close

Anmelden

Neues Passwort anfordern?

Anmeldung mit OpenID

Datenbanken als Herzstück der - Opitz Consulting

EinbettenHerunterladen
Björn Bröhl, OPITZ CONSULTING GmbH
Datenbanken als Herzstück der Informationsbearbeitung – Was muss ich wie schützen?
Datenbanken spielen in vielen Situationen eine sehr zentrale
und auch brisante Rolle. In ihnen werden schützenswerte Daten unterschiedlicher Art (z. B. Kreditkartendaten, Personalda-
weisung werde aus Sicherheitsgründen erst nach einer telefonischen Genehmigung vorgenommen. Es handele sich hierbei um
eine vorbeugende Schutzmaßnahme gegen den sich derzeit immer weiter verbreitenden Kreditkartenbetrug. Na, wunderbar!
ten und andere unternehmenskritische Daten) gespeichert. Die
1.2 Neue Märkte für den Datenmissbrauch
allermeisten Unternehmen sind sich dessen bewusst und tun eine Menge für die Sicherheit der Anwendungssysteme, über die
auf ihre Datenbanken zugegriffen wird. Dies geschieht zum
Beispiel durch eine Benutzerüberprüfung bei der Anmeldung
oder einer Absicherung der Systeme und Netzwerke durch Firewalls. Doch ist dieser Schutz heute noch hinreichend – und falls
Die Gefahr für die Datensicherheit, geht derzeit immer weniger
von den üblichen Hackern aus – Jugendlichen, die in einem dunklen Zimmer sitzen und versuchen in fremde Systeme einzudringen, Daten zu manipulieren oder sogar zu zerstören. Vielmehr
handelt es sich um eine wesentlich umfassendere, neue Dimension des Datenbetrugs, möglich gemacht durch Angebot und Nachfrage in den anonymen Weiten des Internet.
nicht, wie können Datenbanken besonders geschützt werden?
Keywords
Databases, Security, Security Gaps, Data Abuse, Privacy,
Compliance, Data Governance
Stichworte
Datenbanken, Sicherheit, Sicherheitslücken, Datenmissbrauch,
Datenschutz, Compliance, Governance
1.
Warum benötigen Datenbanken heute einen
besonderen Schutz?
1.1 Beispiel: Kreditkartenbetrug im großen Stil
Immer häufiger kommt es vor, dass Kreditkarten aus Sicherheitsgründen präventiv gesperrt werden. Erst vor kurzem habe ich
selbst erlebt, was es heißt, wenn ein Internetkauf per Kreditkarte
aus Gründen der Sicherheit blockiert wird:
Bei einem Online-Kaufversuch bekam ich die schlichte Meldung,
mein Kreditkarteninstitut habe meine Zahlung zurückgewiesen.
Auf meine telefonische Anfrage teilte man mir mit, dass zurzeit
viele Transaktionen im Internet, die einen Betrag von 200 Euro
übersteigen, automatisch abgelehnt werden würden. Die Über-
Im World Wide Web gibt es bekanntermaßen nahezu unbegrenzte Shoppingmöglichkeiten. Man kann hier aber nicht nur bequem
ein paar harmlose Weihnachtsgeschenke bestellen, nein, es gibt
auch eine Vielzahl von professionellen Shops, bei denen Kreditkartendaten, Gültigkeitsnummern, Bankverbindungen oder digitale Identitäten gehandelt werden.
Es ist sogar so, dass bei der Abnahme einer gewissen Anzahl an
Daten Rabatte gewährt werden. Und, da die Preise für diese Daten
einem starken Wettbewerbsdruck unterliegen, werden sie zunehmend günstiger. Eine Kreditkartennummer kostet derzeit beispielsweise umgerechnet nur noch etwa vier Euro.
Für diejenigen, die sich diese Daten beschaffen wollen, um sie
anschließend zu vertreiben, ist es also längst nicht mehr lukrativ,
einzelne Kreditkartennummern zu stehlen. Um schnell in den Besitz einer großen Anzahl von gültigen Kreditkartennummern zu
kommen, werden die Daten dorther beschafft, wo sie in großer
Anzahl vorliegen: Aus den entsprechenden Datenbanken.
Am Beispiel des beschriebenen Bankdatenhandels möchte ich verdeutlichen, wie angreifbar Daten in Datenbanken sein können.
Dieser Fall stellt leider nur eine Variation unter vielen anderen
Missbrauchsmöglichkeiten dar.
Information Management und Consulting 25 (2010) 1
15
1.3 Firewalls schützen lediglich vor externen Zugriffen
Um einen Mythos von vornherein auszuräumen: Firewalls alleine
bringen leider keine Sicherheit. Studien belegen, dass die Anzahl
der unberechtigten internen Zugriffe – also durch Mitarbeiter des
eigenen Unternehmens – größer ist als die Zahl der externen Zugriffe. Die Motivation für missbräuchliche interne Zugriffe kann in
der Frustration eines Mitarbeiters liegen oder aber, wie im vorangehenden Beispiel erläutert, im finanziellen Anreiz, den ein Datenverkauf bietet.
2.
Welche Systeme müssen geschützt werden?
Eine Datenbank dient in der Regel zur Speicherung unterschiedlicher Informationen von Anwendern oder Systemen. Neben der
reinen Informationsspeicherung gehören zu ihren Aufgaben auch
die Verknüpfung und die Organisation der gespeicherten Daten
sowie die Bereitstellung des Datenzugriffs. Aus diesen Aufgaben
ergeben sich unterschiedliche Sicherheitsaspekte wie z. B.:
Generelle System- und Netzwerksicherheit
Es muss sichergestellt werden, dass die Netzwerke und Systeme (Hardware und Betriebssystem) vor unberechtigtem
Zugriff geschützt sind.
Sicherheit des Datenbanksystems
Die Sicherheit der Datenbank-Management-Software
(RDBMS) beinhaltet unter anderem die Kenntnis über Sicherheitsschwachstellen und Maßnahmen zu deren Behebung.
Möglichkeiten des Zugriffes auf die Datenbank
Es sollte festgelegt sein, welche Anwender mit welchen Programmen (z. B. Endanwendung, Tools zur Datenauswertung
wie zum Beispiel Microsoft Excel) auf die Datenbank zugreifen dürfen. Auch ist es wichtig zu definieren, wer welche administrativen Arbeiten am System durchführen darf. (Welche Zugriffsberechtigungen gibt es für Administratoren?)
3.
In drei Stufen zur sicheren Datenbank
Verschiedene Maßnahmen können ergriffen werden, um Daten
bzw. Datenbanken effektiv abzusichern:
Zuerst einmal sollten die einzelnen Datenbanken und Systeme anhand ihrer Datensensibilität klassifiziert werden. Diese Klassifizierung erfolgt mithilfe einer Schutzbedarfsanalyse. Hierbei werden
die Systeme in verschiedene Kategorien eingeordnet.
Kategorien für die Aufteilung können sein:
Personenbezogene Daten
Kreditkarten oder Zahlungsdaten
andere schützenswerte Daten
Daten, die nicht besonders schützenswert sind
Bei der Schutzbedarfsanalyse sollte unbedingt berücksichtigt
werden, falls Daten von unterschiedlichen Kategorien nicht auf
demselben System liegen.
16
Information Management und Consulting 25 (2010) 1
Abbildung 1: Die drei Stufen zum Schutz der Daten(-bank)
In den meisten Fällen bringt eine solche Aufnahme und Klassifizierung der Systeme schon erste Schwachstellen zutage und somit Ansatzmöglichkeiten zur Verbesserung.
Im nächsten Schritt muss festgelegt werden, welche Maßnahmen
in den unterschiedlichen Schutzbedarfsklassen unternommen
werden sollen, um den Zugriff und somit die Sicherheit zu gewährleisten.
4.
Weitere Maßnahmen
Bekanntermaßen gibt es fast keine Software ohne Sicherheitslücken, was leider auch auf Datenbanksysteme zutrifft. Die Systeme nahezu aller Hersteller (z. B. Microsoft, Oracle oder SAP) weisen unterschiedliche Lücken auf. Im Anschluss an die Schutzbedarfsanalyse sollten die Systeme der Reihe nach auf mögliche
Schwachstellen überprüft werden. Diese Überprüfung kann auf
unterschiedliche Weise erfolgen.
4.1 Herstellerinformationen
Informationen der Datenbankhersteller, in denen die Schwachstellen beschrieben sind, können für die Behebung von Sicherheitslücken sehr hilfreich sein.
4.2 Analyse-Tools
Eine andere Möglichkeit, relevante Lücken zu finden, bietet die
Analyse der einzelnen Systeme mit so genannten „Schwachstellenscannern“. Diese Tools ermöglichen in der Regel auch die Überprüfung der Datenbankinhalte oder des eigens abgespeicherten
Programmcodes (Prozeduren und Funktionen) auf mögliche Sicherheitslücken. Hat man nun eine Übersicht über die gefundenen
Schwachstellen gewonnen, folgen im nächsten Schritt die Überlegungen zu deren Behebung. Solche Untersuchungen sollten bei
Sicherheit und Datenschutz
Abbildung 2: Beispiel für die Veröffentlichung von
http://www.oracle.com/technology/deploy/security/alerts.htm)
Security-Schwachstellen
und
Patches
für
Oracle
Datenbanken
(Quelle:
besonders schützenswerten Systemen in regelmäßigen Abständen durchgeführt werden.
In den meisten Fällen klären sich solche Fragen im direkten Dialog
mit den Softwareherstellern.
4.3 Sicherheitsupdates
4.4 Sicherer Betrieb durch Standards
Ebenso wichtig wie die Identifizierung von Schwachstellen ist der
grundsätzliche Schutz der Systeme. In diesen Schutz sollte viel
Energie gesteckt werden.
Es sollte zum Beispiel überprüft werden, ob die Sicherheits-Updates der Datenbankhersteller eingespielt wurden. Diese Updates
schließen viele der bekannten oder auch noch nicht veröffentlichten Sicherheitsschwachstellen.
Sicherlich ist die Installation eines solchen Updates immer abhängig von der Software, die die Datenbank verwendet, sowie von
deren Herstellern. Denn nicht alle Anwendungshersteller (z. B. SAP
oder Oracle) lassen die Installation der aktuellen Patches zu. Der
Support der Anwendungen ist oftmals an genaue Vorgaben zu
Versionen und Patches gebunden. In einem solchen Fall muss man
abwägen, was in dem Moment wichtiger ist: der Schutz der Daten
oder der Support der Anwendung.
Durch die Definition von IT-Standards ist es möglich, unsichere
Systemkonstellationen von vornherein zu vermeiden. In diesen
Standards sollte definiert werden, welche Prozesse durchgeführt
werden, um ein neues System zu implementieren. Sind diese Abläufe transparent dokumentiert und existieren genaue Vorgaben,
welche Systemkonfigurationen (zum Beispiel verwendete Systemtypen, Softwareversionen, usw.) zugelassen sind, können erhebliche Sicherheitslücken von vornherein vermieden werden.
5.
Fazit
Um gravierende Auswirkungen, wie sie im Szenario des DatenDiebstahls zu Beginn dieses Beitrags beschrieben wurden, zu verhindern, bedarf es eines ausreichenden Datenbank-Schutzes. Weil
es jedoch viele unterschiedliche Möglichkeiten gibt, auf Daten-
Information Management und Consulting 25 (2010) 1
17
Autor
Björn Bröhl
OPITZ CONSULTING Direktor Strategie
& Innovation
Oracle ACE Director
E-Mail: bjoern.broehl@opitzconsulting.com
Blog: http://blog.bbroehl.eu
Twitter: http://twitter.com/bbroehl
OPITZ CONSULTING
Kirchstraße 6
51647 Gummersbach
Tel.: 02261-6001-0
Fax: 02261-6001-4200
E-Mail: info@opitz-consulting.com
Internet: www.opitz-consulting.com
OPITZ CONSULTING
Abbildung 3: Beispiel für einen dokumentierten Prozess (Auszug) zur
Erstellung neuer Datenbanken
banken unerlaubt zuzugreifen, ist dieses Thema unendlich komplex. Für einen optimalen Schutz sollte daher ein Bündel verschiedener Maßnahmen ergriffen werden. Die Erstellung einer
Schutzbedarfsanalyse ist sicherlich ein guter erster Schritt, um
sich mit der Thematik und den möglichen Auswirkungen für das
eigene Unternehmen zu beschäftigen. Was anschließend im Einzelnen unternommen werden kann, um Schwachstellen zu beheben, muss individuell entschieden werden.
Die Sicherheit der Datenbanken und der darin enthaltenen Daten
sollte für jeden IT-Verantwortlichen höchste Priorität haben. Mithilfe der beschriebenen Maßnahmen haben Unternehmen jedenfalls eine gute Chance, den Missbrauch oder den Diebstahl von
Daten zukünftig zu erschweren oder sogar ganz unmöglich zu machen.
18
Information Management und Consulting 25 (2010) 1
ist Projektspezialist im Java-, SOA- und Oracle Markt. Das Unternehmen unterstützt seine Kunden bei der Erstellung ihrer IT-Strategie, berät sie beim Prozessdesign und der Aufnahme der Anforderungen. Darüber hinaus konzipiert und realisiert der Dienstleister kundenspezifische IT-Lösungen, gewährleistet den hochverfügbaren Betrieb und bildet die Mitarbeiter seiner Kunden mithilfe seiner Schulungszentren in der optimalen Nutzung von Systemen und Technologien aus. OPITZ CONSULTING wurde 1990 gegründet und beschäftigt über 400 Mitarbeiter an Standorten in
Deutschland, Polen und der Schweiz.
Databases are the core of information processing – How can I protect by data?
When it comes to storage of information, databases play a
significant role with various risks. Different kinds of sensible
mostly person oriented data, e. g. data regarding credit cards,
personal data and other business critical data are stored in
databases. Companies already invest a lot to retain security
of the application systems that are used to access these databases. Typically security is ensured through user verification when logging in or by the use of firewalls on the network. But how can the databases with the relevant data be
protected specifically?
Document
Kategorie
Uncategorized
Seitenansichten
7
Dateigröße
510 KB
Tags
1/--Seiten
melden