Möglichkeiten von RDBM-Systemen nutzen

Möglichkeiten von RDBM-Systemen nutzen
Kleiner Leitfaden für Nicht-DBAs und IT-Administratoren
Karsten Nachbaur
Fachbereichsleiter Datenbanksysteme des BISG e.V.
OPENCOM GmbH
Seiferstetterstr. 10
86932 Pürgen
http://www.opencom.de
Agenda
1. Zielgruppe des Vortrages und Ziele
2. Sicherheitsrisiken innerhalb des Unternehmens
3. Der Applikationsserver: Fluch und Segen
4. Excel, Access and friends
5. Die Evolution von Anwendungen
6. Die Datenbank als zusätzliches Datensicherungsbollwerk
7. Abschließende Empfehlungen
[email protected]
CSD 21.2.2017
Möglichkeiten von RDBM-Systeme nutzen
Zielgruppe des Vortrages und Ziele
 Kleine und mittelständische Firmen leisten sich oftmals keinen DBA
 IT-Administratoren machen IT-Themen neben dem Tagesgeschäft
 Schlimmster Fall: „Der Sohn des Schwager hat in der Schule Informatik.“
Abgrenzung:
Dieser Vortrag beschäftigt sich hauptsächlich mit Sicherheitsrisiken innerhalb der Unternehmen.
Ziel:
 Sensibilisierung der IT-Verantwortlichen
 Überdenken der Sicherheitsstrategie
[email protected]
CSD 21.2.2017
Möglichkeiten von RDBM-Systeme nutzen
Sicherheitsrisiken innerhalb des
Unternehmens
 Applikationsadministratoren vs. spezialisierte Administratoren (Diversifizierung der
Kompetenzen)
 Beispielfall: 1,5 Jahre pro Update durch externen Dienstleister
 Beispielfall: 1,5 Minuten pro Update durch externen Dienstleister
 Was darf die IT-Abteilung/die Administratoren sehen.
 Arbeitsrechtliche Absicherung durch entsprechende Verträge
 Fehlende Komponentenabstimmung: Siehe Vortrag Georg Stein
 Sicherheit vs. Geschwindigkeit
 Fachabteilung fordert schnelle Lösung, IT bremst. Beispiel: Home-Verzeichnis
 Datenspaziergang: Externe Schnittstellen
 Beispiel: DB-Link statt ESB
[email protected]
CSD 21.2.2017
Möglichkeiten von RDBM-Systeme nutzen
Der Applikationsserver: Fluch und Segen
 Vom Host zur DB
 Unverschlüsselte Passwörter
 Operatingsystem-DB-User
 Zu mächtige Applikationsserver-DB-User
 Meist DBA-Rechte
 Keine PW-Richtlinien
 Von der Datenbank zum Host
 Sicherheitslücke DB in Forms von shell/cmd-Aufrufen
[email protected]
CSD 21.2.2017
Möglichkeiten von RDBM-Systeme nutzen
Excel, Access and friends
 SSO auf auf der DB? Klassischer Fall bei Client-/Serveranwendung
 ODBC bei MS SQL in Windows integriert
 DB-Auswertungen über MS Access oder Excel -> Risiko: Massendatenklau
 Einsehbarkeit der Zugangsdaten -> JDBC simple einzustellen. Keine Adminrechte notwendig.
Strategien:
• Entzug von Zugriffsrechten auf DB mit AD-Nutzern
• Eigene Passwortverschlüsselung innerhalb der Client/Server-Umgebung
• Verhinderung von BULK-select
• Verwendung von Views zur Einschränkung der sichtbaren Spalten
[email protected]
CSD 21.2.2017
Möglichkeiten von RDBM-Systeme nutzen
Die Evolution von Anwendungen
Kleine Lösungen und Anwendungen wachsen oftmals zu stattlichen Informationssystemen ran.
Damit ändern sich:
 Anforderung an Ausfallschutz
 Anforderung an Datenschutz
Beispiele:
 Vom Prototype zu App. -> Wo war der Datenschutzbeauftragter
 Von der Accessanwendung zu Datawarehause -> Es wurde unternehmenskritisch
 Vom Excelsheet zum ERP-System -> Ab damit in eine Datenbank
[email protected]
CSD 21.2.2017
Möglichkeiten von RDBM-Systeme nutzen
Die Datenbank als zusätzliches
Datensicherungsbollwerk
Hier: Grundsätzliche Datenbankeinstellungen






Pro Anwendung eigene DB, Schema
Pro Anwendung eigene DB-Users
Passwortrichtlinien auf für die Datenbank
Datensicherungen: Verschlüssen!
Replikationen nicht vergessen.
Auswertungen über Views und eigene Benutzer
 Beispiel: Datadictionary-Hack!
 Schnittstellen im Auge gehalten
 Keine Shellaufrufe zulassen, bzw. diese genau abgrenzen
[email protected]
CSD 21.2.2017
Möglichkeiten von RDBM-Systeme nutzen
Die Datenbank als zusätzliches
Datensicherungsbollwerk
Hier: Erweiterte Möglichkeiten








Verhinderung durch Bulk-selects
Pro Anwendung eigene DB-Users
Passwortrichtlinien auf für die Datenbank
Datensicherungen: Verschlüssen!
Rowlevelsecurity aktivieren
Inhalte verschlüsseln
Nutzung von Wallet-Anmeldungen
Monitoring einführen.
 Auffällige Last und Zugriffe überwachen
[email protected]
CSD 21.2.2017
Möglichkeiten von RDBM-Systeme nutzen
Abschließende Empfehlungen
 Bewerten Sie die Datenbanken und Datenhaltungssysteme auf deren
Sicherheitsrelevanz.
 Prüfung der Umgebungen durch einen externe Dienstleister.
 Prüfen Sie die arbeitsrechtliche Situation der IT-Administratoren
 Nehmen Sie sich Zeit für die IT-Strategie.
Viele Dank für Ihre Aufmerksamkeit,
Ihr Karsten Nachbaur
[email protected]
CSD 21.2.2017
Möglichkeiten von RDBM-Systeme nutzen