Die gefährlichsten Datenbank-Bedrohungen und wie Sie sie verhindern können

Alle Unternehmen verwenden in gewissem Umfang Datenbanken, sei es zur Verwaltung einfacher Datensätze mit geringem Umfang, wie z.B. das Adressbuch einer Sekretärin, oder große Big Data-Repositories für strategische Informationsanalysen

Der gemeinsame Nenner all dieser Datenbanken ist, dass sie vor den vielen Risiken geschützt werden müssen, denen sie ausgesetzt sind. Die wichtigsten sind Verlust, Veränderung und Diebstahl von Informationen. Andere, weniger kritische, aber ebenfalls gefährliche Risiken sind die Verschlechterung der Leistung und die Verletzung von Vertraulichkeits- oder Datenschutzvereinbarungen

Die Sicherheitsmechanismen, die zum Schutz der Netzwerke eines Unternehmens eingesetzt werden, können einige Angriffsversuche auf Datenbanken abwehren. Dennoch gibt es einige Risiken, die nur für Datenbanksysteme (DBMS ) gelten und spezielle Sicherheitsmaßnahmen, Techniken und Tools erfordern

Bedrohungen, die Datenbanken betreffen

Im Folgenden finden Sie eine Liste der häufigsten Bedrohungen, die Datenbanken heute betreffen und die durch die Härtung von Datenbankservern und das Hinzufügen einiger Verfahren zu den üblichen Sicherheits- und Audittechniken entschärft werden müssen

Unzureichende Verwaltung von Berechtigungen

Häufiger als wir zugeben möchten, werden Datenbankserver in Unternehmen mit ihren Standardsicherheitseinstellungen installiert und diese Einstellungen werden nie geändert. Dies führt dazu, dass Datenbanken Angreifern ausgesetzt sind, die die Standardberechtigungen kennen und wissen, wie sie diese ausnutzen können

Es gibt auch den Fall des Missbrauchs legitimer Berechtigungen: Benutzer, die ihre Datenbankprivilegien nutzen, um sie unberechtigt zu verwenden – zum Beispiel um vertrauliche Informationen preiszugeben

Auch die Existenz inaktiver Konten stellt ein Sicherheitsrisiko dar, das oft übersehen wird, da böswillige Personen von der Existenz dieser Konten wissen und sie ausnutzen könnten, um ohne Berechtigung auf Datenbanken zuzugreifen

Datenbank-Injektionsangriffe

Die Hauptform von Datenbankinjektionsangriffen sind SQL-Injektionsangriffe, die relationale Datenbankserver (RDBMS) angreifen, die die Sprache SQL verwenden. NoSQL-Datenbanken wie MongoDB, RavenDB oder Couchbase sind immun gegen SQL-Injection-Angriffe, aber anfällig für NoSQL-Injection-Angriffe. NoSQL-Injektionsangriffe sind weniger verbreitet, aber ebenso gefährlich

Sowohl SQL-Injektions- als auch NoSQL-Injektionsangriffe funktionieren, indem sie die Dateneingabekontrollen von Webanwendungen umgehen, um Befehle an die Datenbank-Engine zu übermitteln und deren Daten und Strukturen offenzulegen. Im Extremfall kann ein erfolgreicher Injektionsangriff dem Angreifer uneingeschränkten Zugriff auf das Herzstück einer Datenbank geben

Ausnutzbare Datenbank-Schwachstellen

Es ist üblich, dass IT-Abteilungen von Unternehmen ihre DBMS-Kernsoftware nicht regelmäßig patchen. Selbst wenn also eine Schwachstelle entdeckt wird und der Hersteller einen Patch zur Beseitigung der Schwachstelle herausgibt, kann es Monate dauern, bis die Unternehmen ihre Systeme patchen. Das Ergebnis ist, dass die Schwachstellen über einen langen Zeitraum bestehen bleiben und von Cyberkriminellen ausgenutzt werden können

Die Hauptgründe, warum DBMS nicht gepatcht werden, sind unter anderem: Schwierigkeiten, ein Zeitfenster zu finden, um den Server herunterzufahren und die Wartung durchzuführen; komplexe und zeitaufwändige Anforderungen für das Testen von Patches; Unklarheit darüber, wer für die Wartung des DBMS verantwortlich ist; übermäßige Arbeitsbelastung der Systemadministratoren

Existenz von versteckten Datenbankservern

Die Nichteinhaltung von Software-Installationsrichtlinien in einem Unternehmen (oder das Fehlen solcher Richtlinien) veranlasst Benutzer, nach eigenem Ermessen Datenbankserver zu installieren, um bestimmte Anforderungen zu erfüllen. Dies führt dazu, dass im Netzwerk des Unternehmens Server auftauchen, die den Sicherheitsadministratoren nicht bekannt sind. Diese Server geben vertrauliche Daten des Unternehmens preis oder weisen Schwachstellen auf, die von Angreifern ausgenutzt werden können

Zugängliche Backups

Obwohl Datenbankserver hinter einer Sicherheitsebene geschützt sind, können Backups dieser Datenbanken für nicht privilegierte Benutzer zugänglich sein. In einer solchen Situation besteht die Gefahr, dass unbefugte Benutzer Kopien der Backups erstellen und sie auf ihren eigenen Servern einbinden, um die darin enthaltenen sensiblen Informationen zu extrahieren

Techniken und Strategien zum Schutz von Datenbanken

Um die Datenbanken eines Unternehmens angemessen zu schützen, ist eine Defensivmatrix mit Best Practices erforderlich, die mit regelmäßigen internen Kontrollen kombiniert wird. Die Best Practices-Matrix umfasst die folgenden Punkte

• Verwalten Sie die Zugriffsrechte der Benutzer und beseitigen Sie übermäßige Privilegien und inaktive Benutzer.
• Schulen Sie Ihre Mitarbeiter in Risikominderungstechniken, einschließlich der Erkennung gängiger Cyber-Bedrohungen wie Spear-Phishing-Angriffe, bewährter Praktiken im Umgang mit dem Internet und E-Mails sowie der Passwortverwaltung.
• Bewerten Sie alle Datenbankschwachstellen, identifizieren Sie gefährdete Endpunkte und klassifizieren Sie sensible Daten.
• Überwachen Sie alle Datenbankzugriffsaktivitäten und Nutzungsmuster in Echtzeit, um Datenlecks, nicht autorisierte SQL- und Big Data-Transaktionen sowie Protokoll-/Systemangriffe zu erkennen.
• Automatisieren Sie das Auditing mit einer Plattform für Datenbankschutz und Auditing.
• Blockieren Sie bösartige Web-Anfragen.
• Archivieren Sie externe Daten, verschlüsseln Sie Datenbanken und maskieren Sie Datenbankfelder, um sensible Informationen zu verbergen.

Tools für die Datenbanksicherheit

Die oben genannten Techniken erfordern einen großen Aufwand seitens der IT-Abteilung des Unternehmens. Oftmals können die IT-Mitarbeiter nicht mit allen Aufgaben Schritt halten, so dass die Aufgaben, die für die Sicherheit von Datenbanken erledigt werden müssen, unerledigt bleiben. Glücklicherweise gibt es einige Tools, die diese Aufgaben erleichtern, damit die Gefahren, die Datenbanken bedrohen, sie nicht beeinträchtigen

Scuba Database Vulnerability Scanner

Scuba ist ein kostenloses, benutzerfreundliches Tool, das Einblick in versteckte Sicherheitsrisiken in den Datenbanken eines Unternehmens bietet. Es bietet mehr als 2.300 Bewertungstests für Oracle-, Microsoft SQL-, Sybase-, IBM DB2- und MySQL-Datenbanken, die alle Arten von Schwachstellen und Konfigurationsfehlern aufdecken.

Mit seinen klaren und präzisen Berichten zeigt Scuba auf, welche Datenbanken gefährdet sind und welche Risiken in jeder von ihnen lauern. Außerdem gibt es Empfehlungen, wie Sie die erkannten Risiken abmildern können

[einbetten]https://www.youtube.com/watch?v=CzlaP3yoA34&feature=emb_logo[/embed]

Scuba-Scans können von jedem Windows-, Mac- oder Linux-Client aus durchgeführt werden. Ein typischer Scan mit diesem Tool dauert zwischen 2 und 3 Minuten, abhängig von der Größe der Datenbanken, der Anzahl der Benutzer und Gruppen sowie der Geschwindigkeit der Netzwerkverbindung.Außer einem aktuellen Betriebssystem gibt es keine weiteren Installationsvoraussetzungen

Obwohl Scuba ein kostenloses, eigenständiges Tool ist, nimmt Imperva es in seine Palette spezifischer Produkte für Datensicherheit auf, die Datenschutz und Sicherheit in der Cloud, Datenschutz und Analyse des Benutzerverhaltens bieten

dbWatch Kontrollzentrum

dbWatch ist eine umfassende Lösung zur Überwachung und Verwaltung von Datenbanken, die Microsoft SQL Server, Oracle, PostgreSQL, Sybase, MySQL und Azure SQL unterstützt. Sie wurde entwickelt, um eine proaktive Überwachung durchzuführen und so viel Routinewartung wie möglich in großen On-Premises-, Hybrid- oder Cloud-Datenbankumgebungen zu automatisieren

dbWatch ist in hohem Maße anpassbar und deckt den DBA-Workflow von der Überwachung bis zur Verwaltung, Analyse und Berichterstattung ab. Benutzer des Tools heben seine Fähigkeit hervor, Server, einschließlich virtueller Server, leicht zu erkennen. Dies ist ein hervorragender Vorteil für die Verwaltung und Verfolgung von IT-Assets und erleichtert die Kostenermittlung und Risikobewertung

Obwohl dbWatch eine großartige Funktionalität bietet, ist die Lernkurve steil. Stellen Sie sich also darauf ein, dass nach dem Kauf des Tools die Installationsprozeduren und Schulungen einige Zeit in Anspruch nehmen werden, bevor das Tool zu 100 % einsatzbereit ist. Eine kostenlose, zeitlich begrenzte Testversion steht zum Download bereit

AppDetectivePRO

AppDetectivePRO ist ein Datenbank- und Big Data-Scanner, der Konfigurationsfehler, Identifizierungs-/Zugriffskontrollprobleme, fehlende Patches oder jede toxische Kombination von Konfigurationen, die Datenlecks, unbefugte Änderungen von Informationen oder Denial-of-Service (DoS)-Angriffe verursachen könnten, sofort aufspüren kann

Dank der einfachen Konfiguration und der benutzerfreundlichen Oberfläche kann AppDetectivePRO die Sicherheit, die Risiken und die Sicherheitslage jeder Datenbank oder jedes Big Data-Repository innerhalb der Infrastruktur eines Unternehmens – ob vor Ort oder in der Cloud – in wenigen Minuten erkennen, bewerten und darüber berichten

AppDetectivePRO kann als Zusatz zu Scannern für Host- oder Netzwerkbetriebssysteme und statische oder dynamische Anwendungen verwendet werden. Die Palette der Optionen bietet mehr als 50 sofort einsatzbereite Compliance- und Konfigurationsrichtlinien, ohne dass SQL-Skripte für die Datenerfassung gepflegt werden müssen

DbDefence

DbDefence ist ein Sicherheitstool für Datenbanken, die auf Microsoft SQL Server laufen. Es zeichnet sich dadurch aus, dass es einfach zu bedienen, zugänglich und effektiv ist, um komplette Datenbanken zu verschlüsseln und ihre Schemata zu schützen, wodurch der Zugriff auf Datenbanken selbst für Benutzer mit den höchsten Privilegien vollständig verhindert wird

[einbetten]https://www.youtube.com/watch?v=Glv9owDsbAI&feature=emb_logo[/embed]

Encryption arbeitet serverseitig und ermöglicht es einem autorisierten Administrator, Datenbanken sicher zu ver- und entschlüsseln, ohne dass die Anwendungen, die auf sie zugreifen, geändert werden müssen. Das Tool funktioniert mit jeder SQL Server-Version nach 2005

DbDefence arbeitet auf der Ebene der SQL-Dateien und -Objekte, wodurch es sich von anderen SQL Server-Verschlüsselungsprogrammen unterscheidet. Es kann unterscheiden, auf welche Objekte versucht wurde zuzugreifen und welchen Objekten der Zugriff verweigert oder erlaubt wurde

Um DbDefence als Teil einer Lösung einzusetzen, müssen Sie nicht für jede Client-Anwendung Lizenzen erwerben. Eine einzige Redistributionslizenz reicht aus, um es auf einer beliebigen Anzahl von Clients zu installieren

OScanner

OScanner ist ein in Java entwickeltes Tool zur Analyse und Bewertung von Oracle-Datenbanken. Es verfügt über eine Plugin-basierte Architektur, die derzeit Plugins für die folgenden Funktionen enthält

• Sid-Aufzählung
• Passwortprüfung (allgemein und Wörterbuch)
• Aufzählung von Oracle-Versionen
• Aufzählung von Benutzerkonto-Rollen, Privilegien und Hashes
• Aufzählung von Audit-Informationen
• Aufzählung von Passwortrichtlinien
• Aufzählung von Datenbankverknüpfungen

Die Ergebnisse werden in einem grafischen Java-Baum dargestellt. Außerdem bietet das Tool ein prägnantes XML-Berichtsformat und einen integrierten XML-Viewer zur Anzeige des Berichts. Für die Installation des Tools benötigen Sie lediglich eine Java-Laufzeitumgebung und die OScanner-Installationsdatei (zip)

OScanner arbeitet ähnlich wie die Kennwortermittlungsfunktion des Oracle Auditing Tools (OAT opwg) und verwendet die Konten .default Datei, um die Standard-Benutzernamen/Kennwortpaare zu ermitteln. Der Unterschied zum Oracle Tool besteht darin, dass es auch versucht, Konten mit demselben Benutzernamen und Kennwort zu erraten

dbForge Sicherheitsmanager

Der Security Manager ist Teil der Suite dbForge Studio for MySQL und ergänzt diese um ein leistungsstarkes Tool zur Verwaltung der Sicherheit in MySQL-Datenbanken. Mit erweiterter Funktionalität und einer praktischen und freundlichen Benutzeroberfläche zielt er darauf ab, routinemäßige Sicherheitsverwaltungsaufgaben wie die Verwaltung von MySQL-Benutzerkonten und -Berechtigungen zu erleichtern

Der Einsatz eines Security Managers verbessert die Produktivität des IT-Personals. Darüber hinaus bietet er weitere Vorteile, wie z.B. das Ersetzen komplexer Befehlszeilenoperationen durch eine einfachere visuelle Verwaltung von MySQL-Benutzerkonten und deren Berechtigungen. Das Tool trägt auch zur Erhöhung der Datenbanksicherheit bei, dank vereinfachter Verwaltungsabläufe, die Fehler minimieren und den Zeitaufwand für das Verwaltungspersonal verringern

Mit den fünf Registerkarten des Sicherheitsmanagers können Sie mit wenigen Klicks Benutzerkonten erstellen und jedem Konto sowohl globale als auch objektbezogene Berechtigungen zuweisen. Sobald die Konten erstellt sind, können Sie ihre Einstellungen auf einen Blick überprüfen, um sicherzustellen, dass Sie keine Fehler gemacht haben

Sie können eine völlig kostenlose Version von dbForge Studio for MySQL herunterladen, die grundlegende Funktionen bietet. Dann gibt es noch die Versionen Standard, Professional und Enterprise, deren Preise bis zu etwa 400 Dollar reichen

Letzte Worte: Wirklich sichere Datenbanken

Häufig glauben Unternehmen, dass ihre Daten nur deshalb sicher sind, weil sie über Backups und Firewalls verfügen. Aber es gibt viele andere Aspekte der Datenbanksicherheit, die über diese Sicherheitsmaßnahmen hinausgehen. Bei der Auswahl eines Datenbankservers muss das Unternehmen die oben genannten Aspekte berücksichtigen, die allesamt bedeuten, dass Datenbankservern die Bedeutung beigemessen wird, die sie für die strategische Verwaltung der kritischen Daten eines Unternehmens haben.