Пойгоҳи додаҳо ва амнияти он

Пойгоҳи додаҳо чист?

Пойгоҳи додаҳо (Database) маҷмуаи муназзам ва созмонёфтаи додаҳоест, ки дар низоми компютерӣ ба шакли электронӣ нигоҳ дошта мешаванд. Пойгоҳҳои додаҳои мураккабро одатан бо истифода аз усулҳои расмии тарҳрезӣ ва моделсозӣ месозанд.

Моделсозии додаҳо (Data Modelling) равандест, ки дар он сохтор ва робитаҳои додаҳо муайян карда мешаванд. Модели додаҳо одатан ба диаграмма монанд аст ва бо шарҳҳои матнӣ пурра мешавад. Он ҷузъҳои барои фаъолияти ташкилот муҳим — одамон, ҷойҳо, ашё ва муомилоти корӣ — инчунин хусусиятҳо ва робитаҳои байни онҳоро ба таври тасвирӣ нишон медиҳад.

Моделҳои додаҳо барои муайян кардан, таҳлил ва тарҳрезии талабот, инчунин барои татбиқ ва такмили пайвастаи низом истифода мешаванд.

Додаҳо чӣ маъно доранд?

Ба маънои васеъ, маълумот, дониш, омор, шиносаҳо, сабтҳои гузашта ва тасаввурот метавонанд додаҳо (Data) ҳисобида шаванд.

Ададҳо, ҳарфҳо ва аломатҳое, ки одамон ё компютерҳо барои ифода ва дарки маълумот истифода мекунанд, дода ном доранд.

Масалан, номи шахс як дода аст.

Одамон додаҳоро одатан бо ҳарфҳо, ададҳо ва аломатҳо ифода мекунанд. Дар компютер онҳо ба воситаи рамзҳои дуӣ, яъне сифру як, намоиш дода мешаванд.

Навъҳои пойгоҳи додаҳо

• Пойгоҳи додаҳои релятсионӣ ё ҷадвалҳои ба ҳам алоқаманд.
• Пойгоҳи додаҳои NoSQL.
• Пойгоҳи додаҳои абрӣ.
• Пойгоҳи додаҳои сутунӣ.
• Пойгоҳи додаҳои сутунҳои васеъ.
• Пойгоҳи додаҳои объектгаро.
• Пойгоҳи додаҳои калид–қимат.
• Пойгоҳи додаҳои иерархӣ.
• Пойгоҳи додаҳои графӣ.
• Пойгоҳи додаҳои силсилаи вақтӣ.

Чанд навъи онро мухтасар шарҳ медиҳем.

Пойгоҳи додаҳои релятсионӣ — Relational Database

Пойгоҳҳои додаҳои релятсионӣ аз солҳои 1970 истифода мешаванд. Дар ин навъи пойгоҳ додаҳо дар чанд ҷадвали ба ҳам алоқаманд нигоҳ дошта мешаванд. Дар дохили ҷадвалҳо додаҳо дар сатрҳо ва сутунҳо ҷой мегиранд.

Низоми идоракунии пойгоҳи додаҳои релятсионӣ (RDBMS) барномаест, ки имкони сохтан, навсозӣ ва идора кардани чунин пойгоҳро фароҳам меорад.

Забони дархостҳои сохторёфта (Structured Query Language — SQL) забони маъмул барои хондан, илова кардан, навсозӣ ва ҳазфи додаҳо мебошад.

Барои эътимоднокии транзаксияҳо дар пойгоҳҳои додаҳои релятсионӣ аз хусусиятҳои ACID истифода мешавад. Ин ихтисора аз мафҳумҳои зерин гирифта шудааст:

• Атомӣ будан (Atomicity): транзаксия пурра иҷро мешавад ё ҳеҷ қисми он иҷро намешавад.
• Мувофиқат (Consistency): транзаксия додаҳоро аз як ҳолати дуруст ба ҳолати дурусти дигар мегузаронад.
• Ҷудоӣ (Isolation): транзаксияҳои ҳамзамон бояд мувофиқи сатҳи ҷудоии муайяншуда аз таъсири номатлуби якдигар ҳифз шаванд.
• Пойдорӣ (Durability): натиҷаи транзаксияи тасдиқшуда бояд нигоҳ дошта шавад.

Намунаҳои пойгоҳҳои додаҳои релятсионӣ:

• Microsoft SQL Server;
• Oracle Database;
• MySQL;
• PostgreSQL;
• IBM Db2.

Пойгоҳи додаҳои NoSQL

Дар пойгоҳҳои додаҳои NoSQL, вобаста ба модели онҳо, додаҳо метавонанд ба ҷойи ҷадвалҳои релятсионӣ дар ҳуҷҷатҳо ё сохторҳои дигар нигоҳ дошта шаванд.

Номи NoSQL аксаран ҳамчун «на танҳо SQL» (Not Only SQL) шарҳ дода мешавад. Ин пойгоҳҳо аз рӯйи моделҳои гуногуни чандири додаҳо гурӯҳбандӣ мешаванд.

Навъҳои асосии онҳо инҳоянд:

• Пойгоҳҳои додаҳои ҳуҷҷатӣ.
• Пойгоҳҳои додаҳои калид–қимат.
• Пойгоҳҳои додаҳои сутунҳои васеъ.
• Пойгоҳҳои додаҳои графӣ.

Пойгоҳҳои додаҳои NoSQL барои нигоҳдорӣ ва коркарди ҳаҷми зиёди додаҳо дар миқёси калон истифода мешаванд ва ниёзҳои бисёр корхонаҳои муосирро қонеъ мекунанд.

RDBMS — Relational Database Management System: низоми идоракунии пойгоҳи додаҳои релятсионӣ.

SQL чист?

SQL, ихтисораи Structured Query Language, забони махсуси барномасозӣ барои идора кардани додаҳои дар низоми идоракунии пойгоҳи додаҳои релятсионӣ нигоҳдошташуда мебошад. Он ҳамчунин дар баъзе низомҳои идоракунии ҷараёни додаҳои релятсионӣ — RDSMS — истифода мешавад.

Ин забон махсусан барои кор бо додаҳои сохторёфта муфид аст: додаҳое, ки робитаҳои байни объектҳо ва хусусиятҳои онҳоро дар бар мегиранд.

SQL нисбат ба интерфейсҳои кӯҳнатари хондану навиштан, ба монанди ISAM ё VSAM, ду бартарии асосӣ дорад:

1. Имкон медиҳад бо як дастур ба чанд сабт муроҷиат кунем.
2. Зарурати муайян кардани тарзи қадам ба қадам ёфтани сабтро аз байн мебарад: мо натиҷаи дилхоҳро муайян мекунем ва низом роҳи иҷрои онро интихоб мекунад.

Дастурҳои SQL ба гурӯҳҳои гуногун ҷудо мешаванд. Баъзе аз онҳо:

• Бозёбии додаҳо: SELECT.
• Кор бо додаҳо: INSERT, UPDATE, MERGE, TRUNCATE, DELETE.
• Идоракунии транзаксияҳо: COMMIT, ROLLBACK.
• Таърифи сохтори додаҳо: CREATE, DROP.
• Идоракунии иҷозатҳо: GRANT, REVOKE.

Намунаҳои дастурҳои SQL

Бо дастури зерин қиматҳои сутунҳои муайянро аз ҷадвали table_name мегирем:

SELECT column1, column2, ...  
FROM table_name;  

Бо дастури зерин ба ҷадвали table_name сатри нав илова мекунем:

INSERT INTO table_name (column1, column2, column3, ...)  
VALUES (value1, value2, value3, ...);  

Бо дастури зерин сатрҳоеро, ки ба шарти condition мувофиқанд, ҳазф мекунем:

DELETE FROM table_name  
WHERE condition;  

Амнияти пойгоҳи додаҳо

Калимаи «амн» маънои эмин будан аз осеб ва хатарро дорад. Амният ҳолатест, ки дар он маълумот ва низомҳо аз таҳдидҳо ҳифз мешаванд.

Мо бояд чораҳое андешем, ки маълумот ё додаҳои мо, ҳамчун яке аз арзишмандтарин дороиҳои ҳар ташкилот, эмин бимонанд.

Барои ин, пеш аз ҳама, бояд роҳҳои дастрасии ғайриқонунӣ ба пойгоҳи додаҳо ва усулҳои дуздии маълумотро бишносем.

Аммо танҳо одамон пойгоҳи додаҳоро зери хатар намегузоранд. Ғайр аз бастани роҳҳои ҳамлагарон, мо бояд аз додаҳо нусхаи эҳтиётӣ низ гирем.

Таҷҳизот ва дастгоҳҳои барқӣ метавонанд вайрон шаванд. Аз даст рафтани додаҳо дар чунин ҳолат метавонад барои фаъолияти ширкат ё ташкилот оқибатҳои ҷиддӣ дошта бошад.

Бинобар ин, беҳтар аст дар фосилаҳои кӯтоҳ ва мунтазам аз додаҳо нусхаи эҳтиётӣ гирифта шавад.

Чаро амнияти пойгоҳи додаҳо муҳим аст?

Додаҳо аз дороиҳои асосии ташкилотанд ва одатан дар пойгоҳи додаҳо нигоҳ дошта мешаванд. Масалан:

• Маълумоти суратҳисобҳои бонкӣ.

• Маълумоти кортҳои пардохтӣ.

• Маълумоти шахсӣ: ном, суроға, рақами телефон ва суроғаи почтаи электронӣ.

• Номи корбар ва рамзи гузарвожа.

Вайрон шудани амнияти додаҳои ташкилот метавонад оқибатҳои ҷуброннопазир дошта бошад.

Амнияти пойгоҳи додаҳо вазифаҳои зеринро дар бар мегирад:

• Пешгирӣ аз ифшои беиҷозати додаҳо.
• Пешгирӣ аз тағйирдиҳии беиҷозати додаҳо.
• Ҳифзи маълумот ва таъмини устувории пойгоҳи додаҳо.

Баъзе роҳҳои ҳамла ба барнома ва пойгоҳи додаҳо

1. Фишинг — Phishing

Фишинг як навъи ҳамлаи муҳандисии иҷтимоӣ аст. Он аксаран тавассути почтаи электронӣ ва бо мақсади дуздидани маълумоти воридшавӣ ё дигар маълумоти ҳассос, масалан маълумоти корти пардохтӣ, анҷом дода мешавад.

Яке аз омилҳои таъсирбахши фишинг ғайричашмдошт будани паём аст. Ҷабрдида метавонад чунин паёмро дар вақте гирад, ки интизораш нест ё диққаташ ба кори дигар банд аст.

Ҳамлагарон метавонанд вақти фиристодани паёмҳоро тавре интихоб кунанд, ки шахс ҳангоми кор ё машғулияти дигар онҳоро қабул намояд. Диққати доимӣ ба ҳамаи паёмҳои шубҳанок осон нест ва қаллобон аз ин истифода мекунанд.

Ҳамлагар метавонад бо дуздидани маълумоти ҳисоби маъмур ё роҳбари ташкилот ба пойгоҳи додаҳо дастрасӣ пайдо карда, маълумотро бидуздад.

2. Ҳамлаҳои қатъи хизматрасонӣ — DoS ва DDoS

DoS ва DDoS аз ҳамлаҳои хатарноки интернетӣ мебошанд.

DDoS ихтисораи Distributed Denial of Service, яъне «ҳамлаи тақсимшудаи қатъи хизматрасонӣ» мебошад.

Ҳадафи чунин ҳамла одатан аз кор баровардани имкони хизматрасонии муқаррарии шабака ё сервер аст. Ҳамлагар метавонад паҳнои маҷрои шабака, пайвастҳо ё захираҳои коркарди серверро ҳадаф қарор диҳад.

Бо фиристодани ҳаҷми зиёди бастаҳои додаҳо ё дархостҳо, шабака ё сервер зери бори аз ҳад зиёд қарор мегирад. Дар натиҷа, корбарон ва муштариён наметавонанд аз хизматрасонӣ истифода баранд.

3. Тазриқи SQL — SQL Injection

SQL Injection усули ҳамлаест, ки тавассути осебпазирии барнома ба дархостҳои пойгоҳи додаҳо таъсир мерасонад.

Ин ҳамла метавонад дар саҳифаҳои веб рух диҳад. Масалан, ҳамлагар ҳангоми пур кардани майдонҳои форма ба ҷойи ном матни махсуси SQL ворид мекунад. Агар барнома ин вурудро ба таври ноамн ба дархости SQL ҳамроҳ кунад, ҳамлагар метавонад натиҷаи дархостро тағйир диҳад ва ба додаҳо дастрасии беиҷозат ба даст орад.

Ҷустуҷӯи вебсайти осебпазир метавонад қисми зиёди вақти ҳамлагарро гирад. Бисёр вебсайтҳо барои ҳифзи худ аз ин ҳамла чораҳои амниятӣ меандешанд, ки кори ҳамлагарро душвортар мекунад.

4. Скриптнависии байнисайтӣ — XSS

XSS — Cross-Site Scripting яке аз ҳамлаҳои маъмули веб аст.

Барои он ки ихтисораи он бо CSS, забони услубдиҳии саҳифаҳои веб, омехта нашавад, аз номи XSS истифода мекунанд.

Дар ин ҳамла коди зараровар ба саҳифаи веб ворид мешавад ва браузери корбар онро иҷро мекунад. Одатан ин код бо JavaScript навишта мешавад. Дар натиҷа, ҳамлагар метавонад ба баъзе маълумоти корбар ё имкониятҳои ҳисоби ӯ дастрасии беиҷозат пайдо кунад.

Яке аз роҳҳои анҷом додани ҳамла ворид кардани коди зараровар ба пайванд аст, ки баъди кушодани он аз ҷониби корбар иҷро мешавад. Ҳамчунин, агар скрипти зараровар дар муҳтавои захирашудаи вебсайт ҷой гирад, он метавонад ба шумораи бештари корбарон таъсир расонад.

5. Ҳамлаи санҷиши пайдарпайи вариантҳо — Brute Force

Brute Force кӯшиши ёфтани гузарвожа, номи корбар, саҳифаи пинҳонии веб ё калиди рамзгузорӣ бо роҳи санҷидани вариантҳои имконпазир мебошад.

Дар ин усул ҳамлагар вариантҳоро пайдарпай месанҷад, то ба натиҷаи дуруст расад.

Brute Force усули кӯҳна аст, вале ҳанӯз истифода мешавад ва дар шароити мувофиқ метавонад таъсирбахш бошад.

6. Дуздии кукиҳо — Cookie Theft

Дар ин ҳамла шахси ҳамлагар ба кукиҳо ё маълумоти нишасти корбар дастрасии беиҷозат пайдо мекунад. Нишастҳои ноамн метавонанд имкони дастрасӣ ба маълумоти махфӣ ё истифодаи ҳисоби корбарро фароҳам созанд.

Баъзе усулҳои таъмини амнияти маълумоти пойгоҳи додаҳо

• Назорати дастрасӣ.
• Аудити пойгоҳи додаҳо — Database Auditing.
• Санҷиши ҳувият.
• Рамзгузорӣ.
• Таъмини якпорчагии додаҳо.
• Нусхабардории эҳтиётӣ.
• Амнияти барнома — Application Security.

Баррасии ҳамлаи SQL Injection

SQL Injection яке аз осебпазириҳои маъруфест, ки дар санҷиши нуфузи барномаҳои веб баррасӣ мешавад.

Ҳадаф аз чунин санҷиш муайян кардани имкони дастрасии мустақим ва беиҷозат ба сабтҳои пойгоҳи додаҳо мебошад.

Барои муайян кардани осебпазирӣ, санҷишгар метавонад вурудҳоеро бисанҷад, ки хатои низом ё тағйироти ғайримуқаррарии рафтори барномаро ошкор мекунанд.

Ҳатто агар паёмҳои хато мустақиман нишон дода нашаванд ҳам, барнома метавонад ба дархости дуруст ва нодуруст ҷавобҳои гуногун диҳад. Аз рӯйи ин фарқиятҳо метавон нишонаҳои хатогиро муайян кард ва санҷид, ки оё онҳо ба SQL алоқаманданд.

Коркарди хатоҳо (Error Handling) имкон медиҳад, ки барнома хатогиҳоро бо тарзи муайянкардаи барномасоз идора ва намоиш диҳад. Ин метавонад ошкор кардани ҷузъиёти дохилии низомро маҳдуд карда, кори ҳамлагарро душвортар созад.

Чораҳои назорати амнияти пойгоҳи додаҳо

Марҳалаи аввал: муайян кардани сиёсати амниятии ташкилот

• Муайян кардани сиёсати амниятии низоми иттилоотӣ.
• Муайян кардани тартиби назорати корбарон.

Марҳалаи дуюм: муайян кардани чораҳои зарурии амниятӣ

• Чораҳои пешгирикунанда.
• Чораҳои ошкорсозӣ.
• Чораҳои таҳқиқи ҳодисаҳои амниятӣ ва экспертизаи рақамӣ.

Муайян кардани сиёсати амниятии ташкилот

Ҳангоми таҳияи сиёсати амниятӣ бояд корҳои зерин анҷом дода шаванд:

• Муайян кардани маълумоте, ки ба ҳифз ниёз дорад.
• Гурӯҳбандии маълумот аз рӯйи аҳаммият.
• Муайян кардани таҳдидҳо.
• Арзёбии хатар.
• Муайян кардани нақшҳои корбарони пойгоҳи додаҳо.
• Сохтани ҳисобҳои корбарӣ мувофиқи корбарон ва нақшҳои онҳо.
• Додани иҷозати дастрасӣ мувофиқи ниёзҳои корӣ.
• Бозбинии пайвастаи нақшҳо ва иҷозатҳо, махсусан баъди тағйирот дар ташкилот.
• Муайян кардани сиёсати сабти фаъолиятҳо.
• Муайян кардани ҳадафи сабти рӯйдодҳо.
• Муайян кардани тартиби сабти рӯйдодҳои низоми амалиётӣ, барнома ва пойгоҳи додаҳо.
• Муайян кардани навъҳои дастрасӣ ва ҳолатҳое, ки бояд сабт шаванд: вақти муроҷиат, маълумоти дархостшуда ва воридшавӣ ба низом.
• Муайян кардани ҷузъиёти сабт: вақт, шиносаи корбар ва суроғаи IP.
• Муайян кардани тартиби нигоҳдории сабтҳо ва назорати дастрасӣ ба онҳо.

Тартиби назорати корбарон

Барои корбарони низом бояд қоидаҳои амниятӣ муайян карда шаванд, аз ҷумла:

• Манъ кардани дастрасӣ ба маълумот бе иҷозати дахлдор.
• Манъ кардани нигоҳдории маълумот дар воситаҳои ғайрииҷозатдодашуда.
• Манъ кардани навиштан ё гузоштани номи корбар ва гузарвожа дар ҷойи намоён.
• Ҷудо кардани вазифаҳои маъмури пойгоҳи додаҳо ва оператори низом.
• Уҳдадор кардани корбарон ба имзои созишномаи хаттии риояи қоидаҳои амниятӣ.
• Муайян кардани чораҳои интизомӣ барои вайронкунандагони қоидаҳо.

Идоракунии пойгоҳи додаҳо

Дар идоракунии пойгоҳи додаҳо ба масъалаҳои зерин диққат додан лозим аст:

• Пайгирии ҳодисаҳо ва осебпазириҳои амниятии марбут ба низоми истифодашаванда ва ислоҳҳои пешниҳодшуда барои онҳо.
• Муайян ва маҳдуд кардани иҷозати амалҳои маъмурӣ.
• Сабти амалҳои маъмурӣ.
• Ивазкунии даврии маъмурони низом, агар ташкилот ин чораро мувофиқ донад.
• Омӯзонидани кормандон ва ҳамкорон.

Ин чораҳо ба ҳифзи пойгоҳи додаҳо аз дастрасии беиҷозат мусоидат мекунанд.

Чораҳои пешгирикунандаи амниятӣ

Танзими ибтидоӣ

• Насб кардани навтарин ислоҳҳои амниятии пешниҳодшуда.
• Интихоб ва насб кардани танҳо имкониятҳои зарурӣ.
• Ҳазф кардани имкониятҳои зиёдатӣ.
• Маҳдуд кардани дастрасӣ ба пойгоҳи додаҳо.
• Ба роҳ мондани санҷиши ҳувият.

Идоракунии ҳисобҳои корбарӣ

• Сохтани ҳисобҳои зарурӣ.
• Ҳазф кардани ҳисобҳои зиёдатӣ.
• Маҳдуд ё масдуд кардани кӯшишҳои номуваффақи воридшавӣ.

Идоракунии гузарвожаҳо

Дар матни аслӣ чораҳои зерин пешниҳод шудаанд:

• Муайян кардани талаботи мураккабии гузарвожа.
• Иваз кардани даврии гузарвожа.
• Муайян кардани муҳлати эътибори гузарвожа.

Рамзгузорӣ

Рамзгузории додаҳо ҳангоми интиқол

Додаҳое, ки байни сервер ва муштарӣ интиқол меёбанд, бояд бо истифода аз протоколҳои муҳофизатӣ рамзгузорӣ шаванд.

Дар матни аслӣ SSL/TLS зикр шудааст.

Рамзгузории додаҳои нигоҳдошташуда

Рамзгузорӣ метавонад бахшҳои зеринро фаро гирад:

• Файлҳои додаҳо.
• Файлҳои сабти рӯйдодҳо.
• Файлҳои нусхаҳои эҳтиётӣ.

Ҳамчунин, бояд идоракунии калидҳои рамзгузорӣ ба таври дуруст ба роҳ монда шавад.

Назорати дастрасӣ

Ҳадафи назорати дастрасӣ ин аст, ки танҳо шахсон ё низомҳои дорои иҷозат ба додаҳо дастрасӣ дошта бошанд.

Ҷузъҳои асосии назорати дастрасӣ:

• Сиёсати дастрасӣ: муайян мекунад, ки кадом дастрасӣ ба низом иҷозат дода мешавад.
• Механизми назорати дастрасӣ: сиёсати дастрасиро дар амал татбиқ мекунад.

Навъҳои назорати дастрасӣ:

• Назорати дастрасии ихтиёрӣ — DAC.
• Назорати дастрасии ҳатмӣ — MAC.
• Назорати дастрасӣ бар асоси нақш — RBAC.

Чораҳои ошкорсозӣ ва таҳқиқи ҳодисаҳои амниятӣ

• Омода кардани гузоришҳои мувофиқ барои ошкор кардани мушкилот ва таҳқиқи ҳодисаҳо.
• Идоракунии сабтҳои рӯйдодҳо — Logs.
• Ҳифзи сабтҳо аз дастрасӣ ва тағйирдиҳии беиҷозат.
• Ошкор кардани кӯшишҳои дастрасии беиҷозат.
• Таҳлили сабтҳо барои муайян кардани нуқсонҳо ва вайроншавии амният.

Хулоса

Амнияти пойгоҳи додаҳо ба усулҳо ва чораҳои гуногун вобаста аст. Ҳамаи онҳо бояд дуруст баррасӣ, омӯхта ва татбиқ шаванд.
Бо вуҷуди ин, ҳатто агар ҳамаи чораҳо дуруст иҷро шаванд ҳам, як қоида ҳамеша боқӣ мемонад:

Амният ҳеҷ гоҳ сад дарсад нест.