EVIDENCIA 2

“AMENAZAS A LAS BASES DE DATOS”

JULIO CESAR BURBANO HERRERA

ACTIVIDAD N° 2

San Juan De Pasto 14 de agosto del 2018

 “AMENAZAS A LAS BASES DE DATOS”
¿Qué es una base de datos?

Una base de datos es un “almacén” que nos permite guardar grandes cantidades
de información de forma organizada para que luego podamos encontrar y utilizar
fácilmente.

Las bases de datos son el “corazón” del negocio, es el activo más importante

Las empresas no invierten en la protección de sus bases de datos. Los piratas

informáticos acceden a datos sensibles y pueden extraer valores, causar daños
o afectar las operaciones comerciales causando pérdidas financieras.

¿Qué es amenaza?

Peligro inminente, que surge, de un hecho o acontecimiento que aún no ha

sucedido, pero que de concretarse aquello que se dijo que iba a ocurrir, dicha
circunstancia o hecho perjudicará a una o varias personas en particular.

La infraestructura empresarial de bases de datos está sometida a una cantidad

abrumadora de riesgos.

Las diez principales amenazas para las bases de datos

1. Abuso de permisos excesivos.

2. Abuso de permisos legítimos.
3. Elevación de privilegios.
4. Explotación de bases de datos vulnerables y mal configuradas.
5. SQL Injection.
6. Trazas de auditoría deficientes.
7. Denegación de servicio.
8. Vulnerabilidades de protocolo de comunicación de bases de datos.
9. Copias no autorizadas de datos confidenciales.
10. Exposición de datos de copia de seguridad.

Usted como representante de la organización, debe dar a conocer al menos dos

de las amenazas que se muestran en la tabla y sus posibles controles o la
disminución de estos riesgos.

1. Abuso de permisos
excesivos

Cuando a los usuarios (o las

aplicaciones) se les conceden
permisos de acceso a la base de datos
que superan los requisitos de su
función, es posible que exista abuso
de estos permisos con fines malintencionados. Por ejemplo, un administrador
universitario cuya responsabilidad sólo necesita la capacidad de cambiar la
información de contacto de los estudiantes puede aprovecharse de la concesión
de permisos excesivos de actualización de bases de datos para cambiar las
calificaciones de los estudiantes.

Prevención del abuso de permisos excesivos: eliminación de derechos

excesivos y su aplicación a través del control de acceso a nivel de consulta.

La solución para la amenaza que representan los permisos excesivos es la

eliminación de éstos. Para ello, es necesario poder identificar los derechos
excesivos, es decir, derechos que el usuario no necesita para llevar a cabo su
trabajo. Esto se logra mediante la extracción de permisos de las bases de datos,
correlación de permisos con el usuario de la organización y análisis de estos
permisos. Se trata de un proceso largo y complicado, que si se hace
manualmente absorbe grandes cantidades de tiempo y recursos. Una solución
automatizada puede reducir en gran medida el tiempo y recursos necesarios y
acortar el proceso de análisis.

2. Explotación de bases de datos

vulnerables y mal configuradas

Es común encontrar bases de datos

vulnerables a las que no se han aplicado
parches, o bases de datos que todavía
tienen las cuentas y los parámetros de
configuración predeterminados. Un
atacante que busque aprovecharse de los
puntos débiles de la base de datos por lo
general probará los sistemas para detectar estas vulnerabilidades, lo que puede
comprometer la seguridad, mientras los proveedores no lanzan un parche para
proteger a los sistemas contra una cierta vulnerabilidad, la base de datos de la
organización queda desprotegida.

Prevención: evaluación y parcheo de vulnerabilidades.

Para mitigar la amenaza sobre las bases de datos vulnerables y sin parches, en
primer lugar, es necesario evaluar la situación de seguridad de las bases de
datos y cerrar todas las vulnerabilidades y brechas de seguridad conocidas. La
organización debe examinar periódicamente la base de datos para detectar
vulnerabilidades y parches no aplicados. Las evaluaciones de configuración
deben proporcionar una imagen clara del estado actual de la configuración de
los sistemas de datos.

Estas evaluaciones también deben identificar las bases de datos que no cumplan
con las políticas de configuración definidas. Cualquier parche de seguridad no
aplicado debe instalarse lo antes posible. Si se descubre una vulnerabilidad y el
parche aún no está disponible, ya sea porque el proveedor no lo ha
proporcionado o porque todavía no se ha instalado, se debe implementar una
solución de parche virtual. Este tipo de solución bloquea cualquier intento de
explotar estas vulnerabilidades. Por lo tanto, al minimizar el plazo de exposición
con parches virtuales se protege a la base de datos contra los intentos de
explotación de sus vulnerabilidades hasta que se instala un parche.

3. Exposición de datos de copia de

seguridad

Los medios de almacenamiento de las

copias de seguridad de las bases de datos
quedan a menudo sin protección contra los
ataques. Como resultado, varias
violaciones de seguridad de alto perfil han
involucrado el robo de cintas y discos con
copias de seguridad de bases de datos.

Prevención de la exposición de datos de copia de seguridad

Todas las copias de seguridad de las bases de datos deberían ser cifradas. En
realidad, varios proveedores han sugerido que los futuros productos de sistemas
de gestión de bases de datos no admitan la creación de copias de seguridad sin
cifrar. A menudo se ha sugerido el cifrado de la información de bases de datos
de producción en línea, pero los problemas de rendimiento y de gestión de las
claves criptográficas a menudo hacen que esto no resulte práctico y por lo
general se considera como un sustituto deficiente para los controles granulares
de privilegios que se describen anteriormente.

Conclusión

Contar con una estrategia de seguridad de la información basada en riesgos que

esté alineada con las necesidades del negocio. Esto permite lograr el
cumplimiento y mantener la integridad y confidencialidad de la información
crítica.

Buscar medios para medir, monitorear y reportar sobre la eficacia del programa
de seguridad y los controles.

Aunque la información de las bases de datos es vulnerable ante una serie de

ataques, es posible reducir drásticamente el riesgo concentrándose en las
amenazas más críticas. Al ofrecer soluciones a tres principales amenazas que
se describen anteriormente, las organizaciones satisfarán los requisitos de
cumplimiento y mitigación de riesgos de las industrias más reguladas del mundo.

Optimizar los programas de seguridad para obtener eficiencias y reducir costos.

Crear una cultura de confianza y responsabilidad entre los clientes,

consumidores, proveedores y empleados en un mundo con cada vez menos
fronteras