Seguridad en Base de Datos

Transcripción

1 Seguridad en Base de Datos Facultad Politécnica UNA Maestría en TICs 2015 Énfasis Auditoría y Seguridad de la Información Seguridad en aplicaciones y base de datos Cristian Cappo (ccappo@pol.una.py) NIDTEC - Núcleo de Investigación y Desarrollo Tecnológico - FPUNA

2 Contenido Conceptos básicos sobre BD Vulnerabilidades en base de datos 2

3 Conceptos básicos Base de datos (BD) : colección estructurada de datos utilizada por una o mas aplicaciones Contiene relaciones entre los datos y los grupos de datos A veces es importante asegurar datos sensibles Sistema de Administración de Base de datos (DBMS) Conjunto de programas para construir y mantener una base de datos Ofrece facilidades de consulta para múltiples usuarios y aplicaciones Lenguaje de consulta Provee una interface uniforme a la base de datos 3

4 Niveles de abstracción de una base de datos 4

5 Arquitectura de un DBMS 5

6 DBMS relacionales (RDBMS) Propuesto por E.F. Codd en Datos estructurados como tablas de filas y columnas (bidimensional) Cada columna posee un tipo particular Cada fila contiene un valor específico de cada columna. Idealmente una columna donde todos los valores son únicos, forma un identificador/clave de la fila Permite crear múltiples tablas enlazadas por un identificador presente en otras tablas Usa un lenguaje de consulta relacional para acceder a la base de datos 6

7 Ejemplo 7

8 Elementos de un RDBMS Relación/tabla Tupla/registro/fila Atributo/columna/campo Clave primaria Identifica en forma única a una fila Puede ser uno o más nombres de columnas Clave foránea Enlaza una tabla a atributos de otra Vista / Tabla virtual Resulta de una consulta que retorna filas y columnas seleccionadas de una o más tablas 8

9 Ejemplo de elementos de un RDBMS 9

10 SQL (Structured Query Language) Desarrollado originalmente por IBM en los mediados de los 70s. Lenguaje estandarizado que define, manipula y consulta datos en un RDBMS Estandar ANSI/ISO (ISO/IEC :2005) USADO PARA Crear tablas Insertar y borrar datos Crear vistas Consultar datos Accesos 10

11 Database security Grado en que los datos son protegidos de falsificaciones o manipulaciones no autorizadas Comprende conceptos asociados a sistemas de información y seguridad de la información 11

12 Control de acceso La recomendación ITU-T X.800 define el acceso de control como sigue: La prevención de uso no autorizado de un recurso, incluyendo la prevención del uso de recurso de una forma no autorizada. RFC 2828 define la seguridad computacional como Medidas que implementan y aseguran los servicios de seguridad en un sistema de cómputo, particularmente aquellos que aseguran el servicio de control de acceso 12

13 Control de acceso en contexto 13

14 Políticas de control de acceso 14

15 Políticas de control de acceso(1) Discrecional Cada entidad puede dar acceso a otra entidad Proveído a veces usando una matriz de acceso Una dimensión consiste en los sujetos identificados La otra dimensión son los objetos a los que pueden acceder Cada entrada de la matriz indica un derecho de acceso de un sujeto particular a un objeto particular. Ejemplos: Unix, ACLs, Base de datos, etc. 15

16 Políticas de control de acceso(2) Mandatorio Control basado en comparación de etiquetas de seguridad (que indican la sensibilidad o criticidad de un recurso del sistema) con la acreditación de seguridad. El término de mandatorio se refiere a que una entidad con acreditación de seguridad sobre un recurso no puede dar acreditación de acceso a otra entidad sobre ese recurso. Ejemplo de etiquetas 16

17 Control de acceso Basado en nombre Modelo Discrecional (es el modelo utilizado usualmente por todas la DBMS) No impone ningún control acerca de cómo la información es propagada y utilizada una vez que ésta ha sido accedida por los sujetos autorizados Basado en contenido Modelo Mandatorio Basado en la clasificación de la información (iniciada por los militares) 17

18 Control de acceso a base de datos El sistema de control de acceso determina Soporta un rango de políticas administrativas Si el usuario ha accedido a toda la base de datos o solo a una porción de ella Administración centralizada Un número de usuarios privilegiados pueden dar y revocar derechos de acceso Que derechos tiene el usuario (crear, insertar, borrar, modificar, leer, escribir, etc) Administración del dueño El creador de una tabla puede dar y revocar derechos Administración descentralizada El dueño de una tabla puede otorgar derechos de autorización a otros usuarios, permitiendo a éstos dar o revocar derechos sobre la misma 18

19 Control de acceso con SQL GRANT grant privilege_list on resource to user_list REVOQUE revoke privilege_list on resource from user_list 19

20 Grant - ejemplo Suponga que Luis necesita acceso a toda la tabla (pero no puede hacer cambios) grant select on empleado to luis; Suponga que Carol es otra empleada, pero solo puede ver la información pública grant select(nombre,mail) on empleado to carol; No implementado en PostgreSQL No implementado para select en Oracle Implementado en MySQL 20

21 Autorización/Revocación en cascada 21

22 Reglas de revocación No estándar Muchas implementaciones siguen la convención Cuando un usuario revoca un derecho, cualquier derecho posterior también es revocado 22

23 RBAC (Control de acceso basado en roles) Originalmente del modelo de System R (1974) Facilita la administración de permisos a través de roles. Una base de datos con RBAC debe proveer: Crear y borrar roles Definir permisos para un rol Asignar/cancelar usuarios a un rol Dueño de la aplicación: Usuario que es dueño de objetos de la DB como parte de una aplicación Usuario final : Opera la base de datos via una aplicación particular y no es dueño de ningún objeto de la DB. Administrador: Usuario que tiene la responsabilidad de administrar toda o parte de una DB 23

24 Roles esquema básico 24

25 Ejemplo de roles (MS SQL Server) 25

26 Roles - Modelos Sandhu, R, et al. Role-Based Access Control Models. Computer. Vol 29. Num

27 RBAC 0 Usuarios: individuos que acceden al sistema Rol: función dentro de la organización Permiso: aprobación de un modo de acceso particular a un objeto Sesión: un mapeo entre un usuario y un subconjunto de roles 27

28 RBAC 1 - Jerarquía de roles Refleja la estructura jerárquica de la organización 28

29 RBAC 2 - Restricciones Se puede determinar políticas de alto nivel Ejemplos Exclusividad de roles Usuario solo a un rol, permisos solo a un rol Usuarios con diferentes roles no comparten permisos Cardinalidad Numero máximo de usuarios por rol, roles a usuario, permisos a roles Prerrequisitos Roles prerrequisitos Atender que RBAC 2 no implica jerarquía 29

30 RBAC 3 - Consolidado 30

31 Ejemplo del modelo MAC para una base de datos (multinivel) Clasificado por tabla Clasificado por tupla Clasificado por columna Clasificado por elemento 31

32 Vulnerabilidades en base de datos De acuerdo al reporte de Verizon sobre violación/descubrimiento de datos del año 2014 el 66% corresponde a base de datos y el resto a datos en tránsito _en_xg.pdf En el 2012 la OSF (Open Security Foundation) reveló que 242,6 millones de registros fueron potencialmente comprometidos. 32

33 Top 10 amenazas de seguridad en DB (Verizon) 33

34 Estrategias de Defensas (1) 34

35 Estrategias de Defensas (2) 35

36 Estrategias de Defensas (3) 36

37 Brechas de seguridad en BD Observación de datos no autorizados Modificación de datos incorrecto Disponibilidad de datos 37

38 Requerimientos en la seguridad de una BD Confidencialidad Para evitar descubierta no autorizada de datos Integridad Mecanismo: control de acceso, encriptación Prevención de modificación impropia o no autorizada de datos Mecanismo: control de acceso y restricciones de integridad semántica Disponibilidad Prevención y recuperación desde errores de hardware o sw y desde la denegación maliciosa de acceso a los datos. Privacidad: Mecanismo: recovery y control de concurrencia Se implementa en parte con confidencialidad aunque debe proveerse mecanismos adicionales como el de obtener y registrar el consentimiento de usuarios 38

39 Seguridad de la BD estadística BD estadística: información recuperada usando queries estadísticos sobre atributos de una tabla Funciones de agregación: count, max, min, avg, sum La BD contiene datos que son individualmente sensibles, el acceso directo no es permitido Las queries estadísticas son permitidas, pero pueden acceder a datos individuales Por tanto es posible inferir información, así el acceso individual no es permitido 39

40 Tipos de descubierta de información Datos exactos Mostrar los estudiantes con becas Resultado negativo Observar el conteo por la cantidad de becas que existe y si no es cero alguien esta becado Resultados de rangos Conocer los valores altos y bajos Valores probables Conocer que 100 personas son de ingeniería, viven en San Lorenzo y 40 reciben ayuda financiera. 40

41 Inferencia Usar datos no sensibles para deducir datos sensibles. Es el proceso de realizar consultas y deducir datos desde respuestas legítimas recibidas. A través de : Consultas oscuras Combinación de resultados estadísticos Uso de conocimiento externo Por ejemplo base de datos de información de auditoría Canal de inferencia Es el camino de transferencia por el cual la información no autorizada es obtenida 41

42 Inferencia 42

43 Ejemplo de inferencia 43

44 Ejemplo de inferencia(2) Un usuario quiere conocer el salario de Goldberg y sabe que es de sexo femenino con 11 dependientes. El no puede ver directamente los datos. select avg(salary) as avg_salary from employees where gender = F and dependents = 11; 44

45 Contramedidas Detectar en el diseño de la base de datos Alterar la estructura o cambiar el control de acceso En tiempo de consulta Monitorear y alterar/rechazar la consulta El algoritmo de detección de inferencia No es sencillo Es un problema aun de investigación 45

46 Puntos de aseguramiento de un sistema de base de datos 46

47 Consideraciones finales para protección de base de datos (1) Control de acceso Encriptación de datos En el transporte sobre todo). En la base de datos requiere especial atención pero es recomendable a datos sensibles 47

48 Esquema de encriptación posible en una base de datos 48

49 Consideraciones finales para protección de base de datos (2) Auditoría sobre datos y cambios sin afectar el performance WAF Asegurar que solo los usuarios autorizados realicen actividades en tiempos autorizados Auditoría sobre configuraciones Monitoreo de acceso a datos sensibles 49

50 Conclusión Asegurar un sistema de base de datos es más que asegurar la base de datos, necesitamos Base de datos segura DBMS seguro Aplicaciones seguras / Desarrollo de aplicaciones seguras S.O. seguro en relación al sistema de base de datos Web server seguro en relación al sistema de base de datos Red segura en relación al sistema de base de datos 50

51 Desafíos en seguridad de BD Calidad de datos y completitud Se necesitan técnicas para evaluar y validar la calidad de los datos Derechos de propiedad intelectual Control de acceso y privacidad para usuarios móviles Supervivencia de base de datos Se refiere a la habilidad que tiene un sistema de base de datos a continuar su funcionamiento, aunque sea reducido, luego de eventos de interrupción (sistemas tolerantes a intrusiones) 51

52 Bibliografía/Referencias Bertino E. y Sandhu R. Database security concepts, approaches, and challenges. IEEE Transactions on dependable and secure computing. Vol. 2. Nro Al-Sayd and D. Aldlaeen. Database Security Threats: a survey study. CSIT IEEE. W. Stalling & L. Brown. Computer Security. Principles and Practices. 2 nd Edition. Pearson Educ. Inc (Chapters 4,5,13). Top ten Database security threats. The most significant risks and how to mitigate them. Imperva M. Coffin. Database Security: What Students Need to Know. Journal of Information Technology Education: innovations in Practice. Vol

53 Gracias! Preguntas? 53