Security Workshop “Datenbankbetrieb”
Werbung
<Insert Picture Here> Schachmatt ohne IT Grundschutz BSI Grundschutz für den Datenbankbetrieb Norman Sibbing Oracle Deutschland BSI – IT Grundschutz IT Sicherheit-Standards Angesichts der vielfältigen und wachsenden Gefährdungspotentiale und der steigenden Abhängigkeit stellen sich damit für alle Anwender hinsichtlich der Informationssicherheit die Fragen, wie kann ich, wo, mit welchen Mitteln mehr Sicherheit erreichen IT-Grundschutz bietet eine einfache Methode, dem Stand der Technik entsprechende Sicherheitsmaßnahmen zu identifizieren und umzusetzen https://www.bsi.bund.de/DE/Themen/ITGrundschutz/StartseiteITGrundschutz/startseiteitgrundschutz_node.html 2 Sicherheit versus Aufwand Quelle: BSI Grundschutz 3 Allgemein Es gibt keine 100%ige Sicherheit • Betriebssystem härten – Sowohl OS als auch DB Software – Nur Komponenten installieren, die benötigt werden – Unnötige Dienste gegebenenfalls deinstallieren • Benutzer personalisieren • Überblick verschaffen (und behalten) • Sicherheitspatches einspielen (CPU/PSU) – Frühzeitig DB Upgrade planen • Trennung zwischen DBA Gruppe und Softwarebesitzer – Primäre Gruppe “oinstall” (siehe Install Doku) • Datenbank-Auditing nutzen 4 B 5.7 Gefährdungen bei Datenbanken BSI - IT Grundschutz (Auszug) • Organisatorische Mängel – Fehlende Auswertung von Protokolldaten (G 2.22) – Mangelhafte Organisation des Wechsels von Datenbank-Benutzern (G 2.110 ) • Menschliche Fehlhandlungen – Fehlerhafte Administration von Zugangs- und Zugriffsrechten (G 3.16) – Unbeabsichtigte Datenmanipulation (G 3.24) • Technisches Versagen – Ausfall einer Datenbank (G 4.26) – Unterlaufen von Zugriffskontrollen über ODBC (G 4.27) • Vorsätzliche Handlungen – Systematisches Ausprobieren von Passwörtern (G 5.18) – Manipulation an Daten oder Software bei Datenbanksystemen (G 5.64) – SQL-Injection (G 5.131) Quelle: https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/baust/b05/b05007.html 5 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen • Zugriffskontrolle – M 2.130 Gewährleistung der Datenbankintegrität • Trennung administrativer Rollen – M 2.131 Aufteilung von Administrationstätigkeiten bei Datenbanksystemen • Wie lassen sich Passwordmanagement und Benutzerverwaltung zentralisieren – M 2.132 Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen – M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile • Verschlüsselung und deren Auswirkungen – M 4.72 Datenbank-Verschlüsselung 6 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen • Auditing, Tracking und Reporting – M 2.133 Kontrolle der Protokolldateien eines Datenbanksystems – M 2.34 Dokumentation der Veränderungen an einem bestehenden System – M 4.69 Regelmäßiger Sicherheitscheck der Datenbank • Umgang mit weiteren Sicherheitsgefährdungen – G 5.131 SQL-Injection – G 2.137 Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen – G 2.29 Softwaretest mit Produktionsdaten 7 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen • Zugriffskontrolle – M 2.130 Gewährleistung der Datenbankintegrität • Trennung administrativer Rollen – M 2.131 Aufteilung von Administrationstätigkeiten bei Datenbanksystemen • Wie lassen sich Passwordmanagement und Benutzerverwaltung zentralisieren – M 2.132 Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen – M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile • Verschlüsselung und deren Auswirkungen – M 4.72 Datenbank-Verschlüsselung 8 Maßnahmen für den sicheren Datenbankbetrieb M 2.130 Gewährleistung der Datenbankintegrität • M 2.128 Zugangskontrolle einer Datenbank – Normalen Benutzern den Zugang zu einer Produktionsdatenbank über einen interaktiven SQL-Interpreter unterbinden – Remote-Zugänge zu Datenbanken sollten äußerst restriktiv gehandhabt werden – Bei erhöhten Sicherheitsanforderungen sollte geprüft werden, ob eine starke Authentisierung, die über Benutzername und Passwort hinausgeht, erforderlich ist. • M 2.129 Zugriffskontrolle einer Datenbank – Schutz der Datenbankobjekte – Schutz der Daten – Restriktiver Datenzugriff über Anwendungen https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/m/m02/m02130.html 9 Oracle Database Vault Multi-Factor Zugriffssteuerung “Policy Enforcement” Procurement HR Applikation Rebates DBA • Schützt Applikationsdaten und verhindert den Zugang nicht freigebener Applikationen • Steuert Wer, Wo, Wann und Wie auf Daten zugreifen kann 10 Oracle Advanced Security Starke Authentisierung Starke Authentisierung Applikation Kerberos X509 v3 • Starke Authentisierung besonders für “hoch privilegierte Benutzer (DBAs)” – Kerberos – PKI – RADIUS (Einmal Password, Risiko-Basierte Authentisierung, ...) 11 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen • Zugriffskontrolle – M 2.130 Gewährleistung der Datenbankintegrität • Trennung administrativer Rollen – M 2.131 Aufteilung von Administrationstätigkeiten bei Datenbanksystemen • Wie lassen sich Passwordmanagement und Benutzerverwaltung zentralisieren – M 2.132 Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen – M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile • Verschlüsselung und deren Auswirkungen – M 4.72 Datenbank-Verschlüsselung 12 Maßnahmen für den sicheren Datenbankbetrieb M 2.131 Aufteilung von Administrationstätigkeiten bei Datenbanksystemen • Es sollten grundsätzlich zwei verschiedene Administrator-Rollen unterschieden werden: – die fachlich übergreifende Administration der DatenbankSoftware (traditioneller DBA) • Backup / Recovery • Resource-Management – die Administration der anwendungsspezifischen Belange • Erfordernisse der einzelnen Anwendungen an die Datenbank • Verwaltung der zugehörigen Datenbankobjekte • Diese beiden Aufgaben sollten von verschiedenen Personen durchgeführt werden https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/m/m02/m02131.html 13 Oracle Database Vault Zugriffssteuerung für privilegierte Benutzer und Multifaktor Autorisierung • • • • Schränkt Befugnisse von privilegierten Benutzern ein Ermöglicht Aufgabenverteilung und Funktionstrennung Erzwingt Security Regeln Schützt und konsolidiert Anwendungsdaten und verhindert das Umgehen der Anwendung 14 Organisatorischer vs. Erzwungener Sicherheit Beschränkung und Kontrolle von DB Aktivitäten Sicherheitskonzept (Beispiel) Maßnahmenimplementierung (Bsp.) 20% organisatorische Implementierung von Maßnahmen Aufgaben DBA Klassifikation 80% tool-basierte Implementierung von Maßnahmen DBA Maßnahmen DBA Rollenkonzept Database Vault oder andere Lösungen Maßnahmen Organisatorisch Tool-basiert Nicht-vertrauenswürdiger DBA tool-basierte PolicyErzwinung Legende: Vertrauenswürdiger DBA Externe Dienstleister / externer DBA Tool-based Implementation von Maßnahmen kann garantieren, dass die Logik und Policies automatisch überwacht wird. D.h. die implementierte wird durchgesetzt (erzwungen)! 15 Organisatorischer vs. Erzwungener Sicherheit Beschränkung und Kontrolle von DB Aktivitäten Organisatorische Maßnahmen Tool-basierte Maßnahmen • … • … • Rollenkonzept definieren mit AKV (Aufgaben, Kompetenzen und Verantwortlichkeiten) • Oracle DB Vault • Personalisierte DBA Accounts nutzen SYS und SYSTEM nur für limitierte Aufgaben wie Patching verwenden • Root und Windows Administrator Users Nur personalisierte Account für das OS verwenden Unter (L)UNIX SUDO nutzen Erzwingt definierte Policies auf Basis Sicherheitszonen und Regeln für beliebige Nutzer Schützt Datenzugriff Gewaltenteilung Acct-Mgmt. & DB Admin. Beschränkt DBA Zugriff und Aktivitäten • Monitoring out-of-the-Box Oracle DB Vault Reporting Oracle Audit Vault für DB Akivitäten • … Manuelle Überwachung Automatische Kontrolle und Überwachung 16 Oracle Sicherheitsansatz Lösungsansätze im RZ einer Bundesbehörde • Erhöhter Schutz sensitiver Daten in Verfahren unter kombinierter Verwendung von Sicherheitsoptionen für Oracle Datenbanken • Verschlüsselung zur Sicherung gehosteter Daten und DBVault zur Sicherstellung der Funktionstrennung • DBA des RZ erhält kontrollierte, definierte Zugriffe aber ohne Einsicht in Verfahrensdaten • Ermöglicht das Outsourcen und Konsolidieren sensibler Daten • Hoster übernimmt die Verantwortung des Betriebs • Kunde behält die Datenhoheit und Datenverantwortung 17 Projekt EPOS 2.0 Multi-Mandant Umgebung Web&App DMZ http/s Verschlüsselung Datenbank DMZ AES 256bit SQL*Net Verschlüsselung AES 256bit Datenbank Verschlüsselung Switch SYSTEM EPOS Mandant EPOS Mandant Betreiber DBA AutorisierungsFaktoren Fachabteilung EPOS Mandanten EPOS 2.0 ApplikationsServer Oracle Real Application Cluster EPOS 2.0 Oracle Datenbank Backup Verschlüsselung 18 EPOS 2.0 Sicherheit mit Oracle Nutzen • Höherer Sicherheitslevel erzielt durch – Verschlüsselung – Zugriffssteuerung hoch privilegierter Benutzer – Verfügbarkeit • Adressierung der – Anforderungen des BDSG (vgl. u.a. §1 oder §42 BDSG) – definierten Ziele der nationalen eGovernment Strategie (Ziel: Transparenz, Datenschutz und Datensicherheit) • Einsatz von BSI zertifizierten Oracle Produkten • Keine Beeinträchtigung in der Bedienung des Fachverfahrens • Verschlüsselung ohne Performanceverlust unter Verwendung der Intel® Xeon® 56XX AES-NI Prozessor-Technologie 19 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen • Zugriffskontrolle – M 2.130 Gewährleistung der Datenbankintegrität • Trennung administrativer Rollen – M 2.131 Aufteilung von Administrationstätigkeiten bei Datenbanksystemen • Wie lassen sich Passwordmanagement und Benutzerverwaltung zentralisieren – M 2.132 Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen – M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile • Verschlüsselung und deren Auswirkungen – M 4.72 Datenbank-Verschlüsselung 20 Maßnahmen für den sicheren Datenbankbetrieb M 2.132 Regelung für die Einrichtung von Datenbankbenutzern/benutzergruppen • Die Einrichtung von Benutzern/Benutzergruppen aus einer Datenbank bilden die Voraussetzung für eine angemessene Vergabe von Zugriffsrechten (siehe M 2.129 Zugriffskontrolle einer Datenbank) – Erforderlich sind: (u.a. in Anlehnung an M 2.30 Regelung für die Einrichtung von Benutzern / Benutzergruppen) • Name, Vorname • Vorschlag für die Benutzer-Kennung (wenn nicht durch Konventionen vorgegeben) • Organisationseinheit • Erreichbarkeit (z. B. E-Mail, Telefon, Raum) • Zustimmung von Vorgesetzten https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/m/m02/m02132.html 21 Datenbank Benutzer Management: “Best Practice” ENTERPRISE USER SECURITY CENTRALIZED USER ADMINISTRATION FOR DB EUS Management CUA4DB Corporate Directory oder HR System Anwender Synchronisation Zentrale Administration Self-service Passwortänderung Audit Anwender Oracle Internet Directory CUA4DB Läuft auf Oracle Identity Manager LOGIN Umlenkung LOGIN Synchronisation LOGIN Oracle Datenbanken Oracle und andere Datenbanken 22 Password Management Oracle Privileged Account Management HR Application Database • User logs in as DBA • Adds Table to DB • System out of space Set DBA password for HR App Database based on password policy for HR App Database Return DBA password Request DBA password Return unix password Verify OPAM User in HR DBA Role Request unix password DBA User checks in passwords • User logs in as superuser • Adds disk space Oracle Privileged Account Manager LDAP Server Unix Server 23 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen • Zugriffskontrolle – M 2.130 Gewährleistung der Datenbankintegrität • Trennung administrativer Rollen – M 2.131 Aufteilung von Administrationstätigkeiten bei Datenbanksystemen • Wie lassen sich Passwordmanagement und Benutzerverwaltung zentralisieren – M 2.132 Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen – M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile • Verschlüsselung und deren Auswirkungen – M 4.72 Datenbank-Verschlüsselung 24 Maßnahmen für den sicheren Datenbankbetrieb M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile • Dokumentiert werden sollten insbesondere – zugeordnetes Rechteprofil (ggf. Abweichungen vom verwendeten Standard-Rechteprofil) – Begründung für die Wahl des Rechteprofils (und gegebenfalls der Abweichungen) – Zuordnung des Benutzers zu einer Organisationeinheit, Raumund Telefonnummer – Zeitpunkt und Grund der Einrichtung – Befristung der Einrichtung – zugehörige Benutzer https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/m/m02/m02031.html 25 Aktuelle Anwenderkonten-Zuordnungen bestätigen Web-basiertes Testat im Oracle Identity Manager 1 Periode für Review einstellen 2 Reviewer wird benachrichtigt Nutzt Self Service 3 Automatisierte Aktionen kommen aus dem periodischen Review 4 Report und Ergebnisse bleiben in DB gespeichert Reviewer Auswahl Was soll Reviewed werden? Wer ist der Reviewer? Zertifizieren Email Ergebnis zu User ausmustern Terminiere User automatisch ablehnen Benachrichtigung des Prozessbesitzers Delegieren Benachrichttgung des delegierten Reviewers Archive Wann starten? Wie oft? Kommentar Attestierte Daten Attest-Aktionen Delegierungswege 26 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen • Zugriffskontrolle – M 2.130 Gewährleistung der Datenbankintegrität • Trennung administrativer Rollen – M 2.131 Aufteilung von Administrationstätigkeiten bei Datenbanksystemen • Wie lassen sich Passwordmanagement und Benutzerverwaltung zentralisieren – M 2.132 Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen – M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile • Verschlüsselung und deren Auswirkungen – M 4.72 Datenbank-Verschlüsselung 27 Maßnahmen für den sicheren Datenbankbetrieb M 4.72 Datenbank-Verschlüsselung • In Abhängigkeit von der Art der in einer Datenbank gespeicherten Informationen und den sich daraus ergebenden Anforderungen an deren Vertraulichkeit und Integrität kann es notwendig werden, diese Daten zu verschlüsseln • Darüber hinaus besteht die Möglichkeit, Daten weiterhin im Klartext in der Datenbank abzuspeichern, beim Zugriff über ein Netz jedoch eine verschlüsselte Datenübertragung zu realisieren. Dies kann z. B. durch die Secure Network Services der Oracle SQL*Net Produktfamilie durchgeführt werden https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/m/m04/m04072.html 28 Oracle Advanced Security Schutz der Daten vor unautorisierten Benutzern Strong Authentication Data At Rest Encryption Disk Backups Application Exports Network Encryption Built-In Key Management • • • • • Off-Site Media Encryption Facilities Transparente Verschlüsselung für alle gespeicherten Daten Keine Änderung der Anwendung notwendig Verschlüsselung der Daten für den Netzwerktransfer Hoch performant Einfache Bereitstellung “Easy deployment” 29 Oracle Advanced Security Schlüsselmanagement Create a wallet and generate the master key: alter system set key identified by “e3car61” Master Key Open the wallet: Oracle Wallet alter system set wallet open identified by “e3car61” Rotate master (table/tablespace keys re-encrypted): PKCS #11 API Table and Tablespace Keys alter system set key identified by “2naf1sh” Rotate table/tablespace keys (data re-encrypted) HSM alter table employee REKEY; • Erstellung, Speicherung, und Erneuerung der Schlüssel • Zweitstufiges Schlüsselmanagement – Datenverschlüsselung durch interne und externen Schlüssel • Speicherung des Master-Schlüssels im External Security Module (außerhalb der Datenbank) – Oracle Wallet (PKCS #12 file) oder Hardware Security Module (HSM) • Separation of duties -- Wallet Kennwort ist dem System oder Datenbank-Admin nicht bekannt 30 Oracle Advanced Security Transparent Data Encryption Performance • “Verschlüsselung von Daten ist kostspielig” ist ein Mythos ! – (ggf. entstanden durch schlechte Third-Party Lösungen) • Mehrlast der CPU ~5% / 10x Beschleunigung bei Nutzung des AES-NI Chip • Mehrlast der CPU kann durch Nutzung der Oracle Advanced Compression oder Exadata Hybrid Columnar Compression (EHCC) weiter reduziert werden – Bei einer Komprimierung von ca. 75%, müssen auch 75% weniger Daten verschlüsselt werden! 31 Vorteile der Oracle Verschlüsselung • Kein Aufwand beim Einrichten der Netzwerkverschlüsselung • Verschlüsselung ist Datentyp-Echt • Transparent für Applikationen • Verschlüsselung über alle physikalischen Medien – Datenbankfiles, Transaktionsfiles, Archive, Exports, Backups und Netzwerk • Implementiertes Key-Management – Performantes Rekeying • Hardwareunterstützung • ....... 32 Verschlüsselung Leichte Umsetzung Alternative Lösungen Oracle Database Disk NAS Encryption Applikation Sicherheit 33 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen • Auditing, Tracking und Reporting – M 2.133 Kontrolle der Protokolldateien eines Datenbanksystems – M 2.34 Dokumentation der Veränderungen an einem bestehenden System – M 4.69 Regelmäßiger Sicherheitscheck der Datenbank • Umgang mit weiteren Sicherheitsgefährdungen – G 5.131 SQL-Injection – G 2.137 Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen – G 2.29 Softwaretest mit Produktionsdaten 34 Maßnahmen für den sicheren Datenbankbetrieb M 2.133 Kontrolle der Protokolldateien eines Datenbanksystems • Die in einem Datenbanksystem mögliche Protokollierung bzw. Auditierung ist in einem sinnvollen Umfang zu aktivieren • Dabei sind insbesondere folgende Vorkommnisse von Interesse: – – – – – – Anmeldezeiten und -dauer der Benutzer Anzahl der Verbindungen zur Datenbank fehlgeschlagene bzw. abgewiesene Verbindungsversuche Zugriffe auf die Systemtabellen Erzeugung neuer Datenbankobjekte und Datenmodifikationen (eventuell mit Datum, Uhrzeit und Benutzer) • Die Protokollierung sicherheitsrelevanter Ereignisse ist als Sicherheitsmaßnahme allerdings nur dann wirksam, wenn die protokollierten Daten auch ausgewertet werden https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/m/m02/m02133.html 35 Maßnahmen für den sicheren Datenbankbetrieb M 2.133 Kontrolle der Protokolldateien eines Datenbanksystems • Für die Überprüfung der Protokolldateien sind diese grundsätzlich in eine andere Umgebung zu kopieren • Die Verantwortlichkeiten für die Protokollierung und die Verantwortlichkeiten für die zu protokollierenden Aktivitäten müssen getrennt werden • Die Protokolldaten müssen auf dem Produktivsystem regelmäßig gelöscht werden – Sie dürfen allerdings nur dann gelöscht werden, wenn die Protokolldateien vorher ausgewertet und kontrolliert wurden https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/m/m02/m02133.html 36 Maßnahmen für den sicheren Datenbankbetrieb M 2.133 Kontrolle der Protokolldateien eines Datenbanksystems • Der Zugriff auf die Protokolldateien strikt zu beschränken • Es muss verhindert werden, dass Angreifer ihre Aktionen durch nachträgliche Änderung der Protokolldateien verbergen können, andererseits könnten über die gezielte Auswertung von Protokolldateien Leistungsprofile der Benutzer erstellt werden. Deshalb dürfen beispielsweise Änderungen überhaupt nicht vorgenommen werden können und lesender Zugriff darf nur den Revisoren gestattet werden https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/m/m02/m02133.html 37 Oracle Audit Vault Automatisches Aktivitätsmonitoring & Audit Reporting ! Alerts HR Data CRM/ERP Data Custom App Audit Data Built-in Reports Custom Reports Policies Auditor • Automatisches Überwachen von Oracle und Nicht-Oracle Datenbanken • Erkennt und signalisiert verdächtige Aktivitäten • Out-of-the box Compliance Reports • Forensische kundenspezifische Berichte • Integration: SIEM Tools, E-Mail und Remedy 38 Real-World Payment System Security Attack ArcSight ESM Corporate PC Attacker IPS/IDS Sensor Correlated Events Firewall traversal Network scan Botnet attack on PC Admin query to Payment server FTP out stolen financial data Stolen data via FTP • Attacker penetrates perimeter using malware • Scans internal network locating vulnerable PC • Launches exploit and takes over “trusted” corporate PC • Logs into Payment database (PCI asset) using “default” DB Admin username password • Downloads financial records (PCI data) by querying Payment database as a DBA • FTP’s financial records out DB query Payment DB Server Secure Payments Network Audit Vault Alerts Database access Access to secure payments Export of payments data 39 Oracle Audit Vault + ArcSight Integrated Solution ArcSight ESM • • • • Collects Audit Vault alerts Correlates with enterprise events Alerts security staff about risky activity Generates enterprise compliance reports Oracle Audit Vault Oracle Audit Vault • • • • Consolidates all database activity Alerts ESM about suspicious activity Drills down to database activity Generates compliance and entitlement reports ArcSight ESM 40 Auditing Best Practices • Personalisierung der DBAs • SYSDBA Auditing (audit_sys_operations) • Für DDL (Standard Auditing) – Strukturänderungen an relevanten Tabellen – Benutzer und Rollenmanagement • Für DML (Fine Grained Auditing) – Lese und Schreibzugriffe auf relevante Tabellen • Verwendung des „XML, EXTENDED“ Audit Trails – Schnelles File System benutzen • Verwendung des „DBMS_AUDIT_MGMT“ Packages • Bei Neuinstallationen: Auditeinstellungen beachten 41 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen • Auditing, Tracking und Reporting – M 2.133 Kontrolle der Protokolldateien eines Datenbanksystems – M 2.34 Dokumentation der Veränderungen an einem bestehenden System – M 4.69 Regelmäßiger Sicherheitscheck der Datenbank • Umgang mit weiteren Sicherheitsgefährdungen – G 5.131 SQL-Injection – G 2.137 Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen – G 2.29 Softwaretest mit Produktionsdaten 42 Maßnahmen für den sicheren Datenbankbetrieb M 2.34 Dokumentation der Veränderungen an einem bestehenden System • Um einen reibungslosen Betriebsablauf zu gewährleisten, muss der Administrator einen Überblick über das System haben bzw. sich verschaffen können • Es sollten Veränderungen, die Administratoren am System vornehmen, dokumentiert werden (nach Möglichkeit automatisiert) • Unter Unix müssen ausführbare Dateien, auf die auch andere Benutzer als der Eigentümer Zugriff haben oder deren Eigentümer „root“ ist, vom Systemadministrator freigegeben und dokumentiert werden https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/m/m02/m02034.html 43 Lifecycle Management Discovery und Einbindung Change Management Konfigurations- und Compliance Management Finde Assets und binde sie in Cloud Control ein End to End Management für Patches, Upgrades und Schema Änderungen Dokumentation von Konfigurationsänderungen und Compliance 44 EM 12.1 Configuration Management Inventory Reporting Trendanzeige Versionsverteilung Konfigurations-Details 45 Configuration Management Topology Viewer • Grafische Anzeige von Beziehungen zwischen Targets • Verwaltung auf System-Ebene, statt auf Target-Ebene • Root Cause Analyse • Beziehungen Datenbank Host Topology Name Listener • Out-of-box systems • ‘Depends On’ • ‘Used By’ • Eigene Sichten auf vorgefertigte Systeme erweitert durch weitere Targets 46 Maßnahmen für den sicheren Datenbankbetrieb M 4.69 Regelmäßiger Sicherheitscheck der Datenbank • Der Datenbankadministrator sollte regelmäßig, jedoch mindestens einmal monatlich einen Sicherheitscheck des Datenbanksystems durchführen, der durch das Betriebskonzept geregelt sein sollte – Auszug: • Gibt es Datenbank-Benutzer mit leicht zu ermittelndem oder keinem Passwort? • Gibt es Benutzer, die die ihnen zugewiesenen Rechte nicht mehr für ihre Aufgabenerfüllung benötigen? • Welche Benutzer-Kennungen haben modifizierende Zugriffsrechte auf die Datenbankobjekte der Anwendungen? • Welche Benutzer besitzen die gleichen Rechte wie der Datenbank-Administrator? https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/m/m04/m04069.html 47 Configuration Management Compliance Compliance Manager, – Compliance Framework Security Auditors Compliance Frameworks Mapping der Compliance Standards mit Business Standards (PCI, COBIT, HIPAA, CIS, etc) Compliance Standards – Compliance Standard Gruppierung von Regeln – Compliance Rule Einzelne Checks/Tests die für einen Targettyp ausgeführt werden DBAs, Admins, Rules IT Managers • Umfassendes Reporting • Aktualisierung über Self-Update 48 Compliance Ebenen Framework Standard Rule 49 Security Balanced Scorecard für Datenbanken Eine globale und transparente Sicht für den Security Manager Sind die gesetzten Ziele erfüllt? Wie performen die KPIs? Security Ziele setzen und automatisiert messen. 50 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen • Auditing, Tracking und Reporting – M 2.133 Kontrolle der Protokolldateien eines Datenbanksystems – M 2.34 Dokumentation der Veränderungen an einem bestehenden System – M 4.69 Regelmäßiger Sicherheitscheck der Datenbank • Umgang mit weiteren Sicherheitsgefährdungen – G 5.131 SQL-Injection – G 2.137 Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen – G 2.29 Softwaretest mit Produktionsdaten 51 Maßnahmen für den sicheren Datenbankbetrieb G 5.131 SQL-Injection • Mit SQL-Injection wird das Einschleusen (Injizieren) schädlicher oder unerwünschter Datenbankbefehle in die Datenbankabfragen einer Applikation bezeichnet • Ermöglicht wird diese Technik durch eine unzureichende Prüfung bzw. Maskierung der Eingaben innerhalb der Applikation • Dieses Vorgehen eröffnet einem Angreifer vielfältige Möglichkeiten (u.a.): – – – – unberechtigter Zugriff auf Daten Ausführen von Betriebsystembefehlen Kontrolle über die Datenbank Kontrolle über den Server https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/g/g05/g05131.html 52 Oracle Database Firewall im Überblick Erlauben Protokollieren Alarmieren Ersetzen Blocken Anwendungen Standardberichte Eigene Berichte Policies (Baselines) DB2 • Effiziente Analyse des SQL in Echtzeit schützt vor SQL Injection, Eskalieren von Privilegien und Rollen – Bietet damit sogar einen Schutz vor nicht geschlossenen Sicherheitslücken (zero day exploits) auf der SQL Ebene • Flexible Reaktionsmöglichkeiten • Genauigkeit ist von zentraler Bedeutung 53 Beispiel - Vergleiche, Mustererkennung Wenn man unterstellt, dass eine Bedingung verdächtig ist, die immer den Wert WAHR liefert, dann müssen z.B. SQL Abfragen mit einer solchen Bedingung abgefangen werden. Folgende Bedingungen sind alle WAHR: • • • • 1=1 2000 = (100+1900) SIN(45) = COS(45) ‘hund’ = ‘hund’ • • • • 10 = 10 SQRT(49) = (8-1)/1 LEFT(‘catastrophe’, 3) = ‘cat’ ‘katze’ <> ‘maus’ 54 Positivlisten Positivliste (White List) Erlauben Anwendungen Blocken • Positivlisten können automatisch generiert werden • Für jede Anwendung oder Applikation zu definieren • Faktoren wie Tageszeit, Wochentag, Netzwerk, Anwendung, ... können berücksichtigt werden • Aktionen, die nicht auf der Positivliste stehen, werden nicht ausgeführt 55 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen • Auditing, Tracking und Reporting – M 2.133 Kontrolle der Protokolldateien eines Datenbanksystems – M 2.34 Dokumentation der Veränderungen an einem bestehenden System – M 4.69 Regelmäßiger Sicherheitscheck der Datenbank • Umgang mit weiteren Sicherheitsgefährdungen – G 5.131 SQL-Injection – G 2.137 Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen – G 2.29 Softwaretest mit Produktionsdaten 56 Lifecycle Management Discovery und Einbindung Change Management Konfigurations- und Compliance Management Finde Assets und binde sie in Cloud Control ein End to End Management für Patches, Upgrades und Schema Änderungen Dokumentation von Konfigurationsänderungen und Compliance 57 G 2 Organisatorische Mängel • G 2.137 Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen Grober Prozess eines Patch-Deployments Welche Systeme sind betroffen? Patch Entscheidung Test-Umgebung Clone von Prod. Deploy Patch Was hat der auf Test-Umgeb. Patch verändert? Testen Deploy in die Produktion Ergebnisse dokumentieren New Baseline Restore BACKUP BACKUP Enterprise Manager Risk Matrix Enterprise Manager Data Masking Enterprise Manager Enterprise Manager Enterprise Manager RAT Enterprise Manager Oracle Patch Management Best Practice http://www.oracle.com/us/support/assurance/leveraging-cpu-wp-164638.pdf Enterprise Manager 58 Patch Management Einfaches (!Einfacheres!) Patching • • • • Schritt 1: Auswählen von Patches und Targets Schritt 2: Optionen auswählen (In-Place, Out-of-Place, Rolling, Non-Rolling) Schritt 3: Validierungen ausführen – Analyse bzgl. Konflikten,… Schritt 4: Review -> Pre Deploy -> Deploy 59 Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen • Auditing, Tracking und Reporting – M 2.133 Kontrolle der Protokolldateien eines Datenbanksystems – M 2.34 Dokumentation der Veränderungen an einem bestehenden System – M 4.69 Regelmäßiger Sicherheitscheck der Datenbank • Umgang mit weiteren Sicherheitsgefährdungen – G 5.131 SQL-Injection – G 2.137 Fehlende und unzureichende Planung bei der Verteilung von Patches und Änderungen – G 2.29 Softwaretest mit Produktionsdaten 60 G 2.29 Softwaretest mit Produktionsdaten • Als wesentliche Gründe werden hierfür angeführt, dass nur im direkten Vergleich mit vorhandenen Arbeitsergebnissen eine abschließende Beurteilung über die Funktion und Performance des Produktes möglich ist • Darüber hinaus sind mangelndes Sicherheitsbewusstsein, überzogenes Vertrauen und Unkenntnis über mögliche schädliche Auswirkungen ursächlich für diese Vorgehensweise https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/g/g02/g02029.html 61 Oracle Data Masking Irreversible Anonymisierung Produktion Entwicklung NACHNAME SSN GEHALT NACHNAME SSN GEHALT AGUILAR 203-33-3234 40.000 ANSKEKSL 111-23-1111 60.000 BENSON 323-22-2943 60.000 BKJHHEIEDK 222-34-1345 40.000 • Verfälscht sensitive Daten aus nicht-Produktionsdatenbanken • Referentielle Integrität bleibt, so dass Anwendungen weiter funktionieren • Sensitive Daten verlassen niemals die Datenbank • Erweiterbare Template- und Regel-Bibliothek für eine Automation • Neu in EM 12c: Application Data Modeling, Sensitive Data Discovery 62 Datenmaskierung selbst in heterogenen Umgebungen Oracle Databases manage Non-Oracle Databases Production (Oracle) Production monitor § (non-Oracle) manage Staging (Oracle) Staging (Oracle) manage Database Gateway manage Test Test (Oracle) monitor § Enterprise Manager Cloud Control with Data Masking Enterprise Manager Cloud Control with Data Masking Database Gateway (non-Oracle) § Available for IBM DB2, Microsoft SQLServer, Sybase 63 Nachdenken und handeln! 1 Welche Daten muss ich vor wem schützen? 2 Welche Angriffe traue ich meinem potenziellen Gegner zu? 3 Erkennen ich Sicherheitsverstöße und Angriffe? 4 Wissen privilegierte Benutzer was sie tun und nicht tun dürfen? 5 Sind wir konform mit allen uns betreffenden regulartorischen Anforderungen? 64 Database Security – “Big Picture” Data Discovery Compliance Scan Vulnerability Scan Patch Automation Activity Audit Auditing Applications Authorization Encrypted Database Data Masking Authentication Network SQL Monitoring and Blocking Unauthorized DBA Activity Multi-factor authorization 65 66 67 68
