title

text

Валерий Попов
Валерий Попов Postgres Professional Руководитель группы информационной безопасности и сертификации
Николай Чадаев
Николай Чадаев Postgres Professional Старший инженер
: декабря
45 мин

Построение защищенных БД с использованием мандатного разграничения доступа в PostgreSQL

Ролевая модель разграничения доступа (RBAC) является основным механизмом разграничения доступа во многих СУБД, в том числе и в PostgreSQL. Эта модель является разновидностью дискреционного разграничения с присущими ей ограничениями. Во многих ОС в дополнение к традиционному дискреционному разграничению доступа используется мандатное разграничение (MAC) на основе меток безопасности, которое является обязательным для защиты информации высоких классов, а также представляет дополнительный механизм защиты. Естественно, хочется использовать возможности мандатного разграничения доступа к данным в среде СУБД при работе в ОС с включенным мандатным разграничением.
В нашем докладе мы рассмотрим имеющиеся реализации MAC в СУБД, а также предлагаем свой подход к использованию в PostgreSQL механизмов защиты, которые предоставляет SELinux, расширение sepgsql для PostgreSQL, а также стандартный механизм политики защиты строк (RLS, row level security), который есть в PostgreSQL начиная с версии 9.5.
Созданный прототип работает в enforced режиме под управлением ОС CentOS 7 с включенным SELinux, системными политиками MLS/MCS (Multi Level Security/Multi Category Security). В дополнение к функциональности модуля sepgsql реализовано мандатное разграничение MLS/MCS на уровне строк таблиц. Обеспечивается сетевое взаимодействие с передачей меток по сети с использованием механизмов IPSEC, CIPSO, что позволяет использовать этот подход в многопользовательской, многоузловой сети. Реализация MLS в СУБД оформлена в виде стандартных расширений PostgreSQL. Одно является оберткой вокруг расширения sepgsql, и обеспечивает легкую инсталляцию расширения sepgsql в БД, а также восстановление контекстов безопасности данных при дампе/восстановлении БД. Второе расширение предоставляет сервисные функции для работы с метками, в том числе в доверенном режиме, позволяющем менять контексты безопасности.
В качестве демо-примера мы использовали демонстрационную базу данных Авиаперевозки, подготовленную компанией Postgres Professional, на которой мы продемонстрируем защиту чувствительной информации и персональных данных, сравним различные механизмы организации хранилища меток безопасности и производительность решения.

Слайды

Видео

Другие доклады

  • Олег Правдин
    Олег Правдин Lingualeo CTO
    45 мин

    Опыт плавной миграции высоконагруженного проекта (20+ млн. пользователей) c MySQL на PostgreSQL

    Небольшая история о том, как переход на PostgreSQL увеличил на порядок эффективность работы компании:

    1. Программный код сократился в 50 раз, в команде разработки бэкенда вместо 15 человек осталось трое
    2. Сроки разработки нового функционала стали измеряться днями, а не месяцами
    3. Стоимость владения в расчете на 1 млн. пользователей снизилась в 20 раз
    4. Структура данных и документация существенно упростилась: вместо 100 тыс. таблиц со сложными связями стало 20 простых таблиц
    5. Повышение безопасности системы за счет запрета внешних SQL команд к базе данных
    6. Быстрый сбор аналитики по ключевым параметрам
    7. Без остановки работы бизнеса

  • Нина Белявская
    Нина Белявская Служба движения ГУП "Мосгортранс" главный специалист
    22 мин

    Анализ движения наземного общественного транспорта Москвы: от PostGIS к MobilityDB

    Наземный общественный транспорт Москвы во время движения по городу передаёт геоданные с помощью системы ГЛОНАСС. Эти данные хранятся и используются для анализа движения, выявления проблемных мест, составления расписаний и проектирования выделенных полос. Для хранения данных используется БД PostgreSQL c популярным расширением PostGIS. Новое расширение MobilityDB специально предназначено для работы с геоданными, изменяющимися во времени. Я сравнила решения наших задач с использованием MobilityDB и без него и хочу рассказать о полученных результатах и перспективах использования новой системы.

  • Павел Лузанов
    Павел Лузанов Postgres Professional Руководитель образовательных программ
    45 мин

    Сертификация PostgreSQL: вопросы и ответы

    В мае 2019г. компания «Постгрес Профессиональный» запустила программу сертификации PostgreSQL. Теперь можно не только пройти обучение на наших курсах, но и подтвердить знания, сдав соответствующий набор тестов.

    В этом выступлении я поделюсь итогами первых месяцев работы программы и отвечу на чаще всего возникающие вопросы:

    • Где узнать о программе сертификации?
    • Сертификация по PostgreSQL или Postgres Pro?
    • Сертификаты по версии 10, уже вышла 12. Когда будете обновлять?
    • Обязательно ли проходить обучение в учебных центрах?
    • Можно ли сдать тест удаленно? Не в Москве?
    • Можно ли в один день сдавать сразу несколько тестов? (например иногородним)
    • Как готовиться? Есть ли примеры вопросов для тренировки?
    • Во время теста попался некорректный вопрос, что делать?
    • Как узнать на какие именно вопросы ответы были не правильные?
    • Когда можно пересдать после не успешной попытки?
    • Как обжаловать результаты теста?

  • Jose Cores Finotto
    Jose Cores Finotto Gitlab Inc Staff Engineer
    45 мин

    Managing PostgreSQL at Gitlab.com

    I would like to present the main projects for the evolution of our database, how we execute the administration, the problems and pitfalls we found, and how we solve them,the number and how are  the database clusters from Gitlab.com , and what is our planning for the future, sharding, kubernetes... Our environment is in an exponential growth, with millions of users and thousands of requests per second, and we keep our platform stable and scaling. Join our session and discover our how we are doing it!