Решение проблем безопасности увеличит нагрузку на администраторов баз данных
Многие администраторы баз данных, у которых и без того по горло забот, отмечают постоянно растущую напряженность: стремление обеспечить безопасность хранящейся информации создает все большую нагрузку и заставляет подключаться к разработке приложений.
Сфера их ответственности начала расширяться в прошлом году после того, как был обнаружен целый ряд критических брешей в системе безопасности основных СУБД корпораций Oracle, Microsoft и IBM. Энергичный "червяк" Slammer, нанесший свой удар в январе 2003 г., на время заблокировал Интернет и вывел из строя незащищенные серверы с Microsoft SQL Server.
Нервная нагрузка на администраторов БД
Столь серьезная атака, а также бреши, найденные в других СУБД, заставили по-иному взглянуть на правила обеспечения безопасности и активнее использовать передовой опыт в этой области. В результате были буквально сметены традиционные границы ответственности подразделений информационных технологий. В первую очередь это коснулось разработки приложений, ИТ-инфраструктуры и переноса исходных текстов, что в конечном итоге привело к возрастанию рабочей нагрузки на многих администраторов баз данных.
"Пока по сети не прошелся Slammer, моей главной задачей как администратора БД было обеспечение доступности данных, - вспоминает менеджер фирмы PhotoWorks (Сиэтл, шт. Вашингтон) Дон Уоттерс. - Теперь же приходится заниматься не только машинами, которые поставляют такие данные, но и средами разработки, инструментами тестирования, унаследованными системами, т. е. всем тем, что имеет хоть какое-то отношение к SQL".
Для хранения информации в этой фирме, занимающейся онлайновой поставкой изображений, используется БД Microsoft SQL Server, а также СУБД UniVerse с Unix-приложением Pick, обслуживающим бэк-офис. Воздействие Slammer здесь ощутили лишь через три месяца после его появления, когда пострадала среда разработки.
Несмотря на то что Уоттерс поставил на SQL Server специальную заплату против этого "червяка", несколько экземпляров Microsoft SQL Server 2000 Desktop Engine (MSDE) остались неохваченными. Дело в том, что эти модули довольно часто встраиваются в приложения, которые находятся вне зоны ответственности администратора БД. В результате, поясняет Уоттерс, было принято решение пересмотреть порядок администрирования среды разработки, изменив при этом правила и политику установки программных заплат.
Бреши были выявлены не только в SQL Server, но и в других СУБД. Наличие уязвимых мест в своих продуктах признали также IBM, Oracle и Sybase, выпустившие во второй половине прошлого года специальные заплаты. В сентябре корпорация IBM (Армонк, шт. Нью-Йорк) устранила возможность переполнения буфера в двух местах версии 7.2 своего продукта DB2 для Linux, которое позволяло атакующей стороне запускать вредоносный код, пользуясь полномочиями администратора на корневом уровне. А пару месяцев спустя корпорация Oracle (Редвуд-Шорз, шт. Калифорния) признала уязвимость OpenSSL, создающую опасность для СУБД Oracle8i и Oracle9i, равно как и для сервера приложений Oracle Application Server.
Еще одно сообщение такого рода поступило от Sybase (Даблин, шт. Калифорния). В январе нынешнего года компания устранила более 50 брешей в своей мобильной СУБД SQL Anywhere. По словам представителей фирмы NGS Software, специализирующейся на защите информации, именно она первой обнаружила уязвимость пакета для атак типа "распределенный отказ в обслуживании" и "переполнение буфера".
Эксперты в последнее время отмечают все большие трения между двумя "территориальными группировками" - администраторами баз данных и разработчиками приложений. А ведь нарастающая сложность систем требует их самого тесного сотрудничества.
Дополнительное бремя, ложащееся сейчас на плечи администраторов баз данных, во многом связано с постепенным переносом функций операционных систем в СУБД. Как считает заместитель директора по вычислительным системам Дартмутского колледжа (Ганновер, шт. Северная Каролина) Тодд Лэнджилл, сегодня этим специалистам приходится все чаще заниматься такими видами "настройки и регулировки", которые раньше считались вотчиной программистов.
"Администратор баз данных несет большую ответственность за ПО промежуточного слоя, включающее Web-серверы и серверы приложений, - отмечает он. - Перенос приложений в Интернет привел к появлению целого слоя связующего ПО, и это добавило забот и без того перегруженному персоналу".
Лэнджилл, в ведении которого находится СУБД Oracle9i, пытается сейчас каким-то образом уменьшить нагрузку на администраторов БД. В качестве возможных способов решения этой задачи он рассматривает заключение контрактов на услуги, повышение квалификации разработчиков в области выявления неполадок и системной диагностики, а также своевременную реакцию на сообщения о возникающих проблемах. За последний год в Дартмутском колледже изменился сам подход к переносу исходных текстов и объектов БД в среду продуктивной эксплуатации. Ограничив доступ к ней конечных пользователей, Лэнджилл, по его словам, смог наладить конструктивное взаимодействие с создателями ПО за счет большей детализации аудита.
Новые юридические реалии, включая федеральный закон об американском патриотизме и акт Сарбейнса - Оксли, буквально заставляют руководство многих компаний расширять полномочия администраторов БД в области безопасности, благодаря чему те получают возможность принимать необходимые меры безо всякой волокиты. Это в полной мере ощутила Эйми Смит из CIT Group, под руководством которой трудятся 14 администраторов БД, отвечающих за работу СУДБ IBM DB2 VDB.
Доработать готовящиеся к выпуску версии обещают все крупные производители СУБД. При этом, по их утверждению, основной акцент будет сделан на повышении безопасности и совершенствовании средств для выполнения остальных административных задач. В результате администраторы БД должны получить больше времени на укрепление защиты своих систем.
Стремясь спасти репутацию своей СУБД, пошатнувшуюся после атаки Slammer’а, Microsoft решила в очередной версии SQL Server по умолчанию отключить все дополнительные функции. Кроме того, как заявили представители корпорации, в этой СУБД, носящей пока условное называние Yukon (ее выпуск намечен на вторую половину нынешнего года), появится целый ряд новых средств защиты. При ее установке, скажем, среда исполнения программ на разных языках будет отключена, и для создания хранимых процедур пользователям придется получать особое разрешение. Кроме того, добавлен ряд компонентов парольной защиты, обеспечивающих, в частности, доступ к цифрам и символам верхнего регистра, установку времени истечения срока действия и блокировку учетных записей.
Как утверждает Том Риццо, директор Microsoft по продукту SQL Server, заложенная в Yukon система разрешений реализована самым тщательнейшим образом и отличается высоким уровнем детализации .
"Сегодня администраторы SQL Server могут выдавать десятки разрешений, а в Yukon их будут сотни", - пояснил он, добавив, что за счет этого реализуется принцип минимальной достаточности привилегий.
Из других новых функций безопасности Yukon можно назвать интеграцию с Microsoft Update, а также способность СУБД видеть различие контекста при исполнении приложения и кодов, выполняемых непосредственно в базе данных. Чтобы разграничить сферы ответственности администратора БД и разработчиков, , создатели Yukon, как подчеркивает Риццо, четко отделили сферу администрирования полномочий пользователей от схемы базы данных.
Совершенствованием компонентов безопасности СУБД занимается и Oracle. В новую версию Oracle10g, по словам представителей корпорации, будут включены служба каталогов Oracle Internet Directory и модуль управления идентификацией Oracle Identity Management, которые обеспечат контроль доступа и регистрацию новых пользователей. Эта версия должна увидеть свет в I квартале нынешнего года, то есть через полтора с лишним года после того, как Oracle начала рекламировать ее "невзламываемость". Пока же пользователи Oracle порой жалуются на то, что больше всего времени у них занимает решение проблем безопасности.
Да и в будущем от них никуда не уйти. "Было бы наивно думать, будто в "невзламываемой среде" Oracle не найдется слабых мест. К счастью, это обещание корпорации никто не воспринимает буквально", - признается директор по корпоративным и перспективным технологиям фирмы Paetec Communications (Фэйрпорт, шт. Нью-Йорк) Джим Рауб.
Да и обещанная поддержка grid-вычислений, которая постоянно упоминается в рекламе Oracle 10g, особого резонанса среди администраторов БД не находит.
Лэнджилл из Дартмутского колледжа, например, далеко не уверен, что эта сетевая распределенная архитектура найдет применение в его организации. При создании и сопровождении подобных систем огромное значение приобретают вопросы безопасности, а это влечет за собой дополнительную нагрузку - нужно обеспечить управление идентификацией машин и всю сопутствующую логистику.
Границы между администрированием баз данных и разработкой приложений стирает и корпорация IBM своей очередной версией DB2 под кодовым именем Stinger (ее выход ожидается уже в этом году). Прошлой осенью IBM выпустила набор инструментальных средств, которые, по заявлению ее представителей, позволяют разработчикам приложений осуществлять мониторинг Stinger с помощью инструментария Microsoft Visual Studio.
Впрочем, обещания производителей СУБД усовершенствовать функции безопасности и повысить степень самообслуживания таких систем не могут заставить администраторов БД забыть уроки катастрофы, вызванной Slammer’ом.
"Главным изменением за прошлый год стало то, что мы начали планировать отключение системы специально для установки заплат, которые Microsoft теперь выпускает ежемесячно, - говорит администратор баз данных ассоциации фермеров Dairy Farmers of America (Канзас-Сити, шт. Миссури) Брэд Мак-Гихи. - Раньше это делось от случая к случаю, но Slammer напомнил нам о необходимости профилактики".
Как пояснил Мак-Гихи, программные заплаты устанавливаются теперь каждое воскресенье, а это значит, что сотрудникам приходится чаще работать по выходным.
Еще одним следствием мощной атаки "червяка" стало стремление Dairy Farmers of America блокировать вирусы непосредственно на сетевом экране, не допуская их за периметр своей сети. С этой целью все ПО проходит теперь дополнительную проверку.
Желание компаний улучшить управление данными приводит к увеличению штата администраторов БД, а это, как подчеркивают эксперты, может вызвать серьезную нехватку таких специалистов. Аналитик фирмы Meta Group (Стамфорд, шт. Коннектикут) Чарльз Гэрри, скажем, предсказывает их дефицит уже во второй половине следующего года.
"Компаниям не просто понадобятся новые администраторы БД, - убежден он, - им нужны будут более квалифицированные специалисты, и платить им придется больше. Для многих руководителей это будет подобно ушату холодной воды".
