Alle Unternehmen verwenden in gewissem Umfang Datenbanken, sei es für die Verarbeitung einfacher, kleinvolumiger Datensätze wie das Adressbuch einer Sekretärin oder große Big-Data-Repositories für die strategische Informationsanalyse.
Der gemeinsame Nenner all dieser Datenbanken ist, dass sie vor den vielen Risiken, denen sie ausgesetzt sind, geschützt werden müssen. Die wichtigsten sind der Verlust, die Veränderung und der Diebstahl von Informationen. Andere Risiken, die nicht so kritisch, aber auch gefährlich sind, umfassen Leistungseinbußen und Verletzung der Vertraulichkeit oder Datenschutzvereinbarungen.
Die zum Schutz der Netzwerke einer Organisation verwendeten Sicherheitsmechanismen können einige Angriffsversuche auf Datenbanken abwehren. Dennoch sind einige Risiken einzigartig für Datenbanksysteme (DBMS) und erfordern spezifische Sicherheitsmaßnahmen, Techniken und Tools.
Bedrohungen für Datenbanken
Im Folgenden finden Sie eine Liste der gängigsten Bedrohungen für Datenbanken, die durch das Härten von Datenbankservern und das Hinzufügen einiger Verfahren zu den gängigen Sicherheits- und Überwachungstechniken gemildert werden müssen.
Unzureichendes Berechtigungsmanagement
Häufiger als wir zugeben möchten, werden Datenbankserver in Organisationen mit ihren Standardsicherheitseinstellungen installiert, und diese Einstellungen werden nie geändert. Dadurch werden Datenbanken Angreifern ausgesetzt, die die Standardberechtigungen kennen und wissen, wie man sie ausnutzt.
Es gibt auch den Fall des Missbrauchs legitimer Berechtigungen: Benutzer, die ihre Datenbankberechtigungen verwenden, um sie unbefugt zu nutzen, beispielsweise um vertrauliche Informationen preiszugeben.
Die Existenz inaktiver Konten stellt auch ein Sicherheitsrisiko dar, das oft übersehen wird, da böswillige Personen von der Existenz dieser Konten wissen und sie ausnutzen können, um unbefugt auf Datenbanken zuzugreifen.
Angriffe auf Datenbankinjektionen
Die Hauptform von Datenbankinjektionsangriffen ist SQL-Injection Angriffe, die relationale Datenbankserver (RDBMS) angreifen, die die SQL-Sprache verwenden. NoSQL-Datenbanken wie MongoDB, RavenDB oder Couchbase sind immun gegen SQL-Injection-Angriffe, aber anfällig für NoSQL-Injection-Angriffe. NoSQL-Injection-Angriffe sind weniger verbreitet, aber genauso gefährlich.
Sowohl SQL-Injection- als auch NoSQL-Injection-Angriffe funktionieren, indem sie die Dateneingabekontrollen von Webanwendungen umgehen, um Befehle an die Datenbank-Engine zu senden, um deren Daten und Strukturen offenzulegen. Im Extremfall kann ein erfolgreicher Injection-Angriff dem Angreifer uneingeschränkten Zugriff auf das Herz einer Datenbank geben.
Ausnutzbare Datenbankschwachstellen
Es ist üblich, dass die IT-Abteilungen von Unternehmen ihre DBMS-Kernsoftware nicht regelmäßig patchen. Selbst wenn also eine Schwachstelle entdeckt wird und der Hersteller einen Patch zur Behebung veröffentlicht, kann es Monate dauern, bis Unternehmen ihre Systeme patchen. Das Ergebnis ist, dass Schwachstellen über lange Zeiträume offengelegt werden, die von Cyberkriminellen ausgenutzt werden können.
Zu den Hauptgründen, warum DBMS nicht gepatcht werden, gehören Schwierigkeiten, ein Zeitfenster zu finden, um den Server herunterzufahren und Wartungsarbeiten durchzuführen; komplexe und zeitaufwendige Anforderungen zum Testen von Patches; Unklarheit darüber, wer für die Wartung des DBMS verantwortlich ist; übermäßige Arbeitsbelastung unter anderem von Systemadministratoren.
Existenz versteckter Datenbankserver
Die Nichteinhaltung von Softwareinstallationsrichtlinien in einer Organisation (oder das Fehlen solcher Richtlinien) führt dazu, dass Benutzer Datenbankserver nach eigenem Ermessen installieren, um bestimmte Anforderungen zu erfüllen. Das Ergebnis ist, dass Server im Netzwerk der Organisation erscheinen, was Sicherheitsadministratoren nicht bewusst sind. Diese Server legen dem Unternehmen vertrauliche Daten oder Schwachstellen offen, die von Angreifern ausgenutzt werden können.
Zugängliche Backups
Obwohl Datenbankserver durch eine Sicherheitsebene geschützt sind, können nicht privilegierte Benutzer auf Backups dieser Datenbanken zugreifen. In einer solchen Situation besteht die Gefahr, dass nicht autorisierte Benutzer Kopien der Backups erstellen und sie auf ihren eigenen Servern bereitstellen, um die darin enthaltenen sensiblen Informationen zu extrahieren.
Techniken und Strategien zum Schutz von Datenbanken
Um die Datenbanken einer Organisation angemessen zu schützen, ist eine defensive Matrix von Best Practices in Kombination mit regelmäßigen internen Kontrollen erforderlich. Die Best-Practice-Matrix umfasst die folgenden Elemente:
- Verwalten Sie Benutzerzugriffsrechte und beseitigen Sie übermäßige Berechtigungen und inaktive Benutzer.
- Schulung der Mitarbeiter in Risikominderungstechniken, einschließlich der Erkennung allgemeiner Cyber-Bedrohungen wie Spear-Phishing-Angriffe, Best Practices rund um das Internet und die E-Mail-Nutzung und Passwort-Management.
- Bewerten Sie alle Datenbankschwachstellen, identifizieren Sie kompromittierte Endpunkte und klassifizieren Sie sensible Daten.
- Überwachen Sie alle Datenbankzugriffsaktivitäten und Nutzungsmuster in Echtzeit, um Datenlecks, nicht autorisiertes SQL und Big Data Transaktionen und Protokoll-/Systemangriffe.
- Automatisieren Sie das Auditing mit einer Datenbankschutz- und Auditing-Plattform.
- Blockieren Sie bösartige Webanfragen.
- Externe Daten archivieren, Datenbanken verschlüsseln, und maskieren Sie Datenbankfelder, um vertrauliche Informationen auszublenden.
Datenbanksicherheitstools
Die oben genannten Techniken erfordern viel Aufwand seitens der IT-Abteilung des Unternehmens, und oft können die IT-Mitarbeiter nicht alle ihre Aufgaben bewältigen, sodass die Aufgaben, die zur Sicherung der Datenbanken ausgeführt werden müssen, unterlassen werden. Glücklicherweise erleichtern einige Tools diese Aufgaben, sodass die Gefahren, die Datenbanken bedrohen, sie nicht beeinträchtigen.
Scuba Database Vulnerability Scanner
Scuba ist ein kostenloses, benutzerfreundliches Tool, das Einblicke in versteckte Sicherheitsrisiken in den Datenbanken eines Unternehmens bietet. Es bietet mehr als 2,300 Assessment-Tests für Oracle-, Microsoft SQL-, Sybase-, IBM DB2- und MySQL-Datenbanken, die alle Arten von Schwachstellen und Konfigurationsfehlern erkennen.
Mit seinen klaren und prägnanten Berichten zeigt Scuba, welche Datenbanken gefährdet sind und welche Risiken in jeder von ihnen lauern. Es enthält auch Empfehlungen zur Minderung der identifizierten Risiken.
Scuba-Scans können von jedem Windows-, Mac- oder Linux-Client durchgeführt werden. Ein typischer Scan mit diesem Tool dauert je nach Größe der Datenbanken, Anzahl der Benutzer und Gruppen und Geschwindigkeit der Netzwerkverbindung zwischen 2 und 3 Minuten. Es gibt keine Installationsvoraussetzungen, außer dass das Betriebssystem auf dem neuesten Stand ist.
Obwohl Scuba ein kostenloses Standalone-Tool ist, nimmt Imperva es in seine Palette spezifischer Produkte für die Datensicherheit auf, bietet Datenschutz und Sicherheit in der Cloud, Datenschutz und Analyse des Benutzerverhaltens.
dbWatch Control Center
dbWatch ist eine vollständige Datenbanküberwachungs- und Verwaltungslösung, die Microsoft SQL Server, Oracle, PostgreSQL, Sybase, MySQL und Azure SQL unterstützt. Es wurde entwickelt, um eine proaktive Überwachung durchzuführen und so viele Routinewartungen wie möglich in großen On-Premises-, Hybrid- oder Cloud-Datenbank Umgebungen.
dbWatch ist hochgradig anpassbar und deckt den DBA-Workflow von der Überwachung bis hin zur Verwaltung, Analyse und Berichterstellung ab. Benutzer des Tools heben seine Fähigkeit hervor, Server, einschließlich virtueller Server, leicht zu erkennen. Dies ist ein hervorragender Vorteil für das IT-Asset-Management und -Tracking, das die Kostenermittlung und Risikobewertung erleichtert.
Obwohl dbWatch eine großartige Funktionalität bietet, ist die Lernkurve steil. Rechnen Sie also damit, dass nach dem Kauf des Tools die Installationsverfahren und die Schulung einige Zeit in Anspruch nehmen werden, bevor das Tool zu 100% betriebsbereit ist. Eine kostenlose, zeitlich begrenzte Testversion steht zum Download bereit.
AppDetectivePRO
AppDetectivePRO ist ein Datenbank- und Big-Data-Scanner, der Konfigurationsfehler, Identifikations-/Zugriffskontrollprobleme, fehlende Patches oder jede toxische Kombination von Konfigurationen, die zu Datenlecks, unbefugter Änderung von Informationen führen können, sofort erkennen kann, oder Denial-of-Service (DoS)-Angriffe.
Durch seine einfache Konfiguration und benutzerfreundliche Oberfläche kann AppDetectivePRO sofort die Sicherheit, Risiken und den Sicherheitsstatus jeder Datenbank oder jedes Big-Data-Repositorys innerhalb eines Infrastruktur der Organisation – ob On-Premise oder in der Cloud – in wenigen Minuten.
AppDetectivePRO kann als Add-On zu Scannern für Host- oder Netzwerkbetriebssysteme und statische oder dynamische Anwendungen verwendet werden. Seine Auswahl an Optionen bietet mehr als 50 sofort einsatzbereite Compliance- und Konfigurationsrichtlinien, ohne dass SQL-Skripte für die Datenerfassung gepflegt werden müssen.
DbDefence
DbVerteidigung ist ein Sicherheitstool für Datenbanken, die sich auf Microsoft SQL Server befinden. Es zeichnet sich dadurch aus, dass es einfach zu bedienen, zugänglich und effektiv ist, um komplette Datenbanken zu verschlüsseln und ihre Schemata zu schützen, und den Zugriff auf Datenbanken selbst für Benutzer mit den höchsten Berechtigungen vollständig zu verhindern.
Die Verschlüsselung funktioniert serverseitig und ermöglicht es einem autorisierten Administrator, Datenbanken sicher zu ver- und entschlüsseln, ohne die Anwendungen ändern zu müssen, die darauf zugreifen. Das Tool funktioniert mit jeder SQL Server-Version nach 2005.
DbDefence arbeitet auf der SQL-Datei- und Objektebene, was es von anderen SQL-Servern unterscheidet Verschlüsselungssoftware. Es kann unterscheiden, auf welche Objekte versucht wurde zuzugreifen und auf welche Objekte der Zugriff verweigert oder zugelassen wurde.
Um DbDefence als Teil einer Lösung einzuschließen, ist es nicht erforderlich, Lizenzen für jede Clientanwendung zu erwerben. Eine einzelne Weiterverteilungslizenz reicht aus, um es auf beliebig vielen Clients zu installieren.
OScanner
OSScanner ist ein in Java entwickeltes Oracle-Datenbankanalyse- und -auswertungstool. Es hat eine Plugin-basierte Architektur, die derzeit Plugins für die folgenden Funktionen enthält:
- Seitenaufzählung
- Passworttest (allgemein und Wörterbuch)
- Oracle-Versionsaufzählung
- Aufzählung von Benutzerkontorollen, Berechtigungen und Hashes
- Aufzählung von Auditinformationen
- Aufzählung von Passwortrichtlinien
- Aufzählung von Datenbank-Links
Die Ergebnisse werden in einem grafischen Java-Baum dargestellt. Es bietet auch ein prägnantes XML-Berichtsformat und einen integrierten XML-Viewer zum Anzeigen des Berichts. Für die Installation des Tools sind lediglich eine Java-Laufzeitumgebung und die OSScanner-Installationsdatei (zip) erforderlich.
OSScanner funktioniert ähnlich wie die Passwort-Rate-Funktion (OAT opwg) des Oracle Auditing Tools und verwendet die .default-Datei des Kontos, um die Standard-Benutzername/Passwort-Paare zu erhalten. Es unterscheidet sich vom Oracle-Tool darin, dass es auch versucht, Konten mit demselben Benutzernamen und Kennwort zu erraten.
dbForge Security Manager
Security Manager ist Teil der Suite dbForge-Studio für MySQL und ergänzt es um ein leistungsstarkes Tool zur Verwaltung der Sicherheit in MySQL Datenbanken. Mit erweiterter Funktionalität und einer praktischen und benutzerfreundlichen Benutzeroberfläche soll es routinemäßige Sicherheitsverwaltungsaufgaben wie die Verwaltung von MySQL-Benutzerkonten und -privilegien erleichtern.
Der Einsatz eines Security Managers verbessert die Produktivität des IT-Personals. Es bietet auch andere Vorteile, wie das Ersetzen komplexer Befehlszeilenoperationen durch eine einfachere visuelle Verwaltung von MySQL-Benutzerkonten und deren Berechtigungen. Das Tool trägt auch zur Erhöhung der Datenbanksicherheit bei, dank vereinfachter Verwaltungsverfahren, die Fehler minimieren und den Zeitaufwand des Verwaltungspersonals reduzieren.
Mit den fünf Registerkarten des Sicherheitsmanager-Fensters können Sie mit nur wenigen Klicks Benutzerkonten erstellen, die jedem sowohl globale als auch Objektrechte gewähren. Sobald die Konten erstellt wurden, können Sie ihre Einstellungen auf einen Blick überprüfen, um sicherzustellen, dass Sie keine Fehler gemacht haben.
Sie können eine völlig kostenlose Version von dbForge Studio für MySQL herunterladen, die grundlegende Funktionen bietet. Dann gibt es die Standard-, Professional- und Enterprise-Versionen mit Preisen bis zu etwa 400 US-Dollar.
Abschließende Worte: Wirklich sichere Datenbanken
Unternehmen glauben häufig, dass ihre Daten nur deshalb sicher sind, weil sie über Backups verfügen und Firewalls. Es gibt jedoch viele andere Aspekte der Datenbanksicherheit, die über diese Sicherheitsmaßnahmen hinausgehen. Bei der Auswahl eines Datenbankservers muss die Organisation die oben aufgeführten Aspekte berücksichtigen, die alle implizieren, dass Datenbankservern die Bedeutung zugemessen wird, die sie für das strategische Management der kritischen Daten einer Organisation haben.
