Sichere Oracle-Datenbanken in der Cloud

Sichere Oracle-Datenbanken in der Cloud
Stefan Oehrli
Trivadis AG
Glattbrugg
Schlüsselworte
Oracle Datenbanken, Datenbank Sicherheit, Cloud
Einleitung
Kann man die produktive Oracle-Datenbank einfach in der Cloud betreiben? Welche Art von
Sicherheitsüberlegungen müssen gemacht werden? Welche der verschiedenen Oracle Features
und Optionen machen bei Cloud basierten Oracle-Datenbanken Sinn oder sind zwingend
erforderlich? Ziel dieses Vortrages ist es, verschiedene Risiken sowie mögliche Lösungen zur
Minimierung dieser Risiken aufzuzeigen.
Generell stellt sich die Frage wieso und wieviel Sicherheit ist überhaupt nötig. Zum einen geht
es darum ein Unternehmen und dessen Geschäft vor Finanziellem Schaden, Image Verlust,
strafrechtliche Folgen oder gar Existenzbedrohung zu schützen. Zum anderen sind auch die
Interessen der Mitarbeiter oder Kunden zu wahren.
Im speziellen Fall von Cloud Basierten
Datenbanken sind die Systeme nicht mehr „im
Haus“. Vertraue ich nun meinem Cloud
Provider? Was muss ich effektiv schützen bzw
wo stützt man sich auf vertragliche
Vereinbarungen?
Eine Datenbank hat viele Angriffsvektoren. Oft
wird die Verantwortung der Sicherheit auf andere
Systeme wie den Applikationsservern, Firewalls,
Gateways und Proxys verschoben. Jedoch wäre
es naiv anzunehmen, das dies ausreiche. In
komplexen Strukturen wie wir sie heute
vorfinden, kann man sich nicht auf einzelne
Systeme verlasse. Mit zunehmenden Hacking
angriffen und Angriffen aus den eigenen Reihen
müssen
schon
auf
DB
ebene
Sicherheitsmassnahmen getroffen werden um
das wichtigste Gut des Unternehmens zu
schützen: Deren Daten.
Abbildung 1 Angriffsvektoren
Die folgende Zusammenstellung zeigt die Top 10 Gefahren von Datenbanken.
1. Exzessive und nicht benötigte Userberechtigungen
2. Missbrauch von Rechten
3. Input Injection / SQL Injection
4. Malware
5. Schwaches Audit
6. Offenlegung / Zugang zum Speichermedium
7. Schwachstellen und Fehlkonfiguration
8. Nicht überwachte sensitive Daten
9. Denial of Service
10. Unzureichendes Sicherheitsfachwissen
Viele dieser Gefahren treffen sowohl bei On-Premise Systemen sowie Cloud Systemen zu. Es
braucht zwingend ein geeignetes Sicherheitskonzept für beide Arten von Datenbank
Umgebungen. Nicht alle Systeme respektive Daten sind aber gleich kritisch. Aus diesem Grund
ist es nicht sinnvoll und nicht wirtschaftlich alle Datenbanken gleich umfassend zu schützen.
Mit einer Risikoanalyse können die Gefahren und Risiken für bestimmtes Umfeld festgelegt
werden. Der Daten Eigentümer respektive Applikationsverantwortliche muss die Sensitivität
seiner Daten kennen respektive definieren. Mit einer Klassifizierung der Daten in
unterschiedliche Schutzklassen, könne anschliessend die Konsequenzen für deren Schutz
definiert werden. Einteilung der Daten(-banken) in Sicherheitsklassen:
•
Öffentlich Daten sind z.B. im Internet sichtbar – dürfen dort aber sicherlich nicht
manipuliert werden
•
Intern Daten dürfen von allen Mitarbeitern gesehen werden
•
Vertraulich Daten dürfen nur von einem definierten Kreis von Mitarbeitern gesehen
werden
•
Geheim Wenn diese Daten verloren gehen, ist die Existenz der Firma gefährdet
Identity und Access Management
Beim Identity und Access Management geht es zum einen darum die Basis Sicherheit bezüglich
dem Zugriff (Authentifizierung und Autorisierung) festzulegen. Neben einer grundsätzlichen
„Härtung“ des Datenbank Systems respektive dem umsetzen von gängigen Best Practice im
Security Umfeld.
Verschlüsselung und Key Management
Tbd
Anonymisierung und Subsetting
Tbd
Datenbank Audit und Security Monitoring
Tbd
Maximum Data Security Architecture
Die folgende Abbildung zeigt alle möglichen Oracle Security Features und Optionen im
Einsatz.
Abbildung 2 Maximum Data Security Architecture
Alternativen
Zu den bekannten Board Mitteln wie Virtual Private Database, Verschlüsselung oder Database
Vault, bieten sich auch bekannte Alternativen an.
Trivadis Lösungen
Trivadis bietet unterschiedliche Beratung im Bereich Cloud Readiness Assessment, Cloud
Governance Assessment sowie Sicherheitsberatung im Datenbank Umfeld.
Fazit
Cloud Umgebungen stellen bekannte aber auch neue Herausforderungen an die Datenbank
Sicherheit. Sicherheit ist ganzheitlich an vielen Stellen zu betrachten. Es braucht ein
einheitliches Sicherheitskonzept. Trivadis unterstützt Sie dabei gern...
Kontaktadresse:
Stefan Oehrli
Trivadis AG
Sägereistrasse, 29
CH-8152 Glattbrugg
Telefon:
+41 (0) 58 459 55 55
Fax: +41 (0) 58 459 55 95
E-Mail
[email protected]
Internet:
www.trivadis.com