Las amenazas más peligrosas a las bases de datos y cómo solucionarlasreventrélos

Todas las organizaciones utilizan bases de datos hasta cierto punto, ya sea para manejar conjuntos de datos simples y de bajo volumen, como la libreta de direcciones de una secretaria, o grandes repositorios de Big Data para str.ateanálisis de información mágica.

El denominador común de todas estas bases de datos es que necesitan ser protegidas de los múltiples riesgos a los que se enfrentan, siendo los principales la pérdida, alteración y robo de información. Otros riesgos, no tan críticos pero también peligrosos, incluyen la degradación del rendimiento y la violación de la confidencialidad o acuerdos de privacidad.

Los mecanismos de seguridad utilizados para proteger las redes de una organización pueden repeler algunos intentos de ataques a las bases de datos. Aun así, algunos riesgos son exclusivos de sistemas de bases de datos (DBMS) y requieren medidas, técnicas y herramientas de seguridad específicas.

Amenazas que afectan a las bases de datos

La siguiente es una lista de las amenazas más comunes que afectan a las bases de datos en la actualidad y que deben mitigarse.ated fortaleciendo los servidores de bases de datos y agregando algunos procedimientos a las técnicas comunes de seguridad y auditoría.

Inadecuadoate Gestión de permisos

Más a menudo de lo que nos gustaría admitir, los servidores de bases de datos se instalan en organizaciones con su configuración de seguridad predeterminada y esta configuración nunca se cambia. Esto hace que las bases de datos queden expuestas a atacantes que conocen los permisos predeterminados y saben cómo explotarlos.

También está el caso del abuso de legitimidad.ate permisos: usuarios que utilizan sus privilegios de base de datos para hacer un uso no autorizado de ella (por ejemplo, divulgar información confidencial).

La existencia de cuentas inactivas también supone un riesgo de seguridad que muchas veces se pasa por alto, ya que personas malintencionadas pueden conocer la existencia de estas cuentas y aprovecharlas para acceder a bases de datos sin autorización.

Ataques de inyección de base de datos

La principal forma de ataques de inyección de base de datos es inyección SQL ataques, que atacan servidores de bases de datos relacionales (RDBMS) que utilizan lenguaje SQL. Las bases de datos NoSQL, como MongoDB, RavenDB o Couchbase, son inmunes a los ataques de inyección SQL, pero son susceptibles a los ataques de inyección NoSQL. Los ataques de inyección NoSQL son menos comunes pero equivalentes.ally peligroso.

Tanto los ataques de inyección SQL como los de inyección NoSQL operanate evitando los controles de entrada de datos de las aplicaciones web para enviar comandos al motor de la base de datos para exponer sus datos y estructuras. En casos extremos, un ataque de inyección exitoso puede brindarle al atacante acceso ilimitado al corazón de una base de datos.

Vulnerabilidades de bases de datos explotables

Es común para corpoate Los departamentos de TI no parchean periódicamente su software central DBMS. Entonces, incluso si se descubre una vulnerabilidad y el proveedor lanza un parche para eliminarlaate las empresas pueden pasar meses antes de que apliquen parches a sus sistemas. El resultado es que las vulnerabilidades quedan expuestas durante largos períodos, lo que puede ser aprovechado por los ciberdelincuentes.

Las razones principales por las que los DBMS no están parcheados incluyen dificultades para encontrar un window de tiempo para apagar el servidor y realizar el mantenimiento; requisitos complejos y que requieren mucho tiempo para probar parches; vaguedad en cuanto a quién es responsable del mantenimiento del DBMS; excesiva carga de trabajo de los administradores de sistemas, entre otros.

Existencia de servidores de bases de datos ocultos

El incumplimiento de las políticas de instalación de software en una organización (o la falta de tales políticas) hace que los usuarios instalen servidores de bases de datos a su discreción para resolver necesidades particulares. El resultado es que aparecen servidores en la red de la organización, algo que los administradores de seguridad desconocen. Estos servidores exponen datos confidenciales a la organización o exponen vulnerabilidades que los atacantes pueden aprovechar.

Copias de seguridad accesibles

Although database servers are protected behind a layer of security, backups of these databases may be accessible to unprivileged users. In such a situation, there is a risk that unauthorized users may make copies of the backups and mount them on their own servers to extract the sensitive information they contain.

Técnicas y Fuerzaategies para proteger bases de datos

Para proporcionar suficienteate protection for an organization’s databases, a defensive matrix of best practices is needed, combined with regular internal controls. The best practices matrix includes the following items:

• Administrar los derechos de acceso de los usuarios y eliminarlos.ate privilegios excesivos y usuarios inactivos.
• Capacite a los empleados en técnicas de mitigación de riesgos, incluido el reconocimiento de amenazas cibernéticas comunes, como ataques de phishing, las mejores prácticas en torno al uso de Internet y correo electrónico, y gestión de contraseñas.
• Evalúe las vulnerabilidades de la base de datos, identifique los puntos finales comprometidos y clasifique los datos confidenciales.
• Monitor all database access activity and usage patterns in real-time to detect data leaks, unauthorized SQL and Big Data transacciones y ataques de protocolo/sistema.
• automate auditing with a database protection and auditing plat.
• Bloquee las solicitudes web maliciosas.
• Arcohive datos externos, cifrar bases de datosy enmascare los campos de la base de datos para ocultar información confidencial.

Herramientas de seguridad de bases de datos

The above techniques require a great deal of effort on the part of the organization’s IT department, and many times the IT staff cannot keep up with all of their tasks, so the tasks that need to be done to keep databases secure are left undone. Fortunately, a few tools make these tasks easier so that the dangers that threaten bases de datos no les afectan.

Escáner de vulnerabilidades de la base de datos de Scuba

escafandra autónoma es una herramienta gratuita y fácil de usar que proporciona visibilidad de los riesgos de seguridad ocultos en las bases de datos de una organización. Ofrece más de 2,300 pruebas de evaluación para bases de datos Oracle, Microsoft SQL, Sybase, IBM DB2 y MySQL, que detectan todo tipo de vulnerabilidades y errores de configuración.

Con sus informes claros y concisos, Scuba revMuestra qué bases de datos están en riesgo y qué riesgos acechan en cada una de ellas. También proporciona recomendaciones sobre cómo mitigarate los riesgos identificados.

Las exploraciones de buceo se pueden realizar desde cualquier Windows, Mac o cliente Linux. Un escaneo típico con esta herramienta demora entre 2 y 3 minutos, dependiendo del tamaño de las bases de datos, la cantidad de usuarios y grupos y la velocidad de la conexión de red. No existen requisitos previos de instalación aparte de tener el sistema operativo actualizado.ate.

Aunque Scuba es una herramienta independiente y gratuita, Imperva la incluye en su gama de productos específicos para la seguridad de datos, ofreciendo protección de datos y seguridad en la nube, privacidad de datos y análisis del comportamiento de los usuarios.

dbWatch Centro de Control

dbWatch is a complete database monitoring and management solution supporting Microsoft SQL Server, Oracle, PostgreSQL, Sybase, MySQL, and Azure SQL. It is designed to perform proactive monitoring and automate tanto mantenimiento de rutina como sea posible en instalaciones a gran escala, híbridas o base de datos en la nube .

dbWatch is highly customizable and covers the DBA workflow from monitoring to administration, analysis, and reporting. Users of the tool highlight its ability to easily discover servers, including virtual ones. This is an excellent advantage for IT asset management and tracking, facilitating cost determination and risk assessment.

Si bien ofrece una gran funcionalidad, dbWatchLa curva de aprendizaje es pronunciada, así que espere que, después de comprar la herramienta, los procedimientos de instalación y la capacitación demoren algún tiempo antes de que la herramienta esté operativa al 100%. Se puede descargar una versión de evaluación gratuita por tiempo limitado.

AppDetectivePRO

AppDetectivePRO es un escáner de base de datos y Big Data que puede medirateDescubrir fácilmente errores de configuración, problemas de identificación/control de acceso, parches faltantes o cualquier combinación tóxica de configuraciones que pueda causar fuga de datos, modificación no autorizada de información o Ataques de denegación de servicio (DoS).

A través de su configuración simple y su interfaz fácil de usar, AppDetectivePRO puede inmediatamenteateDescubra, evalúe e informe sobre la seguridad, los riesgos y la postura de seguridad de cualquier base de datos o repositorio de Big Data dentro de un infraestructura de la organizacion – ya sea en las instalaciones o en la nube – en cuestión de minutos.

AppDetectivePRO se puede utilizar como complemento de escáneres para sistemas operativos de red o host y aplicaciones estáticas o dinámicas. Su gama de opciones ofrece más de 50 opciones fuera de lo común.box políticas de cumplimiento y configuración sin requerir el mantenimiento de scripts SQL para la recopilación de datos.

DbDefensa

DbDefensa es una herramienta de seguridad para bases de datos que residen en Microsoft SQL Server. Se caracteriza por ser fácil de usar, accesible y eficaz para cifrar bases de datos completas y proteger sus esquemas, completamente prevpermitiendo el acceso a bases de datos, incluso para usuarios con los privilegios más altos.

Encryption works server-side, allowing an authorized admin to encrypt and decrypt databases securely, without the need to change the applications that access them. The tool works with any SQL Server version after 2005.

DbDefence funciona a nivel de archivo y objeto SQL, lo que diferenciaateEs de otro servidor SQL. encryption software. Puede distinguir a qué objetos se ha intentado acceder y a qué objetos se ha denegado o permitido el acceso.

Para incluir DbDefence como parte de una solución, no es necesario adquirir licencias para cada aplicación cliente. Una sola licencia de redistribución es suficiente para instalarlo en cualquier número de clientes.

Escáner OS

Escáner OS es una herramienta de evaluación y análisis de bases de datos Oracle desarrollada en Java. Tiene una arquitectura basada en complementos, que actualmente tiene complementos para las siguientes funciones:

• enumeración de ID
• Prueba de contraseña (común y diccionario)
• Enumeración de versiones de Oracle
• Enumeración de roles, privilegios y hashes de cuentas de usuario
• Enumeración de la información de auditoría
• Enumeración de políticas de contraseñas
• Enumeración de enlaces de bases de datos.

Los resultados se presentan en un árbol gráfico de Java. También proporciona un formato de informe XML sucinto y un visor XML integrado para ver el informe. La instalación de la herramienta solo requiere un entorno de tiempo de ejecución Java y el archivo de instalación (zip) de OScanner.

Operador de escáner OSateEs similar a la función de adivinación de contraseñas de Oracle Auditing Tool (OAT opwg), utilizando el archivo .default de cuentas para obtener los pares de nombre de usuario/contraseña predeterminados. Se diferencia de la herramienta Oracle en que también intenta adivinar cuentas con el mismo nombre de usuario y contraseña.

Administrador de seguridad de dbForge

Security Manager es parte de la suite Estudio dbForge para MySQL, añadiéndole una potente herramienta para gestionar la seguridad en MySQL bases de datos. Con una funcionalidad ampliada y una interfaz de usuario práctica y amigable, su objetivo es facilitarate tareas rutinarias de administración de seguridad, como la gestión de cuentas de usuario y privilegios de MySQL.

El uso de un administrador de seguridad mejora la productividad del personal de TI. También brinda otros beneficios, como reemplazar las operaciones complejas de la línea de comandos con una administración visual más simple de las cuentas de usuario de MySQL y sus privilegios. La herramienta también ayuda a aumentar la seguridad de la base de datos, gracias a los procedimientos de gestión simplificados que minimizan los errores y reducen el tiempo requerido por el personal de administración.

Con las cinco pestañas del gestor de seguridad window, puedes crearate cuentas de usuario con solo unos pocos clics, otorgando a cada una privilegios tanto globales como de objetos. Una vez que las cuentas son created, puedes revVea su configuración de un vistazo para asegurarse de no cometer errores.

Puede descargar una versión completamente gratuita de dbForge Studio para MySQL, que ofrece funcionalidad básica. Luego están el Estándar, el Profesional y el Enterp.rise versiones, con precios que oscilan hasta unos 400 dólares.

Palabras finales: bases de datos verdaderamente seguras

Es común que las organizaciones crean que sus datos están seguros solo porque tienen copias de seguridad y cortafuegos. Pero hay muchos otros aspectos de la seguridad de las bases de datos que van más allá de esas medidas de seguridad. Al momento de seleccionar un servidor de bases de datos, la organización debe considerar los aspectos enumerados anteriormente, todo lo cual implica darle a los servidores de bases de datos la importancia que tienen en el desarrollo.ategestión mágica de los datos críticos de una organización.