تقييم تحصين لكل قاعدة بيانات
أكثر من 45 فحصًا مبنيًّا على معايير مرجعية معتمدة لتحصين قواعد البيانات، يُقيَّم لكل قاعدة بيانات متصلة ويُحدَّث وفق جدول.
وحدة AthonisOne 06 من 08
أمن قواعد البيانات
محصَّنة — أم مفترَض أنها كذلك؟
يُفترض عادةً أن قواعد البيانات محصَّنة. تقرأ هذه الوحدة إعداداتها وحالتها الأمنية وتقيّم كل إعداد وفق معايير تحصين راسخة، لترى بالضبط أين تنحرف قاعدة البيانات — وما الذي تعذّر قياسه أصلًا.
ما الذي تجيب عنه
الأسئلة التي وُجدت هذه الوحدة لتجيب عنها.
- 01 هل قواعد بياناتنا محصَّنة وفق أفضل ممارسات المعايير المرجعية؟
- 02 أي الإعدادات تنحرف تحديدًا، وفي أي قواعد بيانات؟
- 03 ما الذي لم نستطع قياسه، ولماذا؟
- 04 هل نستطيع إثبات امتثال قواعد البيانات أمام مدقّق؟
- 05 كيف يتجه وضعنا الأمني لقواعد البيانات عبر الزمن؟
ما الذي تفحصه
بالتفصيل.
مطابق، انحراف، غير مُقاس
حكم واضح على كل إعداد. والبند الذي تعذّر فحصه لا يُعامل بصمت على أنه سليم.
الإعدادات وحالة الامتثال
الإعدادات والتحصين وحالة الامتثال لكلٍّ من Microsoft SQL Server وOracle Database، مع ربط النتائج بالضوابط التي تُسندها.
كل قاعدة بيانات قابلة للتوصيل بذاتها
اتصال Oracle الذي يصل إلى قاعدة بيانات قابلة للتوصيل (pluggable) تُدقَّق وتُقيَّم وتُسمّى باسمها، لا تُدمج مع غيرها في الحاوية نفسها. واتصالان بقاعدة البيانات القابلة للتوصيل نفسها يبقيان قاعدة بيانات واحدة.
نتائج مُصنَّفة
كل نتيجة مع الدليل وراءها، لا مجرد وسم للخطورة.
دليل النتائج
شرح مدمج لكل نتيجة — ما هي، ولماذا تهمّ، وماذا تفعل.
مؤشر الوضع الأمني
يُحتسب من النتائج ويُتتبَّع عبر الزمن.
أدلة الامتثال
نتائج مربوطة بضوابط الأطر التي تُسندها.
كيف تحكم
حيث تمتنع عن الادّعاء الزائد.
الفحص الذي يخمّن يُنتج نتائج زائفة، والنتائج الزائفة تعلّم الفريق تجاهل النتائج الحقيقية. هذه هي المواضع التي تتحفّظ فيها هذه الوحدة.
- تسجيل دخول المسؤول المدمج المعطَّل والمُعاد تسميته يُعدّ محصَّنًا — فتعطيله هو العلاج، ولذا لا يُبلَّغ عنه مجددًا لوجوده في دور المسؤول.
- تُقرأ حدود كلمات المرور في Oracle كما تفرضها Oracle، بما في ذلك كيفية اجتماع حدود إعادة الاستخدام، ولا يُبلَّغ عن حساب مقفل لأن كلمة مروره الافتراضية ما زالت قائمة.
- الاتصالات غير المشفّرة تحتسب جلسات العملاء فقط — لا النسخ المتماثلة لمجموعة توافر وهي تتحدث بعضها إلى بعض.
- الخادم الذي يُبلَغ عبر اتصالين ينتج مجموعة نتائج واحدة، لا نسختين.
- لكل نتيجة في قواعد البيانات صفحة في دليل النتائج.
ما الذي تقرؤه
متصلة بما تشغّله بالفعل.
- Microsoft SQL Serverالإعدادات والتحصين وحالة الامتثال، عبر اتصال بقاعدة البيانات للقراءة فقط
- Oracle Databaseالإعدادات والتحصين وحالة الامتثال، عبر اتصال بقاعدة البيانات للقراءة فقط
ما لا تفعله أبدًا
الحدّ، معلنًا بوضوح.
- لا تكتب في قاعدة بيانات أبدًا. الاتصال للقراءة فقط.
تُعدّ نتائج هذه الوحدة دليلًا في مجالات ضوابط تحصين الإعدادات والضوابط التقنية في كل إطار مُفعَّل.
تعمل مع
مجموعة بيانات واحدة، فتجيب الوحدات بعضها عن بعض.
اطّلع على ما ستقوله وحدة أمن قواعد البيانات عن بيئتك التقنية.
تُرخَّص وحدها، وعلى المنصة نفسها التي تعمل عليها كل وحدة أخرى. سنُريك الإجابة — وما الذي ستقول إنها لم تستطع قياسه.