Primeiros passos com a segurança de banco de dados

Como administrador de banco de dados (DBA), você precisa ter um bom entendimento dos fundamentos de segurança de banco de dados para gerenciar seus sistemas com confiança. Ter um sólido conhecimento em segurança de banco de dados permitirá que você proteja as informações sensíveis e críticas para os negócios da sua organização, seguindo as melhores práticas e garantindo a adesão aos protocolos de segurança.

O que é Segurança de Banco de Dados?

Quando usamos a expressão “segurança de banco de dados”, estamos nos referindo a todas as ferramentas projetadas para estabelecer e preservar a integridade, disponibilidade e confidencialidade dos bancos de dados. Garantir que os dados armazenados nos bancos de dados estejam seguros o tempo todo é uma das responsabilidades mais importantes para qualquer DBA.

A segurança de banco de dados abrange:

• Armazenamentos de dados em bancos de dados
• Sistemas de gerenciamento de banco de dados (DBMS)
• Aplicações que acessam dados de banco de dados
• Servidores de hardware
• Servidores de banco de dados virtuais, incluindo servidores baseados na nuvem
• Pontos de acesso à rede

Manter a segurança do banco de dados requer um toque delicado. Embora seja necessário priorizar a Data Security, os dados devem ser acessíveis para agregar valor ao negócio. Quanto mais acesso você permite aos dados armazenados em um banco de dados, mais vulneráveis eles se tornam, mas um banco de dados completamente seguro não é funcional nem prático. Esse paradoxo é às vezes chamado de “Anderson’s Rule”.

A melhor maneira de encontrar o equilíbrio certo entre segurança e acessibilidade é estabelecer protocolos de segurança bem pensados, atribuir níveis escalonados de acesso aos dados e investir em uma plataforma sólida de monitoramento de segurança e atividade de banco de dados.

Por que a Segurança de Banco de Dados é Importante?

Não é exagero dizer que a reputação de uma organização, seu futuro financeiro, conformidade legal e funcionalidade geral dependem todos da sua capacidade de armazenar, mover e gerenciar com segurança os dados que coleta. Bancos de dados inseguros estiveram no centro de vários incidentes de violação de dados em 2019, resultando no roubo de senhas e informações de cartões de crédito de milhões de usuários, na exposição de grandes quantidades de informações sensíveis e em multas elevadas.

Infelizmente, as violações de banco de dados não estão limitadas a grandes empresas com bolsos fundos e uma equipe de profissionais de relações públicas que podem ajudar a limpar a bagunça publicitária. Empresas de todos os tamanhos estão em risco. Até mesmo uma empresa de médio porte que sofre uma violação pode acabar gastando milhões de dólares com honorários legais, multas, esforços de recuperação de dados, notificações aos usuários e tempo de inatividade. Além disso, uma violação pode impactar a receita futura, já que clientes e parceiros têm menos probabilidade de querer lidar com empresas que veem como indignas de confiança ou tecnologicamente atrasadas.

As consequências podem ser ainda piores se a sua propriedade intelectual for comprometida. Se seus segredos comerciais, invenções e informações sobre como sua empresa opera internamente caírem em mãos erradas, a própria existência da sua empresa pode estar em jogo.

Tipos Comuns de Ameaças e Desafios à Segurança de Bancos de Dados

Muitos problemas podem deixar seu banco de dados vulnerável a violações de segurança. Aqui estão as ameaças de segurança mais comuns para as quais você deve estar preparado.

Ameaças Internas

O tipo mais óbvio de insider threat é um usuário mal-intencionado que pretende causar danos. No entanto, este termo também inclui usuários que têm o poder de cometer erros que deixam um banco de dados vulnerável a ataques. De fato, quase metade de todas as violações de dados relatadas em 2018 foram devido a erros humanos, como escolher senhas fracas de e-mail ou banco de dados, compartilhar senhas e armazenamento descuidado de credenciais de banco de dados que foram criadas. Há também um terceiro tipo de ameaça interna: um atacante externo que obtém credenciais de usuário válidas por meio de táticas como phishing.

Uma administração de banco de dados frouxa, especialmente permitindo que muitos funcionários tenham acesso de alto nível aos bancos de dados, aumenta o risco representado por ameaças internas.

Vulnerabilidades de Software de Banco de Dados

Hackers trabalham incansavelmente para localizar e atacar vulnerabilidades de segurança em plataformas e softwares, incluindo softwares de gerenciamento de banco de dados. A falha em aplicar prontamente patches de segurança quando são lançados aumenta sua exposição.

Ataques de Injeção SQL/NoSQL

Os atacantes podem visar um banco de dados SQL ou NoSQL inserindo certas strings em consultas de banco de dados servidas por aplicações web ou cabeçalhos HTTP.

Explorações de Buffer Overflow

Os atacantes podem usar dados excedentes de estouros de buffer como base para lançar ataques. Estouro de buffer ocorre quando um processo tenta escrever mais dados em um bloco de memória de comprimento fixo do que ele pode conter.

Ataques de Negação de Serviço

Quando um atacante inunda o serviço alvo com muitos pedidos, o servidor não consegue acompanhar os pedidos gerados pelos usuários legítimos. Esses ataques de negação de serviço (DoS) podem causar instabilidade no site ou uma queda total.

Ataques distribuídos de negação de serviço (DDoS) são o resultado do sobrecarregamento de múltiplos servidores web. Esses ataques são especialmente difíceis de parar uma vez que começam, portanto, medidas de prevenção são críticas.

Malware

Os ataques de malware geralmente começam em dispositivos de endpoint, mas podem facilmente se estender a bancos de dados. Dispositivos da Internet das coisas (IoT) são especialmente vulneráveis a malware porque muitas vezes não são atualizados com patches de segurança tão frequentemente quanto o hardware principal localizado no escritório.

Ataques de Backup

Dados de backup desprotegidos que não são devidamente seguros estão vulneráveis a ataques. Isso inclui backups antigos armazenados em drives físicos, mas também se estende a backups baseados na nuvem, que se tornaram mais comuns nos últimos anos.

Mudança de Ambientes e Recursos Corporativos

Várias ameaças menos tangíveis podem aumentar a vulnerabilidade do banco de dados:

• As empresas estão salvando e processando mais dados do que nunca, levando a uma estrutura de banco de dados mais complexa.
• As redes têm mais pontos de acesso, incluindo acesso para e a partir de ambientes em nuvem.

Controles de Segurança de Banco de Dados

Os administradores de banco de dados devem estar cientes dos vários tipos de controles de segurança de banco de dados que podem ajudar a mitigar violações de banco de dados. Esses controles também ajudam a garantir a integridade do banco de dados, impedindo que os dados sejam alterados em trânsito e enquanto estão armazenados.

Acesso Restrito

Os controles de acesso devem ser concedidos com base no princípio da least-privilege principle, que exige a restrição de privilégios do sistema para contas de usuário e processos de computação apenas às permissões necessárias para realizar as funções atribuídas.

Auditoria de Banco de Dados

A auditoria rotineira de banco de dados pode revelar vulnerabilidades e atividades suspeitas, além de ajudar a comprovar que as medidas de segurança do banco de dados estão em conformidade com os padrões e regulamentos de segurança de banco de dados. Idealmente, essas soluções devem ser sem agentes para que o processo de auditoria não degrade o desempenho do banco de dados.

Autenticação

A autenticação verifica a identidade de usuários e contas para impedir que usuários não autorizados acessem dados ou sistemas. Segurança de rede os protocolos devem incluir medidas de autenticação em toda a rede da sua empresa.

Garantindo a segurança de aplicações externas

A segurança de banco de dados também exige a proteção de todas as aplicações que têm acesso ao banco de dados. As configurações padrão são projetadas para facilitar uma experiência de instalação sem problemas, mas são inseguras porque são conhecidas por possíveis atacantes. Seu trabalho é garantir que a segurança da sua aplicação esteja no nível mais alto possível, que também permita que o negócio opere adequadamente. O mesmo princípio vale para a proteção dos seus sistemas operacionais subjacentes. Por exemplo, bancos de dados SQL dependem do Windows Server, então o Windows Server deve ser mantido seguro para preservar a segurança do banco de dados.

Outras Medidas de Segurança

A criptografia de dados torna mais difícil para os hackers utilizarem os dados que conseguem roubar. Armazenar backups offline reduz as chances de os hackers conseguirem acesso a eles. E um plano de recuperação de desastres abrangente (e regularmente testado) pode ajudá-lo a restaurar rapidamente suas bases de dados após uma violação ou catástrofe.

Melhores práticas críticas de segurança de banco de dados

Algumas melhores práticas de segurança de dados estão relacionadas à gestão direta do banco de dados, enquanto outras se concentram em regras relacionadas ao acesso ao banco de dados. Práticas específicas a serem consideradas incluem:

• Reforçando a segurança do seu banco de dados. Isso pode incluir a configuração de firewalls em todas as aplicações e sistemas com acesso ao banco de dados, bem como medidas de segurança física, como manter os servidores em uma sala segura e trancada.
• Criptografando seus dados onde quer que eles estejam, inclusive em seus bancos de dados.
• Controlando o acesso ao banco de dados ao impor o princípio do menor privilégio e realizando revisões regulares de permissões para contabilizar mudanças na força de trabalho ou nas necessidades de acesso.
• Auditoria e monitoramento da atividade do banco de dados para mudanças suspeitas e tentativas de acesso.
• Minimizando o valor do seu banco de dados armazenando apenas os dados que precisam ser mantidos acessíveis. Bancos de dados menos valiosos são menos atrativos para agentes mal-intencionados, e violações causarão menos danos.
• Aplicando as melhores práticas gerais para proteger sistemas e dados, como exigir senhas fortes e fornecer treinamento sobre ataques de phishing.

Considere as Necessidades da Sua Empresa

Ao começar a planejar como proteger seus bancos de dados, certifique-se de considerar as necessidades únicas da sua empresa. Colete informações sobre as maneiras específicas como funcionários e terceiros precisam acessar os dados, e a quantidade que está sendo armazenada, acessada e transmitida. Certifique-se de que suas medidas de cibersegurança sejam escaláveis e flexíveis o suficiente para acompanhar o crescimento antecipado e a adoção de novas tecnologias.