Эксперт Ларин: защита периметра не решает проблему утечек из баз данных
изображение: grok
Дмитрий Ларин, руководитель направления по защите баз данных компании «Гарда», владелец продукта «Гарда DBF», прокомментировал для CISOCLUB рост объёма скомпрометированных данных при снижении числа публично раскрытых утечек. По его словам, открытая статистика отражает только часть инцидентов, тогда как масштаб проблемы во многом определяется объёмом информации, который оказывается у злоумышленников.
Небольшие утечки могут оставаться незаметными для публичного поля, если компании не раскрывают их сразу, а злоумышленники пытаются получить выгоду от доступа без публикации базы. При этом одной крупной компрометации организации, которая годами накапливала клиентские сведения, достаточно, чтобы под угрозой оказались десятки или сотни миллионов записей.
«В статистике видно только те инциденты, которые стали публичными, тогда как реальный масштаб проблемы определяется объёмом скомпрометированной информации. Небольшие утечки всё чаще могут оставаться за кадром: компании не всегда спешат их раскрывать, а злоумышленники пытаются монетизировать полученный доступ напрямую. При этом одной крупной утечки у организации, которая годами накапливала клиентские данные, достаточно, чтобы речь сразу пошла о десятках или сотнях миллионов записей», — отметил Дмитрий Ларин.
По мнению эксперта, при повышении зрелости защиты внешнего периметра системные риски сохраняются внутри инфраструктуры. К ним относятся избыточные права доступа к крупным хранилищам, забытые копии баз, тестовые среды с реальными данными, а также неуправляемые учётные записи подрядчиков и сервисов.
«В совокупности это означает, что защита периметра постепенно становится более зрелой, но внутри инфраструктуры сохраняются системные проблемы: крупные хранилища с избыточными правами доступа, забытые копии баз, тестовые стенды с боевыми данными, неконтролируемые учётные записи подрядчиков и сервисные аккаунты. Зачастую слабым местом оказывается не сама СУБД, а процессы вокруг неё — управление доступом, инвентаризация данных и контроль работы с ними», — пояснил Дмитрий Ларин.
Отдельной задачей становится разграничение факта проникновения и непосредственно утечки данных. Компания может обнаружить несанкционированный доступ, но при этом не иметь оперативного ответа на вопрос о том, какие сведения были затронуты и сколько информации успел получить атакующий.
Особенно сложно установить масштаб компрометации, когда злоумышленник использует легитимную учётную запись. В таком случае его действия могут внешне не отличаться от обычной работы сотрудника или сервисного аккаунта.
«При этом важно различать сам факт взлома и факт утечки. Многие компании способны обнаружить вторжение, но далеко не всегда могут быстро ответить на главный вопрос: какие именно данные были затронуты и в каком объёме. Особенно сложно это сделать, если злоумышленник использует легитимную учётную запись и его действия внешне похожи на обычную работу пользователя или сервиса», — рассказал эксперт.
Поэтому защита должна распространяться непосредственно на уровень данных, а не ограничиваться контролем сетевого периметра. Для этого компании могут использовать мониторинг активности в базах данных, анализ запросов и объёмов выборок, поведенческую аналитику, автоматическое обнаружение и классификацию информации.
«Поэтому сегодня необходимо выстраивать защиту непосредственно на уровне данных. Критичными становятся мониторинг активности в базах данных и анализ запросов и объёмов выборок, поведенческая аналитика для выявления аномальных обращений и нетипичных массовых выгрузок, автоматическое обнаружение и классификация данных, а также динамическое маскирование, токенизация и грамотное управление доступом», — заключил Дмитрий Ларин.
