10 fallas que afectan la seguridad de las bases de datos

Bogotá D.C. 30 de agosto de 2016

El Instituto Internacional de Seguridad Cibernética (IICS) ha señalado los aspectos más críticos por medio de los cuales pueden afectar y llegar a el contenido de aquellas joyas tan preciadas para las empresas y los delincuentes, aquí además se señalan las recomendaciones dadas por los mismos, para evitar ser víctimas de ataques o vulneraciones de los sistemas de bases de datos empresariales.

1. Privilegios excesivos: los privilegios o permisos en las bases de datos pueden sobrepasar lo realmente necesario para las funciones de casa usuario, muchas veces solo requieren realizar una consulta en la información, pues en caso de tener más permisos de los necesarios puede cometer un error o modificar la información ya sea intencional o no, afectaría los archivos y los datos de la base.
2. Suele encontrarse usuarios que exceden los permisos que poseen y abusan de los mismos para obtener y extraer información importante y en ocasiones confidencial de la compañía, para esto la solución es contar con políticas de control de acceso, en las que se determinen ubicación, tiempo, cliente de aplicación, y el volumen de los datos, puede conocer si un usuario está abusando de los permisos que posee.
3. Por medio de las vulnerabilidades de los sistemas en los que se albergan las bases de datos, los atacantes pueden modificar los permisos de bajo a alto nivel de privilegios; los exploits de elevación de privilegios se pueden eliminar con el uso de control de acceso a nivel de consulta, auditoria de bases de datos y sistemas de prevención de intrusos (IPS) tradicionales, el control de acceso para detectar si los usuarios utilizan operación de SQL y los IPS, para identificar una amenaza web documentada en la operación.
4. Las vulnerabilidades de las plataformas son variables que se pueden presentar, para ello la capacitación en seguridad web de iicybersecurity IICS, herramientas de IPS, son las forma en que los encargados pueden identificar y bloquear los ataques.
5. Los ataques con inyecciones SQL, aprovechan las vulnerabilidades de las aplicaciones web y procedimientos almacenados para aprovechar y hacer consultas de privilegios no autorizados, esto se puede prevenir con soluciones de seguridad en bases de datos, auditorias de seguridad y controles de acceso.
6. Algunas políticas de auditoria son débiles, representado riesgos en temas de la disuasión, detección, análisis forense y recuperación, pocas veces se conoce la aplicación que se utilizó para ingresar, la IP de origen y el fallo en las consultas, un buen mecanismo de defensa, son las soluciones de auditoria de bases de datos en la red, estas no infieren en el rendimiento y mecanismos utilizados, pero si ofrecen una recopilación de datos en detalle.
7. La denegación de servicios DoS, las pueden realizar con técnicas de desbordamiento de búfer, corrupción de datos, la inundación de la red y el consumo de recursos, la recomendación es el uso de IPS y controles de velocidad de conexión, con estos pueden impedir que usuarios individuales utilicen los recursos del servidor de bases de datos.
8. Hay vulnerabilidades en los protocolos de seguridad de las plataformas en las que se almacenan las bases de datos, como fue el caso en el que SQL Slammer worm, aprovecho una vulnerabilidad de Microsoft SQL Server y ejecuto un código de ataque a los servidores; puede defenderse con análisis y validación de comunicaciones SQL, además de capacitarse o contar con los servicios de expertos.
9. Los modelos y esquemas de autenticación deben ser realmente altos, pues por medio de estos, los delincuentes se valen de las contraseñas de baja seguridad de usuarios legítimos para ingresar y afectar los sistemas, por lo mismo es completamente necesario la implementación de mecanismos de autenticación de dos factores, integrados además con la infraestructura de directorios y la gestión de usuarios.
10. Los datos de backup suelen ser presa fácil a la hora de estar guardados en cintas o discos duros; es necesario que cada copia de seguridad quede cifrada.

Para la prevención de ataques dirigidos a los esquemas de bases de datos es importante tener en cuenta los aspectos y soluciones antes mencionados; recuerde que en BIttin ofrecemos servicios de protección y aseguramiento de datos, análisis forenses, entre otros esquemas que podrá consultar en https://www.bittin.co/servicios/, cuente con expertos.

Fuente: Noticias Seguridad.