Jak efektivně ochránit Informix ? Jan Musil
[email protected]
Informix CEE Technical Sales
Information Management
© 2012 IBM Corporation
Information Management
Jsou Vaše data chráněna proti zneužití ?
2
© 2012 IBM Corporation
Information Management
Ano, pokud ...
3
© 2012 IBM Corporation
Information Management
Nepoužitelné
Steve Mandel, Hidden Valley Observatory http://apod.nasa.gov/apod/ap010809.html 4
© 2012 IBM Corporation
Information Management
Jsou Vaše data chráněna proti zneužití ?
5
© 2012 IBM Corporation
Information Management
1) vůbec připustíme, že můžeme být obětí útoku Ano, pokud ...
2) víme, co bychom měli chránit 3) víme, kdo může být útočník 4) víme, jaké prostředky použít pro ochranu
6
© 2012 IBM Corporation
Information Management
Jak by měla vypadat efektivní ochrana databáze ? Systém varování Monitorování a audit
Aktivní blokování přístupu
Základní zabezpečení dat
Identifkace koncového uživatele
Ochrana před privilegovanými uživateli Testy zranitelnosti 7
© 2012 IBM Corporation
Information Management
Oblasti efektivní ochrany databáze
Základní zabezpečení dat Monitorování a audit Aktivní blokování přístupu Ochrana před privilegovanými uživateli Testy zranitelnosti Identifikace koncových uživatelů
Ne vše lze řešit pouze prostředky Informixu.... .... řešením je nasazení InfoSphere Guardium
8
© 2012 IBM Corporation
Information Management
Co je InfoSphere Guardium ?
Kolektor – Neinvazivní zařízení, které prosazuje dodržování politik, žurnáluje databázové aktivity a spouští reporty a auditní procesy S-TAP sonda – Na databázích nezávislá SW komponenta, která posílá monitorované databázové aktivity do kolektoru pro další analýzu a případné žurnálování 9
© 2012 IBM Corporation
Information Management
Základní zabezpečení dat Přidělení přístupových práv na databázové objekty (GRANT, REVOKE) Kontrola přístupových práv k instalačním adresářům, konfiguračním souborům, spustitelným modulům a datovým úložištím Šifrování síťové komunikace Šifrování dat v položkách Autentizace uživatelů (OS uživatelé, PAM, Kerberos SSO, privátní uživatelé non-root instalace) Label Based Access Control (LBAC) Default role při připojení, definování rolí při trusted context připojení Přidělení práva vytvářet databáze Omezení přístupu k výpisům o prováděných SQL dotazech a relacích („bezpečný“ onstat) Zamezení neautorizovanému vytváření uživatelských funkcí
Využití těchto prostředků je základní a nutnou podmínkou k následnému nasazení dalších řešení, jako např. Guardium 10
© 2012 IBM Corporation
Information Management
Monitorování a audit Prostředky Informixu lze zajistit, ovšem není efektivní – Výrazný vliv na výkonnost databáze – Neumožňuje aktivní opatření v reálném čase – Vyžaduje časově náročnou analýzu sebraných dat (ovšem až po případném incidentu) – Výstupy nejsou uloženy bezpečně – Neumožňuje dostatečně oddělit role (administrátor vs. auditor) – Nelze identifikovat skutečného koncového uživatele ve vícevrstvé architektuře – Nekonzistentní v případě použití různých databázových platforem InfoSphere Guardium – Má minimální vliv na výkonnost databázových serverů (max 3-5% per CPU) – Je nezávislé na privilegovaných uživatelích – Dovoluje provádět monitorování a audit v reálném čase – Dokáže zamezit přístupu k citlivým datům (databázový firewall) – Poskytuje prostředky pro systém varování v reálném čase – V reálném čase umožňuje rychle zjistit neautorizované nebo podezřelé aktivity – Poskytuje automatizované workflow řešení incidentů – Auditní záznamy ukládá bezpečně bez možnosti jejich modifikace – Auditní záznamy ukládá v jednotném tvaru pro všechny podporované db platformy – Poskytuje audit a monitorování skutečných koncových uživatelů 11
© 2012 IBM Corporation
Information Management
Ochrana před privilegovanými uživateli – blokování přístupu (S-GATE)
12
© 2012 IBM Corporation
Information Management
Možnost porovnání s předchozími testy
Testy zranitelnosti
Celková úspěšnost testu
Přehledová tabulka o úspěšnosti testů podle kategorií Podrobný přehled s výsledky testů
13
© 2012 IBM Corporation
Information Management
Identifikace koncových uživatelů (informix)
CREATE TRUSTED CONTEXT tcx1 USER newton ATTRIBUTES (ADDRESS ‘192.168.1.110’) DEFAULT ROLE AUDITOR ENABLE WITH USE FOR brock WITHOUT AUTHENTICATION, hayes WITH AUTHENTICATION ROLE MANAGER
Connection conn=DriverManager.getConnection("jdbc:informixsqli://192.168.1.110:30266/testdb:INFORMIXSERVER=onpriv;user=newton;password=in formix;TRUSTED_CONTEXT=TRUE"); SET SESSION AUTHORIZATION TO ’hayes’ USING ’user_password’; SET SESSION AUTHORIZATION TO ’brock’;
14
© 2012 IBM Corporation
Information Management
Identifikace koncových uživatelů (Guardium)
Automatické přenesení uživatelské identity – InfoSphere Guardium přímo podporuje komerční aplikace jako jsou Oracle EBS, PeopleSoft, SAP a další Guardium API – Použití speciálních aplikačních atributů (jako např. uživatelská identita) přenesených do SQL komunikace (dummy SELECT) – Takto získané informace kolektor sváže s komunikací aplikačního uživatele Uložené procedury – Vhodné v případě, kdy se pro ověření identity používá uložená procedura, která obsahuje v některém argumentu identitu uživatele – Jméno uživatele se extrahuje a sváže s komunikací S-TAP sonda na aplikačním serveru – Uživatelská identita se získá např. z přihlašovací webové stránky
15
© 2012 IBM Corporation
Information Management
InfoSphere Guardium licencování Produktová řada – DAM Standard (Basic) • DAM + App User + Enterprise Integrator + Classification – DAM Advanced • DAM + App User + Enterprise Integrator + Classification + S-GATE – VA Standard (Basic) • Vulnerability Assessment + Database Protection Subscription + Enterprise Integrator + Classification – VA Advanced • Vulnerability Assessment + Database Protection Subscription + Enterprise Integrator + Classification + CAS + DB Entitlement Reports – Central Management and Aggregation Pack • CM & Agg + Advanced Workflow Provozní komponenty – Standalone – Federated Forma dodávky řešení – fyzická appliance • Plně nainstalovaný IBM Intel x-server – softwarová appliance • Instalační balíček • HW dle výběru, ale podle přesně stanovených předpokladů • Možnost využití virtualizace 16
© 2012 IBM Corporation
Information Management
Jan Musil
[email protected]
17
© 2012 IBM Corporation