Десять самых распространенных уязвимостей в системе безопасности баз данных

Цифровая война и количество кибератак по всему миру растут, и защита корпоративных сетей становится ещё более важной.

Базы данных являются ключевой целью для киберпреступников из-за того, что зачастую в них хранится ценная конфиденциальная информация. Будь то финансовые данные или интеллектуальная собственность и корпоративные секреты, хакеры по всему миру могут получить прибыль от взлома серверов компаний и кражи баз данных.

Согласно новому отчёту, опубликованному Dark Reading, существует ряд ключевых уязвимостей в системе безопасности, которыми пользуются киберпреступники. Однако зачастую именно сотрудники предприятия — разработчики баз данных, администраторы и тому подобное — создают среду, необходимую для атак с целью получения доступа к данным.

По словам исследователей, в системах, управляемых базами данных, часто встречаются следующие десять уязвимостей:

1. Ошибки развертывания

Наиболее распространённой причиной уязвимостей баз данных является недостаточное внимание к ним в момент развёртывания. Несмотря на то, что любая база данных тестируется на функциональность и чтобы убедиться, что она выполняет то, для чего предназначена, очень мало проверок проводится для того, чтобы убедиться, что база данных не выполняет то, чего не должна делать.

2. Неработающие базы данных

Червь SQL Slammer в 2003 году смог заразить более 90% уязвимых компьютеров в течение 10 минут после запуска, за считаные минуты выведя из строя тысячи баз данных. Этот червь воспользовался ошибкой, обнаруженной в программном обеспечении Microsoft SQL Server в прошлом году, но лишь немногие системные администраторы установили исправление, оставив компьютеры уязвимыми.

Успех червя, использовавшего уязвимость переполнения буфера, демонстрирует, насколько важно устанавливать исправления и обновления безопасности. Однако из-за нехватки времени или ресурсов не все компании регулярно обновляют свои системы, оставляя базы данных уязвимыми.

3. Утечки данных

Базы данных могут считаться «внутренней» частью офиса и быть защищёнными от интернет-угроз (поэтому данные не нужно шифровать), но это не так. Базы данных также содержат сетевой интерфейс, поэтому хакеры могут перехватывать трафик такого типа и использовать его. Чтобы избежать подобных проблем, администраторам следует использовать платформы для обмена данными с шифрованием SSL или TLS.

4. Украденные резервные копии баз данных

Внешние злоумышленники, проникающие в системы для кражи данных, представляют собой одну из угроз, но как насчёт тех, кто находится внутри корпорации? В отчёте говорится, что инсайдеры также могут красть архивы, в том числе резервные копии баз данных, ради денег, прибыли или мести. Это распространённая проблема для современных предприятий, и компаниям следует рассмотреть возможность шифрования архивов, чтобы снизить риск, связанный с инсайдерами.

5. Злоупотребление функциями базы данных

Исследовательская группа утверждает, что за последние три года все выявленные ими уязвимости в базах данных были основаны на злоупотреблении стандартной функцией базы данных. Например, хакер может получить доступ с помощью законных учётных данных, прежде чем заставить сервис выполнить произвольный код. Несмотря на сложность, во многих случаях этот доступ был получен благодаря простым уязвимостям, которые позволяют использовать такие системы или полностью обходить их. В будущем злоупотребления можно будет ограничить, удалив ненужные инструменты — не устранив возможность использования эксплойтов нулевого дня, но хотя бы сократив площадь поверхности, которую хакеры могут изучить для проведения атаки.

6. Отсутствие разделения

Разделение полномочий администратора и пользователей, а также разграничение обязанностей может затруднить мошенничество или кражу, совершаемые внутренними сотрудниками. Кроме того, ограничение полномочий учётных записей пользователей может затруднить хакерам получение полного контроля над базой данных.

7. Классики

Вместо того чтобы воспользоваться переполнением буфера и получить полный доступ к базе данных на первом этапе, киберпреступники часто играют в «классики»: ищут уязвимость в инфраструктуре, которую можно использовать в качестве рычага для более серьёзных атак, пока не доберутся до серверной системы баз данных. Например, хакер может пробраться в ваш отдел по работе с клиентами, прежде чем добраться до отдела обработки кредитных карт. Если в каждом отделе не установлен одинаковый уровень контроля, создание отдельных учётных записей администраторов и разделение систем может помочь снизить риск.

8. SQL-инъекции

SQL-инъекции, которые часто используют хакеры, остаются серьёзной проблемой в защите корпоративных баз данных. Приложения подвергаются атакам с помощью инъекций, и администратору базы данных приходится устранять последствия, вызванные некорректными переменными и вредоносным кодом, который вставляется в строки, а затем передаётся на экземпляр SQL-сервера для анализа и выполнения. Лучшими способами защиты от этих угроз являются защита баз данных, доступных через Интернет, с помощью брандмауэров и проверка входных переменных на наличие SQL-инъекций во время разработки.

9. Нестандартное управление ключами

Системы управления ключами предназначены для обеспечения безопасности ключей, но исследовательская группа часто обнаруживала, что ключи шифрования хранятся на дисках компании. Администраторы баз данных иногда ошибочно полагают, что эти ключи нужно оставлять на диске из-за сбоев в работе базы данных, но это не так, и размещение таких ключей в незащищённом состоянии может сделать системы уязвимыми для атак.

10. Несоответствия в базе данных

В конце концов, исследователи обнаружили, что общей чертой, объединяющей все эти уязвимости, является отсутствие согласованности, что является скорее административной, чем технологической проблемой. Системным администраторам и разработчикам баз данных необходимо выработать последовательную практику работы с базами данных, чтобы быть в курсе угроз и устранять уязвимости. Это непростая задача, но документация и автоматизация для отслеживания и внесения изменений могут обеспечить безопасность информации, содержащейся в корпоративных сетях.

(1 оценок, среднее: 5,00 из 5)

Загрузка...