Raport na temat bezpieczeństwa informatycznego.

Streszczenie: Statystyki zarejestrowanych w National Vulnerability Database (narodowej bazie danych luk) luk w zabezpieczeniach produktów bazodanowych wiodących producentów są interesujące ze względu na duży kontrast pomiędzy bazami danych Microsoft, MySQL i Oracle. Według ESG do osiągnięcia imponującej jakości produktu SQL Server przyczyniły się inwestycje Microsoft w rozwój procesów tworzenia bezpiecznego oprogramowania. Specjaliści ESG uważają, że pod względem tworzenia bezpiecznych i niezawodnych produktów bazodanowych Microsoft wyprzedza firmy Oracle i MySQL o całe lata.

Wprowadzenie

Dostępność baz danych ma krytyczne znaczenie dla kadry kierowniczej, właścicieli aplikacji i korporacyjnych zespołów informatycznych. Zawartość serwerów baz danych jest w zasadzie odzwierciedleniem życia organizacji. Brak możliwości niezawodnego uruchamiania aplikacji lub realizowania transakcji z klientami oznacza dla przedsiębiorstwa zastój w działalności. Jednym z wymiernych wskaźników ryzyka wstrzymania działalności lub ujawnienia danych poufnych jest liczba luk istniejących w infrastrukturze technicznej. Istnieje współzależność pomiędzy liczbą znanych luk a liczbą nieodkrytych luk, a także prawdopodobieństwem udanego ataku na bazę danych zawierającą luki. Jest oczywiste, że im więcej istniejących luk, tym prawdopo¬dobieństwo udanego ataku jest większe.

Mając to na uwadze, firma ESG przeanalizowała dane na temat znanych luk i narażeń (Common Vulnerabilities and Exposures — CVE), znajdujące się w narodowej bazie luk (National Vulnerability Database — NVD) w celu porównania liczby błędów w komercyjnych produktach firm Microsoft i Oracle oraz w otwartym produkcie MySQL. Oracle — firma, która zwykle nie informowała o kłopotach z bezpieczeństwem swoich produktów — w ciągu ostatnich kilku kwartałów ujawniła wiele luk w zabezpieczeniach. Microsoft poświęcał bezpieczeństwu wiele uwagi i wiele zrobił w tym zakresie — od otwartego informowania o znalezionych błędach po całkowitą zmianę procesu tworzenia oprogramowania dzięki wprowadzeniu cyklu projektowania zabezpieczeń (Security Development Lifecycle — SDL). Szczególnie interesujący może być Microsoft SQL Server 2005, ponieważ jest to pierwsze wydanie tego produktu po wdrożeniu procesu SDL.

Ilustracja 1. Powszechne luki i narażenia, 2003 – 2006
Źródło — na podstawie narodowej bazy luk, listopad 2006

Firma ESG zdecydowała się porównać liczby zgłoszeń CVE, zarejestrowanych w bazie utrzymywanej przez Narodowy Instytut Nauki i Technologii (National Institute of Science and Technology — NIST), ponieważ jest to najlepszy niezależny rejestr problemów odkrytych przez klientów, naukowców i producentów, pozbawiony nieścisłości, jakie producenci mogliby wprowadzić w liczbach poprawek lub biuletynów bezpieczeństwa.

Liczba zgłoszeń CVE wykazywała od 2003 roku tendencję rosnącą, głównie ze względu na coraz większą złożoność produktów, zwiększające się grono klientów wykorzystujących produkty w różnych zastosowaniach i aktywne działania NIST w zakresie gromadzenia informacji o błędach i przekazywania tych informacji klientom. Warto zwrócić uwagę na następujące rozbieżności w liczbie zgłoszeń CVE dotyczących różnych producentów baz danych:

Wyniki firmy Oracle z ostatnich dwóch lat pokazują, że firmę tę czeka jeszcze wiele pracy, zanim uda się jej zmniejszyć liczbę zgłoszeń do poziomu reprezentowanego przez konkurencyjne produkty bazodanowe firm IBM, Microsoft, MySQL i Sybase. O ile Oracle może zbierać pochwały za otwartość i skrupulatność programu informowania o lukach, inżynierowie Oracla jeszcze wiele czasu potrzebują na odnalezienie pierwotnej przyczyny występowania tak dużej liczby luk i wdrożenie procedur naprawczych. ESG stoi na stanowisku, że w tym procesie nie ma drogi na skróty.

Wyniki Microsoft są tak dobre, że prawie nie chce się w nie wierzyć i mogą służyć za wzór dla innych producentów baz danych. ESG spodziewa się, że obecne trendy dotyczące liczby zgłoszeń CVE utrzymają się w roku 2007 do czasu, aż zmiany wprowadzone w procedurach tworzenia oprogramowania Oracle i MySQL doprowadzą do powstania i wdrożenia u klientów bardziej bezpiecznego oprogramowania.

Czego inni producenci baz danych mogą nauczyć się od firmy Microsoft?

Firma ESG zauważyła, że Microsoft poczynił znaczne inwestycje w podniesienie bezpieczeństwa i integral¬ności swoich produktów. Jak widać na ilustracji pierwszej, rezultaty tych inwestycji są imponujące. ESG uważa, że inni producenci baz danych mogliby skorzystać z doświadczenia Microsoft i wyciągnąć wnioski z dobrych praktyk programowania stosowanych przez tę firmę:

Podejście Microsoft polega na dbaniu o bezpieczeństwo produktów na każdym etapie procesu rozwoju oprogramowania. Poza stosowaniem narzędzi do automatyzacji wykrywania przypadków użycia zabronionych procedur i niebezpiecznych praktyk kodowania, prawdziwą wartością programu jest podnoszenie świadomości i edukacja programistów oraz zwiększenie elastyczności zespołów programistycznych w całej organizacji. Jest to ogromna inwestycja w zasoby, a uzyskanie widocznych rezultatów zajęło całe lata.

Implementacja SDL w SQL Server 2005

Microsoft zdecydował, że pierwszym produktem tworzonym zgodnie z procesem SDL będzie SQL Server. Prace rozpoczęto od wydanego w 2003 roku dodatku SP3 do SQL Server 2000 i kontynuowano je w SQL Server 2005. Z porównania liczby zgłoszeń CVE dla Microsoft i największych konkurentów firmy widać, że wyniki były imponujące. W przypadku baz danych Oracle corocznie obserwowano stały wzrost zgłaszanych błędów, natomiast w przypadku Microsoft SQL Server, w latach 2005 i 2006 nie zanotowano żadnych zgłoszeń CVE w narodowej bazie luk.

Wnioski

Liczby zgłoszeń CVE nie kłamią. Imponujące efekty, uzyskane przez Microsoft w SQL Server w wyniku inwestycji w rozwój procesów tworzenia bardziej bezpiecznego oprogramowania, są warte podania do publicznej wiadomości. Firma ESG przeprowadziła rozmowy z klientami, którzy zdecydowali się oprzeć swoje krytyczne dla działania firmy aplikacje na Microsoft SQL Server ze względu na bezpieczeństwo i niezawodność tego produktu. Natura ulepszeń bezpieczeństwa i niezawodności oraz praktycznie fundamentalne zmiany sposobów projektowania, tworzenia i testowania oprogramowania dają Microsoft przewagę, którą firma — dokładając odpowiednich starań — powinna łatwo utrzymać. Specjaliści ESG uważają, że pod względem tworzenia bezpiecznych i niezawodnych produktów bazodanowych Microsoft wyprzedza firmy Oracle i MySQL o całe lata.

Wszystkie znaki towarowe są własnością ich odpowiednich właścicieli. Informacje zamieszczone w tej publikacji zostały pobrane ze źródeł, które Enterprise Strategy Group (ESG) uważa za wiarygodne, ESG nie może jednak gwarantować wiarygodności tych informacji. Publikacja może zawierać opinie ESG, a opinie te mogą okresowo ulegać zmianie. Autorskie prawa własności intelektualnej do tej publikacji należą do Enterprise Strategy Group, Inc. Dokumentacja przeznaczona jest wyłącznie dla prenumeratorów oraz osób, które nabyły ją bezpośrednio od ESG. Powielanie tej publikacji w całości lub w części, za pomocą jakichkolwiek środków mechanicznych, elektronicznych lub innych, i udostępnianie jej osobom nieuprawnionym bez uprzedniej zgody Enterprise Strategy Group, Inc jest naruszeniem obowiązującego w USA prawa ochrony własności intelektualnej i może spowodować wytoczenie procesu cywilnego o odszkodowanie lub zgłoszenie popełnienia przestępstwa. Wszelkie pytania należy kierować do działu ESG Client Relations pod numer telefonu (508) 482-0188.

¹http://nvd.nist.gov/, zaawansowane wyszukiwanie według produktów: Microsoft SQL Server, Microsoft SQL Server Desktop Engine, SQL Server Desktop Engine

²http://nvd.nist.gov/, zaawansowane wyszukiwanie według produktów: MaxDB, MySQL

³http://nvd.nist.gov/, zaawansowane wyszukiwanie według produktów: 9i, Oracle 9i, Oracle 9i Release 1 oraz 2, Oracle 9i Database Release 2, Oracle 9i Database Server, Oracle 9i Database Server Release 1 oraz 2, Oracle 9i Lite, Oracle 10g, Oracle 10g Database Server, Oracle Database Server Release 1 oraz 2, Oracle 10g Enterprise Manager Database Control, Oracle 10g Enterprise Manager Grid Control, Oracle 10g Reports Server

⁴http://nvd.nist.gov/, zaawansowane wyszukiwanie według produktów: DB2, DB2 Content Manager, DB2 Universal Database, DB2 Universal Database for AIX, HP-UX, Linux, Solaris i Windows

⁵http://nvd.nist.gov/, zaawansowane wyszukiwanie według produktów: Adaptive Server Anywhere, Adaptive Server Enterprise, EA Server

Do początku strony