Commencer avec la sécurité des bases de données

En tant qu'administrateur de base de données (DBA), vous devez avoir une solide compréhension des bases de la sécurité des bases de données pour gérer vos systèmes en toute confiance. Avoir une bonne connaissance de la sécurité des bases de données vous permettra de protéger les informations sensibles et critiques pour l'entreprise de votre organisation en suivant les meilleures pratiques et en assurant le respect des protocoles de sécurité.

Qu'est-ce que la sécurité des bases de données ?

Lorsque nous utilisons l'expression « sécurité des bases de données », nous faisons référence à tous les outils conçus pour établir et préserver l'intégrité, la disponibilité et la confidentialité des bases de données. Garantir que les données stockées dans les bases de données soient sécurisées en permanence est l'une des responsabilités les plus importantes pour tout administrateur de base de données (DBA).

La sécurité des bases de données couvre :

• Magasins de données dans les bases de données
• Systèmes de gestion de base de données (DBMS)
• Applications qui accèdent aux données de la base de données
• Serveurs matériels
• Serveurs de bases de données virtuels, y compris les serveurs basés sur le cloud
• Points d'accès réseau

Maintenir la sécurité des bases de données nécessite une main délicate. Alors que vous devez donner la priorité à la Data Security Posture Management, les données doivent être accessibles pour apporter de la valeur à l'entreprise. Plus vous autorisez l'accès aux données stockées dans une base de données, plus ces données deviennent vulnérables, mais une base de données hermétique n'est ni fonctionnelle ni pratique. Ce paradoxe est parfois appelé la « Anderson’s Rule ».

La meilleure façon de trouver le bon équilibre entre sécurité et accessibilité est d'établir des protocoles de sécurité réfléchis, d'attribuer des niveaux d'accès aux données hiérarchisés et d'investir dans une plateforme solide de surveillance de la sécurité et de l'activité des bases de données.

Pourquoi la sécurité des bases de données est-elle importante ?

Il n'est pas exagéré de dire que la réputation, l'avenir financier, la conformité légale et la fonctionnalité globale d'une organisation dépendent tous de sa capacité à stocker, déplacer et gérer en toute sécurité les données qu'elle collecte. Les bases de données non sécurisées étaient au cœur de plusieurs violations importantes en 2019, entraînant le vol de mots de passe et d'informations de cartes de crédit pour des millions d'utilisateurs, l'exposition de quantités massives d'informations sensibles et d'énormes amendes.

Malheureusement, les violations de bases de données ne sont pas limitées aux grandes entreprises disposant de budgets conséquents et d'une équipe de professionnels des relations publiques qui peuvent aider à nettoyer le désordre médiatique. Les entreprises de toutes tailles sont à risque. Même une entreprise de taille moyenne qui subit une violation peut finir par dépenser des millions de dollars en frais juridiques, amendes, efforts de récupération de données, notifications aux utilisateurs et temps d'arrêt. De plus, une violation peut avoir un impact sur les revenus futurs, puisque les clients et partenaires sont moins enclins à vouloir traiter avec des entreprises qu'ils considèrent comme peu fiables ou technologiquement à la traîne.

Les conséquences peuvent être encore pires si votre propriété intellectuelle est compromise. Si vos secrets commerciaux, inventions et informations sur le fonctionnement interne de votre entreprise tombent entre de mauvaises mains, l'existence même de votre entreprise pourrait être en jeu.

Types courants de menaces et de défis pour la sécurité des bases de données

De nombreux problèmes peuvent rendre votre base de données vulnérable aux violations de sécurité. Voici les menaces de sécurité les plus courantes auxquelles vous devriez être préparé.

Menaces internes

La forme la plus évidente de insider threat est un utilisateur malveillant qui a l'intention de nuire. Cependant, ce terme inclut également les utilisateurs qui ont le pouvoir de faire des erreurs laissant une base de données vulnérable aux attaques. En effet, près de la moitié de toutes les violations de données signalées en 2018 étaient dues à des erreurs humaines telles que le choix de mots de passe faibles pour les e-mails ou les bases de données, le partage de mots de passe et le stockage négligent des informations d'identification de bases de données qui ont été créées. Il existe également un troisième type de menace interne : un attaquant externe qui obtient des informations d'identification d'utilisateur valides grâce à des tactiques telles que le hameçonnage.

Une administration laxiste des bases de données, en particulier le fait de permettre à trop d'employés d'avoir un accès de haut niveau aux bases de données, augmente le risque posé par les menaces internes.

Vulnérabilités des logiciels de base de données

Les pirates travaillent sans relâche pour localiser et cibler les vulnérabilités de sécurité dans les plateformes et logiciels, y compris les logiciels de gestion de bases de données. Ne pas appliquer rapidement les correctifs de sécurité lorsqu'ils sont publiés augmente votre exposition.

Attaques par injection SQL/NoSQL

Les attaquants peuvent cibler une base de données SQL ou NoSQL en insérant certaines chaînes dans les requêtes de base de données servies par des applications web ou des en-têtes HTTP.

Exploitations de débordement de tampon

Les attaquants peuvent utiliser l'excès de données provenant de débordements de tampon comme base pour lancer des attaques. Un débordement de tampon se produit lorsqu'un processus tente d'écrire plus de données dans un bloc de mémoire à longueur fixe qu'il ne peut en contenir.

Attaques par déni de service

Lorsqu'un attaquant inonde le service cible de trop nombreuses demandes, le serveur ne peut pas suivre les requêtes générées par les utilisateurs légitimes. Ces attaques par déni de service (DoS) peuvent provoquer une instabilité du site web ou un crash total.

Les attaques par déni de service distribué (DDoS) résultent de la saturation de multiples serveurs web. Ces attaques sont particulièrement difficiles à arrêter une fois qu'elles ont commencé, donc les mesures de prévention sont cruciales.

Logiciels malveillants

Les attaques de logiciels malveillants commencent souvent sur des appareils de point de terminaison, mais elles peuvent facilement s'étendre aux bases de données. Les appareils de l'Internet des objets (IoT) sont particulièrement vulnérables aux logiciels malveillants car ils ne sont souvent pas mis à jour avec des correctifs de sécurité aussi fréquemment que le matériel principal situé dans le bureau.

Attaques par sauvegarde

Les données de sauvegarde non protégées qui ne sont pas correctement sécurisées sont vulnérables aux attaques. Cela inclut les anciennes sauvegardes stockées sur des disques physiques, mais s'étend également aux sauvegardes basées sur le cloud, qui sont devenues plus courantes au cours des dernières années.

Changement des environnements et ressources d'entreprise

Plusieurs menaces moins tangibles peuvent accroître la vulnérabilité des bases de données :

• Les entreprises sauvegardent et traitent plus de données que jamais, ce qui conduit à une structure de base de données plus complexe.
• Les réseaux ont plus de points d'accès, y compris l'accès vers et depuis les environnements cloud.

Contrôles de sécurité des bases de données

Les administrateurs de bases de données doivent être conscients des différents types de contrôles de sécurité des bases de données qui peuvent aider à atténuer les violations de bases de données. Ces contrôles aident également à garantir l'intégrité des bases de données en empêchant que les données soient altérées pendant le transit et lors de leur stockage.

Accès restreint

Les contrôles d'accès doivent être accordés sur la base du principe du least-privilege principle, qui exige de restreindre les privilèges système pour les comptes d'utilisateurs et les processus informatiques uniquement aux permissions nécessaires pour effectuer les fonctions assignées.

Audit de base de données

L'audit de base de données de routine peut révéler des vulnérabilités et des activités suspectes, ainsi que vous aider à prouver que vos mesures de sécurité de base de données sont conformes aux normes et réglementations de sécurité des bases de données. Idéalement, ces solutions devraient être sans agent afin que le processus d'audit ne dégrade pas les performances de la base de données.

Authentification

L'authentification vérifie l'identité des utilisateurs et des comptes pour empêcher les utilisateurs non autorisés d'accéder aux données ou aux systèmes. La sécurité du réseau doit inclure des mesures d'authentification sur l'ensemble du réseau de votre entreprise.

Sécurisation des applications externes

La sécurité des bases de données nécessite également de sécuriser toutes les applications ayant accès à la base de données. Les paramètres par défaut sont conçus pour faciliter une expérience d'installation fluide mais sont peu sûrs car ils sont connus des éventuels attaquants. Votre travail consiste à vous assurer que la sécurité de votre application est réglée au niveau le plus élevé possible tout en permettant encore à l'entreprise de fonctionner correctement. Le même principe s'applique à la sécurisation de vos systèmes d'exploitation sous-jacents. Par exemple, les bases de données SQL dépendent de Windows Server, donc Windows Server doit être maintenu sécurisé pour préserver la sécurité de la base de données.

Autres mesures de sécurité

Le chiffrement des données rend plus difficile pour les pirates l'utilisation des données qu'ils parviennent à voler. Stocker des sauvegardes hors ligne réduit les chances que les pirates puissent y accéder. Et un plan de reprise après sinistre complet (et régulièrement testé) peut vous aider à restaurer rapidement vos bases de données après une violation ou une catastrophe.

Pratiques recommandées essentielles pour la sécurité des bases de données

Certaines meilleures pratiques de sécurité des données concernent directement la gestion de la base de données, tandis que d'autres se concentrent sur les règles liées à l'accès à la base de données. Parmi les meilleures pratiques spécifiques à prendre en compte, citons :

• Renforcer la sécurité de votre base de données. Cela peut inclure la mise en place de pare-feu pour toutes les applications et systèmes ayant accès à la base de données, ainsi que des mesures de sécurité physique telles que le maintien des serveurs dans une salle sécurisée et verrouillée.
• Chiffrer vos données partout où elles se trouvent, y compris dans vos bases de données.
• Contrôler l'accès aux bases de données en appliquant le principe du moindre privilège et en réalisant des révisions régulières des permissions pour prendre en compte les changements dans l'effectif ou les besoins d'accès.
• Audit et surveillance de l'activité de la base de données pour détecter les modifications et les tentatives d'accès suspectes.
• Minimiser la valeur de votre base de données en stockant uniquement les données qui doivent rester accessibles. Les bases de données moins précieuses sont moins attrayantes pour les acteurs malveillants, et les violations causeront moins de dommages.
• L'application de meilleures pratiques générales pour la protection des systèmes et des données, telles que l'exigence de mots de passe forts et la fourniture de formations sur les attaques de phishing.

Prenez en compte les besoins de votre entreprise

Lorsque vous commencez à planifier comment protéger vos bases de données, assurez-vous de prendre en compte les besoins spécifiques de votre entreprise. Recueillez des renseignements sur les manières spécifiques dont le personnel et les tiers doivent accéder aux données, ainsi que sur la quantité de données stockées, consultées et transmises. Assurez-vous que vos mesures de cybersécurité sont évolutives et suffisamment flexibles pour suivre la croissance anticipée et l'adoption de nouvelles technologies.