DBMS-sikkerhedsfaciliteter: Beskyttelse af database-datas integritet og fortrolighed

En DBMS-sikkerhedsfacilitet omfatter de mekanismer, politikker og kontroller, der beskytter database-fortrolighed, integritet og tilgængelighed (CIA-triad).

Kernesikkerhedskomponenter

1. Godkendelse

• Verificerer brugeridentitet: adgangskoder, MFA, biometri, certifikater, Kerberos, SSO-integration.
• Konto-låsning, adgangskode-kompleksitet, rotations-politikker.

2. Tilladelse

• Tildeler tilladelser post-godkendelse: GRANT/REVOKE på objekter (tabeller, views, procs).
• Role-Based Access Control (RBAC): roller = job-funktioner; brugere tildelt roller.
• Privilege-niveauer: SELECT, INSERT, UPDATE, DELETE, EXECUTE, ALTER, ADMIN.

3. Adgangskontrol-modeller

• DAC (Discretionary): Ejer tildeler adgang (standard SQL).
• MAC (Mandatory): Sikkerheds-mærkater (Top Secret, osv.) – militær/stat.
• RBAC (Role-Based): Mest almindelig enterprise-model.
• ABAC (Attribute-Based): Dynamiske politikker (tid, lokation, data-følsomhed).

4. Kryptering

• At rest: TDE (Transparent Data Encryption), kolonne-niveau, tablespace.
• In transit: TLS 1.2+ for klient-server, replikering, backup.
• Nøgle-styring: HSM, KMS, rotation, separation of duties.

5. Revision og overvågning

• Revisions-spor: logins, DDL/DML, mislykkede forsøg, privilegium-ændringer.
• Fine-grained auditing (FGA) for følsomme kolonner.
• SIEM-integration (Splunk, QRadar, Sentinel) til realtids-alarmer.

6. Backup og genopretning

• Automatiseret fuld/differentiel/log-backup.
• Point-in-time recovery (PITR).
• Offsite/immutable-lagring (ransomware-beskyttelse).
• Regelmæssig genopretningstest.

7. Netværkssikkerhed

• Private subnet, VPC'er, sikkerhedsgrupper, NACL'er.
• Database-firewalls / SQL-injection-forebyggelse (WAF, parameteriserede forespørgsler).
• Private endpoints, ingen offentlig IP.

8. Sårbarhedsstyring

• Patch-styring (CPU/PSU til Oracle, CU til SQL Server, osv.)
• Konfigurations-hærdning (CIS Benchmarks, STIGs).
• Penetrationstest, sårbarheds-scanning.

9. Data-maskering / Redaktion

• Dynamisk (query-tid) eller statisk (kopi) maskering til non-prod, udv, analyse.
• Format-bevarende kryptering, tokenisering.

10. Compliance-justering

• PCI DSS (Krav 3, 7, 8, 10), HIPAA (164.312), GDPR (Art 32), SOX.
• Revisions-rapporter, attestationer, certificeringer.

En defense-in-depth tilgang der kombinerer disse lag er essentiel til moderne databeskyttelse.