La Seguridad En Base De Datos

INSTITUTO TECNOLÓGICO DE PIEDRAS NEGRAS.

PRINCIPIOS BÁSICOS DE
SEGURIDAD EN BASES
DE DATOS.
Taller de Base de Datos
Ing. Jesús Zertuche Rodríguez

I.S.C.

REALIZADO POR:

MARIJESUS MARTÍNEZ APOLINAR.

PRINCIPIOS BÁSICOS DE SEGURIDAD EN BASES DE DATOS. I.S.C.

1.

La seguridad de las bases de datos.

La gran mayoría de los datos sensibles del mundo están almacenados ensistemas
gestores de bases de datos comerciales tales como Oracle, Microsoft SQL Server
entre otros, y atacar una bases de datos es uno de los objetivos favoritos para los
criminales.
Esto puede explicar por qué los ataques externos, tales como inyección de SQL,
subieron 345% en 2009, “Esta tendencia es prueba adicional de que los agresores
tienen éxito en hospedar páginas Web maliciosas, y de quelas vulnerabilidades y
explotación en relación a los navegadores Web están conformando un beneficio
importante para ellos”
Para empeorar las cosas, según un estudio publicado en febrero de 2009 The
Independent Oracle Users Group (IOUG), casi la mitad de todos los usuarios de
Oracle tienen al menos dos parches sin aplicar en sus manejadores de bases de
datos.
Mientras que la atencióngeneralmente se ha centrado en asegurar los perímetros de
las redes por medio de, firewalls, IDS / IPS y antivirus, cada vez más las
organizaciones se están enfocando en la seguridad de las bases de datos con datos
críticos, protegiéndolos de intrusiones y cambios no autorizados.
En las siguientes secciones daremos las siete recomendaciones para proteger una
base de datos en instalacionestradicionales.

Taller de Base de Datos

Página 2

PRINCIPIOS BÁSICOS DE SEGURIDAD EN BASES DE DATOS. I.S.C.
2.

Principios básicos de seguridad de bases de datos

En esta sección daremos siete recomendaciones sobre seguridad en bases de datos,
instaladas en servidores propios de la organización.
2.1 Identifique su sensibilidad
No se puede asegurar lo que no se conoce.
Confeccione un buencatálogo de tablas o datos sensibles de sus instancias de base
de datos. Además, automatice el proceso de identificación, ya que estos datos y su
correspondiente ubicación pueden estar en constante cambio debido a nuevas
aplicaciones o cambios producto de fusiones y adquisiciones.
Desarrolle o adquiera herramientas de identificación, asegurando éstas contra el
malware , colocado en su base dedatos el resultado de los ataques de inyección SQL
; pues aparte de exponer información confidencial debido a vulnerabilidades, como
la inyección SQL, también facilita a los atacantes incorporar otros ataques en el
interior de la base de datos.
2.2 Evaluación de la vulnerabilidad y la configuración.
Evalúe su configuración de bases de datos, para asegurarse que no tiene huecos de
seguridad.Esto incluye la verificación de la forma en que se instaló la base de datos y su
sistema operativo (por ejemplo, la comprobación privilegios de grupos de archivo lectura, escritura y ejecución- de base de datos y bitácoras de transacciones).
Asimismo con archivos con parámetros de configuración y programas ejecutables.
Además, es necesario verificar que no se está ejecutando la base de datos con
versiones que incluyen vulnerabilidades conocidas; así como impedir consultas SQL
desde las aplicaciones o capa de usuarios. Para ello se pueden considerar (como
administrador):




Limitar el acceso a los procedimientos a ciertos usuarios.
Delimitar el acceso a los datos para ciertos usuarios, procedimientos y/o datos.
Declinar la coincidencia de horarios entre usuarios quecoincidan.

Taller de Base de Datos

Página 3

PRINCIPIOS BÁSICOS DE SEGURIDAD EN BASES DE DATOS. I.S.C.

2.3 Endurecimiento
Como resultado de una evaluación de la vulnerabilidad a menudo se dan una serie de
recomendaciones específicas. Este es el primer paso en el endurecimiento de la base
de datos. Otros elementos de endurecimiento implican la eliminación de todas las
funciones y...