استراتژي "دفاع در عمق " يك فريمورك امنيتي مناسب براي حفاظت و نگهداري ايمن زيرساخت فن آوري اطلاعات يك سازمان است . در اين مدل،زير ساخت فن آوري اطلاعات يك سازمان به عنوان مجموعه اي از لايه هاي مرتبط به هم در نظر گرفته شده و به منظور حفاظت و ايمن سازي هر لايه از مكانيزم ها و روش هاي حفاظتي خاصي استفاده مي گردد .
آنچه تاكنون گفته شده است :
• بخش چهارم : بررسي لايه سياست ها ، رويه ها و اطلاع رساني
• بخش پنجم : بررسي لايه فيزيكي
• بخش ششم : بررسي لايه محدوده عملياتي شبكه و يا Perimeter
• بخش هفتم : بررسي لايه شبكه داخلي
• بخش هشتم : بررسي لايه host
• بخش نهم : بررسي لايه Application
در آخرين بخش به بررسي لايه داده خواهيم پرداخت .

بررسي لايه داده

• در آخرين لايه فريمورك مدل امنيتي "دفاع در عمق" ، لايه داده قرار دارد . داده داراي نقشي اساسي و حياتي در دنياي پردازش اطلاعات است و از آنها به منظور انجام پردازش هاي گوناگون استفاده مي گردد تا اطلاعات ارزشمندي توليد شود .
• داده به اشكال مختلفي در يك شبكه ذخيره مي گردد . داده ممكن است در اسناد ، فايل هاي داده اكتيو دايركتوري و فايل هاي مختلف برنامه ها ذخيره شود. سيستم هاي كامپيوتري ، داده را بر روي رسانه هاي متعدد ذخيره سازي ( نظير هارد ديسك ) ذخيره مي نمايند .
• نسخه هاي اخير ويندوز از سيستم فايل هاي متعددي به منظور ذخيره و بازيابي فايل ها حمايت مي نمايند . سيستم فايل NTFS ( برگرفته از NT file system ) يك نمونه در اين زمينه است كه از آن در اكثر نسخه هاي ويندوز ( نظير XP ، 2000 و 2003 ) حمايت مي گردد . سيستم فايل فوق ، امكانات متعددي را در جهت حفاظت از داده نظير مجوزهاي دستيابي به فايل ها و يا فولدرها ، ارائه مي نمايد .
• سيستم فايل NTFS ، امكانات اضافه ديگري نظير سيستم رمزنگاري فايل ها موسوم به EFS ( برگرفته از Encrypting File System ) را ارائه مي نمايد كه مي توان از آن به منظور پياده سازي امنيت داده استفاده نمود .

تهديدات لايه داده

• مهاجماني كه قادر به دستيابي به يك سيستم فايل مي گردند ، مي توانند خرابي هاي گسترده اي را ايجاد و يا به حجم بالائي از اطلاعات دستيابي پيدا نمايند . آنان مي توانند فايل ها و اسنادي را مشاهده نمايند كه ممكن است برخي از آنها حاوي اطلاعات مهمي باشد . مهاجمان همچنين مي توانند اطلاعاتي را حذف و يا تغيير نمايند . اين موضوع براي هر سازماني نگران كننده است و مي تواند مسائل و مشكلات متعددي را براي آنها به دنبال داشته باشد .
• سرويس اكتيو دايركتوري ، از فايل هائي كه بر روي هارد ديسك ذخيره مي گردند براي ذخيره اطلاعات خود استفاده مي نمايد . اين فايل ها در مكان پيش فرض و در زماني كه سيستم به يك Domain Controller ارتقاء مي يابد ، ذخيره مي گردند . پيشنهاد مي گردد در حين فرآيند ارتقاء سيستم به يك Domain controller ، فايل ها را در محل ديگري غير از مكان پيش فرض ذخيره نمود . با توجه به اين كه اسامي فايل ها شناخته شده مي باشند ( با نام NTDS.dit ) ، تغيير مكان اين فايل ها مي تواند سرعت مهاجمان جهت نيل به اهداف مخرب را كند نمايد . در صورتي كه سيستم فوق در معرض تهديد قرار بگيرد تمامي محيط domain در معرض خطر قرار خواهد گرفت .
• فايل هاي مربوط به برنامه ها نيز بر روي ديسك ذخيره مي گردند و مستعد حملات مي باشند. مهاجمان با دستيابي به اينگونه فايل ها مي توانند در روند اجراي يك برنامه اختلال ايجاد كرده و يا آنها را در مسيري قرار دهند كه پردازش هاي مخربي را انجام دهند .

حفاظت لايه داده

•سيستم فايل NTFS ، مجوزهاي امنيتي را در سطح فايل و يا فولدر ارائه مي نمايد . با استفاده از پتانسيل فوق مي توان ليست هاي دستيابي را ايجاد تا مشخص گردد كه چه كسي و با چه سطح دستيابي مجاز به استفاده از يك فايل مي باشد .
• افزايش حفاظت لايه داده مستلزم بكارگيري توام ليست هاي كنترل دستيابي و رمزنگاري است . با رمزنگاري يك فايل ، صرفا" امكان مطالعه و يا مشاهده محتويات يك فايل از كاربران غيرمجاز سلب مي گردد ولي مهاجمان و يا ساير افراد غير مجاز مي توانند عملياتي را كه نيازمند مشاهده محتويات يك فايل نيست ( نظير حذف يك فايل ) انجام دهند .
• حتي المقدور مي بايست برنامه هاي كاربردي و سيستم عامل را در مكاني غير از مكان پيش فرض نصب نمود . اسامي و مكان پيش فرض ذخيره تعداد زيادي از فايل هاي حياتي و مهم سيستم عامل كاملا" شناخته شده مي باشند . پيشنهاد مي گردد ، اينگونه فايل ها در مكاني ديگر ذخيره گردند تا كار مهاجمان براي يافتن آنها تا حدودي مشكل تر شود .
• همانگونه كه اشاره گرديد داده در بسياري از فعاليت هاي تجاري داراي نقشي مهم و برجسته مي باشد و از دست دادن آنها ممكن است خسارات جبران ناپذيري را براي يك سازمان به دنبال داشته باشد . بنابراين ، لازم است بازيافت داده به عنوان يك فرآيند حياتي در دستور كار قرار گرفته و از راهكارهاي خاصي در اين زمينه استفاده گردد . تهيه backup در فواصل زماني كاملا" مشخص شده ، اقدامي مهم در اين رابطه است . فرآيند backup و restore يك امر حياتي براي هر محيط عملياتي مبتني بر داده مي باشد . همچنين از نسخه هاي backup گرفته شده مي بايست به درستي و با دقت محفاظت گردد .
• سيستم EFS ، امكان رمزنگاري فايل هاي موجود بر روي محيط ذخيره سازي را فراهم مي نمايد . فرآيند رمزنگاري از يك كليد براي رمزنگاري فايل و فناوري كليد خصوصي و عمومي براي حفاظت كليد رمزنگاري استفاده مي نمايد . زماني كه فايل ها در يك شبكه جابجا و از مكاني به مكان ديگر منتقل مي شوند ، سيستم EFS آنها را رمز نخواهد كرد ( خصلت رمزنگاري وابسته به سيستم فايل است نه شي فايل ) .
• ليست هاي كنترل دستيابي صرفا" بر روي اسنادي كار خواهند كرد كه تحت مديريت سيستم فايل قرار داده شوند . زماني كه اسناد به مكان ديگر منتقل گردند ( مثلا" يك هارد ديسك ديگر ) ، قابليت ليست هاي كنترل دستيابي غيرقابل استفاده مي گردد. سيستم RMS ( برگرفته از Windows Rights Management Services ) در ويندوز 2003 ، قابليت كنترل دستيابي را به شي فايل و يا فولدر تسري داده و آن را مستقل از محيط فيزيكي ذخيره سازي مي نمايد . سيستم فوق به ايجاد كنندگان اسناد قابليت هاي كنترلي ويژه اي را مي دهد كه مشابه آن در اختيار استفاده كنندگان اسناد قرار نخواهد گرفت .به عنوان نمونه فردي كه يك فايل را ايجاد مي نمايد ، مي تواند مجوزهاي آن را بگونه اي تنظيم نمايد كه صرفا" استفاده كننده بتواند آن را مشاهده و يا مطالعه نمايد و قادر به انجام عملياتي نظير copy ,paste و يا چاپ نباشد .