را دارد مجاز برای فراخواندن آن تابع است. فردی که ایجاد کننده یک تابع است، مالک آن محسوب می‌شود و به طور خودکار امتیاز فراخوانی آن را دریافت می‌کند. علاوه براین مالک یک تابع می‌تواند امتیاز فراخوانی تابع را به افراد دیگر هم بدهد. این اعطای امتیاز می‌تواند شامل شرایط هم باشد، که به شخصی که امتیاز را می‌گیرد اجازه می‌دهد که آن را به دیگران هم بدهد.

این مدل اجازه می‌دهد که یک امتیاز هم به گروه و هم به کاربر داده شود یا گرفته شود. یک کاربر می‌تواند متعلق به چندین گروه باشد. توابع مشتق شده تحت عنوان توابع دیگر تعریف می‌شوند. علاوه براین، گروه‌ها می‌توانند تو در تو باشند. مدل Iris دو خط مشی برای حفاظت از توابع مشتق شده دارد.

تحت خط مشی که مجوز استاتیک نامیده می‌شود، فردی که تقاضای اجرای یک تابع مشتق را دارد. فقط باید اجازه فراخوانی تابع مشتق را داشته باشد. در خط مشی دیگر، مجوز دینامیک، فرا خواننده هم باید مجوز فراخوانی تابع مشتق را داشته باشد و هم مجوز برای فراخوانی تمام توابعی که تابع مشتق آنها را اجراء می‌کند. هنگام ایجاد یک تابع مشتق باید مشخص کنیم که از کدامیک از این دو خط مشی برای بررسی تقاضاهای اجراء استفاده کنیم.

۳ـ۴ـ کنترل دسترسی احتیاطی در DBMSهای تجاری :

دراین بخش، توضیح می‌دهیم که چگونه DAC در سیستم شیئی رابطه‌ای اوراکل اعمال می‌شود. در اوراکل، امتیازها به هر دو گروه کاربران و نقشها داده می‌شود. نقشها در یک سلسه مراتب سازمان دهی شده‌اند و یک نقش تمام امتیازات نقشهای زیر خود در سلسله مراتب را بدست می‌آورد. یک کاربر ممکن است مجاز برای ایفای چند نقش در یک فاصله زمانی باشد. با هر نقشی ممکن است یک کلمه عبور همراه شود. تا از استفاده غیرمجاز امتیازها جلوگیری کند.

مجموعه‌ای از پیش تعریف شده از امتیازها فراهم است که می‌تواند به هر کدام از نقشها در اوراکل تغییر داده شود. وقتی یک فرد نقشی را ایجاد می‌کند، نقش به طور خودکار با اختیارات سرپرستی به ایجاد کننده داده می‌شود، که به او اجازه می دهد نقش را به نقشی دیگر بدهد یا از او بگیرد و این کار را می‌توان با اختیارات سرپرستی یا بدون آن باشد. ارواکل همچنین گروه خاص، عمومی را حمایت می‌کند که برای هر فردی قابل دسترسی است. امتیازها در پایگاه داده اوراکل به دو بخش تقسیم می‌شوند: امتیازات سیستم و امتیازات شیئی. امتیازات سیستم به فرد اجازه می دهد، اعمال سیستمی و یا عملی را روی داده خاصی انجام دهد. بیش از ۶۰ محدود از امتیازات سیستمی مهیاست. مثالی از این امتیازها، امتیاز حذف تاپل از هر جدولی در DB است. به علت اینکه امتیازات سیستمی قدرتمند هستند، اغلب فقط به DBA یا تولید کنندگان برنامه‌های کاربردی داده می‌شدند. مثل نقشها این امتیازات می‌توانند با اختیارات سرپرستی داده شوند و اگر شخصی امتیاز سیستمی با اختیارات سرپرستی را داشته باشد می‌تواند این امتیاز را به افراد دیگر بدهد یا از آنها بگیرد.