Seguridad en Base de Datos y grandes

vulnerabilidades

Miguel ngel Snchez vila

Universidad Piloto de Colombia
Bogot
Ing_miguelsanchez@hotmail.com
 acciones (actualizar, grupos mejorando la
Abstract: Security in the procedimientos y procesos
modificar, borrar) que los administracin de los
database search that en la manera en que se
usuarios pueden tener usuarios de acuerdo al rea
information is only almacena, procesa y
sobre estos. o ubicacin.
accessed by authorized asegura la informacin de
persons (Confidentiality), todas las personas.
C. Esquemas de D. Mecanismos de
that information is
seguridad en seguridad en
available at any time by Teniendo en cuenta esto
bases de datos Bases de datos
the user who need it las bases de datos nos
(Availability) and that the permiten gestionar de
Las bases de datos pueden Control de acceso: incluye
data has not been modified manera centralidad y
controlar el nivel de restriccin de acceso al
or deleted by unauthorized ordenada toda informacin
acceso por el tipo de sistema como un todo. Se
users (Integrity). Hence ingresada, actualizada o
usuario. pone en prctica en la
the importance of eliminada de transacciones
creacin de usuarios y
professionals who manage realizadas diariamente.
DBA: es la autoridad contrasea para que el
information ( DBA ) ,
central que controla todo SGDB controle el acceso
implement policies or II. Desarrollo de los objetos de la base de de entrada.
procedures that improve Contenidos datos. Este usuario tiene
the logical and physical
security , also mitigate any A. Conceptos algunos privilegios extras Cifrado de datos: protege
risks that may affect the Generales por si en algn momento los datos confidenciales
information. la base de datos presenta que se transmiten por
alguna falla. Relaza las algn medio de
Base de datos: son bancos
de informacin que siguientes acciones: comunicacin (cable,
Palabras Claves: Bases
ondas, etc.). Los datos se
de Datos, seguridad, DBA, contienen datos relativos y
usuarios, Roles, SQL, que utilizan diferentes Creacin de codifican mediante algn
usuarios. algoritmo, algn usuario
cifrado. formas de normalizacin
para ordenar los datos. no autorizado que tenga
Concesin de acceso a los datos, tendr
I. Introduccin algn problema al
Seguridad: es la privilegios.
La informacin ha pasado descifrarlos.
capacidad que tiene un
a ser el activo ms producto de software o Revocacin de
importante de las hardware de proteger los privilegios. Backup y recuperacin: se
organizaciones, incluso de realizan copias de
datos y la informacin
cualquier activo para que personas no Asignacin de seguridad de las bases de
tradicional (econmicos, niveles de datos de acuerdo a las
autorizada no puedan
humanos, materia prima). leerlos o modificarlos y seguridad. polticas establecidas de
Ya que los datos backup. Con ello una
que el acceso no se ha
representan el situacin posible recuperacin ante
denegado al personal Responsable de la
actual de la organizacin; alguna falla.
autorizado (no repudio). seguridad global
empleados, contabilidad, del sistema de
ventas, compras, etc. Esto B. Categoras de la base de datos. Auditoria: permite
permite que la gerencia y registrar informacin
seguridad en
dems personas a cargo base de datos sobre las modificaciones,
Usuario: son las personas
pueden tomar decisiones ingreso o eliminacin de
que acceden a algn
que permitan solucionar o los objetos de las base de
Seguridad del Sistema servicio de
mejorar procesos internos. datos.
almacenamiento de
Cubre el acceder y usar la informacin en una base
En Colombia existe la base de datos a nivel de datos, donde puede III. BUENAS
Superintendencia de sistema, como el nombre realizar consultas y PRCTICAS EN
Industria y Comercio, del usuario, contrasea, manipular tablas que SEGURIDAD EN
entidad que con la ley espacio de conforman la base de
1266 de 2008 Habeas BASE DE DATOS
almacenamiento en disco y datos de acuerdo a los
Data, exige que las las diferentes operaciones permisos previamente
empresas deben tener una A. Identifique su
que le usuario puede establecidos por el DBA. sensibilidad
gestin de seguridad en el realizar
manejo de la informacin Perfiles o Roles: conjunto
(proteccin de datos). No se puede asegurar lo
Seguridad de los datos de usuarios que que no se conoce.
Toda entidad que tenga representan un
sistemas de informacin, Es el acceso y utilizacin departamento o ubicacin.
deber implementar o Se debe disear un buen
de objetos o esquemas de Esto permite que el DBA
ejecutar planes, catlogo de tablas o datos
las base de datos y las pueda crear permisos por

2
sensibles de las instancias procedimientos a que un cambio se realice, Recuerde que es un
de la base de datos, tratar ciertos usuarios. este podra afectar a la requisito de auditora, y
de automatizar el proceso seguridad de la base de tambin es importante para
de autenticacin, ya que Delimitar el datos. las investigaciones
los datos pueden estar en acceso a los datos forenses.
constante cambio debido a para ciertos E. Monitoreo
que las aplicaciones tienen usuarios, La mayora de las
nuevas actualizaciones o procedimientos Monitorear en tiempo de organizaciones en la
versiones y/o datos. ejecucin las transacciones actualidad emplean alguna
o actividades de la base de forma de manual de
Desarrolle o adquiera Declinar la datos, implemente o auditora de transacciones
herramientas de coincidencia de adquiera agentes o aplicaciones nativas de
identificacin, horarios entre inteligentes de monitoreo, los sistemas gestores de
asegurndolo contra el usuarios que deteccin de intrusos, con bases de datos. Sin
malware, permitiendo coincidan. los cual le permitir embargo, estas
otorgar el ingreso controlar de manera aplicaciones son a menudo
solamente a la persona que C. Endurecimiento sistematizada los posibles desactivadas, debido a:
tiene los permisos y evala ataques.
si es el usuario quien dice Como resultado de una Su complejidad
ser evaluacin de las Por ejemplo, alertas sobre
vulnerabilidades a menudo patrones inusuales de Altos costos
B. Evaluacin de se dan una serie de acceso, que podran operativos
la vulnerabilidad recomendaciones indicar la presencia de un
y la especficas. Este es el ataque de inyeccin SQL, Problemas de
configuracin primer paso en el cambios no autorizados a rendimiento
endurecimiento de la base los datos, cambios en
Realice una evaluacin de datos. privilegios de las cuentas, La falta de
profunda de la y los cambios de segregacin de
configuracin de la base El eliminar funciones y configuracin que se funciones y la
de datos donde permite opciones que estn en ejecutan a mediante de necesidad de
corroborar que no tiene funcionamiento permite comandos de SQL. mayor capacidad
posibles vulnerabilidades endurecer y evitar que la de
o huecos de seguridad. base de datos tenga alguna El monitoreo dinmico es almacenamiento.
puerta abierta. tambin un elemento
Saber de cmo se tratan esencial de la evaluacin Afortunadamente, se han
los datos en cuanto los Aplique una poltica de vulnerabilidad, le desarrollado soluciones
privilegios que tienen los estricta sobre que se puede permite ir ms all de con un mnimo de impacto
distintos usuarios para la y que no se puede hacer, evaluaciones estticas o en el rendimiento y poco
lectura, escritura o pero asegrese de forenses. Un ejemplo costo operativo, basado en
modificacin. desactivar lo que no clsico lo vemos cuando tecnologas de agente
necesita. mltiples usuarios inteligentes.
Asimismo con archivos comparten credenciales
con parmetros de D. Audite con privilegios o un G. Autenticacin,
configuracin y programas nmero excesivo de control de
ejecutables. Ala ver creado un inicios de sesin de base acceso, y Gestin
configuracin y controles de datos. de derechos
Es necesario verificar que de endurecimiento, realice
no se est ejecutando la auditorias y seguimientos No todos los datos y no
base de datos con a las recomendaciones todos los usuarios son
versiones o previamente dadas, creados iguales. Usted
actualizaciones que evitando que no se desvi debe autenticar a los
incluyen vulnerabilidades del objetivos principal F. Pistas de usuarios, garantizar el
conocidas; as como (seguridad). Auditora sometimiento de cuentas
impedir consultas SQL por usuario, y gestionar los
desde las aplicaciones o Automatice el control de la Aplique pistas de auditora privilegios para de limitar
capa de usuarios. Para ello configuracin de tal forma y genere trazabilidad de el acceso a los datos.
se pueden considerar que se registre cualquier las actividades que afectan
(como administrador): cambio en la misma. la integridad de los datos, Implemente y revise
Implemente alertas sobre o la visualizacin los datos peridicamente los
Limitar el acceso cambios en la sensibles. informes sobre los
a los configuracin. Cada vez derechos de usuarios,
como parte de un proceso Los usuarios pueden llegar
de formal de auditora. a abusar de los privilegios
legtimos de bases de
Utilizar un tipo de cifrado datos para fines no
con los datos importantes, autorizados, por ejemplo,
con lo cual no sern sustraer informacin
entendido por los confidencial. Una vez que
atacantes, ya sea que los registros de
hayan sido intersectados informacin alcanzan una
en el medio. Esto de mquina cliente, los datos
alguna forma complicara se exponen a diversos
el trabajo de las personas escenarios de violacin.
que estn intentando robar
la informacin. C. Inyeccin por
SQL.
H. Respaldo ante
fallas Un ataque de este tipo
puede dar acceso a alguien
Realice copias de y sin ningn tipo de
seguridad de las base de restriccin a una base de
datos, de acuerdo a las datos completa e incluso
polticas internas de la copiar o modificar la
organizacin. Con ello se informacin.
tendr una solucin de
recuperacin ante una Es uno de los ataques ms
posible falla en el servicio, comunes en ambientes
ya se lgico (datos) o Web, donde trata de
fsico (discos, servidores, insertar cadenas de texto
etc.). de sentencias SQL a la
pgina vctima, y con esto
se obtiene informacin de
la base de datos y los ms
preocupante modificacin
y eliminacin de
informacin sensible de la
organizacin.
IV.
D. Malware y spear
VULNERABILIDA
phising.
DES EN EL
ENTORNO DE Se trata de una tcnica
BASES DE DATOS combinada que usan los
cibercriminales, hackers
A. Privilegios patrocinados por estados o
excesivos e espas para penetrar en las
inutilizados. organizaciones y robar sus
datos confidenciales.
Cuando alguien se le
otorga privilegios de base E. Auditoras
de datos que exceden los dbiles.
requerimientos de su
puesto de trabajo se crea No recopilar registros de
un riesgo innecesario. Los auditora detallados puede
mecanismos de control de llegar a representar un
privilegios de los roles de riesgo muy serio para la
trabajo han de ser bien organizacin en muchos
definidos o mantenidos. niveles.
B. Abuso de F. Exposicin de
Privilegios. los medios de
4
almacenamiento
para backup.
stos estn a menudo
desprotegidos, por lo que
numerosas violaciones de
seguridad han conllevado
el robo de discos y de
cintas. Adems, el no
auditar y monitorizar las
actividades de acceso de
bajo nivel por parte de los
administradores sobre la
informacin confidencial de todos los archivos).
puede poner en riesgo los
datos.
G. Explotacin de
vulnerabilidades
y bases de datos
mal
configuradas.
Los atacantes saben cmo
explotar estas
vulnerabilidades para
lanzar ataques contra las
empresas.
H. Datos sensibles
mal gestionados.
Los datos sensibles en las
bases de datos estarn
expuestos a amenazas si
no se aplican los controles
y permisos necesarios.
I. Denegacin de
servicio (DoS).
En este tipo de ataque se
les niega el acceso a las
aplicaciones de red o datos
a los usuarios previstos.
Las motivaciones suelen
ser fraudes de extorsin en
el que un atacante remoto
repetidamente atacar los
servidores hasta que la
vctima cumpla con sus
exigencias.
J. Virus.
Un virus es parecido a un
gusano, en cuanto se
reproduce, pero la
diferencia es que no es un
programa por s slo,
sino que es un trozo de
cdigo que se adosa a un
programa legtimo,
contaminndolo. Cuando
un programa contaminado
se ejecuta, ejecutar
tambin el cdigo del
virus, lo que permitir
nuevas reproducciones,
adems de alguna accin
(desde un simple mensaje
inocuo hasta la destruccin
K. Caballo de troya.
Un caballo de troya es
un programa
aparentemente til que
contiene un trozo de
cdigo que hace algo no
deseado.
L. Puerta trasera.
Una puerta trasera es
un punto de entrada
secreto, dejado por los
implementadores del
sistema para saltarse los
procedimientos normales
de seguridad. La puerta
trasera puede haberse
dejado con fines
maliciosos o como parte
del diseo; en cualquier
caso, son un riesgo.
M. Caza claves.
Dejar corriendo en un
terminal un programa que
pida "login:" y luego
"password:", para engaar
a los usuarios de modo que
estos revelen su clave.
Solicitar recursos como
pginas de memoria o
bloques de disco, y ver
qu informacin
contienen; muchos
sistemas no los borran
cuando se liberan, de
modo que se puede
encontrar informacin
"interesante".
Sobornar o torturar al
administrador para que
suelte la clave.
N. Software no
actualizado.
No realizacin de violaciones
actualizaciones constantes
de bases de datos o
sistemas operativos, que
permitan disolver posibles
fallas o huecos
encontrados.
Fig.1 Numero de
liberaciones de parches de
vulnerabilidades desde
2011 a 2015, por tipo de
base de datos
. Datos sin cifrar. VI. Conclusiones
La no utilizacin de
mtodos de cifrado que
permitan mejorar la
seguridad en el envi de
informacin a travs del
medio fsico, por ejemplo
se guardan los datos
sensibles de manera plana,
aumentando el riesgo de
que los datos puedan ser
manipulados o robados
fcilmente.
V. DONDE ESTN datos
LOS INTRUSOS
Existen ataques externos
que son detectados y control
controlados por firewall si
es el caso, pero aqu no es de seguridad.
el problema, de igual
manera existen ataques
internos, donde se le
permite a usuarios acceder
libremente a la base de
datos sin ningn tipo de verificando las acciones [8] El Reporte X-Force de
control o proteccin, que se ejecutan. Esto IBM revela que el
aumentando un gran permitir controlar el phishing y las amenazas
laberinto de problemas. acceso indebido de los relacionadas a documentos
recursos y posibles se incrementan
Segn un reporte de alteraciones en la dramticamente
Investigacin de informacin. http://www.lawebdelprogr
de amador.com/noticias/2460/
informacin Verizon El-Reporte-X-Force-de-
2011, los ataques a IBM-revela-que-el-
servidores de datos Referencias phishing-y-las-amenazas-
representan el 95% de los relacionadas-a-
registros comprometidos documentos-se-
durante el 2010. incrementan-
[1] ISO/IEC 27001:2005 - dramaticamente.html
Information technology --
Security techniques [en] [9] Inyeccin de cdigo
http://www.iso.org/iso/cata SQL
logue_detail? https://msdn.microsoft.co
Csnumber=42103 m/es-
es/library/ms161953.aspx
[2] ISO/IEC 17799:2005 -
Information technology -- [10] Principios Bsicos de
Security techniques [en] Seguridad en Bases de
http://www.iso.org/iso/cata Datos
logue_detailcsnumber=39 http://revista.seguridad.un
612 am.mx/numero-
Fig. 2 La mayor parte de
las violaciones a la 12/principios-basicos-de-
[3] Malware - Ataque a la seguridad-en-bases-de-
informacin
Base de Datos [en] datos
continan
http://ataquebd.blogspot.m
originndose de
x/ [11] Definicion base de
fuentes externas.
Verizon 2011 datos
[4] Sobre el Habeas Data https://es.wikipedia.org/wi
Financiero ki/Base_de_datos
http://www.sic.gov.co/drup
Las organizaciones deben al/sobre-el-habeas-data-
[12] Seguridad en Bases
construir programas para financiero
de Datos
seguridad de informacin
https://prezi.com/rx4dxnkc
solidos que los protejan y [5] Number of database
btca/seguridad-en-bases-
defiendan contra inyeccin vulnerability patch
de-datos-fernando-
de cdigo SQL, y releases from 2011 to
martinez-de-lemos/
violacin de personas con 2015, by database type
privilegios de acceso a
http://www.statista.com/sta
informacin basada en las tistics/494897/database-
mejoras prcticas de
vulnerabilities-patched/
seguridad y cumplimiento
para bases de datos.
[6] Las 10 grandes
amenazas de seguridad en
Asegurar una base de las bases de datos
requiere de; http://www.infosecurityvip
actualizacin persona, .com/newsletter/tips_jun13
autocritica, .html
autoevaluacin, estricto
de permisos, [7]Seguridad de bases de
constante monitoreo, plan datos
https://msdn.microsoft.co
m/es-
Se debe realizar un es/library/cc434708(v=vs.
constante monitoreo de los 71).aspx
usuarios que ingresan a
una base de datos,