Data Leak Prevention – Datenbank Security und File Security
Referent Björn Welling
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
Database Firewall
File Server Firewall
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
Reale Szenarien:
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
Reale Szenarien:
Steuer-CDs
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
Reale Szenarien:
Steuer-CDs
scheidende Mitarbeiter
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
Reale Szenarien:
Steuer-CDs
WikiLeaks
scheidende Mitarbeiter
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
Reale Szenarien:
Steuer-CDs
WikiLeaks
scheidende Mitarbeiter
USB Sticks
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
Reale Szenarien:
Steuer-CDs
WikiLeaks
scheidende Mitarbeiter
Offener Layer2 Zugriff
USB Sticks
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
Reale Szenarien:
Steuer-CDs
WikiLeaks
scheidende Mitarbeiter
Email
USB Sticks
© 2011 | magellan netzwerke GmbH
Offener Layer2 Zugriff
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
„Data Leakage“, „Data Loss“ Angriffe zielen auf fremdes Eigentum!
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
„Data Leakage“, „Data Loss“ Angriffe zielen auf fremdes Eigentum!
per Definition: „Diebstahl“
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
„Data Leakage“, „Data Loss“ Angriffe zielen auf fremdes Eigentum!
per Definition: „Diebstahl“
Im technischen Kontext:
unbefugtes beschaffen (Datenursprung)
&
unbefugtes wegschaffen (Datentransport)
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
Kosten und Gewichtung in Deutschland:
zwischen ca. 370.000 und ca. 6 Millionen € Schaden pro Vorfall
Zwischen 3000 und 63 000 verlorene Datensätze pro Vorfall
(Ponemon Institute, 2010 Global Cost Of Data Breach – Studie durch persönliche
Befragung)
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
Kosten und Gewichtung in Deutschland:
zwischen ca. 370.000 und ca. 6 Millionen € Schaden pro Vorfall
Zwischen 3000 und 63 000 verlorene Datensätze pro Vorfall
(Ponemon Institute, 2010 Global Cost Of Data Breach – Studie durch persönliche
Befragung)
Meldepflicht:
Verschärfung des Bundesdatenschutzgesetzes seit 01. September 2009:
Unternehmen und Behörden müssen Datendiebstahl melden & die Betroffenen
Informieren, wenn schwerer Schaden droht.
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
Wo bieten sich DLP Maßnahmen an :
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
Wo bieten sich DLP Maßnahmen an :
Beim Datentransport
viele Möglichkeiten, unterschiedlichen Technologien & Infrastrukturen zu schützen.
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
Wo bieten sich DLP Maßnahmen an :
Beim Datentransport
viele Möglichkeiten, unterschiedlichen Technologien & Infrastrukturen zu schützen.
Am Datenursprung
Jedes Szenario entwickelt sein Gefährdungspotential an der Quelle der Daten.
Definition „Daten-Quellen“: strukturierten und unstrukturierten Daten
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
strukturierte Daten:
- Logisch gruppierte Informationseinheiten
- User Interaktion erfolgt durch vorgeschaltete Applikation
mit definierten Funktionen
- eine übergeordnete Zugriffsregelung für alle Informationseinheiten
im gleichen „Container“
Datenbanksystem (DBS)
Lösungsansatz:
© 2011 | magellan netzwerke GmbH
Database Firewall
Data Leak Prevention – Datenbank Security und File Security
Bedeutung und Bedrohung von „Data Leakage“
unstrukturierte Daten:
- Beliebige Informationsobjekte:
Beschaffenheit, Ort und Zugriff sind nicht einheitlich
- User Interaktion erfolgt durch verschiedene Applikationen
- Pro Informationseinheit erfolgt autonome Zugriffsregelung
 Fileserver
Lösungsansatz: File Firewall
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Database Firewall:
Wie werden Datenbanken genutzt?
Auf welche Art drohen Gefahren?
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Database Firewall
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Database Firewall
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Database Firewall
Deployment Möglichkeiten
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Database Firewall
Cross-Site Scripting
SQL Injection
Cookie Poisoning
Hidden-Field Manipulation
Parameter Tampering
Perimeter Security
ist stark,
Angriffe richten sich
gegen die Appliaktionen
PORT 80
PORT 443
aber offen für
Web Traffic
Welche Datenbank Abfragen sind legitim?
Was macht eine Benutzer Interaktion zu einem Angriff?
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Database Firewall
Bewertung der Datenbank – Schutzmaßnahmen im Web Application Kontext:
Vorteile:
- Lösungen bedienen den Markt „Web2.0“ und unterstützen die Technologien
der web - basierenden, dynamischen sowie e-Commerce Plattformen
(Unterstützen die typischen Betriebssysteme und Scriptsprachen)
- bestehende Server Landschaft muss nicht verändert werden
- vorgefertigte Angriffssignaturen für verschiedene Datenbank Modelle
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Database Firewall
Bewertung der Datenbank – Schutzmaßnahmen im Web Application Kontext:
Nachteile:
- Schutzmaßnahmen sind „hard-wired“ mit dem Übertragungsweg
Web bzw. HTTP und Bedienen daher nicht alle Szenarien.
-Technische Grenzen - Paradebeispiel URL Encoding in URI / Header:
<script>alert(Hello)</script> != %3Cscript%3Ealert(Hello)%3C%2Fscript%3E
Falls URL Decoding betrieben wird:
Maßnahmen-bedingte Einbußen bei der Performance hinterlassen Spuren im
Internet (Latenzen, TCP Window Size…) und suggerieren Angriffsfläche
- Keine oder eingeschränkte Betrachtung von Anomalien
(Schwellwerte für Query Aufkommen & Art, User Wechsel)
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Database Firewall
Anforderungen an eine vollwertige Datenbank Security Lösung
•
Überwachung aller der Zugriffe auf die Datenbank:
•
Netzwerk Zugriffe
•
Lokale Aktivitäten auf dem Datenbanksystem (durch Agents)
•
Web Apps
•
Datenbank Clients & Schnittstellen
•
Überwachung bezüglich:
•
Bekannter Angriffe
•
Regelwerksverletzungen
•
Einhaltung von User Berechtigungen
•
Anormales Verhalten
Selbsthilfe
•
Reaktionen auf Events:
•
Alarmierung/Reporting/Block
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Database Firewall
Implementierungsformen
•
DB-Firewall
Daten Center
Transparent Inline Bridge
– Unterstützt das vollständige
Featureset
– Hoher Durchsatz, idealerweise
geringe Latenz
Switch
– Fail-open interfaces für Hardware Bypass
•
Non-inline Deployment (passiv)
DB-Firewall
– Nur für Monitoring, keine Netzwerk
Latenz, kein Policy Enforcement
•
Mehrere Units können implementiert und
zentral administriert werden.
•
Host basierende Agenten unterstützen
beide Implementierungsformen.
© 2011 | magellan netzwerke GmbH
Aktive (inline) Implementierung
Passive Implementierung
Data Leak Prevention – Datenbank Security und File Security
Database Firewall
Beispiel: Überwachung bekannter Angriffe
MSSQL Worm Propagation Blocked
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Database Firewall
Beispiel: Überwachung von Regelwerksverletzungen
Policies werden verwendet, um spezielle
Anforderungen umzusetzen:
• Compliance Anforderungen
• Umsetzung der Zugriffskontrolle
(User Rights Management)
Policy Enforcement für
welche Daten?
Art der Operation
Vordefinierte Compliance Regeln:
PCI-DSS, SOX, HIPAA, ISO27001, GLB Act
oder eigene Anpassungen denkbar
Kriterien auswählen
© 2011 | magellan netzwerke GmbH
Gruppe der Tabellen,
die überwacht werden
soll
Data Leak Prevention – Datenbank Security und File Security
Database Firewall
Beispiel: Überwachung von Regelwerksverletzungen
Alarmierung:
Die Betrachtung des gesamten
Kontext ermöglicht die Visualisierung von:
Wer?
Was?
Wann?
Wo?
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Database Firewall
Beispiel: Überwachung von Anomalien
•
Erstellen von Profilen, welche „normales“ Verhalten für ein Objekt beschreiben – „Baselining“
•
Profil - Abweichungen erzeugen einen Alert, und / oder Blocken die Ausführung
Objekt & Empfindlichkeit
© 2011 | magellan netzwerke GmbH
“normales” Verhalten
Data Leak Prevention – Datenbank Security und File Security
Unstrukturierte Daten:
File Firewall
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
File Firewall
Definition des Problems beim Umgang mit Dateien auf File Servern oder NAS Storage:
• Firmenrichtlinien bzgl. der Daten nur schwer umsetzbar:
oft mangelt es an ordnungsgemäßer Klassifizierung und anschließender
Umsetzung der Restriktionen.
• Mit den Jahren gewachsene File Server und Verzeichnisdienst Strukturen
erschweren die Sicht auf die „effektiven Berechtigungen“
• Gruppenrichtlinien, ACLs und Vererbungshierarchien bestehen aus der Historie
bedingt parallel, bzw. kollidieren.
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
File Firewall
Anforderungskatalog ähnlich wie bei Datenbanken:
• Visualisieren: wer greift auf Dateien zu? Wie ist das Nutzungsverhalten
bestimmter User / Daten? Wie sehen „effektive Berechtigungen“ aus?
• Kategorisierung („Vereinheitlichung“) der Daten bzw. Dateien
• Erstellen und umsetzen von Regelwerken bzgl. der Zugriffe auf die Dateien
und bzgl. der User Rechte
• Auswerten der Zugriffe und Events
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
File Firewall
Mögliche Implementierung:
File Server NAS Systeme
Nutzer
File Activity
Monitoring
File
Firewall
Management
Server
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
File Firewall
Implementierungsformen
•
File Audit Monitoring
File Server
Transparent Inline Bridge
– Unterstützt alle Möglichkeiten:
File Audit & File Firewall & URM
– Hoher Durchsatz, idealerweise
geringe Latenz
Switch
– Fail-open interfaces (sinnvoll)
•
Non-inline Deployment (passiv)
– Nur für Audit Monitoring & URM,
keine Netzwerk Latenz,
kein Policy Enforcement
© 2011 | magellan netzwerke GmbH
File Firewall
Aktive (inline) Implementierung
Passive Implementierung
Data Leak Prevention – Datenbank Security und File Security
File Firewall
Implementierungsformen
Merkmale beider Implementierungsformen:
• Umfassende Visualisierung: alle Dateien und Verzeichnisse von allen Systemen
(Windows File Server, NAS Systeme)
• keine Beeinträchtigung der Dateisystem Performance
• keine Anpassung von Applikationen, Servern oder Clients nötig
• Informationsgehalt von User-bezogenen Daten kann angepasst werden
(4 Augen Prinzip, Datenschutz / Betriebsrat Vorgaben)
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
File Firewall
Veranschaulichung des Funktionsprinzips einer implementierten File Firewall:
• Auf Basis von Audit Ergebnissen wurden Policies für Dateizugriffe und User
Berechtigungen erstellt.
• Policies werden angewendet – zweifelhafte Lesevorgänge per Block
unterbinden.
• Darüber hinaus: Monitoring von File Server Aktivitäten und Alarmierung.
© 2011 | magellan netzwerke GmbH
1
• Dateisysteme “crawlen”
• “Inventarisierung” von Name,
Typ, Besitzer, Berechtigungen…
• Klassifizierung des Datenbestandes und Policy
erstellen
2
3
Ergebnis: Data/Permission Map
Policies anwenden
Wer
Gruppe
Was
Klasse
Wer
Was
Aktion
Joe, IT
Fin-CC
Lesen
CEO
salary.xls
Financial
Non
Finance
Update
Financial
Block
Any
HR-Exec
Lesen
promo
files.doc
Marketing
Read
Marketing
Audit
Jim,
HR
Joe, IT
File Firewall /
File Activity Monitoring
Jim, HR
NAS
X
OK
File Servers
Audit Log
Wer
Was
Wann
Aktion
Joe
Read CEO
salary.xls
1/1/2010
12:50
Block
Jim
Read
promo
files.doc
1/1/2010
12:51
Audit
Data Leak Prevention – Datenbank Security und File Security
File Firewall
Beispiel: Klassifizierung und Policy Erstellung
Audit Ergebnis: Pfade,
Unterordner, Dateien
Automatische Klassifizierung
auf Basis von Meta Daten
Excel Dateien im “Budget” Ordner,
welche “Finance” gehören, sind vom
Typ “Financial Data”
Klassifizierung + Policy =
Umsetzen der
Unternehmensrichtlinien
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
File Firewall
Beispiel: Visualisierung von File Server Operationen
Filter: Financial Data
Wer hat die meisten Zugriffe?
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
File Firewall
Beispiel: Visualisierung von File Server Operationen
Zugriff anderer Abteilungen auf Daten
der Klasse “Financial” ?
Was wurde wann aufgerufen?
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
File Firewall
Beispiel: Visualisierung von Berechtigungen
Zugriff von “allen Benutzern”
erlauben?
Welche Rechte
werden nicht
benötigt?
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
File Firewall
Beispiel: Alarmierung von Policy Violation
Blocke und alarmiere, wenn
ein User außerhalb der
Finanz-Gruppe zugreift
Alarmierungstrigger
In die Tiefe gehen: “wer,
was,wann und wo”
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Zusammenfassung
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Zusammenfassung
• Datendiebstahl definiert sich technisch durch unbefugtes beschaffen (Datenursprung)
und unbefugtes wegschaffen (Datentransport)
• Es wurde ein neuer, technologischer Ansatz für den Schutz der Daten am Ursprung
in Form von Database Firewall und File Firewall geschaffen
• Seit September 2009 besteht Meldepflicht laut BDSG
• Datenbank Firewalls im Web Application Kontext bedienen den Web2.0 Markt, aber:
Technische Grenzen und "hard-wired" mit dem Übertragungsweg HTTP.
Sie adressieren daher nicht alle möglichen Data Leakage Szenarien.
• Autarke Datenbank Firewalls im Backend bewerten und schützen den Gesamtkontext
der Datenbanknutzung mit Hilfe der Disziplinen Audit & Activity Monitoring, Policy
Enforcement, User Rights Management, Klassifizierung von Daten und Nutzungsprofile
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Zusammenfassung
• File Server Firewalls visualisieren und steuern alle File Server Aktivitäten, ermöglichen
Kategorisierung von Daten sowie die Anwendung von Regelwerken.
• File Server Firewalls arbeiten transparent und belasten die Dateisystem Performance
nicht. Anpassungen an Server, Client oder Applikationen sind nicht notwendig.
• Vorgefertigte Policies, anpassbar oder als Basis für eigene Policies, ermöglichen die
Umsetzung von Unternehmensrichtlinien und Compliance Anforderungen.
© 2011 | magellan netzwerke GmbH
Data Leak Prevention – Datenbank Security und File Security
Vielen Dank für Ihre Aufmerksamkeit!
© 2011 | magellan netzwerke GmbH
Herunterladen

Unternehmenspräsentation - magellan netzwerke GmbH