GESTION Y SEGURIDAD DE BASES DE DATOS (ESPECIALIZACION TECNOLOGICA)
Mes Abril.
Informe herramientas de monitoreo de bases de datos
Aprendiz Rafael Alejandro Palmezano Padilla
Tutor (ING): ANDRES FELIPE PARRA MARTINEZ
Servicio Nacional de Aprendizaje Sena Colombia
2018
1
GESTION Y SEGURIDAD DE BASES DE DATOS
Actividad: AA11-2
Informe herramientas de monitoreo de bases de datos
Aprendiz Rafael Alejandro Palmezano Padilla
Servicio Nacional de Aprendizaje Sena Modalidad virtual 2018
2
TABLA DE CONTENIDO>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>> CONTENIDO>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>PAG. PAG. 1. Portada……………………………………… Portada…………………………………………………………………… …………………………………………………………………… …………………………………………………..1 …………..1 1.1. Contraportada………………………………… Contraportada……………………………………………………………………… …………………………………………………………………… ………………………………..2 ..2 1.2. Tabla de contenido………………………………………………………………………………………………….3 2. Introducción……………………………………… Introducción…………………………………………………………………………… …………………………………………………………………… …………………………………...4 …...4 3. Objetivos……………………………………………… Objetivos…………………………………………………………………………………… …………………………………………………………………… ………………………………..5 ..5 3.1. Objetivo general de la actividad………………………………………………………………………………..5 3.2. Objetivos específicos……………………………………………………………………………………………….5 4. Monitoreo de bases de datos……………………………………………………………………………………6
5. Qué tipo de riesgos pueden ocasionar vulnerabilidades vulnerabilidades en las bases de datos………….6
6. Para qué es importante desarrollar una estrategia de seguridad que ayude a proteger las bases de datos………………………………………………………………………………………………………………………..8
7. Qué tipo de consideraciones consideraciones se deben tener en cuenta en ese tipo de estrategias …..8
8. Mapa conceptual herramientas DAP………………………………………………………………………..9
9. Bibliografía…………………………………………………………………………………………….10
3
2. INTRODUCCION. Las infraestructuras de de muchas de las bases de datos de de las empresas, usualmente usualmente contienen información relevante de una organización, estas bases de datos están sujetas a una amplia gama de ataques contra seguridad de sus bases de datos. En los últimos años, las redes empresariales han evolucionado considerablemente. Todo, desde el computo móvil hasta la nube, todos los sistemas están haciendo que las redes actuales sean más complejas que nunca, incluso las mismas herramientas que son utiliz adas para administrar la seguridad de red pueden pueden expandir el ataque y crear vulnerabilidades. vulnerabilidades. Las políticas débiles de auditoría de base de datos representan riesgos en términos de cumplimiento, la disuasión, detección, análisis forense y recuperación. La auditoría y protección de bases de datos (DAP) representan un avance evolutivo importante con respecto a anteriores herramientas de monitoreo de actividad en bases de datos (DAM). Los gerentes de seguridad, los administradores de bases de datos y otros interesados, que estén preocupados con proteger información sensible e importante en l as bases de datos. Las soluciones de auditoría de base de datos basados en la red son una buena opción. Tales soluciones de auditoría de base de datos no deben tener ningún impacto en el rendimiento de base de datos, operan de forma independiente de todos los usuarios y ofrecen la recopilación de datos a detalle.
4
3. OBJETIVOS. 3.1 Objetivo General. Analizar y utilizar diferentes Herramientas de monitoreo de bases de datos para los sistemas de información.
3.2 Objetivos Específicos.
Detallar rigurosamente los riesgos que pueden ocasionar vulnerabilidades en las bases de datos. Conceptualizar la importancia de desarrollar una estrategia de seguridad que ayude a proteger las bases de datos. Implementar distintas herramientas y estrategias para minimizar riesgos o peligros que puede sufrir la información.
5
4. MONITOREO DE BASES DE DATOS. El término Monitoreo de Base de Datos describe el uso de un sistema que constantemente monitorea una base de datos en busca de procesos defectuosos o lentos, para luego informar a los administradores mediante correo electrónico, SMS u otras alarmas. Las empresas están, cada vez más preocupadas con los riesgos asociados al acceso a sus bases de datos. Los administradores están monitoreando el control de acceso a las bases de datos y sistemas. Las herramientas de monitoreo pueden proveer una solución integral a los requerimientos de seguridad hacia las bases de datos.
5. ¿QUÉ TIPO DE RIESGOS PUEDEN OCASIONAR VULNERABILIDADES EN LAS BASES DE DATOS? El mundo de la informática es vulnerable de sufrir algún tipo de ataque por terceras personas, con la intención de propagar algún tipo de malware o robar información importante de la víctima. Por todo esto, es fundamental tomar las medidas que sean necesarias para mantener a buen recaudo la información. Dentro de todo esto, las bases de datos son uno de los sistemas que más sufren este tipo de ataques, en gran medida a que es ahí donde en la mayoría de las ocasiones está almacenada la información. Para acceder a ella, los hackers buscan cualquier tipo de vulnerabilidad que no haya sido controlada para acceder al sistema y hacerse con aquello que les sea de interés. Estas son algunas amenazas que existen en el entorno de bases de datos datos:: Privilegios excesivos e inutilizados. inutilizados . Cuando a alguien se le otorgan privilegios de base de datos que exceden los requerimientos de su puesto de trabajo se crea un riesgo innecesario. Los mecanismos de control de privilegios de los roles de trabajo han de ser bien definidos o mantenidos. Abuso de Privilegios. Privilegios . Los usuarios pueden llegar a abusar de los privilegios legítimos de bases de datos para fines no autorizados, por ejemplo, sustraer información confidencial. Una vez que los registros de información alcanzan una máquina cliente, los datos se exponen a diversos escenarios de violación. Inyección por SQL. SQL . Un ataque de este tipo puede dar acceso a alguien y sin ningún tipo de restricción a una base de datos completa e incluso copiar o modificar la información. Malware y spear
phising .
Se trata de una técnica combinada que usan los cibercriminales, hackers patrocinados por estados o espías para penetrar en las organizaciones y robar sus datos confidenciales. Auditorías débiles. débiles . No recopilar registros de auditoría detallados puede llegar a representar un riesgo muy serio para la organización en muchos niveles.
6
Exposición de los medios de almacenamiento para backup. Éstos están a menudo desprotegidos, por lo que numerosas violaciones de seguridad han conllevado el robo de discos y de cintas. Además, el no auditar y monitorizar las actividades de acceso de bajo nivel por parte de los administradores sobre la información confidencial puede poner en riesgo los datos. Explotación de vulnerabilidades y bases de datos mal configuradas . Los atacantes saben cómo explotar estas vulnerabilidades para lanzar ataques contra las empresas. Datos sensibles mal gestionados. gestionados . Los datos sensibles en las bases de datos estarán expuestos a amenazas si no se aplican los l os controles y permisos necesarios. Denegación de servicio. En este tipo de ataque se le niega el acceso a las aplicaciones de red o datos a los usuarios previstos. Las motivaciones suelen ser fraudes de extorsión en el que un atacante remoto repetidamente atacará los servidores hasta que la víctima cumpla con sus exigencias. Limitado conocimiento y experiencia en seguridad y educación educación.. Muchas firmas están mal equipadas para lidiar con una brecha de seguridad por la falta de conocimientos técnicos para poner en práctica controles de seguridad, políticas y capacitación.
7
6. ¿PARA QUÉ ES IMPORTANTE IMPORTANTE DESARROLLAR UNA ESTRATEGIA DE SEGURIDAD QUE AYUDE A PROTEGER LAS BASES DE DATOS? En la actualidad nos enfrentamos a una generación masiva y crecimiento exponencial de datos (Big Data), que generan un aumento considerable en el manejo de distintos gestores de databases como: Oracle, Mycrosoft SQL Server, MySQL e Informix, entro otros, todos con la finalidad de brindar la concentración c oncentración y administración de datos sensibles. A continuación veremos algunas interesantes recomendaciones a tener en cuenta para proteger nuestras bases de datos de posibles vulnerabilidades. 1.- Identificar su sensibilidad. Una sensibilidad. Una cosa hay que tener claro, y es que no se puede asegurar aquello que no se conoce. Con esto queremos decir que es importante conocer la sensibilidad de nuestro sistema de bases de datos para saber cómo actuar y mejorar de esta forma su seguridad. Para ello podemos hacer uso de herramientas de identificación que nos ayuden a encontrar posibles agujeros por donde podríamos ser atacados. 2.- Evaluación de las vulnerabilidades y la configuración. Evalúe configuración. Evalúe la configuración de tu base de datos para descartar posibles agujeros de seguridad. Esto incluye la verificación de la forma en la que ésta fue instalada y la de tu sistema operativo. Por ejemplo podríamos verificar los privilegios de los distintos grupos de usuarios respecto a las acciones de ejecutar, leer y escribir en bases de datos. 3.- Audita. Una Audita. Una vez que hayamos creado una configuración que creamos que puede ser totalmente segura, realicemos actividades de auditoría para asegurarnos que no te desvía s de tu objetivo. Por ejemplo, se podría poner algún tipo de alarma para que nos avisara de cualquier cambio que se pudiera dar en dicha configuración. 4.- Monitoriza toda acción relacionada con la base de datos Monitorizar la actividad que se lleva a cabo en nuestra base de datos nos puede dar algún tipo de pista en caso de estar siendo utilizada de forma indebida o para la detección de intrusos. 5.- Control de acceso y gestión de derechos. No derechos. No todos los datos son igual de importantes y no todos los usuarios son creados igual. Es necesario establecer una jerarquía y garantizar que cada tipo de usuario sólo pueda realizar las acciones que se le permiten en la base de datos, para garantizar de esa forma la integridad de la información.
7. ¿QUÉ TIPO DE CONSIDERACIONES CONSIDERACIONES SE DEBEN TENER EN CUENTA EN ESE TIPO DE ESTRATEGIAS? Las herramientas DAP pueden proveer una solución integral a los requerimientos de seguridad de las bases de datos, pero las ofertas actuales de los proveedores exceden las necesidades de aquellos que adoptan tecnología convencional.
8
Sin embargo, hacer uso de las capacidades principales de una suite de DAP y trazar las futuras inversiones con relación al plan de acción del proveedor preparará el escenario para una futura y mejor seguridad de los datos. Las empresas que están considerando inversiones en DAP deben estar conscientes de las capacidades alternativas y complementarias de otras herramientas y proveedores de seguridad de datos.
8. MAPA CONCEPTUAL HERRAMIENTAS DAP. Auditoría y protección de bases de datos. CAPACIDADES • Descubrimiento y clasificación. • Gestión de vulnerabilidades. • Análisis al nivel de aplicación. • Prevención de intrusión. • Soporte de seguridad de datos no estructurados. • Integración de gestión de identidad y acceso. • Soporte de gestión de riesgos.
ESENCIALES
SECUNDARIAS
Recolección de eventos, análisis e informe
Prevención y bloqueo de acceso/ataques
Gestión y auditoria de la Política de Seguridad de la base de datos
Descubrimiento y clasificación
Monitoreo de usuario privilegiado
Vulnerabilidad y gestión de la configuración Auditoría y monitoreo de usuarios y aplicaciones Evaluación de usuarios y permisos
REQUERIMIENTOS DE OPERACIÓN Recolectores de red Recolectores agente
REGLAS DE SELECCIÓN Todas las herramientas DAP son compatibles con las plataformas RDBMS más comunes — Microsoft SQL Server, Oracle y DB2
PROVEEDORES DE TECNOLOGÍA
BENEFICIOS Y RIESGOS DAP no ha alcanzado todavía su potencial completo, pero representa una inversión que vale la pena para las empresas con bases de datos que contienen datos confidenciales, propiedad intelectual, o cualquier dato sujeto a requerimientos de 9 y de protección legales regulación.
La suite DbProtect de Application Security BeyondTrust IBM InfoSphere Guardium Imperva McAfee Oracle
9. BIBLIOGRAFIA. https://senaintro.blackboard.com/bbcswebdav/pid-98591899-dt-content-rid127941860_4/institution/semillas/217219_1_VIRTUAL/OAAPs/OAAP6/inst_eval/egbd-p06aa11-ev02.pdf https://www.acens.com/wp-content/images/2015/03/vulnerabilidades-bbdd-wp-acens.pdf http://www.ticbeat.com/tecnologias/10-grandes-amenazas-seguridad-bases-datos/ https://www.powerdata. https://ww w.powerdata.es/seguridades/seguridad-de-datos de-datos https://www.onasystems.net/vulnerabilidades-importantes-afectan-la-seguridad-basesdatos-las-empresas/
10