As ameaças de banco de dados mais perigosas e como evitá-las

Todas as organizações usam bancos de dados até certo ponto, seja para lidar com conjuntos de dados simples e de baixo volume, como o catálogo de endereços de uma secretária, ou grandes repositórios de Big Data para análise de informações estratégicas.

O denominador comum de todos esses bancos de dados é que eles precisam ser protegidos dos diversos riscos que enfrentam, sendo os principais a perda, alteração e roubo de informações. Outros riscos, não tão críticos, mas também perigosos, incluem degradação de desempenho e violação de acordos de confidencialidade ou privacidade.

Os mecanismos de segurança usados ​​para proteger as redes de uma organização podem repelir algumas tentativas de ataques a bancos de dados. Ainda assim, alguns riscos são exclusivos dos sistemas de banco de dados (DBMS) e exigem medidas, técnicas e ferramentas de segurança específicas.

Ameaças que afetam os bancos de dados

A seguir está uma lista das ameaças mais comuns que afetam os bancos de dados hoje que devem ser mitigadas com a proteção dos servidores de banco de dados e a adição de alguns procedimentos às técnicas comuns de segurança e auditoria.

Gerenciamento de permissões inadequado

Mais frequentemente do que gostaríamos de itir, os servidores de banco de dados são instalados nas organizações com suas configurações de segurança padrão, e essas configurações nunca são alteradas. Isso faz com que os bancos de dados sejam expostos a invasores que conhecem as permissões padrão e sabem como explorá-las.

Há também o caso de abuso de permissões legítimas: usuários que usam seus privilégios de banco de dados para fazer uso não autorizado – por exemplo, divulgando informações confidenciais.

A existência de contas inativas também representa um risco de segurança que muitas vezes é ignorado, pois indivíduos mal-intencionados podem saber da existência dessas contas e aproveitá-las para ar bancos de dados sem autorização.

Ataques de injeção de banco de dados

A principal forma de ataques de injeção de banco de dados são os ataques de injeção de SQL, que atacam servidores de banco de dados relacionais (RDBMS) que usam a linguagem SQL. Bancos de dados NoSQL, como MongoDB, RavenDB ou Couchbase, são imunes a ataques de injeção de SQL, mas são suscetíveis a ataques de injeção de NoSQL. Os ataques de injeção NoSQL são menos comuns, mas igualmente perigosos.

Ambos os ataques de injeção de SQL e injeção de NoSQL operam ignorando os controles de entrada de dados de aplicativos da Web para obter comandos através do mecanismo de banco de dados para expor seus dados e estruturas. Em casos extremos, um ataque de injeção bem-sucedido pode dar ao invasor o ir ao coração de um banco de dados.

Vulnerabilidades de banco de dados exploráveis

É comum que os departamentos de TI corporativos não corrijam seu software principal de DBMS regularmente. Portanto, mesmo que uma vulnerabilidade seja descoberta e o fornecedor lance um patch para eliminá-la, pode levar meses até que as empresas corrijam seus sistemas. O resultado é que as vulnerabilidades ficam expostas por longos períodos, que podem ser exploradas por cibercriminosos.

As principais razões pelas quais os SGBDs não são corrigidos incluem dificuldades em encontrar uma janela de tempo para desligar o servidor e realizar a manutenção; requisitos complexos e demorados para testar patches; imprecisão quanto a quem é responsável pela manutenção do SGBD; carga de trabalho excessiva dos es de sistema, entre outros.

Existência de servidores de banco de dados ocultos

A não conformidade com as políticas de instalação de software em uma organização (ou a falta de tais políticas) faz com que os usuários instalem servidores de banco de dados a seu critério para resolver necessidades específicas. O resultado é que os servidores aparecem na rede da organização, que os es de segurança desconhecem. Esses servidores expõem dados confidenciais à organização ou expõem vulnerabilidades que podem ser exploradas por invasores.

Backups íveis

Embora os servidores de banco de dados estejam protegidos por uma camada de segurança, os backups desses bancos de dados podem ser íveis a usuários sem privilégios. Em tal situação, existe o risco de que usuários não autorizados possam fazer cópias dos backups e montá-los em seus próprios servidores para extrair as informações confidenciais que eles contêm.

Técnicas e Estratégias para Proteger Bancos de Dados

Para fornecer proteção adequada aos bancos de dados de uma organização, é necessária uma matriz defensiva de melhores práticas, combinada com controles internos regulares. A matriz de melhores práticas inclui os seguintes itens:

• Gerencie os direitos de o do usuário e elimine privilégios excessivos e usuários inativos.
• Treine os funcionários em técnicas de mitigação de riscos, incluindo o reconhecimento de ameaças cibernéticas comuns, como ataques de spear phishing, práticas recomendadas de uso da Internet e de e-mail e gerenciamento de senhas.
• Avalie quaisquer vulnerabilidades de banco de dados, identifique endpoints comprometidos e classifique dados confidenciais.
• Monitore todas as atividades de o ao banco de dados e padrões de uso em tempo real para detectar vazamentos de dados, transações não autorizadas de SQL e Big Data e ataques de protocolo/sistema.
• Automatize a auditoria com uma plataforma de proteção e auditoria de banco de dados.
• Bloqueie solicitações maliciosas da Web.
• Arquive dados externos, criptografar bancos de dados e mascarar campos de banco de dados para ocultar informações confidenciais.

Ferramentas de segurança de banco de dados

As técnicas acima exigem muito esforço por parte do departamento de TI da organização e, muitas vezes, a equipe de TI não consegue acompanhar todas as suas tarefas, de modo que as tarefas que precisam ser feitas para manter os bancos de dados seguros são deixadas de lado. Felizmente, algumas ferramentas facilitam essas tarefas para que os perigos que ameaçam os bancos de dados não os afetem.

Scanner de vulnerabilidades do banco de dados Scuba

O Scuba é uma ferramenta gratuita e fácil de usar que fornece visibilidade dos riscos de segurança ocultos nos bancos de dados de uma organização. Oferece mais de 2.300 testes de avaliação para bancos de dados Oracle, Microsoft SQL, Sybase, IBM DB2 e MySQL, que detectam todos os tipos de vulnerabilidades e erros de configuração.

Com seus relatórios claros e concisos, o Scuba revela quais bancos de dados estão em risco e quais riscos estão à espreita em cada um deles. Também fornece recomendações sobre como mitigar os riscos identificados.

As varreduras de mergulho podem ser realizadas a partir de qualquer cliente Windows, Mac ou Linux. Uma varredura típica com essa ferramenta leva entre 2 e 3 minutos, dependendo do tamanho dos bancos de dados, do número de usuários e grupos e da velocidade da conexão de rede. Não há pré-requisitos de instalação além de ter o sistema operacional atualizado.

Embora o Scuba seja uma ferramenta autônoma gratuita, a Imperva o inclui em sua gama de produtos específicos para segurança de dados, oferecendo proteção e segurança de dados na nuvem, privacidade de dados e análise de comportamento do usuário.

Centro de controle dbWatch

O dbWatch é uma solução completa de monitoramento e gerenciamento de banco de dados compatível com Microsoft SQL Server, Oracle, PostgreSQL, Sybase, MySQL e Azure SQL. Ele foi projetado para realizar monitoramento proativo e automatizar o máximo possível de manutenção de rotina em ambientes de banco de dados locais, híbridos ou em nuvem de grande escala.

O dbWatch é altamente personalizável e abrange o fluxo de trabalho do DBA, desde o monitoramento até a istração, análise e geração de relatórios. Os usuários da ferramenta destacam sua capacidade de descobrir facilmente os servidores, inclusive os virtuais. Essa é uma excelente vantagem para gerenciamento e rastreamento de ativos de TI, facilitando a determinação de custos e a avaliação de riscos.

Apesar de oferecer grande funcionalidade, a curva de aprendizado do dbWatch é íngreme, portanto, espere que, após a compra da ferramenta, os procedimentos de instalação e treinamento levem algum tempo antes que a ferramenta esteja funcionando a 100%. Uma versão de avaliação gratuita e por tempo limitado está disponível para .

AppDetectivePRO

O AppDetectivePRO é um scanner de banco de dados e Big Data que pode descobrir imediatamente erros de configuração, problemas de identificação/controle de o, patches ausentes ou qualquer combinação tóxica de configurações que possam causar vazamento de dados, modificação não autorizada de informações ou ataques de negação de serviço (DoS).

Por meio de sua configuração simples e interface amigável, o AppDetectivePRO pode descobrir, avaliar e relatar imediatamente a segurança, os riscos e a postura de segurança de qualquer banco de dados ou repositório de Big Data dentro da infraestrutura de uma organização – seja no local ou na nuvem – em um questão de minutos.

AppDetectivePRO pode ser usado como um complemento para scanners para sistemas operacionais host ou de rede e aplicativos estáticos ou dinâmicos. Sua gama de opções oferece mais de 50 políticas de conformidade e configuração prontas para uso sem exigir a manutenção de scripts SQL para coleta de dados.

DbDefence

DbDefence é uma ferramenta de segurança para bancos de dados que residem no Microsoft SQL Server. Caracteriza-se por ser fácil de usar, ível e eficaz para criptografar bancos de dados completos e proteger seus esquemas, impedindo completamente o o aos bancos de dados, mesmo para usuários com os maiores privilégios.

A criptografia funciona no lado do servidor, permitindo que um autorizado criptografe e descriptografe bancos de dados com segurança, sem a necessidade de alterar os aplicativos que os am. A ferramenta funciona com qualquer versão do SQL Server após 2005.

O DbDefence funciona no nível de arquivo e objeto SQL, o que o diferencia de outros softwares de criptografia do SQL Server. Ele pode distinguir quais objetos foram tentados a serem ados ​​e quais objetos tiveram o negado ou permitido.

Para incluir o DbDefence como parte de uma solução, não é necessário adquirir licenças para cada aplicativo cliente. Uma única licença de redistribuição é suficiente para instalá-la em qualquer número de clientes.

OScanner

O OScanner é uma ferramenta de análise e avaliação de banco de dados Oracle desenvolvida em Java. Possui uma arquitetura baseada em plugins, que atualmente possui plugins para as seguintes funções:

• Enumeração de Sid
• Teste de senha (comum e dicionário)
• Enumeração de versão do Oracle
• Enumeração de funções, privilégios e hashes de conta de usuário
• Enumeração de informações de auditoria
• Enumeração de políticas de senha
• Enumeração de links de banco de dados

Os resultados são apresentados em uma árvore gráfica Java. Ele também fornece um formato de relatório XML sucinto e um visualizador XML integrado para visualização do relatório. A instalação da ferramenta requer apenas um ambiente de tempo de execução Java e o arquivo de instalação (zip) do OScanner.

O OScanner opera de maneira semelhante à função de adivinhação de senha da Ferramenta de Auditoria Oracle (OAT opwg), usando o arquivo .default de contas para obter os pares de nome de usuário/senha padrão. Ele difere da ferramenta Oracle, pois também tenta adivinhar contas com o mesmo nome de usuário e senha.

Gerenciador de Segurança dbForge

O Security Manager faz parte da suíte dbForge Studio for MySQL, agregando a ele uma poderosa ferramenta de gerenciamento de segurança em bancos de dados MySQL. Com funcionalidade estendida e uma interface de usuário prática e amigável, visa facilitar as tarefas rotineiras de istração de segurança, como o gerenciamento de contas e privilégios de usuários MySQL.

O uso de um Security Manager melhora a produtividade do pessoal de TI. Ele também oferece outros benefícios, como a substituição de operações complexas de linha de comando por um gerenciamento visual mais simples de contas de usuário MySQL e seus privilégios. A ferramenta também ajuda a aumentar a segurança do banco de dados, graças a procedimentos de gerenciamento simplificados que minimizam erros e reduzem o tempo necessário da equipe istrativa.

Com as cinco guias da janela do gerenciador de segurança, você pode criar contas de usuário com apenas alguns cliques, concedendo a cada uma privilégios globais e de objeto. Depois que as contas forem criadas, você poderá revisar suas configurações rapidamente para garantir que não cometeu erros.

Você pode baixar uma versão totalmente gratuita do dbForge Studio para MySQL, que oferece funcionalidades básicas. Depois, há as versões Standard, Professional e Enterprise, com preços que variam até cerca de US$ 400.

Palavras finais: bancos de dados verdadeiramente seguros

É comum as organizações acreditarem que seus dados estão seguros apenas porque possuem backups e firewalls. Mas há muitos outros aspectos da segurança do banco de dados que vão além dessas medidas de segurança. Ao selecionar um servidor de banco de dados, a organização deve considerar os aspectos listados acima, que implicam em dar aos servidores de banco de dados a importância que eles têm na gestão estratégica dos dados críticos de uma organização.