(Erweiterter Schutz der Daten vor Missbrauch, Aussp\344hung oder

Place photo here
Mehr Schutz vor Hackern, Spionage und
Behörden!
Datendiebstahl und Insider-Angriffe verhindern und ComplianceAnforderungen erfüllen
Manfred Päßler | IT Spezialist | [email protected]
1
Datenbankserver sind das primäre Angriffsziel von
Datendieben
• Datenbankserver (insbesondere SAP)
enthalten die wertvollsten Kundendaten
– Finanzdaten
– Kundeninformationen
• Enorm viele strukturierte Daten
• Einfacher Zugriff
2012 Data Breach Report from Verizon Business RISK Team
http://www.verizonbusiness.com/resources/reports/rp_data-breach-investigations-report-2012_en_xg.pdf
Sources: Verizon Business Data Breach Investigations
Report 2009, 2010
2
Oft dauert es Tage oder Wochen bis unberechtigte
Zugriffe und Datendiebstahl entdeckt werden
http://www.verizonbusiness.com/resources/reports/rp_data-breach-investigations-report-2012_en_xg.pdf?CMP=DMC-SMB_Z_ZZ_ZZ_Z_TV_N_Z038
Geschätzte durchnittliche Kosten für ein Unternehmen pro entwendeten Kundendatensatz: 150€
3
Guardium Data Encryption – Schutz vor “Seiteneinstieg”
Guardium Database Activity Monitoring – Erweitertes Auditing
und einfache Compliance
Guardium – Schutz rundum
Beispiele möglicher Hack-Attacks im SAP Umfeld
6 7
1 3
2
1
2
3
4
5
6
7
Erhöhe das eigene Gehalt, unter Umgehung des SAP Auditsv
Lese unbefugt Gehaltslisten
Überwinde Passwort-Sperre bei mehrfacher Fehleingabe des Passworts
Lese sensitive Daten (z.B. Namen mit zugehörigen Kreditkartennummern) direkt aus
der Backup-Datei
Lese sensitive Daten aus Verträgen
Lese sensitive Daten direkt von der Platte
Erzeuge Super-User “SAP*” für die Manipulation sensitiver Daten über SAP Interface
Schutz vor Angriffen über das Dateisystem
IBM Guardium Data Encryption Architektur
GDE Agenten
– Kommunikation mit Security Server
für das Einholen der Richtlinien
(Policies)
GDE Security Server
– Schlüssel- und Richtlinien-Management
– Zentralisierte Audit Logs
– Verschlüsselung der Daten, Auditing
– Hochverfügbarkeit (Failover Unterstützung)
– Senden der Audit-Events and den
Server
– Authentifiziert Agentenkommunikation
10
Unterstützte Plattformen
11
Das Prinzip der Aufgabenteilung erhöht die Sicherheit
Zentrale Regelerstellung
und Auditing
Lokale Regelanwendung
Das Prinzip der Aufgabenteilung (Separation of Duty)
– Vermindert Missbrauchs-Risiken und sichert Regeleinhaltung durch Schutz der
Schlüssel vor IT-Personal
– Ermöglicht Sicherheitsbeauftragten die Definition UND Implementierung von
Verschlüsselungs- und Zugriffsregeln
System Admin
+DomAdmin zu Dom
●
+-Admins, PW, Domains
●
Upgrade
●
Sichte Logs...
●
12
Beispiele für Hack-Attacks über das Dateisystem
6 7
4
Lese sensitive Daten (z.B. Namen mit Unix Benutzer scannt die lesbaren Inhalte der
zugehörigen
Backup-Datei
Kreditkartennummern) direkt aus
der Backup-Datei
Lese sensitive Daten aus Verträgen
Unix Benutzer liest sensitive Daten aus dem
Drucker-Spoolbereich
6
Lese sensitive Daten direkt von der
Platte
Unix Benutzer scannt passende online
Datenbank-Dateien
7
Erzeuge Super-User “SAP*” für die
Manipulation sensitiver Daten
über SAP Interface
Als Unix Benutzer ändere SAP Profile
“DEFAULT.PFL”
5
Beispiel: Lese sensitive Daten direkt aus dem Backup
Schutz durch Verschlüsselung des Backup
Prozessfluss bei einem Backup Prozess (db2 backup db)
DB2 DBMS
Max
Backup
Mustermann
Prozess
2
Max
Mustermann
DB2
FS Agent
1
8&$3ü?
3
DB2
Memory
Max
Mustermann
DB2
Backup Agent
89KL*§Ü
privat
4
Datenbank
GDE Security Server
6
8&$3ü?
89KL*§Ü
5
Backup
= AES 128/256 Symmetrischer Schlüssel
= für backup generierter
symmetrischer Schlüssel
= RSA 1024/2096/4096
Öffentlich verschlüsselt,
privat entschlüsselt
15
Schutz der Daten durch Verschlüsselung – Exporte etc
Unverschlüsselte Exporte sind sehr gut lesbar....
Schutz der Daten durch Verschlüsselung – Online Daten
1
Erstellen und Verwalten der Zugriffsregeln
<
3
2
Schlüsselfestlegung pro Zugriffsregel
Prozessgebundene Zugriffsregel
Schutz der Daten durch Verschlüsselung – Online Daten cont'd
4
5
Übersicht der angeschlossenen Systeme
Zugriffsregeln
pro System
Schutz der Daten durch Verschlüsselung – Exporte etc cont'd
1
2
3
Aktiviere Zugriffsschutz auch auf das Verzeichnis
temps
Alle Datenbankoperationen in dieses Verzeichnis
sind erlaubt und arbeiten transparent mit
Verschlüsselung und Zugriffssschutz
Alle lesenden Zugriffe ausserhalb der Datenbank
sind erlaubt aber nutzen keine Schlüssel...
Erstverschlüsseln – aber wie?
Hallo
ODER
Hallo
1 Inplace Verschlüsselung
DB Backup
Verschlüsselung beim
DB Restore
#'$&&
2 Betrieb
#'$&&
20
Zusammenfassung
IBM InfoSphere Guardium Database Encryption ermöglicht hohe
Sicherheit für:
– Daten online
– Daten in Datenbanksicherungen (offline)
– Sicherheit ohne Eingriffe in bestehende Applikationen oder
Datenbanken
– Auditieren von dedizierten Zugriffen auf dedizierte Daten (Dateien)
– Hochverfügbares, zentralisiertes Schlüsselmanagement
– Grafische Benutzeroberfläche für die Verwaltung der Komponenten
und Regeln
GDE ist SAP zertifiziert
21
Weitere Infos
GDE Homepage
http://www-01.ibm.com/software/data/optim/database-encryption-expert/
DEE auf YouTube (suche dort auch nach „Encryption Expert für weitere)
http://www.youtube.com/watch?v=T5uqPORE_6I&feature=PlayList&p=BE4F5F8A5CCF227B&index=0&playnext=1
Data Governance Blueprint
http://www-01.ibm.com/software/data/db2imstools/solutions/security-blueprint.html
Setting up IBM Database Encryption Expert in an SAP Environment
http://www.sdn.sap.com/irj/scn/index?rid=/library/uuid/00d8f606-f30a-2c10-f19b-a92f7d0af4d0
IBM Database Encryption Expert: Securing data DB2
ftp://ftp.software.ibm.com/software/data/db2imstools/whitepapers/IMW14003-USEN-01.pdf
Employing IBM Database Encryption Expert to meet encryption and access control
requirements for the Payment Card Industry Data Security Standards (PCI DSS)
ftp://ftp.software.ibm.com/software/data/db2imstools/whitepapers/IMW14002-USEN-01.pdf
22
Schutz vor Angriffen über Datenbank- oder SAP-Schnittstelle
Guardium – Enterprise-Ready Solution
Datenbanksicherheit für heterogene DB-Landschaften
Guardium als Lösung für den Security- und
Compliance-Lifecycle
26
1
2
3
Erhöhe das eigene Gehalt, unter
Umgehung des SAP Audits
Lese unbefugt Gehaltslisten
Überwinde Passwort-Sperre bei
mehrfacher Fehleingabe des
Passworts
SAP Administrator erzeugt Nutzer mit
Superrechten “SAP_ALL” und ändert Daten
DB-Benutzer liest Gehaltsdaten direkt über SQL
ohne “Umweg” über SAP
DB-Benutzer setzt Passwort-Sperre direkt über
SQL zurück
Szenario 1: Gehaltserhöhung mittels SAP_ALL
Durchführung
• Auditierung von Änderungen im UserManagement (Transaktions-Code SU01) ist
unabdingbar
– Nachträgliche Nachvollziehbarkeit der Änderungen
muss gewährleistet sein (z.B. Log-Verschleierung)
• Guardium Drill-Down Feature kann helfen,
Vorfall aufzudecken
• Beispiel:
– SAP Admin User will sein Gehalt erhöhen
– Schritt 1: Login von SAP Admin mit SAP_ALL-Rechten
– Schritt 2: Erstellung eines weiteren Users BADUSER
mit SAP_ALL-Rechten (Benutzung seines eigenen
Accounts könnte durch Logging auf Datenbank-Ebene
auf ihn zurückzuführen sein)
– Schritt 3: Login mit neuem Account
– Schritt 4: Erhöhung des Gehalts
– Schritt 5: Löschung des temporären Admins
28
Szenario 1: Gehaltserhöhung mittels SAP_ALL
Gegenmaßnahme
• Monitoring (Alerting) von User-Management (SU01) Transaktionen mittels
Guardium
29
Szenario 1: Gehaltserhöhung mittels SAP_ALL
Ergebnis
• Bei Erstellung des Users BADUSER durch Administrator, INSERT in
USR02
• Monitor SAP User Management – SU01 Report zeigt dies an
– Alert via E-Mail
• Selbst wenn SAP Admin versucht Spuren zu verwischen, Guardium AuditDaten sind manipulationssicher
Szenario 1: Gehaltserhöhung mittels SAP_ALL
Ergebnis cont‘d
• Weitere Möglichkeit: Forensische
Analyse durch Drill-Down
31
Szenario 2: Auslesen von Personaldaten
Durchführung
• Ein DBA möchte gerne wissen, in welcher Gehaltsstufe die Kollegen
sind
– DBA selbst hat im SAP keine Berechtigungen dafür, jedoch auf der Datenbank
selbst
• Beispiel:
– DBA Login auf DB
– Durchführung SELECT
DBA Meier
Anmeldung an der SAP DB
und Selektion der
entsprechenden Daten
32
Szenario 2: Auslesen von Personaldaten
Gegenmaßnahme
• Regeln zur Verhinderung
von unerlaubten Zugriffen
auf Mitarbeiterinformationen
• Bedingung: Zugriff auf
Objekte „%PA00%“
• Aktion: Protokollierung und
Blockierung
33
→ Zugriffe wird als Incident
protokolliert
→ Zusätzlich kann Vorfall an
Sicherheitsverantwortlichen
weitergeleitet werden
34
35
Szenario 3: Manipulation von Login-Flags
Gegenmaßnahme
Regeldefinition für den Zugriff
auf Login-Informationen
Regel für bestimmtes Datenbanksystem (DB2) ...
... Datenbank „sd1“ und
Datenbanknutzer „db2inst2“ ...
... sowie Datenbankobjekte
„%usr0%“
Als Aktion werden alle
Details protokolliert
36
Szenario 3: Manipulation von Login-Flags
Ergebnis
• Unerlaubte Manipulationen der Login-Informationen werden in Echtzeit
protokolliert (Berichte) weitere Aktionen (Correlation Alert) möglich
37
Weitere Guardium-Funktionalitäten für SAP
Application End-User-Translation
• SAP nutzt “Pooled”
database user
connections
• Joe und Bob können nicht
eindeutig auf DB-Ebene
identifiziert werden
• Beide teilen technischen
User für Transaktion
• Guardium bringt out-ofthe-box Übersetzung mit
Bob
Joe
DB User: “SAP”
38
Weitere Guardium-Funktionalitäten für SAP
SAP PCI Policy
39
Zusammenfassung
• Guardium bietet detaillierte
Informationen über SAP
Transaktionen und Nutzer
•
mehr Informationen als die SAP
Transaktions-Logs durchDrill-Down
• Betrug und nicht-authorisierte Zugriffe
sind direkt und einfach zu erkennen
• Es sind keine Änderung der SAP
Anwendungen erfoderlich
• Guardium liefert ein vordefiniertes
Regelwerk für SAP PCI Anwendungen
• Unerlaubte Änderungen außerhalb des SAP Berechtigungskonzept
lassen sich verhindern.
40
Referenzen
The Coca Cola Company
• Anforderungen
– Echtzeit-Monitoring aller DB-Zugriffe auf sensitive Unternehmensdaten, um unauthorisierte Zugriffe aufzuzeichnen
und IP zu schützen
• Problematik
– Hohes Transaktionsvolument, Performancebeeinträchtigung signifikant
• Bisherige Landschaft
– DB Auditing-Solution basierend auf Native Logs hoher Performance-Impact und Speicherintensiv
• Lösung mit Guardium
– Schutz von sensitiven Daten vor internen und externen Angriffen
– Klare ‚Separation of Duties‘ (Reduzierung des DBA Workloads)
Nestle
• Anforderungen
– Interner Audit von DB2 (SAP HR) ergab Risiko durch Zugriff hochpriviligierter User (~100 interner und ~400 externe
User)
• Lösung mit Guardium
– Schutz der wichtigsten Unternehmensdaten (neben HR Daten) mit kürzester Deploymenrphase und geringstem
TCO
– Inklusive Risk Reduction 751% ROI
41