Datenbanksicherheit mit Konzept
In Datenbanken werden die wichtigsten und wertvollsten Informationen und Daten eines Unternehmens gespeichert. Dadurch sind Datenbanken sehr oft primäres Ziel von Angriffen. Ziel der Angriffe ist es, an Anmeldeinformationen (Login-Daten), Finanzinformationen, Identitäten (personenbezogene Daten) oder gar Kreditkartendaten zu gelangen. Datenbanksicherheit erfordert Erfahrung im Umgang mit heiklen Daten, sowie up to date Wissen über neue Cyber Bedrohungen. Diese Daten gilt es zu schützen, indem Maßnahmen zur Cybersicherheit befolgt, und die Sicherheitsprotokolle eingehalten werden. Denn nur das Gesamtkonzept, hilft die Sicherheit der Datenbanken zu gewährleisten.
7 wichtige Maßnahmen zur Steigerung der Sicherheit
- Administrator und Benutzer Konten unterscheiden.
Es ist absolut notwendig und wichtig, die Standartpasswörter der Datenbanken zu ändern und anschließend zu verschlüsseln. Nicht jeder Benutzer muss zwingend alle Daten in der Datenbank sehen, hier sollte man den Zugriff entsprechend beschränken. Bei Oracle Datenbanken kann man z.B. die Hoheit der Daten von der Administration trennen. Das Produkt dazu nennt sich Oracle Database Vault. Nicht benötigte Standard-User werden gelöscht oder deaktiviert.
- Berechtigungen der User sinnvoll vergeben und verwalten.
Siehe Punkt 1. Nicht jeder Angestellte sollte über die vollen Berechtigungen verfügen, falls er sie nicht zwingend braucht, da sich auch versehentlich oder unwissend fatale Fehler einschleichen können, die sich dann auch als Sicherheitsrisiko entpuppen können. Am besten erstellt man verschiedene Berechtigungsebenen (Stichpunkt Rechtemanagement bzw. Rollenkonzept) zur einfachen Unterscheidung der Benutzergruppen.
- Verschlüsseln der Datenbankverbindung und Datenbank.
Unverschlüsselte Daten können während der Kommunikation zwischen der Datenbank und Anwendungen abgefangen und mitgelesen werden oder sogar geändert werden. Die Daten an sich sollten auch verschlüsselt werden, wenn man diese abspeichert. Jedoch sollte man hier auf folgende Faktoren achten: Einfluss auf Leistung und Backup-Konzepte sowie die funktionale Auswirkung auf die DB.
Achtung: Vergessen Sie nicht das Verschlüsseln von Backups und Datenbankdumps!
- Datenverlust durch Voll-Backups entgegenwirken.
Backups müssen in regelmäßigen Abständen gemacht werden, um ein Wiederherstellen der verloren gegangenen Daten zu gewährleisten, die durch Hardware, Softwarefehler oder aus Versehen abhandengekommen sind.
- SQL-Firewalls zum Schutz vor SQL Injections.
Daten werden an Anwendungen durch Absetzen eines SQL Befehls (Structured Query Language) an die SQL-Datenbank erfragt. SQL Injektionen nutzen schlechte oder fehlerhafte Konfiguration der Datenbank, um schädlichen Code in eine Anwendung einzufügen, (z.B. in ein Login-Feld) umso Zugang zu der Datenbank zu bekommen. Die Applikation sendet nämlich den im Login-Feld stehenden Text als SQL Befehl an die Datenbank.
Select id, name FROM user WHERE name ='' AND password= '';
Durch Eingabe von Max“ — in das Login-Feld wird das Statement geändert, das Passwort auskommentiert und nicht mehr benötig.
Select id, name FROM user WHERE name ='MAX' --AND password= ";
Dies kann man jedoch präventieren in dem man die Eingabe und Ausgabe beschränkt.
- Critical Patches installieren.
Siehe Artikel Oracle Critical Patch Update
Außerdem müssen für das Betriebssystem und DBMS zeitnah alle Sicherheitsupdates installiert werden, um gefundene Sicherheitslücken zu schließen.
- DBMS nicht in der Standardkonfiguration lassen.
Sicherheitsprotokolle sowohl beim Server als auch beim Client des Datenbankmanagementsystems müssen aktiviert werden und Features, die nicht gebraucht werden sollten deaktiviert bzw. gelöscht werden.