Comenzando con la seguridad de bases de datos

Como administrador de bases de datos (DBA), necesita un sólido conocimiento de los conceptos básicos de seguridad de bases de datos para gestionar sus sistemas con confianza. Tener un fuerte conocimiento en seguridad de bases de datos le permitirá proteger la información sensible y crítica para el negocio de su organización siguiendo las mejores prácticas y asegurando la adhesión a los protocolos de seguridad.

¿Qué es la seguridad de bases de datos?

Cuando utilizamos la frase “seguridad de base de datos”, nos referimos a todas las herramientas diseñadas para establecer y preservar la integridad, disponibilidad y confidencialidad de la base de datos. Asegurar que los datos almacenados en las bases de datos estén seguros en todo momento es una de las responsabilidades más importantes para cualquier DBA.

La seguridad de bases de datos cubre:

• Almacenes de datos en bases de datos
• Sistemas de gestión de bases de datos (DBMS)
• Aplicaciones que acceden a datos de bases de datos
• Servidores de hardware
• Servidores de bases de datos virtuales, incluidos los servidores basados en la nube
• Puntos de acceso a la red

Mantener la seguridad de la base de datos requiere un toque delicado. Aunque es necesario priorizar la data security, los datos deben ser accesibles para aportar valor al negocio. Cuanto más acceso se permite a los datos almacenados en una base de datos, más vulnerables se vuelven estos datos, pero una base de datos hermética no es ni funcional ni práctica. Esta paradoja a veces se llama “Anderson’s Rule”.

La mejor manera de encontrar el equilibrio adecuado entre seguridad y accesibilidad es establecer protocolos de seguridad bien pensados, asignar niveles escalonados de acceso a los datos e invertir en una plataforma sólida de monitoreo de seguridad y actividad de bases de datos.

¿Por qué es importante la seguridad de las bases de datos?

No es una exageración decir que la reputación de una organización, su futuro financiero, el cumplimiento legal y la funcionalidad general dependen de su capacidad para almacenar, mover y gestionar de manera segura los datos que recopila. Las bases de datos inseguras estuvieron en el centro de varios incidentes destacados en 2019, lo que resultó en el robo de contraseñas e información de tarjetas de crédito de millones de usuarios, la exposición de grandes cantidades de información sensible y multas enormes.

Lamentablemente, las brechas en las bases de datos no se limitan a las grandes empresas con grandes recursos y un equipo de profesionales de relaciones públicas que pueden ayudar a limpiar el desastre publicitario. Las empresas de todos los tamaños están en riesgo. Incluso una empresa mediana que sufre una brecha puede terminar gastando millones de dólares en honorarios legales, multas, esfuerzos de recuperación de datos, notificaciones a usuarios y tiempo de inactividad. Además, una brecha puede afectar los ingresos futuros, ya que los clientes y socios son menos propensos a querer tratar con empresas que consideran poco confiables o tecnológicamente atrasadas.

Las consecuencias pueden ser aún peores si su propiedad intelectual se ve comprometida. Si sus secretos comerciales, invenciones e información sobre cómo opera internamente su empresa caen en manos equivocadas, la propia existencia de su empresa podría estar en juego.

Tipos comunes de amenazas y desafíos de seguridad de bases de datos

Muchos problemas pueden dejar su base de datos vulnerable a violaciones de seguridad. Aquí están las amenazas de seguridad más comunes para las que debe estar preparado.

Amenazas internas

El tipo más obvio de insider threat es un usuario malintencionado que pretende causar daño. Sin embargo, este término también incluye a usuarios que tienen el poder de cometer errores que dejan una base de datos expuesta a ataques. De hecho, casi la half of all data breaches informados en 2018 se debieron a errores humanos como elegir contraseñas débiles de correo electrónico o bases de datos, compartir contraseñas y el almacenamiento descuidado de credenciales de bases de datos que se han creado. También hay un tercer tipo de amenaza interna: un atacante externo que obtiene credenciales de usuario válidas mediante tácticas como el phishing.

Una administración de bases de datos laxa, especialmente al permitir que demasiados empleados tengan acceso de alto nivel a las bases de datos, aumenta el riesgo que representan las amenazas internas.

Vulnerabilidades del Software de Base de Datos

Los hackers trabajan incansablemente para localizar y atacar vulnerabilidades de seguridad en plataformas y software, incluyendo el software de gestión de bases de datos. No aplicar de manera pronta los parches de seguridad cuando son liberados aumenta su exposición.

Ataques de inyección SQL/NoSQL

Los atacantes pueden dirigirse a una base de datos SQL o NoSQL insertando ciertas cadenas en las consultas de la base de datos que sirven las aplicaciones web o los encabezados HTTP.

Explotaciones de Buffer Overflow

Los atacantes pueden usar el exceso de datos de desbordamientos de búfer como base para lanzar ataques. El desbordamiento de búfer ocurre cuando un proceso intenta escribir más datos en un bloque de memoria de longitud fija de lo que este puede contener.

Ataques de denegación de servicio

Cuando un atacante inunda el servicio objetivo con demasiadas solicitudes, el servidor no puede seguir el ritmo de las solicitudes generadas por usuarios legítimos. Estos ataques de denegación de servicio (DoS) pueden causar inestabilidad en el sitio web o un colapso total.

Los ataques de denegación de servicio distribuido (DDoS) son el resultado de la saturación de múltiples servidores web. Estos ataques son especialmente difíciles de detener una vez que comienzan, por lo que las medidas de prevención son críticas.

Malware

Los ataques de malware suelen comenzar en dispositivos de punto final, pero pueden extenderse fácilmente a bases de datos. Los dispositivos de Internet de las cosas (IoT) son especialmente vulnerables al malware porque a menudo no se actualizan con parches de seguridad tan frecuentemente como el hardware principal ubicado en la oficina.

Ataques de respaldo

Los datos de respaldo no protegidos que no están asegurados adecuadamente son vulnerables a ataques. Esto incluye copias de seguridad antiguas almacenadas en unidades físicas, pero también se extiende a las copias de seguridad basadas en la nube, que se han vuelto más comunes en los últimos años.

Cambio de entornos y recursos corporativos

Varias amenazas menos tangibles pueden aumentar la vulnerabilidad de la base de datos:

• Las empresas están guardando y procesando más datos que nunca, lo que lleva a una estructura de base de datos más compleja.
• Las redes tienen más puntos de acceso, incluyendo el acceso hacia y desde entornos en la nube.

Controles de seguridad de bases de datos

Los administradores de bases de datos deben estar al tanto de los distintos tipos de controles de seguridad de bases de datos que pueden ayudar a mitigar las violaciones de bases de datos. Estos controles también ayudan a garantizar la integridad de la base de datos al prevenir que los datos sean alterados en tránsito y mientras se almacenan.

Acceso Restringido

Los controles de acceso deben otorgarse basándose en el principio de menor privilegio, que requiere restringir los privilegios del sistema para las cuentas de usuario y los procesos informáticos solo a aquellos permisos necesarios para realizar las funciones asignadas.

Auditoría de bases de datos

La auditoría rutinaria de bases de datos puede revelar vulnerabilidades y actividades sospechosas, así como ayudarle a demostrar que sus medidas de seguridad de bases de datos cumplen con los estándares y regulaciones de seguridad de bases de datos. Idealmente, estas soluciones deberían ser sin agentes para que el proceso de auditoría no degrade el rendimiento de la base de datos.

Autenticación

La autenticación verifica la identidad de usuarios y cuentas para prevenir que usuarios no autorizados accedan a datos o sistemas. La seguridad de red debe incluir medidas de autenticación en toda la red de su empresa.

Asegurando aplicaciones externas

La seguridad de las bases de datos también requiere asegurar todas las aplicaciones que tienen acceso a la base de datos. Los ajustes predeterminados están diseñados para facilitar una experiencia de instalación sin problemas, pero son inseguros porque son conocidos por los posibles atacantes. Tu trabajo es asegurarte de que la seguridad de tu aplicación esté al nivel más alto posible que también permita que el negocio funcione correctamente. El mismo principio se aplica para asegurar tus sistemas operativos subyacentes. Por ejemplo, las bases de datos SQL dependen de Windows Server, por lo que Windows Server debe mantenerse seguro para preservar la seguridad de la base de datos.

Otras medidas de seguridad

La encriptación de datos dificulta que los hackers utilicen la información que logran robar. Almacenar copias de seguridad fuera de línea reduce las posibilidades de que los hackers puedan acceder a ellas. Y un plan de recuperación de desastres integral (y probado regularmente) puede ayudarte a restaurar rápidamente tus bases de datos después de una violación o catástrofe.

Prácticas recomendadas críticas de seguridad de bases de datos

Algunas mejores prácticas de seguridad de datos se relacionan directamente con la gestión de la base de datos, mientras que otras se centran en las normas relacionadas con el acceso a la base de datos. Las mejores prácticas específicas a considerar incluyen:

• Endurecimiento de su base de datos. Esto puede incluir el establecimiento de cortafuegos en todas las aplicaciones y sistemas con acceso a la base de datos, así como medidas de seguridad física como mantener los servidores en una sala segura y cerrada.
• Cifrando sus datos dondequiera que residan, incluyendo en sus bases de datos.
• Controlar el acceso a la base de datos aplicando el principio de mínimo privilegio y realizando revisiones periódicas de permisos para tener en cuenta los cambios en la fuerza laboral o las necesidades de acceso.
• Auditoría y monitoreo de la actividad de la base de datos para detectar cambios sospechosos e intentos de acceso.
• Minimizando el valor de su base de datos almacenando solo los datos que deben mantenerse accesibles. Las bases de datos menos valiosas son menos atractivas para los actores maliciosos, y las violaciones causarán menos daño.
• Aplicar las mejores prácticas generales para proteger sistemas y datos, como requerir contraseñas fuertes y proporcionar capacitación sobre ataques de phishing.

Considere las necesidades de su empresa

A medida que comience a planificar cómo proteger sus bases de datos, asegúrese de considerar las necesidades únicas de su empresa. Recolecte inteligencia sobre las formas específicas en que el personal y terceros necesitan acceder a los datos, y la cantidad de datos que se almacenan, acceden y transmiten. Asegúrese de que sus medidas de ciberseguridad sean escalables y flexibles para mantenerse al día con el crecimiento anticipado y la adopción de nuevas tecnologías.