Flexible und automatisierte Reaktionen auf Sicherheitsvorfälle

Transkript

1 Flexible und automatisierte Reaktionen auf Sicherheitsvorfälle Franz Huell Enterprise Technology Specialist, EMEA Select GETDATE () select SYSDATE select CURDATE () select CURRENT DATE: 29-oct-2014

2 Vorstellung McAfee und Datenbank Sicherheit McAfee und Intel Franz Hüll Enterprise Technology Specialist Database Security 2

3 3

4 Die ANGREIFER sind MITTEN unter uns 4

5 Sicherheit in Silos Nur ein integriertes Sicherheitskonzept bietet den nötigen Schutz Sicherheitslage Gesamtkosten Point Products Schichtweiser Ansatz Verfehlt ein Produkt schützt das nächste Integriertes Sicherheitskonzept Reaktiv ZEIT Optimiert 5

6 Der Bedarf für Kontext & Integration Nachträgliche Integration erzeugt Abhängigkeiten und Fehlerquellen Identity Management Mail Gateway Web Gateway App & Change Control Database Security Network Firewall IPS Anti-Malware Encryption Vulnerability Management SECURITY MANAGEMENT Access Control HIPS Data Protection Mobile Security Virtualization Threat Analysis 6

7 Data Exchange Layer Sicherheitskomponenten agieren als Eins und nicht mehr in Silos Web Gateway Database Security Identity Management IPS Data Protection App & Change Control Network Firewall Mail Gateway Vulnerability Management Web Gateway IPS Database Security Encryption Anti-Malware Identity Management App & Change Control SECURITY MANAGEMENT Network Firewall Anti-Malware Vulnerability Management Access Control Mail Gateway Mobile Security HIPS Virtualization Access Control Data Protection Mobile Security HIPS Virtualization Threat Analysis Data Exchange Layer 7

8 McAfee Database Security Products Database Security Suite McAfee epolicy Orchestrator Database Security Server McAfee Database Activity Monitoring McAfee Virtual Patching for Databases McAfee Vulnerability Manager for Databases ESM Enterprise Security Management (SIEM) 8

9 McAfee Database Activity Monitoring nur Software, keine Hardware Schnelles Deployment Ein Sensor pro Datenbankserver Datenbankperformance wird praktisch nicht beeinträchtigt, Sensor benötigt minimale CPU-Resourcen Sensor arbeitet in der Memory des DB Servers, unabhängig von verschlüsseltem Netzwerkverkehr Virtualisierung Keine Downtime der DB bei Installation/Update 9

10 McAfee Database Activity Monitoring Session Context Regelbasiertes Monitoring differienzierte Reaktion auf Vorfälle Blocken von Zugriffen / Terminieren Session Regeltemplates Compliance Unterstützung 10

11 McAfee Database Activity Monitoring Listener Bequeath. 1 From the network 2 From the host 3 From within the database (Intra-DB) DB ADMINS SYS ADMINS PROGRAMMERS Local Connection DBMS Stored Proc. SAP Network Connection Shared Memory Data Trigger View intra-db threats 11

12 McAfee Database Activity Monitoring Enterprise Deployment Cloud DB ESM Network McAfee Database Security Server DB DB DB DB DB DB DB DB DB DB DB 12

13 McAfee Database Activity Monitoring Execution Plan Synonym View Table Netzwerkverschlüsselung 14

14 Datenbank Check network 'select * from cr' 'e' 'ditc' chr(63+3-1) translate traffic ('XY','YX','dr') SQL Statement 'select * from creditcard' 'select * from cr' 'e' 'ditcard' 'select * from cr' 'e' 'ditc' chr(65) 'rd' 'select * from cr' 'e' 'ditc' chr(63+3-1) 'rd' 'select * from cr' 'e' 'ditc' chr(63+3-1) translate ('XY','YX','dr') Network based?? Memory Based 15

15 Datenbank Check network 'create view tempview as select * from traffic tempsyn' 'select * from tempview' SQL Statement 'select * from creditcard' 'create synonym tempsyn for cr' 'e' 'ditc' chr(63+3-1) translate ('XY','YX','dr') 'select * from tempsyn' 'create view tempview as select * from tempsyn' 'select * from tempview' Network based Memory Based 16

16 McAfee Database Activity Monitoring Supported Platforms 17

17 Demo Demo1: In der Datenbank wird ein Account mit DBA Rolle gefunden, der NICHT in der Liste der bekannten und zugelassenen DBAs enthalten ist. Jede Datenbankaktivität dieses Benutzers soll unterbunden werden. Demo 2: Ein Anwender greift auf Daten zu, verwendet aber nicht das dafür vorgesehene Programm oder kommt von einer unzulässigen Quelle (IP, Hostname...). Ab sofort sollen ALLE Aktivitäten dieses Anwenders auditiert werden. Demo 3: protokolliert. Demo 4: Ein Benutzer greift auf eine sogenannte Honeypot Tabelle zu. Ab diesem Zeitpunkt werden alle Aktivitäten von dieser IP für eine bestimmte Zeit Ein Benutzer hat versucht, einen Exploit Code auf einer Datenbank auszuführen. Der Benutzer ist auf allen Datenbanken zu sperren. 18

18 Security Connected LDAP Server LDAP Vulnerability Manager for Databases Database Activity Monitoring Database Activity Monitoring McAfee ESM ESM Datenbank ORCL Custom Scan Who Has DBA Role? user not in LDAP_Group and user in DBA_role_Group Applikation / Tool Connect Black_DBA Connect Blue_DBA 19

19 Virtual Patching for Databases Warum virtuell? 20

20 Virtual Patching for Databases Die Produktion geht vor: Keine Downtime Keine Patches Kein Upgrade Verfügbarkeit der Datenbank 24 x 7 Alte Datenbank Versionen, kein Hersteller Support Applikationen und Patching? 21

21 Virtual Patching = Compensating Control 22

22 Real Patching 23

23 Virtual Patching (vpatch) Nicht intrusiv Keine Änderung von: Libraries Executables Binaries Gesteuert durch > 600 Regeln Überwacht die Zugriffe auf die Datenbank mit DB Activity Monitoring 24

24 Demo Demo1: In der Datenbank wird ein Account mit DBA Rolle gefunden, der NICHT in der Liste der bekannten und zugelassenen DBAs enthalten ist. Jede Datenbankaktivität dieses Benutzers soll unterbunden werden. Demo 2: Ein Anwender greift auf Daten zu, verwendet aber nicht das dafür vorgesehene Programm oder kommt von einer unzulässigen Quelle (IP, Hostname...). Ab sofort sollen ALLE Aktivitäten dieses Anwenders auditiert werden. Demo 3: protokolliert. Ein Benutzer greift auf eine sogenannte Honeypot Tabelle zu. Ab diesem Zeitpunkt werden alle Aktivitäten von dieser IP für eine bestimmte Zeit Demo 4: Ein Benutzer hat versucht, einen Exploit Code auf einer Datenbank auszuführen. Der Benutzer ist auf allen Datenbanken zu sperren. 25

25 Security Connected Database Activity Monitoring Database Activity Monitoring McAfee ESM ESM SQL*Plus ORCL 26

26 Demo Demo1: In der Datenbank wird ein Account mit DBA Rolle gefunden, der NICHT in der Liste der bekannten und zugelassenen DBAs enthalten ist. Jede Datenbankaktivität dieses Benutzers soll unterbunden werden. Demo 2: Ein Anwender greift auf Daten zu, verwendet aber nicht das dafür vorgesehene Programm oder kommt von einer unzulässigen Quelle (IP, Hostname...). Ab sofort sollen ALLE Aktivitäten dieses Anwenders auditiert werden. Demo 3: Ein Benutzer greift auf eine sogenannte Honeypot Tabelle zu. Ab diesem Zeitpunkt werden alle Aktivitäten von dieser IP für eine bestimmte Zeit protokolliert. Demo 4: Ein Benutzer hat versucht, einen Exploit Code auf einer Datenbank auszuführen. Der Benutzer ist auf allen Datenbanken zu sperren. 27

27 McAfee Vulnerability Manager for Databases Scan Bibliothek mit mehr als einzelnen Tests 29

28 McAfee Vulnerability Manager for Databases Database Scans: Scanning for... Allgemein Audit Einstellungen Suchen nach Hintertüren Prüfen der Datenbank Konfiguration Patchlevel Suchen nach Vulnerabilities 30

29 McAfee Vulnerability Manager for Databases Database Scans: Scanning for... Passwörter Default Passwörter Wortliste Konfigurierbar Anpassbar Account wird nicht verwendet 31

30 McAfee Vulnerability Manager for Databases Database Scans: Scanning for... Benchmarking CIS PCI-DSS STIG Customer Security Policy Custom 32

31 McAfee Vulnerability Manager for Databases Database Scans: Scanning for... Data Discovery Payment Data Discovery Encryption Discovery Address Data Discovery Password Discovery Custom checks... 33

32 McAfee Vulnerability Manager for Databases Enterprise Deployment ESM Cloud DB Network Connectivity to Databases (SQL-Connect) McAfee Database Security Server / McAfee Policy Orchestrator (epo) DB DB DB DB DB DB DB DB DB DB DB 34

33 McAfee Vulnerability Manager for Databases Supported Platforms 35

34 Weitere Informationen find Sie auf: 1. McAfee Vulnerability Manager for Databases 2. McAfee Database Activity Monitoring 3. McAfee Virtual Patching for Databases 38

35 Franz Huell Enterprise Technology Specialist, EMEA Database & Datacenter Security McAfee. Part of Intel Security. Office: Mobile: Mail: 39