Wie sichern CISOs ihre Datenbanken ab? Best Practices zur Datenbanksicherheit

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Potenzielle Schäden an Datenbanken durch Hacker-Angriffe lassen sich durch konsequenten Einschluss von sensiblen Daten in Kontrollebenen verringern. Welche Maßnahmen müssen CISOs dafür ergreifen?

Schlecht abgesicherte Datenbanken beeinträchtigen nicht nur die Betriebseffizienz, sondern auch die Anwendungsleistung. Wobei die Maßnahmen für die IT-Security dahingehend abgewogen werden müssen, einerseits das Risiko auf ein akzeptables Niveau zu reduzieren und gleichzeitig die Usability aufrechtzuerhalten.

Eine effektive Datenbanksicherheit besteht aus den implementierten Kontrollen, um unbefugten Zugriff oder Datenschutzverletzungen von Datenbankdateien, Datenbankverwaltungssystemen (DBMS) und verbundenen Systemen zu verhindern. Solche Sicherheitskontrollen umfassen beispielsweise folgende Maßnahmen:

Separate Datenbankserver

Für den Fall, dass eine Website oder Anwendungen verletzt werden, sollten Datenbanken als zusätzliche Absicherung in einem separaten Container, physischen Server oder virtuellen Server untergebracht werden. Dafür empfiehlt es sich, nur die erforderlichen Ports auf dem separaten Server geöffnet zu halten. Der Anwender sollte nach Möglichkeit die standardmäßigen Kommunikationsports ändern, um die Ausführung von Angriffen zu erschweren.

Ferner kann zwischen der Datenbank und den Abfragen ein HTTPS-Proxy-Server eingerichtet werden. Funktional führt die Trennung von Webserver und Datenbankserver zum gleichen Ergebnis. Ein Proxy-Server erweist sich jedoch für interne Netzwerkdatenbanken als vorteilhaft, die direkt von autorisierten Netzwerkbenutzern oder -geräten abgefragt werden können.

Als weitere Maßnahme könnte der Anwender den Datenbankserver in einem separaten physischen oder virtuellen Netzwerksegment mit stark eingeschränkten Zugriffsrechten platzieren. Eine solche Mikrosegmentierung verhindert, dass Hacker, die sich bereits einen allgemeinen Netzwerkzugriff verschafft haben, sich in Lateral Movements weiterbewegen, um dadurch auf einen Datenbankserver zuzugreifen, der möglicherweise nicht im Netzwerk eines kompromittierten Users erscheint.

Datenbank-Firewalls

Die erste Verteidigungsebene bilden datenbankspezifische Firewalls, die den Zugriff standardmäßig verweigern. Der einzige Datenverkehr, der durch die Firewall zugelassen wird, sollte von definierten Anwendungen, Webservern oder Usern stammen, die auf diese Daten zugreifen dürfen.

Besteht dieser besondere Bedarf nicht, muss die Firewall der Datenbank die Initiierung von ausgehenden Verbindungen verweigern. Änderungen an Firewall-Regeln sollten durch ein implementiertes Änderungsverwaltungsverfahren gesteuert werden, die gegebenenfalls Warnungen für die Sicherheitsüberwachung auslösen.

Sichere Zugriffe

Grundsätzlich empfiehlt es sich, dass nur eine möglichst geringe Anzahl von Usern, Anwendungen und Anwendungsprogrammierschnittstellen (APIs) auf die Datenbank zugreifen darf. Jeder Zugriff sollte nur nach einer Netzwerk- oder Anwendungsautorisierung gewährt werden. Des Weiteren sollte jeder Zugriff auf dem Prinzip der niedrigsten Rechte und geringstmöglichen Zeit basieren.

Härtung der Datenbanken

Für die Vermeidung einfacher Angriffe bzw. Exploits sollten Datenbanken gehärtet werden. Eine solche Härtung variiert je nach Art der Datenbankplattform. Die üblichen Schritte umfassen die Stärkung des Passwortschutzes und der Zugriffskontrollen, die Sicherung des Netzwerkverkehrs und die Verschlüsselung sensibler Felder in der Datenbank. Alle ungenutzten oder unnötigen Services oder Funktionen der Datenbank müssen entfernt oder abgeschaltet werden, um eine Infizierung zu verhindern.

Alle bereitgestellten Datenbank-Sicherheitskontrollen müssen aktiviert sein. Einige davon müssen standardmäßig aktiviert sein und andere mögen bestimmte Gründe für ihre Deaktivierung haben. Auf jeden Fall sollte jede Kontrollfunktion einzeln bewertet und alle Gründe für ihre Deaktivierung dokumentiert werden.

DevOps-Maßnahmen gestalten Datenbanken so, dass vertrauliche Daten in getrennten Tabellen verbleiben. Admins sollten die Daten auch kontinuierlich prüfen, um sensible Daten zu detektieren und festzustellen, ob die getrennten Tabellen geändert oder zusätzliche Sicherheitsmaßnahmen zum Einsatz kommen müssen. Einige Regulierungs- oder Compliance-Standards schreiben spezifische Anforderungen für die Datenermittlung vor, die für den Nachweis der Compliance erforderlich sind.

Kontinuierliche Überwachung

Admins müssen Datenbankprotokolle, Daten und Aktivitäten kontinuierlich überwachen und prüfen. Dabei sind folgende Punkte zu beachten:

• Benutzer-Anmeldungsprotokolle, insbesondere versuchte und fehlgeschlagene Anmeldungen.

• Gesperrte Konten (durch häufig fehlgeschlagene Anmeldeversuche).

• Eskalation von Datenbank-Berechtigungen.

• Extraktion, Kopieren oder Löschen von Datenbankdaten (insbesondere bei umfangreichen Änderungen oder Extraktionen).

• Zugriff auf sensible oder regulierte Daten (kann für Compliance erforderlich sein).

• Neue Kontoerstellungen.

Mithilfe von Audits lassen sich oftmals anomale Aktivitäten erkennen. CISOs erstellen Sicherheitswarnungen zu kritischen Ereignissen, indem sie Warnungen von SIEM-Tools (Security Information and Event Management) aktivieren. Ferner können sie Database Activity Monitorings (DAM) und Software zur Überwachung der Dateiintegrität mit speziellen Security-Warnungen unabhängig von nativen Datenbankprotokollierungs- und Auditfunktionen bereitstellen.

Datenbanksicherheit testen

Obwohl Audits viele der laufenden Kompromittierungen erkennen, sollten Anwender nicht auf Bedrohungen warten, um ihre Datenbanken zu testen. Dafür empfiehlt sich unter anderem ein kontinuierliches Patch-Management ohne jegliche Verzögerungen. Wobei das Patchen natürlich nur öffentlich bekannt gegebene Schwachstellen beheben kann.

Einige Datenbankanbieter offerieren Sicherheits- und Konfigurationstesttools, mit denen Risiken aller Art identifiziert werden können. Da diese Tools auch keine 100-prozentigen Sicherheiten gewährleisten, sollten sie durch Schwachstellenscans und Penetrationstests ergänzt werden. Damit lassen sich potenzielle Angriffe simulieren, um Fehlkonfigurationen, versehentlich zugängliche Daten und andere Probleme aufzudecken.

(ID:49853595)