Details

Объектом исследования является система управления базами данных PostgreSQL. Цель работы заключается в разработке и апробации методики оценки защищённости СУБД, обеспечивающей объективную и воспроизводимую оценку уровня безопасности базы данных. Для достижения поставленной цели выполнены анализ актуальных угроз безопасности СУБД, исследование существующих методов обеспечения безопасности и подходов к оценке защищённости, проведён сравнительный анализ методик по критериям объективности, воспроизводимости, корректности и достаточности, разработана комбинированная методика оценки защищённости, а также выполнена её апробация на экспериментальном стенде. Методологическую основу исследования составили системно-структурный анализ угроз, модель STRIDE, методы формального анализа конфигураций, статистической обработки журналов событий, классификации инцидентов и имитационного моделирования. При разработке методики использовались требования ISO/IEC 27001:2022, рекомендации NIST SP 800-55 и отраслевые практики обеспечения безопасности СУБД. В результате работы предложена гибридная методика оценки защищённости СУБД, объединяющая формальный, статистический, классификационный, семантический и имитационный подходы. Проведённая апробация подтвердила применимость методики для выявления несоответствий конфигурации, оценки рисков и формирования рекомендаций по повышению уровня защищённости. Полученные результаты могут быть использованы при проведении аудита безопасности, оценке соответствия требованиям регуляторов, а также при проектировании и сопровождении защищённых инфраструктур хранения данных.

The purpose of the study is the development and validation of a methodology for assessing the security of database management systems. The object of the work is the PostgreSQL database management system. The research set the following goals: 1. Аnalysis of current threats to database management systems. 2. Review of existing database security assessment methods and security controls. 3. Comparative evaluation of security assessment approaches based on objective criteria. 4. Development of a comprehensive methodology for database security assessment. 5. Validation of the proposed methodology in a test environment. During the work, current threats affecting database management systems were studied and classified. Existing approaches to database security assessment were analyzed, including formal, statistical, classification, semantic and simulation-based methods. International standards and recommendations in the field of information security, including ISO/IEC 27001:2022 and NIST publications, were examined. The work resulted in the development of a hybrid methodology for database security assessment combining formal configuration analysis, statistical monitoring, threat classification, semantic prioritization and simulation modeling. The proposed methodology was validated on a PostgreSQL test environment and demonstrated it applicability for identifying security weaknesses, assessing risks and generating security improvement recommendations. The obtained results can be used during database security audits, compliance assessment procedures, implementation of security monitoring processes and the design of secure data storage infrastructures. To achieve these results, a set of automated assessment procedures and software tools was developed, including configuration analysis mechanisms, security metrics evaluation, log analysis and workload simulation for PostgreSQL environments.