Proteja y Garantice. La Seguridad y Privacidad de la Información. Infosphere Guardium & Optim. Enrique Gutiérrez Álvarez SWAT Team, LATAM - SP

Transcripción

1 Proteja y Garantice La Seguridad y Privacidad de la Información Infosphere Guardium & Optim Enrique Gutiérrez Álvarez SWAT Team, LATAM - SP

2 Servidores de BBDD la fuente primaria de fuga de datos Source of Breached Records SQL injection played a role in 79% of records compromised during 2009 breaches 2010 Data Breach Report from Verizon Business RISK Team up from 75% in 2009 Report Although much angst and security funding is given to. mobile devices and end-user systems, these assets are simply not a major point of compromise.

3 El fraude y actividades delictivas son Jugador Principal for records breached by external hackers (does not include internal threats)

4 Information Management Perimeter Defenses & Identity Management No Longer Sufficient A fortress mentality will not work in cyber. We cannot retreat behind a Maginot Line of firewalls. William J. Lynn III, U.S. Deputy Defense Secretary 88% of F500 49% of new vulnerabilities are Web application Insider Threat vulnerabilities (DBAs, developers, outsourcers, etc.) (X-Force) companies have employees infected with Zeus (RSA) SQL Injection is a leading attack vector (X-Force) Stuxnet exploited SQL Server vulnerability to attack control systems Kneber Botnet stole 68,000 credentials & 2,000 SSL certificates over 4-week period (NetWitness) Epsilon data breach affects millions (outsourced provider) #1 VM vulnerability is VM guest hopping (hypervisor escape) (X-Force)

5 SQL Injection is Still Leading Attack Vector Albert Gonzalez, now serving two 20- year sentences for OperaDon Get Rich or Die Tryin Maksik Yastremskiy: 30 years in Turkish prison SQL injection is one of the leading attack vectors because of its simplicity to execute and its scalability to compromise large amounts of web servers across the Internet. 5 IBM Confidential The hackers used SQL injection to penetrate a Heartland corporate Web server and then used a SQL Server vulnerability (xp_cmdshell) to access the company s card processing servers on its corporate network

6 100M+ Accounts Compromised in Database Breach 6 IBM Confidential

7 Protección de datos requiere de una estrategia de 360º Proteger diversos tipos de datos Data in heterogeneous databases (Oracle, DB2, Netezza, Informix, Sybase, Sun MySQL, Teradata, Netezza) DB Activity Monitoring DB Vulnerability Assessment Data Masking Data Encryption Datos Estructurados Datos No-estructurados Data not in databases (File Shares, ex. SharePoint,.TIF,.PDF,.doc, scanned documents) Data Redaction Access monitoring for file shares Data extracted from databases Data Encryption Data Masking Datos Fuera de Linea Datos En-linea Data in daily use DB Activity Monitoring DB Vulnerability Assessment Data Masking Data Encryption 7

8 Protección de datos requiere de una estrategia de 360º Enmascaramiento de Datos ü Masking genera datos contextualmente correctos pero ficticios ü Los datos enmascarados aparecen como reales ü Los datos enmascarados estan dentro de rangos de valores permisibles ü Los datos originales no son preservados por lo que masking se usa en ambientes no-productivos Mask JASON MICHAELS ROBERT SMITH 8

9 Protección de datos requiere de una estrategia de 360º Encripción o Cifrado ü Encripción transforma los datos para hacerlos ilegibles excepto con una llave especial ü Los datos encriptados no tienen sentido ü Usuarios autorizados tienen las llaves para desencriptar los datos ü Los datos originales data se preservan John Smith 401 Main Street Apt 2076 Austin, TX Encrypt *&^$!@#)( ~ +_)? $%~:>> %^$#%&, >< <>?_)-^%~~ *&^$!@#)( ~ +_)? $%~:>> %^$#%&, >< <>?_)-^%~~ Decrypt John Smith 401 Main Street Apt 2076 Austin, TX

10 Protección de datos requiere de una estrategia de 360º Data Redaction ü Redaction elimina datos sensibles no-estructurados removes que se encuentran en reportes y documentos ü Redaction crea una copia del documento original pero con la información confidencial bloqueada Redact Full Name & Street Address 10

11 Infosphere Guardium Monitorizar contínuamente Accesos a BBDD Importantes para 1. Prevenir Fuga de Información Mitigar peligros internos & externos 2. Asegurar Gobierno de Datos Prevenir cambios no autorizados a datos sensibles 3. Reducir costes de cumplimiento de regulaciones Automatizar & centralizar controles A todas las plataformas de DBMS & aplicaciones A todas las SOX, PCI, SAS70, Simplificar procesos

12 Necesidades comunes en seguridad de B de Datos Cómo producir todos los informes o reportes de Cumplimiento? (Auditoria Interna, SOX, PCI, LOPD, etc ) Cómo saber si los DBAs y otros Usuarios Privilegiados no abusan de sus privilegios? Cómo se puede evitar (bloquear) que los Administradores o usuarios Privilegiados de las Bases de Datos, o el personal de outsourcing, vea datos sensibles? Dónde está la información sensible? Normalmente se tienen arquitecturas complejas y heterogéneas Cómo se sabe que las bases de datos tienen los últimos parches y la configuración correcta y segura?

13 10 Database Activities Enterprises Need to Monitor (Courtesy: Gartner, all rights reserved) Database Activity Monitoring 13

14 Cumplimiento de Regulaciones DDL = Data Definition Language (aka schema changes) DML = Data Manipulation Language (data value changes) DCL = Data Control Language

15 15 Cómo se realiza actualmente la auditoría de bases de datos? Crear reportes Revisión manual Seguimiento superficial y manual No hay separación de funciones Problemas de rendimiento por activar el log nativo No existe automatización de procesos para escalar, aprobar, revisar

16 Solución IBM Guardium: Seguridad y Auditoría en Tiempo Real No Invasiva Arquitectura no-invasiva Fuera de la Base de Datos Impacto mínimo en rendimiento (2-3%) Sin cambios al DBMS o aplicativos Solución multi-plataforma 100% visibilidad incluyendo accesos locales y remotos Refuerza segregación de funciones No depende de los logs nativos del DBMS que pueden ser borrados por intrusos o personal interno Granular, políticas y auditoría en tiempo real Quién, dónde, cuándo, cómo Informes automatizados de cumplimiento, trazabilidad y escalado (SOX, PCI, NIST, etc.)

17 Arquitectura Escalable Multi-Capas Integration with LDAP, IAM, SIEM, CMDB, change management, S-GATE

18 SAP es una aplicación de 3 capas Client Applica8on Server DataBase Server Oracle, DB2, MS SQL, etc. Developer System admin. Func8onal SAP*, DDIC, EARLYWATCH

19 Principales retos de SAP Cuál transacción se ejecutó y por quién? Cómo identifico quién acceso información sensible? Separación de Funciones Sin afectar performance y almacenamiento 19

20 SU01 Añadir Usuarios en SAP SU01 SAP guarda esta información en muchas tablas dentro de la base de datos

21 SAP Transaction Code XD03 = Display Customer Records Log and audit anytime someone looks at this customer record Biker GmbH The transaction code for this is XD03 Here s the audit data Joe looked at Biker GmbH customer number 10001

22 Accelerating SAP Projects with InfoSphere Optim and Guardium Project prep Blueprint Realization Final Prep Go Live Sustain BUSINESS DATA ASSESMENT DATA ALIGNMENT DATA HARMONIZATION DATA LOADING, MONITORING & INTERFACES InfoSphere Iden8fy Business Guardium DAM & Process Encryption Data Expert Requirements Secure new data sources Discover and assess data readiness InfoSphere Optim System Analyzer for SAP Build Glossary Iden8fy gaps Determine exis8ng implementa8on customiza8ons Archive legacy data not necessary to migrate Extract data 22 Build test data and de- iden8fy sensi8ve informa8on Validate business rules Source cleansing Source InfoSphere to target Optim mappings Test Data Management for SAP Harmonize and consolidated cleansing Enhance data if necessary Gap analysis repor8ng InfoSphere Optim Application Retirement Gold copy data Op8mize data for loading Create data load jobs Run data loads Validate results InfoSphere Optim System Analyzer for SAP Deploy data quality module as firewall InfoSphere Monitor data Guardium quality End- User Application Identifier S- Re- use Gate, & Encryption Conversion Expert Rules & Data Quality for on- Going Interfaces Secure SAP data and monitor who is accessing what Archive aged data IBM Content Collector for SAP Applications (ECM - CommonStore)

23 Parte del IBM Security Framework Professional Services Managed Services GRC Security Governance, Risk and Compliance Security Information and Event Management (SIEM) & Log Management Products Cloud Delivered Identity & Access Management Identity Management Access Management Data Security Data Loss Prevention Data Entitlement Managment Encryption & Key Lifecycle Management Messaging Security Security InfoSphere Guardium Application Security Web / URL Filtering Database Monitoring & Protection Application Vulnerability Scanning Access & Entitlement Management Data Masking Web Application Firewall InfoSphere Optim SOA Security Infrastructure Security Vulnerability Assessment Virtual System Security Endpoint Protection Threat Analysis Security Event Management Managed Mobility Svcs Intrusion Prevention System Firewall, IDS/IPS MFS Management Mainframe Security Audit, Admin & Compliance Security Configuration & Patch Management Physical Security 23

24 MANAGE INTEGRATE ANALYZE Oracle, DB2, InfoSphere Information Server InfoSphere BigInsights FileNet Netezza & soliddb InfoSphere InfoSphere Warehouse MDM Cognos, InfoSphere Warehouse InfoSphere Streams Quality Lifecycle GOVERN Security & Privacy Data Security, Compliance & Optimization DSCO Standards InfoSphere Information Server InfoSphere Optim InfoSphere Guardium InfoSphere Foundation Tools & Industry Models 24

25 Infosphere Guardium y Optim Information Life-Cycle Management Information Security & Privacy Information Lifecycle Management - Managing Data Growth - Retiring Legacy Applications - Upgrades, Migrations & Consolidations Test Data Management Data Privacy - Masking non-production data - Encryption for production data - Redaction for documents Database User Activity Monitoring (DAM) & Vulnerability Assessment (VA) - Prevent data breaches, fraud & unauthorized changes - Identify unpatched & misconfigured systems - Auditing and reporting 25

26 Managing the Entire Database Security & Compliance Lifecycle

27 27