Проверка безопасности Oracle

Как и любая другая СУБД база данных Oracle обладает множеством уязвимостей, которые легко может использовать злоумышленник. Примечательно, что большинство инцидентов носит внутренний характер, т.е. непосредственно связано со случайными или умышленными действиями сотрудников компании. Обеспечение высокого уровня защиты становится обязательным моментом для успешной и стабильной работы компании, ведь информация сегодня – это один из наиболее ценных ресурсов в бизнесе. Для сохранения конфиденциальности и целостности информации компании используют различные системы безопасности БД Oracle.

Безопасность Oracle: базовые условия использования БД

Для того чтобы был обеспечен базовый уровень безопасности Oracle необходимо учесть следующие моменты при использовании БД:

1. Определить права доступа, обозначить ответственных лиц. Первоначально необходимо распределить права доступа между администраторами, программистами и другими сотрудниками отдела IT. Они никак не могут быть равными между собой и иметь одинаковый уровень доступа к данным. Обычно назначается 1-2 привилегированных лица, которые обладают полным доступом к СУБД. Эти люди должны быть ответственны за безопасность, оптимизацию баз данных.

2. Создание пользователей, ролей. Эти два типа объектов используются для распределения прав доступа. Помогают организовать удобный доступ только для той информации, которая требуется для решения поставленных задач. Например, бухгалтер получает доступ к финансовой документации, техник к технической информации и т.д.

3. Поддержание безопасности учетных записей. Во-первых, необходимо использовать разные и сложные пароли для доступа к различным разделам баз данным. Во-вторых, пароли не должны храниться в самой программе, потому что их легко извлечь и использовать посторонним лицам.

Рекомендации как повысить безопасность БД Oracle

• Заблокировать все учетные записи, которые присутствуют по умолчанию. Для них характерно упрощенное обслуживание: одинаковый пароль и логин, отсутствие ограничений прав. Все записи, особенно при переустановке БД должны быть настроены согласно требованиям ИБ, а все неиспользуемые и потенциально опасные записи должны быть сразу удалены.

• Своевременное обновление Oracle. Пропущенный или отложенный патч, обновление повышают риск появления брешей в защите. Встроенные системы безопасности БД Oracle полезны только в том случае, если они настроены подобающим образом и умеют распознавать новейшие угрозы. Необходимо сразу при установке СУБД позаботиться о последней актуальной версии обновлений, особенно тех, которые носят критический статус.

• Удаляем дополнительные привилегии для Public ролей. По умолчанию любой пользователь может получить ненужные ему привилегии, если его роль будет определяться как Public. Этот момент нужно настроить вручную, чтобы избежать недоразумений. К числу наиболее критичных пакетов, которые желательно сразу же исключить из Public ролей относятся DBMS_SQL*, DBMS_XMLGEN, UTL_TCP*.

• Задействовать режим аудита БД. Изначально аудит исполняемых команд SQL в БД Oracle находится в неактивном состоянии. Это чревато получением доступа хакерами при взломе базы к наиболее важным учётным записям: SYS, SYSDBA или SYSOPER.

• Использовать триггеры для схемы аудита, событий. Это позволит получить своевременный и полный отчет о том, кто, когда вносил изменения в БД, отслеживать события при входе и выходе пользователей. Обычно настраивают DDL, Error, Logon триггеры.

• Активно использовать DAM как вспомогательный инструмент защиты. Данное приложение мониторинга ведет свою детальность, направленную на поиск вторжений постоянно, не зависит от случаев изменений функций аудита, журналирования. По функционалу во многом сопоставимо с IDS-системами или анализатором безопасности приложений Solar appScreener.

• Использовать управление паролями в полной мере. Для каждого из пользователей необходимо создавать отдельную учетную запись со своим логином и паролем. В противном случае система предложит профиль по умолчанию, что чревато простотой его взлома. В управлении паролями можно задействовать опции блокировки аккаунта на какой-то срок после определённого числа неудачных попыток или установить принудительный срок действия пароля, что потребует его замены на новый. Такие меры существенно усложняют работу злоумышленникам.

• Использование дополнительного ПО для оценки уязвимости БД, выявления слабых мест, их защиты. В этом вопросе рекомендуется использовать решения разных классов для достижения результата. Например, сканеры безопасности, файрвол, шифровальщик и маскировщик данных.

Проверка безопасности Oracle должна носить регулярный характер, иначе все закончится инцидентом. Обязательно должна быть выстроена четкая политика безопасности, контроль, установлены ответственные лица. Невнимательность и пренебрежение защитными мерами сотрудниками могут дорого обойтись компании. Только принятие дополнительных мер безопасности и их своевременное исполнение гарантируют стабильное исполнение бизнес-процессов.