INDICE

PRINCIPIOS DE UN ADMINISTRADOR DE BASE DE DATOS

1. La seguridad de las bases de datos
2. Principios básicos de seguridad de bases de datos - Parte 1
3. Principios básicos de seguridad de bases de datos - Parte 2
4. Seguridad Principios
5. Medidas de Seguridad

Servicio de Seguridad

Autenticación:
Se examinan las capacidades de login único a la red, autenticación y seguridad. Además, se
proporciona información sobre el interfaz Security Support Provider Interface (SSPI) para
obtener servicios de seguridad integrados del sistema operativo. Kerberos es el protocolo
por defecto en Windows 2000 para autenticación en red.


Sistema de Archivos Encriptado:
El Sistema de Archivos Encriptado (Encrypted File System - EFS) proporciona la
tecnología principal de encriptación de archivos para almacenar archivos del sistema de
archivos NTFS de Windows NT encriptados en disco.


Seguridad IP:
Windows IP Security, del Internet Engineering Task Force, proporciona a los
administradores de redes un elemento estratégico de defensa para la protección de sus
redes

MAS INFORMACION EN ESTE DOCUMENTO: **DESCARGA**

Medidas de Seguridad

**CONFIDENCIALIDAD**

Autorización en sistemas de bases de datos.

• Identificación y autenticación.
• Código y contraseña.
• Identificación por Hardware.
• Características bioantropométricas.
• Conocimiento, aptitudes y hábitos del usuario.
• Información predefinida (Aficiones, cultura, etc.)

Privilegios al usuario.

• Usar una B.D.
• Consultar ciertos datos.
• Actualizar datos.
• Crear o actualizar objetos.
• Ejecutar procedimientos almacenados.
• Referenciar objetos.
• Indexar objetos.
• Crear identificadores

**Diferentes tipos de autorización.**

Autorización explícita

• Consiste en almacenar que sujetos pueden acceder a ciertos objetos con  determinados privilegios. Se usa una Matriz de Accesos
• Autorización implícita.
• Consiste que una autorización definida sobre un objeto puede deducirse a partir de otras.

Disponibilidad

Los sistemas de B.D. Deben asegurar la disponibilidad de los datos a los usuarios que 

tienen derecho a ello, por lo que se proporcionan mecanismos que permiten recuperar la 

B.D. Contra fallos lógicos o físicos que destruyan los datos.

Recuperación

El principio básico en el que se apoya la recuperación de la base de datos es la 

Redundancia Física.

INFORMACION MAS DETALLA EN ESTE DOCUMENTO: DESCARGA

Seguridad

Concepto:
El objetivo es proteger la Base de Datos contra accesos no autorizados. Se llama
también privacidad.


Incluye:
Aspectos legales, sociales y éticos

• Políticas de la empresa, niveles de información publica y privada
• Controles de tipo físico, acceso a las instalaciones
• Identificación de usuarios: voz, retina del ojo, etc.
• Controles de sistema operativo

Tipos de Usuarios:

•  DBA, están permitidas todas las operaciones, conceder privilegios y establecer usuarios.
• Usuario con derecho a crear, borrar y modificar objetos y que además puede conceder         privilegios a otros usuarios sobre los objetos que ha creado.
• Usuario con derecho a consultar, o actualizar, y sin derecho a crear o borrar objetos.

Medidas de Seguridad

• Físicas: Controlar el acceso al equipo. Tarjetas de acceso, etc.
• Personal: Acceso sólo del personal autorizado. Evitar sobornos, etc.
• SO: Seguridad a nivel de SO.
• SGBD: Uso herramientas de seguridad que proporcione el SGBD.  Perfiles de usuario, vistas, restricciones de uso de vistas, etc.

En este enlace encontraras un documento con informacion mas detalla: DOCUMENTO

Principios básicos de seguridad de bases de datos - 2

PARTE 2

4. Audite
Una vez que haya creado una configuración y controles de endurecimiento, realice auto evaluaciones y seguimiento a las recomendaciones de auditoría para asegurar que no se desvíe de su objetivo (la seguridad).

Automatice el control de la configuración de tal forma que se registre cualquier cambio en la misma. Implemente alertas sobre cambios en la configuración. Cada vez que un cambio se realice, este podría  afectar a la seguridad de la base de datos.

5. Monitoreo

Monitoreo en tiempo real de la actividad de base de datos es clave para limitar su exposición, aplique o adquiera agentes inteligentes [5] de monitoreo, detección de intrusiones y uso indebido.

Por ejemplo, alertas sobre patrones inusuales de acceso,  que podrían indicar la presencia de un ataque de inyección SQL, cambios no autorizados a los datos, cambios en privilegios de las cuentas, y los cambios de configuración que se ejecutan a mediante de comandos de SQL.

 Recuerde que el monitoreo usuarios privilegiados, es requisito para la gobernabilidad de datos y cumplimiento de regulaciones como SOX y regulaciones de privacidad. También, ayuda a detectar intrusiones, ya que muchos de los ataques más comunes se hacen con privilegios de usuario de alto nivel.

El monitoreo dinámico es también un elemento esencial de la evaluación de vulnerabilidad, le permite ir más allá de evaluaciones estáticas o forenses. Un ejemplo clásico lo vemos cuando múltiples usuarios comparten credenciales con privilegios o un número excesivo de inicios de sesión de base de datos.

5. Pistas de Auditoría

Aplique pistas de auditoría y genere trazabilidad de las actividades que afectan la integridad de los datos, o la visualización los datos sensibles.

Recuerde que es un requisito de auditoría, y también es importante para las investigaciones forenses.

La mayoría de las organizaciones en la actualidad emplean alguna forma de manual de auditoría de transacciones o aplicaciones nativas de los sistemas gestores de bases de datos.  Sin embargo, estas aplicaciones son a menudo desactivadas, debido a:

• su complejidad
• altos costos operativos
• problemas de rendimiento
• la falta de segregación de funciones y
• la necesidad mayor capacidad de almacenamiento.

Principios básicos de seguridad de bases de datos

PARTE 1 

1. Identifique su sensibilidad
 Confeccione un buen catálogo de tablas o datos sensibles de sus instancias de base de datos.  Además, automatice el proceso de identificación, ya que estos datos y su correspondiente ubicación pueden estar en constante cambio debido a nuevas aplicaciones o cambios producto de fusiones y adquisiciones.

2. Evaluación de la vulnerabilidad y la configuración
-Evalúe su configuración de bases de datos, para asegurarse que no tiene huecos de seguridad.
-Esto incluye la verificación de la forma en que se instaló la base de datos y su sistema operativo (por ejemplo, la comprobación privilegios de grupos de archivo -lectura, escritura y ejecución- de base de datos y bitácoras de transacciones).

Asimismo con  archivos con parámetros de configuración y programas ejecutables.

Además, es necesario verificar que no se está ejecutando la base de datos con versiones que incluyen vulnerabilidades conocidas; así como impedir consultas SQL desde las aplicaciones o capa de usuarios. Para ello se pueden considerar (como administrador):

• Limitar el acceso a los procedimientos a ciertos usuarios.
• Delimitar el acceso a los datos para ciertos usuarios, procedimientos y/o datos.
• Declinar la coincidencia de horarios entre usuarios que coincidan.

3. Endurecimiento

Como resultado de una evaluación de la vulnerabilidad a menudo se dan una serie de recomendaciones específicas. Este es el primer paso en el endurecimiento de la base de datos. Otros elementos de endurecimiento implican la eliminación de todas las funciones y opciones que se no utilicen.  Aplique una política estricta sobre que se puede y que no se puede hacer, pero asegúrese de desactivar lo que no necesita.

La seguridad de las bases de datos

La gran mayoría de los datos sensibles del mundo están almacenados en sistemas gestores de bases de datos comerciales tales como Oracle, Microsoft SQL Server entre otros, y atacar una bases de datos es uno de los objetivos favoritos para los criminales.

Esto puede explicar por qué los ataques externos, tales como inyección de SQL, subieron 345% en 2009, “Esta tendencia es prueba adicional de que los agresores tienen éxito en hospedar páginas Web maliciosas, y de que las vulnerabilidades y explotación en relación a los navegadores Web están conformando un beneficio importante para ellos”

Para empeorar las cosas, según un estudio publicado en febrero de 2009 The Independent Oracle Users Group (IOUG), casi la mitad de todos los usuarios de Oracle tienen al menos dos parches sin aplicar en sus manejadores de bases de datos .

 Mientras que la atención generalmente se ha centrado en asegurar los perímetros de las redes por medio de, firewalls, IDS / IPS y antivirus, cada vez más las organizaciones se están enfocando en la seguridad de las bases de datos con datos críticos, protegiéndolos de intrusiones y cambios no autorizados.