Schachmatt ohne IT Grundschutz

Transkript

1 <Insert Picture Here> Schachmatt ohne IT Grundschutz BSI Grundschutz für den Datenbankbetrieb Norman Sibbing Oracle Deutschland

2 BSI IT Grundschutz IT Sicherheit-Standards Angesichts der vielfältigen und wachsenden Gefährdungspotentiale und der steigenden Abhängigkeit stellen sich damit für alle Anwender hinsichtlich der Informationssicherheit die Fragen, wie kann ich, wo, mit welchen Mitteln mehr Sicherheit erreichen IT-Grundschutz bietet eine einfache Methode, dem Stand der Technik entsprechende Sicherheitsmaßnahmen zu identifizieren und umzusetzen 2

3 Sicherheit versus Aufwand Quelle: BSI Grundschutz 3

4 Allgemein Es gibt keine 100%ige Sicherheit Betriebssystem härten Sowohl OS als auch DB Software Nur Komponenten installieren, die benötigt werden Unnötige Dienste gegebenenfalls deinstallieren Benutzer personalisieren Überblick verschaffen (und behalten) Sicherheitspatches einspielen (CPU/PSU) Frühzeitig DB Upgrade planen Trennung zwischen DBA Gruppe und Softwarebesitzer Primäre Gruppe oinstall (siehe Install Doku) Datenbank-Auditing nutzen 4

5 B 5.7 Gefährdungen bei Datenbanken BSI - IT Grundschutz (Auszug) Organisatorische Mängel Fehlende Auswertung von Protokolldaten (G 2.22) Mangelhafte Organisation des Wechsels von Datenbank-Benutzern (G ) Menschliche Fehlhandlungen Fehlerhafte Administration von Zugangs- und Zugriffsrechten (G 3.16) Unbeabsichtigte Datenmanipulation (G 3.24) Technisches Versagen Ausfall einer Datenbank (G 4.26) Unterlaufen von Zugriffskontrollen über ODBC (G 4.27) Vorsätzliche Handlungen Systematisches Ausprobieren von Passwörtern (G 5.18) Manipulation an Daten oder Software bei Datenbanksystemen (G 5.64) SQL-Injection (G 5.131) Quelle: 5

6 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen Zugriffskontrolle M Gewährleistung der Datenbankintegrität Trennung administrativer Rollen M Aufteilung von Administrationstätigkeiten bei Datenbanksystemen Wie lassen sich Passwordmanagement und Benutzerverwaltung zentralisieren M Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile Verschlüsselung und deren Auswirkungen M 4.72 Datenbank-Verschlüsselung 6

7 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen Auditing, Tracking und Reporting M Kontrolle der Protokolldateien eines Datenbanksystems M 2.34 Dokumentation der Veränderungen an einem bestehenden System M 4.69 Regelmäßiger Sicherheitscheck der Datenbank Umgang mit weiteren Sicherheitsgefährdungen G SQL-Injection G Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen G 2.29 Softwaretest mit Produktionsdaten 7

8 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen Zugriffskontrolle M Gewährleistung der Datenbankintegrität Trennung administrativer Rollen M Aufteilung von Administrationstätigkeiten bei Datenbanksystemen Wie lassen sich Passwordmanagement und Benutzerverwaltung zentralisieren M Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile Verschlüsselung und deren Auswirkungen M 4.72 Datenbank-Verschlüsselung 8

9 Maßnahmen für den sicheren Datenbankbetrieb M Gewährleistung der Datenbankintegrität M Zugangskontrolle einer Datenbank Normalen Benutzern den Zugang zu einer Produktionsdatenbank über einen interaktiven SQL-Interpreter unterbinden Remote-Zugänge zu Datenbanken sollten äußerst restriktiv gehandhabt werden Bei erhöhten Sicherheitsanforderungen sollte geprüft werden, ob eine starke Authentisierung, die über Benutzername und Passwort hinausgeht, erforderlich ist. M Zugriffskontrolle einer Datenbank Schutz der Datenbankobjekte Schutz der Daten Restriktiver Datenzugriff über Anwendungen 9

10 Oracle Database Vault Multi-Factor Zugriffssteuerung Policy Enforcement Procurement HR Applikation Rebates DBA Schützt Applikationsdaten und verhindert den Zugang nicht freigebener Applikationen Steuert Wer, Wo, Wann und Wie auf Daten zugreifen kann 10

11 Oracle Advanced Security Starke Authentisierung Starke Authentisierung Applikation Kerberos X509 v3 Starke Authentisierung besonders für hoch privilegierte Benutzer (DBAs) Kerberos PKI RADIUS (Einmal Password, Risiko-Basierte Authentisierung,...) 11

12 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen Zugriffskontrolle M Gewährleistung der Datenbankintegrität Trennung administrativer Rollen M Aufteilung von Administrationstätigkeiten bei Datenbanksystemen Wie lassen sich Passwordmanagement und Benutzerverwaltung zentralisieren M Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile Verschlüsselung und deren Auswirkungen M 4.72 Datenbank-Verschlüsselung 12

13 Maßnahmen für den sicheren Datenbankbetrieb M Aufteilung von Administrationstätigkeiten bei Datenbanksystemen Es sollten grundsätzlich zwei verschiedene Administrator-Rollen unterschieden werden: die fachlich übergreifende Administration der Datenbank- Software (traditioneller DBA) Backup / Recovery Resource-Management die Administration der anwendungsspezifischen Belange Erfordernisse der einzelnen Anwendungen an die Datenbank Verwaltung der zugehörigen Datenbankobjekte Diese beiden Aufgaben sollten von verschiedenen Personen durchgeführt werden 13

14 Oracle Database Vault Zugriffssteuerung für privilegierte Benutzer und Multifaktor Autorisierung Schränkt Befugnisse von privilegierten Benutzern ein Ermöglicht Aufgabenverteilung und Funktionstrennung Erzwingt Security Regeln Schützt und konsolidiert Anwendungsdaten und verhindert das Umgehen der Anwendung 14

15 Organisatorischer vs. Erzwungener Sicherheit Beschränkung und Kontrolle von DB Aktivitäten Sicherheitskonzept (Beispiel) Maßnahmenimplementierung (Bsp.) Klassifikation Aufgaben DBA 20% organisatorische Implementierung von Maßnahmen 80% tool-basierte Implementierung von Maßnahmen Maßnahmen DBA Rollenkonzept DBA Database Vault oder andere Lösungen Maßnahmen Organisatorisch Tool-basiert Nicht-vertrauenswürdiger DBA tool-basierte Policy- Erzwinung Legende: Vertrauenswürdiger DBA Externe Dienstleister / externer DBA Tool-based Implementation von Maßnahmen kann garantieren, dass die Logik und Policies automatisch überwacht wird. D.h. die implementierte wird durchgesetzt (erzwungen)! 15

16 Organisatorischer vs. Erzwungener Sicherheit Beschränkung und Kontrolle von DB Aktivitäten Organisatorische Maßnahmen Rollenkonzept definieren mit AKV (Aufgaben, Kompetenzen und Verantwortlichkeiten) Personalisierte DBA Accounts nutzen SYS und SYSTEM nur für limitierte Aufgaben wie Patching verwenden Root und Windows Administrator Users Nur personalisierte Account für das OS verwenden Unter (L)UNIX SUDO nutzen Tool-basierte Maßnahmen Oracle DB Vault Erzwingt definierte Policies auf Basis Sicherheitszonen und Regeln für beliebige Nutzer Schützt Datenzugriff Gewaltenteilung Acct-Mgmt. & DB Admin. Beschränkt DBA Zugriff und Aktivitäten Monitoring out-of-the-box Oracle DB Vault Reporting Oracle Audit Vault für DB Akivitäten Manuelle Überwachung Automatische Kontrolle und Überwachung 16

17 Oracle Sicherheitsansatz Lösungsansätze im RZ einer Bundesbehörde Erhöhter Schutz sensitiver Daten in Verfahren unter kombinierter Verwendung von Sicherheitsoptionen für Oracle Datenbanken Verschlüsselung zur Sicherung gehosteter Daten und DBVault zur Sicherstellung der Funktionstrennung DBA des RZ erhält kontrollierte, definierte Zugriffe aber ohne Einsicht in Verfahrensdaten Ermöglicht das Outsourcen und Konsolidieren sensibler Daten Hoster übernimmt die Verantwortung des Betriebs Kunde behält die Datenhoheit und Datenverantwortung 17

18 Projekt EPOS 2.0 Multi-Mandant Umgebung Web&App DMZ Datenbank DMZ http/s Verschlüsselung AES 256bit SQL*Net Verschlüsselung AES 256bit Datenbank Verschlüsselung Switch Autorisierungs- Faktoren SYSTEM EPOS Mandant EPOS Mandant Betreiber DBA Fachabteilung EPOS Mandanten EPOS 2.0 Applikations- Server Oracle Real Application Cluster EPOS 2.0 Oracle Datenbank Backup Verschlüsselung 18

19 EPOS 2.0 Sicherheit mit Oracle Nutzen Höherer Sicherheitslevel erzielt durch Verschlüsselung Zugriffssteuerung hoch privilegierter Benutzer Verfügbarkeit Adressierung der Anforderungen des BDSG (vgl. u.a. 1 oder 42 BDSG) definierten Ziele der nationalen egovernment Strategie (Ziel: Transparenz, Datenschutz und Datensicherheit) Einsatz von BSI zertifizierten Oracle Produkten Keine Beeinträchtigung in der Bedienung des Fachverfahrens Verschlüsselung ohne Performanceverlust unter Verwendung der Intel Xeon 56XX AES-NI Prozessor-Technologie 19

20 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen Zugriffskontrolle M Gewährleistung der Datenbankintegrität Trennung administrativer Rollen M Aufteilung von Administrationstätigkeiten bei Datenbanksystemen Wie lassen sich Passwordmanagement und Benutzerverwaltung zentralisieren M Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile Verschlüsselung und deren Auswirkungen M 4.72 Datenbank-Verschlüsselung 20

21 Maßnahmen für den sicheren Datenbankbetrieb M Regelung für die Einrichtung von Datenbankbenutzern/- benutzergruppen Die Einrichtung von Benutzern/Benutzergruppen aus einer Datenbank bilden die Voraussetzung für eine angemessene Vergabe von Zugriffsrechten (siehe M Zugriffskontrolle einer Datenbank) Erforderlich sind: (u.a. in Anlehnung an M 2.30 Regelung für die Einrichtung von Benutzern / Benutzergruppen) Name, Vorname Vorschlag für die Benutzer-Kennung (wenn nicht durch Konventionen vorgegeben) Organisationseinheit Erreichbarkeit (z. B. , Telefon, Raum) Zustimmung von Vorgesetzten 21

22 Datenbank Benutzer Management: Best Practice ENTERPRISE USER SECURITY EUS CENTRALIZED USER ADMINISTRATION FOR DB CUA4DB Management Corporate Directory oder HR System Oracle Internet Directory LOGIN Umlenkung LOGIN Anwender Oracle Datenbanken Synchronisation CUA4DB Läuft auf Oracle Identity Manager Synchronisation Zentrale Administration Self-service Passwortänderung Audit Anwender LOGIN Oracle und andere Datenbanken 22

23 Password Management Oracle Privileged Account Management User logs in as DBA Adds Table to DB System out of space HR Application Database Set DBA password for HR App Database based on password policy for HR App Database Return DBA password Request DBA password Return unix password Request unix password Verify OPAM User in HR DBA Role DBA User checks in passwords Oracle Privileged Account Manager LDAP Server User logs in as superuser Adds disk space Unix Server 23

24 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen Zugriffskontrolle M Gewährleistung der Datenbankintegrität Trennung administrativer Rollen M Aufteilung von Administrationstätigkeiten bei Datenbanksystemen Wie lassen sich Passwordmanagement und Benutzerverwaltung zentralisieren M Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile Verschlüsselung und deren Auswirkungen M 4.72 Datenbank-Verschlüsselung 24

25 Maßnahmen für den sicheren Datenbankbetrieb M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile Dokumentiert werden sollten insbesondere zugeordnetes Rechteprofil (ggf. Abweichungen vom verwendeten Standard-Rechteprofil) Begründung für die Wahl des Rechteprofils (und gegebenfalls der Abweichungen) Zuordnung des Benutzers zu einer Organisationeinheit, Raumund Telefonnummer Zeitpunkt und Grund der Einrichtung Befristung der Einrichtung zugehörige Benutzer 25

26 Aktuelle Anwenderkonten-Zuordnungen bestätigen Web-basiertes Testat im Oracle Identity Manager 1 Periode für Review einstellen 2 Reviewer wird benachrichtigt Nutzt Self Service 3 Automatisierte Aktionen kommen aus dem periodischen Review 4 Report und Ergebnisse bleiben in DB gespeichert Reviewer Auswahl Was soll Reviewed werden? Zertifizieren ausmustern Ergebnis zu User Terminiere User automatisch Wer ist der Reviewer? Wann starten? Wie oft? ablehnen Delegieren Kommentar Benachrichtigung des Prozessbesitzers Benachrichttgung des delegierten Reviewers Archive Attestierte Daten Attest-Aktionen Delegierungswege 26

27 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen Zugriffskontrolle M Gewährleistung der Datenbankintegrität Trennung administrativer Rollen M Aufteilung von Administrationstätigkeiten bei Datenbanksystemen Wie lassen sich Passwordmanagement und Benutzerverwaltung zentralisieren M Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile Verschlüsselung und deren Auswirkungen M 4.72 Datenbank-Verschlüsselung 27

28 Maßnahmen für den sicheren Datenbankbetrieb M 4.72 Datenbank-Verschlüsselung In Abhängigkeit von der Art der in einer Datenbank gespeicherten Informationen und den sich daraus ergebenden Anforderungen an deren Vertraulichkeit und Integrität kann es notwendig werden, diese Daten zu verschlüsseln Darüber hinaus besteht die Möglichkeit, Daten weiterhin im Klartext in der Datenbank abzuspeichern, beim Zugriff über ein Netz jedoch eine verschlüsselte Datenübertragung zu realisieren. Dies kann z. B. durch die Secure Network Services der Oracle SQL*Net Produktfamilie durchgeführt werden 28

29 Oracle Advanced Security Schutz der Daten vor unautorisierten Benutzern Strong Authentication Data At Rest Encryption Disk Backups Application Network Encryption Exports Built-In Key Management Media Encryption Off-Site Facilities Transparente Verschlüsselung für alle gespeicherten Daten Keine Änderung der Anwendung notwendig Verschlüsselung der Daten für den Netzwerktransfer Hoch performant Einfache Bereitstellung Easy deployment 29

30 Oracle Advanced Security Schlüsselmanagement Create a wallet and generate the master key: Table and Tablespace Keys Master Key Oracle Wallet PKCS #11 API HSM alter system set key identified by e3car61 Open the wallet: alter system set wallet open identified by e3car61 Rotate master (table/tablespace keys re-encrypted): alter system set key identified by 2naf1sh Rotate table/tablespace keys (data re-encrypted) alter table employee REKEY; Erstellung, Speicherung, und Erneuerung der Schlüssel Zweitstufiges Schlüsselmanagement Datenverschlüsselung durch interne und externen Schlüssel Speicherung des Master-Schlüssels im External Security Module (außerhalb der Datenbank) Oracle Wallet (PKCS #12 file) oder Hardware Security Module (HSM) Separation of duties -- Wallet Kennwort ist dem System oder Datenbank-Admin nicht bekannt 30

31 Oracle Advanced Security Transparent Data Encryption Performance Verschlüsselung von Daten ist kostspielig ist ein Mythos! (ggf. entstanden durch schlechte Third-Party Lösungen) Mehrlast der CPU ~5% / 10x Beschleunigung bei Nutzung des AES-NI Chip Mehrlast der CPU kann durch Nutzung der Oracle Advanced Compression oder Exadata Hybrid Columnar Compression (EHCC) weiter reduziert werden Bei einer Komprimierung von ca. 75%, müssen auch 75% weniger Daten verschlüsselt werden! 31

32 Vorteile der Oracle Verschlüsselung Kein Aufwand beim Einrichten der Netzwerkverschlüsselung Verschlüsselung ist Datentyp-Echt Transparent für Applikationen Verschlüsselung über alle physikalischen Medien Datenbankfiles, Transaktionsfiles, Archive, Exports, Backups und Netzwerk Implementiertes Key-Management Performantes Rekeying Hardwareunterstützung... 32

33 Leichte Umsetzung Verschlüsselung Alternative Lösungen Disk Oracle Database NAS Encryption Applikation Sicherheit 33

34 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen Auditing, Tracking und Reporting M Kontrolle der Protokolldateien eines Datenbanksystems M 2.34 Dokumentation der Veränderungen an einem bestehenden System M 4.69 Regelmäßiger Sicherheitscheck der Datenbank Umgang mit weiteren Sicherheitsgefährdungen G SQL-Injection G Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen G 2.29 Softwaretest mit Produktionsdaten 34

35 Maßnahmen für den sicheren Datenbankbetrieb M Kontrolle der Protokolldateien eines Datenbanksystems Die in einem Datenbanksystem mögliche Protokollierung bzw. Auditierung ist in einem sinnvollen Umfang zu aktivieren Dabei sind insbesondere folgende Vorkommnisse von Interesse: Anmeldezeiten und -dauer der Benutzer Anzahl der Verbindungen zur Datenbank fehlgeschlagene bzw. abgewiesene Verbindungsversuche Zugriffe auf die Systemtabellen Erzeugung neuer Datenbankobjekte und Datenmodifikationen (eventuell mit Datum, Uhrzeit und Benutzer) Die Protokollierung sicherheitsrelevanter Ereignisse ist als Sicherheitsmaßnahme allerdings nur dann wirksam, wenn die protokollierten Daten auch ausgewertet werden 35

36 Maßnahmen für den sicheren Datenbankbetrieb M Kontrolle der Protokolldateien eines Datenbanksystems Für die Überprüfung der Protokolldateien sind diese grundsätzlich in eine andere Umgebung zu kopieren Die Verantwortlichkeiten für die Protokollierung und die Verantwortlichkeiten für die zu protokollierenden Aktivitäten müssen getrennt werden Die Protokolldaten müssen auf dem Produktivsystem regelmäßig gelöscht werden Sie dürfen allerdings nur dann gelöscht werden, wenn die Protokolldateien vorher ausgewertet und kontrolliert wurden 36

37 Maßnahmen für den sicheren Datenbankbetrieb M Kontrolle der Protokolldateien eines Datenbanksystems Der Zugriff auf die Protokolldateien strikt zu beschränken Es muss verhindert werden, dass Angreifer ihre Aktionen durch nachträgliche Änderung der Protokolldateien verbergen können, andererseits könnten über die gezielte Auswertung von Protokolldateien Leistungsprofile der Benutzer erstellt werden. Deshalb dürfen beispielsweise Änderungen überhaupt nicht vorgenommen werden können und lesender Zugriff darf nur den Revisoren gestattet werden 37

38 Oracle Audit Vault Automatisches Aktivitätsmonitoring & Audit Reporting HR Data CRM/ERP Data Custom App Audit Data! Alerts Built-in Reports Custom Reports Policies Auditor Automatisches Überwachen von Oracle und Nicht-Oracle Datenbanken Erkennt und signalisiert verdächtige Aktivitäten Out-of-the box Compliance Reports Forensische kundenspezifische Berichte Integration: SIEM Tools, und Remedy 38

39 Real-World Payment System Security Attack ArcSight ESM Attacker Stolen data via FTP IPS/IDS Sensor Corporate PC Correlated Events Firewall traversal Network scan Botnet attack on PC Admin query to Payment server FTP out stolen financial data Attacker penetrates perimeter using malware Scans internal network locating vulnerable PC Launches exploit and takes over trusted corporate PC Logs into Payment database (PCI asset) using default DB Admin username password Downloads financial records (PCI data) by querying Payment database as a DBA FTP s financial records out Payment DB Server DB query Secure Payments Network Audit Vault Alerts Database access Access to secure payments Export of payments data 39

40 Oracle Audit Vault + ArcSight Integrated Solution Oracle Audit Vault ArcSight ESM Collects Audit Vault alerts Correlates with enterprise events Alerts security staff about risky activity Generates enterprise compliance reports Oracle Audit Vault Consolidates all database activity Alerts ESM about suspicious activity Drills down to database activity Generates compliance and entitlement reports ArcSight ESM 40

41 Auditing Best Practices Personalisierung der DBAs SYSDBA Auditing (audit_sys_operations) Für DDL (Standard Auditing) Strukturänderungen an relevanten Tabellen Benutzer und Rollenmanagement Für DML (Fine Grained Auditing) Lese und Schreibzugriffe auf relevante Tabellen Verwendung des XML, EXTENDED Audit Trails Schnelles File System benutzen Verwendung des DBMS_AUDIT_MGMT Packages Bei Neuinstallationen: Auditeinstellungen beachten 41

42 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen Auditing, Tracking und Reporting M Kontrolle der Protokolldateien eines Datenbanksystems M 2.34 Dokumentation der Veränderungen an einem bestehenden System M 4.69 Regelmäßiger Sicherheitscheck der Datenbank Umgang mit weiteren Sicherheitsgefährdungen G SQL-Injection G Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen G 2.29 Softwaretest mit Produktionsdaten 42

43 Maßnahmen für den sicheren Datenbankbetrieb M 2.34 Dokumentation der Veränderungen an einem bestehenden System Um einen reibungslosen Betriebsablauf zu gewährleisten, muss der Administrator einen Überblick über das System haben bzw. sich verschaffen können Es sollten Veränderungen, die Administratoren am System vornehmen, dokumentiert werden (nach Möglichkeit automatisiert) Unter Unix müssen ausführbare Dateien, auf die auch andere Benutzer als der Eigentümer Zugriff haben oder deren Eigentümer root ist, vom Systemadministrator freigegeben und dokumentiert werden 43

44 Lifecycle Management Discovery und Einbindung Finde Assets und binde sie in Cloud Control ein Change Management End to End Management für Patches, Upgrades und Schema Änderungen Konfigurations- und Compliance Management Dokumentation von Konfigurationsänderungen und Compliance 44

45 EM 12.1 Configuration Management Inventory Reporting Trendanzeige Versionsverteilung Konfigurations-Details 45

46 Configuration Management Topology Viewer Grafische Anzeige von Beziehungen zwischen Targets Verwaltung auf System-Ebene, statt auf Target-Ebene Root Cause Analyse Host Datenbank Topology Name Listener Beziehungen Out-of-box systems Depends On Used By Eigene Sichten auf vorgefertigte Systeme erweitert durch weitere Targets 46

47 Maßnahmen für den sicheren Datenbankbetrieb M 4.69 Regelmäßiger Sicherheitscheck der Datenbank Der Datenbankadministrator sollte regelmäßig, jedoch mindestens einmal monatlich einen Sicherheitscheck des Datenbanksystems durchführen, der durch das Betriebskonzept geregelt sein sollte Auszug: Gibt es Datenbank-Benutzer mit leicht zu ermittelndem oder keinem Passwort? Gibt es Benutzer, die die ihnen zugewiesenen Rechte nicht mehr für ihre Aufgabenerfüllung benötigen? Welche Benutzer-Kennungen haben modifizierende Zugriffsrechte auf die Datenbankobjekte der Anwendungen? Welche Benutzer besitzen die gleichen Rechte wie der Datenbank-Administrator? 47

48 Configuration Management Compliance Compliance Framework Mapping der Compliance Standards mit Business Standards (PCI, COBIT, HIPAA, CIS, etc) Compliance Standard Gruppierung von Regeln Compliance Manager, Security Auditors Compliance Frameworks Compliance Standards Compliance Rule Einzelne Checks/Tests die für einen Targettyp ausgeführt werden DBAs, Admins, IT Managers Rules Umfassendes Reporting Aktualisierung über Self-Update 48

49 Compliance Ebenen Framework Standard Rule 49

50 Security Balanced Scorecard für Datenbanken Eine globale und transparente Sicht für den Security Manager Sind die gesetzten Ziele erfüllt? Wie performen die KPIs? Security Ziele setzen und automatisiert messen. 50

51 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen Auditing, Tracking und Reporting M Kontrolle der Protokolldateien eines Datenbanksystems M 2.34 Dokumentation der Veränderungen an einem bestehenden System M 4.69 Regelmäßiger Sicherheitscheck der Datenbank Umgang mit weiteren Sicherheitsgefährdungen G SQL-Injection G Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen G 2.29 Softwaretest mit Produktionsdaten 51

52 Maßnahmen für den sicheren Datenbankbetrieb G SQL-Injection Mit SQL-Injection wird das Einschleusen (Injizieren) schädlicher oder unerwünschter Datenbankbefehle in die Datenbankabfragen einer Applikation bezeichnet Ermöglicht wird diese Technik durch eine unzureichende Prüfung bzw. Maskierung der Eingaben innerhalb der Applikation Dieses Vorgehen eröffnet einem Angreifer vielfältige Möglichkeiten (u.a.): unberechtigter Zugriff auf Daten Ausführen von Betriebsystembefehlen Kontrolle über die Datenbank Kontrolle über den Server 52

53 Oracle Database Firewall im Überblick Anwendungen Erlauben Protokollieren Alarmieren Ersetzen Blocken Standardberichte Eigene Berichte Policies (Baselines) Effiziente Analyse des SQL in Echtzeit schützt vor SQL Injection, Eskalieren von Privilegien und Rollen Bietet damit sogar einen Schutz vor nicht geschlossenen Sicherheitslücken (zero day exploits) auf der SQL Ebene Flexible Reaktionsmöglichkeiten Genauigkeit ist von zentraler Bedeutung DB2 53

54 Beispiel - Vergleiche, Mustererkennung Wenn man unterstellt, dass eine Bedingung verdächtig ist, die immer den Wert WAHR liefert, dann müssen z.b. SQL Abfragen mit einer solchen Bedingung abgefangen werden. Folgende Bedingungen sind alle WAHR: 1 = = ( ) SIN(45) = COS(45) hund = hund 10 = 10 SQRT(49) = (8-1)/1 LEFT( catastrophe, 3) = cat katze <> maus 54

55 Positivlisten Positivliste (White List) Erlauben Anwendungen Blocken Positivlisten können automatisch generiert werden Für jede Anwendung oder Applikation zu definieren Faktoren wie Tageszeit, Wochentag, Netzwerk, Anwendung,... können berücksichtigt werden Aktionen, die nicht auf der Positivliste stehen, werden nicht ausgeführt 55

56 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen Auditing, Tracking und Reporting M Kontrolle der Protokolldateien eines Datenbanksystems M 2.34 Dokumentation der Veränderungen an einem bestehenden System M 4.69 Regelmäßiger Sicherheitscheck der Datenbank Umgang mit weiteren Sicherheitsgefährdungen G SQL-Injection G Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen G 2.29 Softwaretest mit Produktionsdaten 56

57 Lifecycle Management Discovery und Einbindung Finde Assets und binde sie in Cloud Control ein Change Management End to End Management für Patches, Upgrades und Schema Änderungen Konfigurations- und Compliance Management Dokumentation von Konfigurationsänderungen und Compliance 57

58 G 2 Organisatorische Mängel G Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen Grober Prozess eines Patch-Deployments Welche Systeme sind betroffen? Patch Entscheidung Test-Umgebung Clone von Prod. Deploy Patch auf Test-Umgeb. Was hat der Patch verändert? Testen Deploy in die Produktion Ergebnisse dokumentieren New Baseline BACKUP Restore BACKUP Enterprise Manager Risk Matrix Enterprise Manager Data Masking Enterprise Manager Enterprise Manager Enterprise Manager RAT Enterprise Manager Enterprise Manager Oracle Patch Management Best Practice 58

59 Patch Management Einfaches (!Einfacheres!) Patching Schritt 1: Auswählen von Patches und Targets Schritt 2: Optionen auswählen (In-Place, Out-of-Place, Rolling, Non-Rolling) Schritt 3: Validierungen ausführen Analyse bzgl. Konflikten, Schritt 4: Review -> Pre Deploy -> Deploy 59

60 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen Auditing, Tracking und Reporting M Kontrolle der Protokolldateien eines Datenbanksystems M 2.34 Dokumentation der Veränderungen an einem bestehenden System M 4.69 Regelmäßiger Sicherheitscheck der Datenbank Umgang mit weiteren Sicherheitsgefährdungen G SQL-Injection G Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen G 2.29 Softwaretest mit Produktionsdaten 60

61 G 2.29 Softwaretest mit Produktionsdaten Als wesentliche Gründe werden hierfür angeführt, dass nur im direkten Vergleich mit vorhandenen Arbeitsergebnissen eine abschließende Beurteilung über die Funktion und Performance des Produktes möglich ist Darüber hinaus sind mangelndes Sicherheitsbewusstsein, überzogenes Vertrauen und Unkenntnis über mögliche schädliche Auswirkungen ursächlich für diese Vorgehensweise 61

62 Oracle Data Masking Irreversible Anonymisierung Produktion NACHNAME SSN GEHALT AGUILAR BENSON Entwicklung NACHNAME SSN GEHALT ANSKEKSL BKJHHEIEDK Verfälscht sensitive Daten aus nicht-produktionsdatenbanken Referentielle Integrität bleibt, so dass Anwendungen weiter funktionieren Sensitive Daten verlassen niemals die Datenbank Erweiterbare Template- und Regel-Bibliothek für eine Automation Neu in EM 12c: Application Data Modeling, Sensitive Data Discovery 62

63 Datenmaskierung selbst in heterogenen Umgebungen Oracle Databases Non-Oracle Databases manage Production (Oracle) Production (non-oracle) monitor Enterprise Manager Cloud Control with Data Masking manage manage Staging (Oracle) Test (Oracle) Staging (Oracle) Test (non-oracle) Database Gateway Database Gateway manage monitor Enterprise Manager Cloud Control with Data Masking Available for IBM DB2, Microsoft SQLServer, Sybase 63

64 Nachdenken und handeln! 1 Welche Daten muss ich vor wem schützen? 2 Welche Angriffe traue ich meinem potenziellen Gegner zu? 3 Erkennen ich Sicherheitsverstöße und Angriffe? 4 5 Wissen privilegierte Benutzer was sie tun und nicht tun dürfen? Sind wir konform mit allen uns betreffenden regulartorischen Anforderungen? 64

65 Database Security Big Picture Activity Audit Data Discovery Compliance Scan Vulnerability Scan Patch Automation Auditing Encrypted Database Applications Network SQL Monitoring and Blocking Authorization Authentication Data Masking Unauthorized DBA Activity Multi-factor authorization 65

66 66

67 67