Achillova pata kybernetické bezpečnosti

Při čtení zpráv je v dnešní době těžké uniknout mýtu o Achilleovi. V mýtu ho Achillova matka Thetis ponořila do řeky Styx, aby byl neporazitelný. Ona ho však držela za patu, takže jedno místo zůstalo zranitelné. Tato malá chyba vedla k jeho pádu, když protivník vystřelil šíp do této nechráněné oblasti.

Tento starověký příběh slouží jako silná alegorie dnešního prostředí kybernetické bezpečnosti. Stejně jako měl Achilles jediné slabé místo, které zpečetilo jeho osud, mají dnešní organizace zranitelná místa, která mohou nežádoucí návštěvníci objevit a využít. Zdánlivě drobná chyba může vést k „zániku“ vašich citlivých dat.

Bohužel v reálném životě může být takových Achillových pat ne jedna, ale mnoho. Útoky mohou také pocházet od externích hackerů, outsiderů vydávajících se za důvěryhodné zaměstnance nebo dokonce od zlomyslných zasvěcenců. Organizace proto potřebují robustní a komplexní zabezpečení, které se snadno používá a je automatizované, což jim umožňuje snadno a rychle chránit svá data.

Navíc, i když je na místě nejlepší obrana, musí být organizace připraveny na možnost narušení nebo útoku ransomwaru. Klíčem je minimalizovat ztrátu důležitých dat i v případě úspěchu útoku. Rychlá obnova z narušení nebo útoků ransomwaru je navíc nezbytná pro minimalizaci narušení podnikání.

Případová studie: Narušení cloudové databáze

Vezměte si nedávný případ poskytovatele cloudové databáze. Je vždy obtížné zjistit podrobnosti o narušení bez přímého zapojení, ale zprávy naznačují, že porušení začalo u zákaznických účtů, které postrádaly vícefaktorové ověření. Útočníci zneužili ukradená uživatelská jména a hesla k přístupu a extrahování obrovského množství citlivých dat. Nedávné zprávy naznačují, že více než polovina dospělých Američanů byla zasažena tímto porušením.

Přestože útočníci využili nedostatek vícefaktorové autentizace, existovaly velmi omezené kontroly ze strany dodavatele cloudu, které zákazníkům pomohly minimalizovat potenciální ztráty v případě narušení:

• Zjišťování dat: Bez nástrojů pro zjišťování dat nemohou zákazníci posoudit, kolik citlivých dat a kde mají. Bez viditelnosti dat nemohou přijímat adekvátní opatření k minimalizaci rizik.
• Anonymizace dat: Bez nástrojů k maskování původních osobních údajů (PII) nemohou předat databáze pro analýzu, aniž by podstupovali obrovská rizika. Maskování nebo anonymizace dat mohlo způsobit, že ukradené informace budou pro hackery bezcenné.
• Minimalizace dat: Když jsou data zkopírována do datového skladu, zákazníci často načítají všechna svá data, čímž riskují data za roky, když by stačila data za pouhý rok. Potřebují nástroje k omezení dat ve svém skladu pouze na to, co je nezbytné pro analýzu.

Implementace těchto postupů před zkopírováním dat do svého skladu mohla pomoci zmírnit rizika a chránit je před ničivými ztrátami.

Kromě toho chybělo mnoho dalších základních bezpečnostních kontrol:

• Absence IP Allow-listing ve výchozím nastavení: Bez jakéhokoli omezení na konkrétní autorizované IP adresy ve výchozím nastavení může kdokoli přicházející z veřejného internetu se správnými přihlašovacími údaji přistupovat k databázi. Použití soukromých odkazů není dostupné pro všechny edice.
• Neomezené spouštění SQL: Nedostatek kontroly nad příkazy SQL umožnil útočníkům nebo osobám s kompromitovanými uživatelskými pověřeními snadno extrahovat citlivá data.
• No Password Expiry: Podle zpráv byly některé přihlašovací údaje zakoupené na černém trhu ukradeny již dávno. Bez zásad vypršení platnosti hesla mají taková hesla dlouhou životnost a zůstávají použitelná po delší dobu.
• Neadekvátní sledování aktivity uživatelů: Složité dotazy SQL a související dlouhá doba potřebná k monitorování aktivity uživatelů na tomto cloudovém dodavateli odrazovaly od účinného dohledu, což vedlo k přehlédnutým anomáliím.
• Funkce omezeného zabezpečení: Základní funkce zabezpečení, jako je auditování, nebyly dostupné ve všech edicích databází, což představovalo významnou překážku pro efektivní správu zabezpečení.

Moderní přístup

Aby se organizace vyrovnaly s dnešním prostředím hrozeb, osvojují si přístup nulové důvěry. Ke každé interakci mezi lidmi a systémy nebo mezi systémy přistupují, jako by byly potenciálně ohroženy, a poté aplikují odpovídající bezpečnostní kontroly, aby minimalizovaly riziko.

Oracle má desítky let zkušeností s ochranou většiny nejcitlivějších dat na světě u mnoha nejvýznamnějších světových bank, telekomunikací, poskytovatelů zdravotní péče, vlád a maloobchodníků. Jako jeden ze čtyř největších cloudových hyperscalerů je Oracle pravděpodobně nejlépe známý pro naši vlajkovou loď Oracle Database. Pojďme se „vynulovat“ na nabídky cloudových databází Oracle a diskutovat o tom, jak od základu budujeme zabezpečení, prosazujeme a umožňujeme principy nulové důvěry.

Zabezpečení databáze Oracle s nulovou důvěrou

Databáze jsou hlavním cílem útočníků díky jejich koncentrovaným úložištím vysoce cenných dat, která jsou navržena tak, aby se dala snadno vyhledávat, analyzovat a zpeněžit. K ochraně těchto kritických aktiv je nezbytné přijmout přístup nulové důvěry – to znamená považovat každou interakci s databází za potenciálně nepřátelskou.

Na základní úrovni mezi základní bezpečnostní opatření patří bezpečnostní záplatování, silná vícefaktorová autentizace, šifrování dat v klidu i při přenosu a monitorování. Tyto bezpečnostní mechanismy by měly být nedílnou součástí databázové služby a musí být vždy zahrnuty.

Tato opatření odškrtávají důležitá políčka, ale k odvrácení moderních útoků nestačí.

Oracle také v cloudových databázích zahrnuje následující kritické funkce zabezpečení bez dalších nákladů:

• Komplexní hodnocení bezpečnosti databáze: Moderní databáze mají stovky parametrů souvisejících se zabezpečením a hackeři mohou snadno spouštět skripty, aby našli Achillovy paty a využili je. Společnost Oracle může pravidelně hodnotit databáze, aby zajistila, že splňují požadavky GDPR, STIG a CIS. Také upozorňujeme, pokud se vaše konfigurace odchyluje od vašich zavedených standardů kvůli neschváleným změnám nebo záplatám aplikací.
• Správa uživatelů a přístupu: Oracle může analyzovat oprávnění administrátorů a uživatelů napříč celou vaší flotilou databází Oracle a kontrolovat, kdo má k čemu přístup a jak se postupem času posunuly. Organizace jsou často překvapeny počtem uživatelů s přístupem k citlivým údajům a tím, kolik z nich ani nedodržuje zásady hygieny hesel nebo střídání hesel, takže je mnohem snazší napadnout. Zákazníci jiných cloudových databázových služeb jsou nuceni analyzovat přístup uživatelů ručně, což výrazně zvyšuje jejich náklady, nebo v horším případě tento krok zcela přeskakuje.
• Analýza uživatelských oprávnění: Mnoho správců databází poskytuje svým uživatelům mnohem více pravomocí a privilegií, než je nutné k plnění jejich povinností. Databáze Oracle obsahují jedinečnou funkci Oracle Privilege Analysis, která analyzuje mezeru mezi udělenými privilegii a použitými privilegii, pomáhá zákazníkům snadno implementovat model s nejmenšími privilegii a omezit riziko v případě, že budou tito uživatelé kompromitováni.

Kromě základní konfigurace a správy uživatelů vyžaduje zabezpečení vaší databáze plné pochopení citlivosti vašich dat a strategií pro minimalizaci ztrát v případě narušení.

Pro řešení těchto problémů obsahují cloudové databáze Oracle následující odlišné funkce – bez dalších nákladů:

• Katalog citlivých dat: Dnešní organizace jsou zaplaveny daty a mnohé z nich nevědí, kde se jejich citlivá data nacházejí. Oracle může udržovat komplexní katalog mnoha citlivých datových typů s podrobnostmi o tom, co máte, kde jsou uloženy a jejich množství. Tento soupis citlivých dat vám umožňuje komplexně zabezpečit data implementací kontrol potřebných k minimalizaci rizik.
• Anonymizace a maskování dat: Zaměstnanci běžně vytvářejí kopie databází pro AI, analytiku, strojové učení, testování a vývoj. Vzhledem k tomu, že počet kopií dat neustále roste, je pro špatné aktéry snadné takové kopie najít a poté je zacílit, protože často nejsou chráněny tak přísně jako zdrojové databáze. Riziko odhalení můžete minimalizovat anonymizací nebo maskováním dat, aniž byste museli měnit aplikace. Podporujeme více než sto známých typů dat PII a formátů maskování pro anonymizaci vašich dat.

Než organizace vytvoří kopie dat, mohou pomocí Oracle Data Masking and Subsetting také podmnožit svá data na základě parametrů, jako je čas, umístění, typ a velikost, což pomáhá minimalizovat vedlejší škody v případě úspěšného útoku.

Bohužel kybernetické útoky často vypadají jako běžné činnosti oprávněného uživatele. Abychom tento problém vyřešili, nabízíme pokročilé bezpečnostní funkce bez dalších nákladů:

• Centralizované sledování činnosti: Oracle může centrálně shromažďovat data o činnosti uživatelů a správců, takže si můžete prohlížet podrobné zprávy a přijímat upozornění na základě vašich požadavků. Okamžitá upozornění byste například obdrželi, pokud by se privilegovaný uživatel pokusil získat přístup k citlivým údajům, jak se stalo při nedávném porušení zabezpečení údajů.
• Blokování neoprávněného SQL a SQL Injection: Oracle Database 23ai obsahuje vestavěný SQL firewall, který implementuje seznam povolených SQL příkazů z konkrétních IP adres, čímž blokuje neautorizované SQL a SQL injection útoky. Pokud dojde k útoku, může firewall SQL detekovat, zablokovat a upozornit vás na vyšetřování. In-databázový SQL firewall nelze obejít a nepřidává drahé síťové skoky do databázové komunikace.
• Omezení připojení: Oracle může omezit připojení z neznámých strojů nebo spuštěných neznámých programů, aby zvýšil ochranu dat.

Vzhledem k tomu, že útočníci se nyní zaměřují na zálohy, náš přístup přesahuje statickou a runtime ochranu:

• Zálohování a obnova: Oracle může nepřetržitě šifrovat a zálohovat vaše data v neměnném úložišti s cílem chránit je před útoky ransomwaru. Oracle si klade za cíl neustále ověřovat integritu a obnovitelnost dat, škálovat pro ochranu tisíců databází a chránit zálohy v průběhu celého životního cyklu, včetně zálohování disků, cloudové archivace, vzdálené replikace a archivace pásek. Kromě nulové ztráty dat a zálohování se vzduchovou mezerou usnadňujeme rychlou obnovu do konkrétního bodu v čase pomocí služby Zero Data Loss Autonomous Recovery Service (ZRCV) – dokonce až po obnovení jednotlivé transakce nebo čísla systémové změny (SCN) – dále. pomáhá minimalizovat náklady a zvyšuje odolnost. Díky této službě mohou organizace pomoci zmírnit dopad ransomwaru, výpadků a lidských chyb obnovením databází do bodu v čase těsně před útokem, výpadkem nebo chybou.

Nulová důvěra znamená, že nedůvěřujeme nikomu, včetně jejich a našich správců cloudu.

Abychom zákazníkům pomohli chránit jejich data před neoprávněným administrativním přístupem nebo manipulací, poskytujeme:

• Omezený přístup k datům: Mnoho organizací čelí klíčové výzvě, jak zabránit zlomyslným zasvěcencům nebo hackerům vydávajícím se za zasvěcené osoby v krádeži nebo změně jejich dat. Jedinečný Database Vault společnosti Oracle vám může pomoci zabránit dokonce i vašim privilegovaným uživatelům, jako jsou DBA, v přístupu k citlivým uživatelským datům, a zároveň jim umožní provádět běžné činnosti správy databází.
• Neměnné a blockchainové tabulky: Neměnné tabulky pouze pro čtení v databázích Oracle vám mohou pomoci zabránit neoprávněné manipulaci s daty a úpravám ze strany zasvěcených osob a náhodným úpravám dat v důsledku lidských chyb. Blockchainové tabulky přidávají kryptografické hash přes řádky dat, aby pomohly odhalit manipulace.
• Řízení přístupu operátora: Aby byla zajištěna úplná správa a odpovědnost, když správci cloudu Oracle přistupují ke zdrojům zákazníků, musí zákazníci nejprve udělit přístup spolu s tím, kdy, jaké akce a na jak dlouho. Získají také úplný přehled všech provedených akcí téměř v reálném čase.

V novém světě, kde bude SQL generovaný umělou inteligencí používat aplikace Apps, vytvoří nové bezpečnostní chyby, pokud databáze nebudou vynucovat uživatelská oprávnění k datům.

Spolu s analýzou privilegií pro implementaci modelu nejmenších privilegií poskytuje Oracle několik technologií pro implementaci jemně zrnitého řízení přístupu na úrovni řádků/sloupců:

• Integrovaná politika řízení přístupu: Když ke stejným tabulkám přistupuje více koncových uživatelů nebo aplikací, je důležité vynutit přístup k řádkům/sloupcům na úrovni tabulky, aby nebylo možné obejít bezpečnostní politiku. Oracle byl první, kdo poskytl takovou funkci virtuální privátní databáze, jejímž prostřednictvím mohli zákazníci specifikovat své vlastní zásady v rámci databáze.
• Klasifikace dat a uživatelské štítky: Oracle Label Security pomáhá zákazníkům automaticky vynutit přístup uživatelů ke konkrétním řádkům na základě klasifikace dat a uživatelských štítků.
• Pokročilé zabezpečení aplikací: Většina moderních datových prvků aplikací má složité vztahy včetně master-detail, organizační hierarchie, parametricky řízeného a hvězdicového schématu. Kromě toho se rozhodnutí o řízení přístupu musí řídit prostředím a kontextem běhu aplikace. Namísto ručního vytváření a udržování takových složitých zásad poskytuje Oracle jedinečné zabezpečení reálné aplikace, které může zákazníkům pomoci implementovat tak složité vztahy na úrovni databáze a prosadit požadavky na zabezpečení v reálném světě. To bude zásadní pro nové úlohy a aplikace SQL generované AI.

Nulová důvěra s nízkým dotykem

Poučení je jasné: i jediná „díra“ ve vaší obraně – zranitelnost podobná Achillově patě – může vést k významnému narušení a poškození. Přijetí přístupu nulové důvěry je nezbytné pro efektivní zabezpečení vaší infrastruktury a dat. Stejně důležité je zavést nulovou důvěru s nízkým dotykem prostřednictvím automatizace a výchozích zásad. Je důležité mít nástroje, které zajistí nejen jednu databázi, ale celý váš vozový park. Oracle si klade za cíl poskytovat jedinečné zajištění plného zabezpečení flotily pro všechny vaše databáze Oracle, ať už v jakémkoli cloudu nebo on-premise.

Chcete-li chránit svá data před dobře financovanými a organizovanými zločinci a národními státy vyzbrojenými pokročilými nástroji, potřebujete komplexní a automatizované bezpečnostní nástroje pro hodnocení konfigurace, administrátorské kontroly, hodnocení uživatelů, anonymizaci dat, minimalizaci dat, maskování dat, SQL firewall, data šifrování, kyberneticky zabezpečené zálohy, ochrana proti neoprávněné manipulaci a rychlé obnovení.

Pokud jde o specifika, Oracle Database poskytuje podporu pro všechny hlavní datové typy, pracovní zátěže a styly vývoje v jediné databázové platformě. Říkáme tomu konvergovaná databáze. Podpora konvergovaných datových typů a zátěže minimalizuje počet databází potřebných k implementaci aplikace. Minimalizace databází snižuje rizikové kopie dat a zabraňuje zavádění různorodých databází, z nichž každá má jiné modely zabezpečení, funkčnost, omezení a zranitelnosti. Pokud například potřebujete přesunout data z transakční databáze do analytické databáze, abyste mohli spouštět dotazy na vaše nejnovější data, je to zbytečná cesta, která pouze zvyšuje vystavení plochy povrchu. To je dále umocněno přidáním samostatných, izolovaných databází pro grafové, prostorové, blockchainové, časové řady, dokumenty a další.

Oracle Autonomous Database komplexně prosazuje silné zabezpečení a řízení přístupu a zároveň automatizuje většinu funkcí zabezpečení, včetně šifrování dat a sítě, konfigurace posíleného zabezpečení, řízení přístupu k síti, řízení oprávnění uživatelů prostřednictvím Database Vault, komplexního protokolování a auditování a kontroly operátora cloudu.

Oracle Data Safe umožňuje organizacím implementovat a monitorovat bezpečnostní kontroly, vyhodnocovat datová rizika, maskovat citlivá data, hodnotit zabezpečení uživatelů, monitorovat aktivitu uživatelů a spravovat Oracle Database 23ai SQL Firewall – to vše v jediné jednotné konzoli. Tyto pokročilé bezpečnostní technologie a možnosti automatizace pomáhají spravovat každodenní požadavky na zabezpečení a dodržování předpisů Oracle Databases, a to jak na místě, tak v cloudu.

A jak již bylo zdůrazněno dříve, služba Oracle Zero Data Loss Autonomous Recovery Service se svými jedinečnými, automatizovanými schopnostmi chrání databázové změny Oracle v reálném čase, ověřuje zálohy bez režie produkční databáze a umožňuje rychlé a předvídatelné obnovení v libovolném okamžiku.

Na rozdíl od poskytovatelů, kteří nechávají mezery a požadují, abyste poskládali různé bezpečnostní technologie, Oracle nabízí hloubkovou strategii obrany se sadou nejlepších integrovaných bezpečnostních komponent ve své třídě, jejichž cílem je podporovat vás v bezproblémové ochraně vašich dat kdekoli.

Bezplatný nástroj pro hodnocení bezpečnosti databáze Oracle si můžete stáhnout zde. Pro další informace nás neváhejte kontaktovat.

Zdroj: Oracle