6 stappen richting een betere database-security
De beveiliging van databases zal dan ook wel een veelbesproken onderwerp zijn in de Nederlandse boardrooms… Toch? De praktijk wijst helaas anders uit. Zo berekende marktonderzoeksbureau IDC dat nog minder dan vijf procent van de totale uitgaven aan security wordt besteed aan ‘data center security’.
Vaak gaat het mis
Ook in Nederland merken we dat database-security nog altijd een onderbelicht onderwerp is. Zo komt het regelmatig voor dat er geen maatregelen worden genomen om een back-up van de data te beveiligen of om een Denial of Service-aanval op de database te voorkomen en wordt er onvoldoende nagedacht over een securitypolicy voor toegang en monitoring.
Heel vaak gaat het al mis bij het toekennen van de rechten. Een database-administrator is door zijn vele taken het beste te vergelijken met het schaap met de vijf poten. Zo is de DBA verantwoordelijk voor het installeren van databases, de monitoring, back-up en recovery, tuning, het ontwerp van het Physical Data Model, het opstellen van standaarden en richtlijnen en patching. Om al deze taken uit te kunnen voeren, beschikt de DBA als ‘super user’ vaak over nagenoeg onbeperkte rechten.
Van dit nagenoeg onbeperkte privilege kan eenvoudig misbruik worden gemaakt, zeker als binnen de organisatie geen aandacht is voor de ‘insider threat’ en iedereen op zijn blauwe ogen wordt geloofd. Ook wordt er nog te vaak vertrouwd op de securitytooling die wordt geleverd door de databaseleverancier. Die tooling volstaat echter niet om slimme aanvallen tegen te gaan.
Security op een hoger niveau
Het goede nieuws is dat de beveiliging van databases met een aantal maatregelen, best practices en interne controles al snel op een hoger niveau is te brengen. Zo definieert database-securityspecialist Imperva zes ‘groepen’ maatregelen:
- Discovery and Assessment, om in kaart te brengen welke kwetsbaarheden er zijn en waar de gevoelige data zich bevinden;
- User Rights Management, om in kaart te brengen of er gebruikers zijn die overvloedige toegangsrechten hebben tot gevoelige data;
- Monitoring and Blocking, om databases te beschermen tegen aanvallen, ongeautoriseerde toegang en diefstal van data. Hier kan het bijvoorbeeld raadzaam zijn om een agent op alle databases te installeren die afwijkingen rapporteert;
- Auditing, om te kijken of databases compliant zijn met geldende wet- en regelgeving;
- Data Protection, voor de integriteit en vertrouwelijkheid van data;
- Non-Technical Security. Hieronder vallen onder andere het opleiden van de securityprofessionals en het creëren van security awareness bij de gebruikers.
Conclusie
Deze zes groepen vertegenwoordigen een breed pakket aan maatregelen dat niet van de een op de andere dag is in te voeren. Een goede maar ook cruciale eerste stap in onze visie is het inzicht krijgen in het gebruik van databases zonder dat de databasebeheerders de auditinformatie kunnen manipuleren.
Functiescheiding is hierbij van belang. Vaak is een beheerder van een database ook de beheerder van de veiligheid, maar beter is het om een derde partij bij te laten houden wie wat doet in de database. Natuurlijk kan die derde partij ook de eigen security-officer zijn.