Analizando los problemas de seguridad más comunes contra las bases de datos Microsoft SQL 2008 y Oracle 10G

Probelemática actual El robo de información se ha vuelto la mayor amenaza para las organizaciones en estos días, los criminales han identificado donde esta el dinero, dado que como todos sabemos el delito no desaparece sino que muta.

Probelemática actual Muchas son las compañías que han visto en los últimos años comprometidos sus activos intangibles, producto de haber sufrido ataques contra la confidencialidad, integridad y disponibilidad de sus bases de datos. En esta presentación se describe el porque se debe tener especial cuidado sobre estas, mostrando diferentes problemas de como pueden ser afectadas y robadas por criminales.

Impacto de la problemática actual Cuando las bases de datos dejan de trabajar, las organizaciones dejan de trabajar también, y si la causa de tal problema es que fueron hackeadas muchas veces dichas compañías podrían quedar fuera del negocio, sobre todo cuando se están cumpliendo estándares de seguridad como por ejemplo: · Sarbanes Oxley (SOX). · Payment Card Industry(PCI) Data Security Standard. · Healthcare Services (HIPAA). · Financial Services (GLBA).. · Data Accountability and Trust Act (DATA). · Etc.

Tipos de amenazas de seguridad que afectan a las bases de datos.  Password en blanco / ataque de fuerza bruta.  Password y datos capturados en la red.

Tipos de amenazas de seguridad que afectan a las bases de datos.  Explotando una mala configuración.  Infección por virus troyano.

Tipos de amenazas de seguridad que afectan a las bases de datos.  SQL injection.  Rootkit / backdoor para base de datos.

Mejorando la seguridad en MS SQL 2008 En MS-SQL-2008 podemos tomar los siguientes recaudos para fortificar la configuración:

Mejorando la seguridad en MS SQL Actualización del Motor de Base de Datos. 1.2 Estructura de Archivos. 1.3 Cuenta de usuario SQL Server Service con privilegios acotados. 1.4 Privilegio System Administrator.

Mejorando la seguridad en MS SQL Renombrar la cuenta “SA”. 1.6 Deshabilitar cuenta de usuario invitado (Guest). 1.7 Privilegio de System Administrator. 1.8 Grupos de usuarios.

Mejorando la seguridad en MS SQL Deshabilitar el stored procedure xp_cmdexec. 2.0 Auditoria de inicio de sesión. 2.1 Registros Errorlogs. 2.2 Cifrar conexiones a SQL Server. 2.3 Utilización de SQL Agent Proxy User.

Mejorando la seguridad en MS SQL SQL Mail. }2.5 Base de datos de ejemplo. 2.6 Exigir el cambio de contraseñas en el próximo inicio de sesión. 2.7 Seguridad sobre las tablas del sistema.

Mejorando la seguridad en Oracle 10G En Oracle 10g podemos tomar los siguientes recaudos para fortificar la configuración:

Mejorando la seguridad en Oracle 10G 1.1 Actualizaciones de Seguridad. 1.2 Instalación. 1.3 Configuración de usuario de Servicio. 1.4 Cuentas con el rol DBA.

Mejorando la seguridad en Oracle 10G 1.5 Política de Contraseñas. 1.6 Cuentas de usuario por defecto. 1.7 Conexión de sesiones concurrentes. 1.8 Uso de contraseñas en Scripts.

Mejorando la seguridad en Oracle 10G 1.9 Privilegios con opción “WITH ADMIN” Privilegios con opción “WITH GRANT”. 2.0 Privilegios del Tipo “ANY”. 2.1 Permisos sobre Paquetes críticos. 2.2 Acceso al Diccionario de Datos.

Mejorando la seguridad en Oracle 10G 2.3 Asignación de los Roles resource. 2.4 Uso de vínculos de Base de Datos. 2.5 Restricciones de origen de conexión. 2.6 Parámetros de Seguridad.

Mejorando la seguridad en Oracle 10G 2.7 Restricción de ejecución de comandos SET. 2.8 Configuración de Contraseñas de Listener. 2.9 Directorios y permisos Restricciones de Registry.

Conclusiones Si se comparan Microsoft SQL Server2008 y Oracle10g basándose en fallos de seguridad, se puede evidenciar que al día de hoy Microsoft es más seguro que Oracle, básicamente porque las vulnerabilidades de seguridad son corregidos en menor tiempo. En Oracle es un gran problema el tiempo de respuesta ante fallos de seguridad.