KeeperDB a DBeaver: porównanie bezpiecznego dostępu do baz danych

KeeperDB obsługuje dane uwierzytelniające w różny sposób w zależności od sposobu działania. W samodzielnej aplikacji komputerowej użytkownik uwierzytelnia się za pomocą Face ID lub Windows Hello, a połączenia pobierają dane uwierzytelniające bezpośrednio z Keeper Secrets Manager, dzięki czemu hasła nie są wpisywane ani kopiowane do klienta. Gdy KeeperDB działa za pośrednictwem sejfu Keeper Vault lub KeeperDB Proxy, połączenia są całkowicie bezhasłowe: użytkownik uruchamia sesję z sejfu, dane uwierzytelniające są obsługiwane w środowisku Keeper opartym na modelach zero-knowledge i zero-trust, a sesja jest realizowana w szyfrowanym tunelu zero-trust, dzięki czemu żadne dane nie trafiają na lokalne urządzenie.

Ścieżki dostępu przez sejf i Proxy eliminują najczęstszy wektor ataku na bazy danych: dane uwierzytelniające przechowywane w lokalnych plikach konfiguracyjnych, zmiennych środowiskowych lub współdzielonych ciągach połączeń.

Gdy KeeperDB działa w sejfie, rejestruje w całości każdą sesję bazy danych, a zarządzanie odbywa się centralnie z poziomu sejfu. Każde zapytanie, każda operacja i każda sesja są rejestrowane jako niezmienny materiał dowodowy do celów audytu. Nagrania te mogą być wykorzystywane do monitorowania, prowadzenia dochodzeń oraz zapewniania zgodności w sektorach regulowanych. KeeperAI udostępnia również szyfrowane podsumowania aktywności, znacznie ułatwiając przeprowadzanie audytów.

Ponieważ rejestrowanie jest wbudowane w ścieżkę dostępu przez sejf, po wdrożeniu KeeperDB za pośrednictwem KeeperPAM jest ono automatycznie stosowane do każdej sesji, bez konieczności włączania tej funkcji dla poszczególnych sesji przez administratora. Samodzielna aplikacja komputerowa jest w pełni funkcjonalnym klientem i sama nie rejestruje sesji; zespoły wymagające pełnego rejestrowania korzystają z KeeperDB za pośrednictwem sejfu lub łączą istniejącego klienta przez KeeperDB Proxy.

Po wdrożeniu za pośrednictwem sejfu dostęp do KeeperDB jest kontrolowany przez ten sam scentralizowany mechanizm zasad, który obsługuje pozostałe elementy KeeperPAM. Dostęp do baz danych jest ograniczony zgodnie z tożsamością użytkownika i rolą, przyznawany w modelu JIT oraz powiązany z ogólnymi mechanizmami kontroli dostępu uprzywilejowanego obowiązującymi w organizacji. Ten sam sejf, który zarządza hasłami, tajnymi danymi i sesjami uprzywilejowanymi, kontroluje również dostęp do poszczególnych baz danych.

Oznacza to, że dostęp do baz danych nie stanowi odrębnego silosu z własnym modelem uprawnień. Dziedziczy on mechanizmy zarządzania tożsamościami, kontrolę dostępu opartą na rolach (RBAC) oraz przepływy zatwierdzania już obowiązujące na całej platformie.

Samodzielna aplikacja komputerowa działa natywnie w systemach macOS, Windows i Linux, zapewniając wysoką wydajność oraz możliwości przewyższające starszych klientów baz danych. Obsługuje uwierzytelnianie za pomocą Face ID lub Windows Hello, integruje się bezpośrednio z Keeper Secrets Manager w celu pobierania danych uwierzytelniających z sejfu, oferuje nowoczesny interfejs użytkownika oraz zawiera wbudowanego agenta AI, który może działać z preferowanym przez klienta modelem LLM. Może łączyć się bezpośrednio z wykorzystaniem danych uwierzytelniających przechowywanych w natywnym bezpiecznym magazynie systemu operacyjnego, za pośrednictwem Keeper Tunnels lub przez KeeperDB Proxy, który pobiera dane uwierzytelniające po stronie bramy Keeper Gateway, dzięki czemu użytkownik nigdy ich nie widzi ani nie wpisuje.

Tryb zintegrowany jest uruchamiany z sejfu Keeper Vault w przeglądarce za pośrednictwem szyfrowanego tunelu zero-trust. Nie jest wymagane połączenie VPN ani lokalna konfiguracja, a sesja bazy danych jest bezpiecznie wyświetlana w lokalnym sejfie bez bezpośredniego kontaktu z urządzeniem użytkownika. Taka konfiguracja jest odpowiednia dla środowisk regulowanych i opartych na modelu zero-trust, zapewniając rejestrowanie sesji, rejestrowanie zapytań, mechanizmy zarządzania oraz dostęp Just-In-Time (JIT) przy użyciu tego samego klienta.

KeeperAI jest wbudowany w KeeperDB i posiada pełny kontekst schematu bazy danych. Odpowiada na pytania zadawane w języku naturalnym, samodzielnie tworzy i uruchamia zapytania, generuje wykresy na podstawie wyników uzyskanych na żywo, analizuje istniejące zapytania SQL oraz diagnozuje problemy z wydajnością na podstawie danych z monitora. Zapytania tylko do odczytu są uruchamiane automatycznie, natomiast każde polecenie zapisujące dane powoduje wyświetlenie okna potwierdzenia, dzięki czemu użytkownik zawsze zatwierdza wykonanie operacji. Mechanizmy zabezpieczające po stronie serwera ograniczają działanie do operacji na bazach danych i blokują generowanie kodu niezwiązanego z tematem, nawet w przypadku prób prompt injection.

Administratorzy mogą skonfigurować KeeperAI do korzystania z własnego punktu końcowego Azure OpenAI, AWS Bedrock lub Vertex AI, dzięki czemu prompty i schemat bazy danych nigdy nie opuszczają sieci organizacji. Gdy KeeperDB działa w sejfie, każde polecenie wykonane przez AI jest rejestrowane w sesji w taki sam sposób jak zapytanie wpisane przez użytkownika.

KeeperDB obsługuje PostgreSQL, MySQL/MariaDB, SQL Server, Oracle, Redshift i SQLite za pomocą natywnych sterowników, bez konieczności korzystania z mostka ODBC lub JDBC. Interfejs obejmuje edytor zapytań z obsługą wykonywania wielu instrukcji, edytowalną siatkę danych z eksportem do formatów CSV/JSON/SQL, diagramy ER oraz notatnik roboczy.

Monitor wydajności jest wbudowany i obejmuje listę aktywnych procesów, łańcuchy blokad, analizę blokad oraz możliwość zakończenia sesji jednym kliknięciem we wszystkich obsługiwanych silnikach z wyjątkiem SQLite.