Univerzita pro obchodní partnery 10.03.2011
InfoSphere Guardium Jan Musil
[email protected]
© 2009 IBM Corporation
Building a smarter planet
Obsah prezentace ■ ■ ■ ■ ■ ■ ■ ■ ■ ■ ■ ■
2
Co je to InfoSpere Guardium a co poskytuje Přehled norem a jejich požadavků na databázovou bezpečnost Co InfoSphere Guardium monitoruje ? Nevýhody nativního databázového auditu Architektura InfoSphere Guardium a jeho výhody Škálovatelnost InfoSphere Guardium řešení Komplexní pohled na řešení Monitorování & audit koncových aplikačních uživatelů Podporované platformy Integrace řešení s existující infrastrukturou Výhody oproti konkurenci Role uživatelů ve vztahu k bezpečnosti databázových systémů
© 2009 IBM Corporation
Building a smarter planet
Co je to InfoSphere Guardium ?
• Společnost Guardium byla založena v roce 2002 • Produkty společnosti Guardium se zaměřují na aktivní monitorování databázové aktivity • V současné době používá produkty Guardium více než 400 zákazníků po celém světě • Z bankovního sektoru jsou to například Citibank, Bank of America, HSBC, ING, RBS nebo Societe Generale • Od prosince 2009 jsou tyto produkty pod názvem InfoSphere Guardium součástí IBM Integrated Data Management portfolia 3
© 2009 IBM Corporation
Building a smarter planet
Produkty InfoSphere Guardium zákazníkům poskytují .... • Monitorování veškerého databázového provozu v reálném čase a zamezení přístupu k citlivým datům • Rychlé zjištění neautorizovaných nebo podezřelých aktivit na základě definovaných pravidel a politik • Automatizované workflow pro efektivní nápravu skutečností, které jsou v rozporu s požadavky bezpečnostních standardů • Jednotné prostředí pro správu většiny databázových platforem a aplikačních prostředí • Informix, DB2, Oracle, SQL Server, z/OS, Sybase a další • SAP, Siebel, Oracle EBS, PeopleSoft, WebSphere a další 4
© 2009 IBM Corporation
Building a smarter planet
Nejdůležitější normy a jejich požadavky na databázovou bezpečnost
5
© 2009 IBM Corporation
Building a smarter planet
Co InfoSphere Guardium monitoruje ?
6
SQL chyby a neúspěšná přihlášení
DDL příkazy (Create/Drop/Alter Tables)
SELECT dotazy
DML příkazy (Insert, Update, Delete)
DCL příkazy (Grant, Revoke)
Uložené procedury
XML zpracovávané databázemi
Data (záznamy) vracené databázovým systémem zpět uživatelům
6
© 2009 IBM Corporation
Building a smarter planet
Nevýhody nativního databázového auditu Neobsahuje všechny potřebné informace
■
–
Obtížné monitorování privilegovaných uživatelů
–
Problematické monitorování činnosti reálných koncových aplikačních uživatelů ve vícevrstvé architektuře
–
Úroveň auditních informací není dostatečně detailní
Je neefektivní a drahý
■
– – –
Dostatečně neodděluje role
■
– – – –
7
Má výrazný vliv na výkonnost databáze Obtížné získávání reportů, jejich nevěrohodnost jako důkazní materiál a chybějící aktivní systém varování Každý databázový systém má jiný tvar auditních záznamů a tudíž vyžaduje různé metody pro jejich zpracování Databázový audit je plně pod správou privilegovaných Uživatelů Privilegovaní uživatelé mohou auditní systém obejít Auditní záznamy nejsou uloženy bezpečně
© 2009 IBM Corporation
Building a smarter planet
InfoSphere Guardium = databázová bezpečnost v reálném čase
■
■
100% viditelnost všech databázových
■
Politiky a pravidla poskytující dostatečně
operací včetně lokálního přístupu
jemné monitorování a audit informací „kdo,
Nevyžaduje žádné změny v konfiguraci
co, kdy a jak“ o každé činnosti
databázového systému nebo v aplikaci ■
Minimální vliv na výkonnost databáze
■
Oddělení rolí se zabezpečným úložištěm auditních informací
■
Automatický systém varování v reálném čase
■
Kolektor může pojmout auditní data za 3 až 6 měsíců s možností zabezpečené archivace
8
© 2009 IBM Corporation
Building a smarter planet
Škálovatelnost InfoSphere Guardium řešení
9
© 2009 IBM Corporation
Building a smarter planet
Komplexní pohled na řešení
10
© 2009 IBM Corporation
Building a smarter planet
Monitorování & audit koncových aplikačních uživatelů
■
Většina vícevrstvých aplikací sdílí účty několika databázových uživatelských účtů
■
Správa aplikačních uživatelů je nezávislá na databázových uživatelských účtech
■
Je obtížné nebo i zcela nemožné identifikovat aplikační uživatele prostřednictvím databázové SQL komunikace
■
Případné podezřelé aktivity lze databázovým auditem zjistit pouze pro sdílené databázové účty
■
11
Kdo je ale skutečný uživatel, kdo tyto aktivity provádí ?
© 2009 IBM Corporation
Building a smarter planet
Metody používané pro identifikaci koncových uživatelů 1) ■
2) ■
■
3)
Guardium API Použití speciálních aplikačních atributů (jako např. uživatelská identita) přenesených do SQL komunikace (dummy SELECT) Takto získané informace kolektor sváže s komunikací aplikačního uživatele
■
Uložené procedury Vhodné v případě, kdy se pro ověření identity používá uložená procedura, která obsahuje v některém argumentu identitu uživatele Jméno uživatele se extrahuje a sváže s komunikací
■
S-TAP sonda na aplikačním serveru Uživatelská identita se získá např. z přihlašovací webové stránky
■
4)
12
Automatické přenesení uživatelské identity InfoSphere Guardium přímo podporuje komerční aplikace jako jsou Oracle EBS, PeopleSoft, SAP a další
© 2009 IBM Corporation
Building a smarter planet
Podporované databáze:
13
Podporované operační systémy pro S-TAP sondy:
© 2009 IBM Corporation
Building a smarter planet
Integrace řešení s existující infrastrukturou SNMP Dashboards Directory Services SIEM (Active Directory, LDAP, etc.) (ArcSight, EnVision, Tivoli, etc.) (HP OpenView, Tivoli, etc.) Change Ticketing Systems - Remedy, Peregrine, etc
Authentication (RSA SecurID, RADIUS, Kerberos)
Send Alerts (CEF, CSV, syslog)
Vulnerability Standards (CVE , STIG, CIS Benchmark) Sensitive Data - ---- - - - xxx-xxxxxx -------
Data Leak & Data Classification
Software Deployment (Tivoli, RPM, Native Distributions) Long Term Storage (EMC Centera, IBM TSM FTP, SCP, etc.)
14
McAfee (EPO)
Application Servers (Oracle EBS, SAP, Siebel, Cognos, PeopleSoft, WebSphere, etc.) © 2009 IBM Corporation
Building a smarter planet
Výhody oproti konkurenci ■ ■
■ ■ ■ ■ ■
■ ■ ■
■ 15
Zcela nezávislé na systému nativního databázového auditu Integrace s existujícími systémy (např. přímá integrace s LDAP, archivace do TSM a podobně a další) Agregace a korelace dat z různých systémů v reálném čase Efektivní způsob ukládání auditních dat I po archivaci dat z kolektoru jsou data stále dostupná S-TAP sonda a aktivní opatření (S-GATE) Komplexní přístup k vyhodnocení zranitelnosti systému s předdefinovanými pravidly Automatizovaná aktualizace sledovaných objektů Zjednodušená konfigurace prostřednictvím GuardAPI rozhraní Optimalizace síťové komunikace filtrováním dat potřebných pouze pro audit Zabudovaný workflow proces pro řešení incidentů © 2009 IBM Corporation
Building a smarter planet
Základní role uživatelů v informačních systémech
16
■
Privilegovaní uživatelé
■
Koncoví uživatelé
■
Vývojáři, systémoví analytici a administrátoři
■
IT operátoři
© 2009 IBM Corporation
Building a smarter planet
Privilegovaní uživatelé Uživatelé s nejvyšší úrovní privilegií
■
Typicky databázoví administrátoři (DBAs), superuživatelé a systémoví administrátoři
■
Musí být vždy pod intenzivní kontrolou jak ze strany oddělení bezpečnosti, tak ze strany auditorů
■
Případné problémové aktivity
■
– – – –
17
Přístup k uživatelským datům, jejich modifikace nebo mazání Modifikace databázových schémat Přístup k datům za použití nestandardních nebo neschválených komunikačních kanálů Neautorizované přidávání uživatelských účtů nebo jejich modifikace
© 2009 IBM Corporation
Building a smarter planet
Koncoví uživatelé
■
Osoby, které mají legitimní přístup k datům prostřednictvím nějaké aplikace
■
Představují vážné riziko úmyslného nebo i nevědomého zneužití dat
■
Případné problémové aktivity –
Přístup k neúměrně velkému množství dat nebo takovému objemu dat, které není potřeba pro jejich legitimní činnost
18
–
Přístup k datům mimo standardní pracovní dobu
–
Přístup k datům za použití nestandardních nebo neschválených komunikačních kanálů
© 2009 IBM Corporation
Building a smarter planet
Vývojáři, systémoví analytici a administrátoři
Uvedené role nutně musí mít extrémně vysoká privilegia přístupu k datům
■
–
Možným průnikem k datům může dojít k prozrazení intelektuálního vlastnictví nebo osobního soukromí
Možností přístupu k produkčnímu systému a jeho modifikacemi mohou způsobit
■
–
Zhoršení výkonnosti systému
–
Havárie systému
–
Zranitelnost zabezpečení systému
Případné problémové aktivity
■
–
19
Přístup k živým produkčním systémům
© 2009 IBM Corporation
Building a smarter planet
IT operátoři
■
Mají významný vliv na správnou funkci a správu databázových systémů
■
Jejich aktivity ve vztahu k databázovým systémům musí být sledovány ve dvou klíčových oblastech –
Neschválené změny databází a databázových systémů nebo aplikací, které k databázím přistupují
–
20
Záplatování produkčních systémů nesprávnými záplatami nebo v nevhodnou dobu
© 2009 IBM Corporation
Building a smarter planet
21
© 2009 IBM Corporation
Building a smarter planet
Jan Musil
[email protected]
22
© 2009 IBM Corporation