Was ist Datenbanksicherheit?

Die Datenbanksicherheit muss Folgendes berücksichtigen und schützen:

• Die Daten in der Datenbank.
  
• Das Datenbankmanagementsystem (DBMS).
  
• Alle zugeordneten Anwendungen.
  
• Der physische Datenbankserver oder der virtuelle Datenbankserver und die zugrunde liegende Hardware.
  
• Die Computer- oder Netzwerkinfrastruktur, die für den Zugriff auf die Datenbank verwendet wird.

Die Sicherheit von Datenbanken ist ein komplexes und anspruchsvolles Unterfangen, das alle Aspekte von Technologien und Verfahren der Informationssicherheit umfasst. Sie steht natürlich auch im Widerspruch zur Benutzerfreundlichkeit von Datenbanken. Je zugänglicher und benutzerfreundlicher die Datenbank ist, desto anfälliger ist sie für Sicherheitsbedrohungen; je unverwundbarer die Datenbank gegenüber Bedrohungen ist, desto schwieriger ist der Zugriff und die Nutzung. Dieses Paradoxon wird manchmal als Anderson-Regel bezeichnet.

Per Definition ist eine Datenschutzverletzung ein Verstoß gegen die Vertraulichkeit der Daten in einer Datenbank. Wie sehr eine Datenschutzverletzung Ihrem Unternehmen schadet, hängt von verschiedenen Konsequenzen oder Faktoren ab:

• Gefährdung geistigen Eigentums: Ihr geistiges Eigentum – Geschäftsgeheimnisse, Erfindungen, eigentumsrechtlich geschützte Verfahren – kann für die Aufrechterhaltung Ihres Wettbewerbsvorteils auf Ihrem Markt von entscheidender Bedeutung sein. Wenn dieses geistige Eigentum gestohlen oder offengelegt wird, kann es schwierig oder unmöglich sein, Ihren Wettbewerbsvorteil zu erhalten oder wiederherzustellen.
  
  
• Schädigung des Markenrufs: Kunden oder Partner sind möglicherweise nicht bereit, Ihre Produkte oder Serviceleistungen zu kaufen (oder mit Ihrem Unternehmen Geschäfte zu machen), wenn sie Ihnen nicht zutrauen, dass Sie ihre oder Ihre eigenen Daten schützen.
  
  
• Geschäftskontinuität (oder deren Fehlen): Einige Unternehmen können ihren Betrieb erst wieder aufnehmen, wenn eine Sicherheitsverletzung behoben wurde.
  
  
• Bußgelder oder Strafen für Nichteinhaltung: Die finanziellen Auswirkungen bei Nichteinhaltung globaler Vorschriften wie dem Sarbanes-Oxley Act (SOA) oder dem Payment Card Industry Data Security Standard (PCI DSS), branchenspezifischer Datenschutzvorschriften wie HIPAA oder regionaler Datenschutzvorschriften wie der europäischen Datenschutz-Grundverordnung (DSGVO) können verheerend sein, wobei die Geldbußen im schlimmsten Fall mehrere Millionen Dollar pro Verstoß betragen können.
  
  
• Kosten für die Behebung von Sicherheitsverletzungen und die Benachrichtigung von Kunden: Zusätzlich zu den Kosten für die Benachrichtigung der Kunden über eine Datenschutzverletzung muss ein betroffenes Unternehmen für forensische und investigative Aktivitäten, Krisenmanagement, Triage, Reparatur der betroffenen Systeme und vieles mehr aufkommen.

Viele Fehlkonfigurationen, Schwachstellen oder Muster von Unachtsamkeit oder Missbrauch in der Software können zu Sicherheitsverletzungen führen. Die häufigsten Arten oder Ursachen von Angriffen auf die Datenbanksicherheit werden im Folgenden aufgeführt.

Eine Insider-Bedrohung ist eine Sicherheitsbedrohung, die von einer von drei Quellen mit privilegiertem Zugriff auf die Datenbank ausgeht:

• Einem böswilliger Insider, der beabsichtigt, Schaden anzurichten.
  
• Einem fahrlässigen Insider, der Fehler macht, die die Datenbank anfällig für Angriffe machen.
  
• Einem Infiltrator – ein Außenstehender, der sich auf irgendeine Weise Zugang zu den Anmeldedaten verschafft, z. B. durch Phishing oder durch Zugriff auf die Anmeldedatenbank selbst.

Insider-Bedrohungen gehören zu den häufigsten Ursachen für Sicherheitsverletzungen in Datenbanken und sind oft darauf zurückzuführen, dass zu viele Mitarbeiter über privilegierte Zugangsdaten verfügen.

Unfälle, schwache Passwörter, das Teilen von Passwörtern und andere unkluge oder uninformierte Verhaltensweisen von Benutzern sind weiterhin die Ursache für fast die Hälfte (49 %) aller gemeldeten Datenschutzverletzungen.

Hacker verdienen ihren Lebensunterhalt damit, Sicherheitslücken in allen Arten von Software, einschließlich Datenbankverwaltungssoftware, zu finden und auszunutzen. Alle großen Anbieter von kommerzieller Datenbanksoftware und Open-Source-Datenbankverwaltungsplattformen veröffentlichen regelmäßig Sicherheitspatches, um diese Sicherheitslücken zu schließen. Wenn diese Patches jedoch nicht rechtzeitig angewendet werden, kann dies das Risiko für Sie erhöhen.

Hierbei handelt es sich um eine datenbankspezifische Bedrohung, bei der beliebige SQL- oder Nicht-SQL-Angriffszeichenfolgen in Datenbankabfragen eingefügt werden, die von Webanwendungen oder HTTP-Headern bereitgestellt werden. Unternehmen, die sich nicht an sichere Programmierpraktiken für Webanwendungen halten und keine regelmäßigen Schwachstellenanalysen durchführen, sind anfällig für diese Angriffe.

Ein Pufferüberlauf tritt auf, wenn ein Prozess versucht, mehr Daten in einen Speicherblock mit fester Länge zu schreiben, als er aufnehmen darf. Angreifer können die überschüssigen Daten, die in benachbarten Speicheradressen gespeichert sind, als Grundlage für Angriffe nutzen.

Malware ist eine Software, die speziell dafür geschrieben wurde, Sicherheitslücken auszunutzen oder anderweitig Schäden an der Datenbank zu verursachen. Malware kann über jedes Endgerät eindringen, das mit dem Netzwerk der Datenbank verbunden ist.

Unternehmen, die Sicherungsdaten nicht mit denselben strengen Kontrollen schützen, die auch für den Schutz der Datenbank selbst verwendet werden, können anfällig für Angriffe auf Backups sein.

Diese Bedrohungen werden durch Folgendes verschärft:

• Wachsende Datenmengen: Die Datenerfassung, -speicherung und -verarbeitung nimmt in fast allen Unternehmen weiterhin exponentiell zu. Alle Tools oder Verfahren zur Datensicherheit müssen hochgradig skalierbar sein, um den Anforderungen der nahen und fernen Zukunft gerecht zu werden.
  
  
• Ausufernde Infrastruktur: Netzwerkumgebungen werden immer komplexer, insbesondere wenn Unternehmen Workloads in Multicloud- oder Hybrid-Cloud-Architekturen verlagern, was die Auswahl, Bereitstellung und Verwaltung von Sicherheitslösungen immer schwieriger macht.
  
  
• Zunehmend strengere regulatorische Anforderungen: Die globale Landschaft der regulatorischen Compliance wird immer komplexer, was die Einhaltung aller Vorschriften erschwert.
  
  
• Fachkräftemangel im Bereich Cybersicherheit: Experten gehen davon aus, dass es bis 2022 bis zu 8 Millionen unbesetzte Stellen im Bereich Cybersicherheit geben könnte.

Bei einem Denial-of-Service-Angriff (DoS) überschwemmt der Angreifer den Zielserver – in diesem Fall den Datenbankserver – mit so vielen Anfragen, dass der Server legitime Anfragen von tatsächlichen Benutzern nicht mehr erfüllen kann und häufig instabil wird oder abstürzt.

Bei einem Distributed-Denial-of-Service-Angriff (DDoS) geht die Flut von mehreren Servern aus, was es schwieriger macht, den Angriff zu stoppen.

Da Datenbanken über das Netzwerk zugänglich sind, stellt jede Sicherheitsbedrohung für eine Komponente innerhalb oder einen Teil der Netzwerkinfrastruktur auch eine Bedrohung für die Datenbank dar, und jeder Angriff, der sich auf das Gerät oder die Workstation eines Benutzers auswirkt, kann die Datenbank gefährden. Daher muss die Sicherheit von Datenbanken weit über die Grenzen der Datenbank hinausgehen.

Bei der Bewertung der Datenbanksicherheit in Ihrer Umgebung sollten Sie die folgenden Bereiche berücksichtigen, um die wichtigsten Prioritäten für Ihr Team festzulegen:

• Physische Sicherheit: Ob Ihr Datenbankserver On-Premises oder in einem Cloud-Rechenzentrum steht, er muss sich in einer sicheren, klimatisierten Umgebung befinden. Wenn sich Ihr Datenbankserver in einem Cloud-Rechenzentrum befindet, übernimmt Ihr Cloud-Provider dies für Sie.
  
  
• Administrative und netzwerkbezogene Zugriffskontrollen: Die praktische Mindestanzahl an Benutzern sollte Zugriff auf die Datenbank haben, und ihre Berechtigungen sollten auf das Minimum beschränkt sein, das sie für ihre Arbeit benötigen. Ebenso sollte der Netzwerkzugriff auf das erforderliche Mindestmaß an Berechtigungen beschränkt werden.
  
  
• Sicherheit von Benutzerkonten und Geräten: Achten Sie stets darauf, wer auf die Datenbank zugreift und wann, und wie die Daten verwendet werden. Datenüberwachungslösungen können Sie benachrichtigen, wenn Datenaktivitäten ungewöhnlich sind oder riskant erscheinen. Alle Benutzergeräte, die mit dem Netzwerk verbunden sind, in dem sich die Datenbank befindet, sollten physisch sicher sein (d. h. nur in den Händen des richtigen Benutzers) und jederzeit Sicherheitskontrollen unterliegen.
  
  
• Verschlüsselung: Alle Daten, einschließlich der Daten in der Datenbank und der Anmeldedaten, sollten sowohl im Ruhezustand als auch während der
  
  Übertragung mit der besten Verschlüsselung geschützt werden. Alle Verschlüsselungsschlüssel sollten gemäß den Richtlinien für Best Practices behandelt werden.
  
  
• Sicherheit von Datenbanksoftware: Verwenden Sie immer die neueste Version Ihrer Software zur Datenbankverwaltung und installieren Sie alle Patches, sobald sie veröffentlicht werden.
  
  
• Sicherheit von Anwendungen und Webservern: Jede Anwendung oder jeder Webserver, der mit der Datenbank interagiert, kann ein Angriffskanal sein und sollte daher fortlaufend Sicherheitstests und einem Best-Practice-Management unterzogen werden.
  
  
• Backup-Sicherheit: Alle Backups, Kopien oder Bilder der Datenbank müssen den gleichen (oder genauso strengen) Sicherheitskontrollen unterliegen wie die Datenbank selbst.
  
  
• Auditing: Zeichnen Sie alle Anmeldungen am Datenbankserver und Betriebssystem auf und protokollieren Sie auch alle Operationen, die mit sensiblen Daten durchgeführt werden. Es sollten regelmäßig Prüfungen der Sicherheitsstandards der Datenbank durchgeführt werden.

Zusätzlich zur Implementierung mehrschichtiger Sicherheitskontrollen in Ihrer gesamten Netzwerkumgebung müssen Sie für die Datenbanksicherheit die richtigen Kontrollen und Richtlinien für den Zugriff auf die Datenbank selbst festlegen. Dazu gehören:

• Administrative Kontrollen zur Steuerung der Installation, Änderung und Konfiguration der Datenbank.
  
  
• Präventive Kontrollen zur Steuerung von Zugriff, Verschlüsselung, Tokenisierung und Maskierung.
  
  
• Detektivkontrollen zur Überwachung der Datenbankaktivität und Tools zur Verhinderung von Datenverlust. Diese Lösungen ermöglichen es, ungewöhnliche oder verdächtige Aktivitäten zu erkennen und zu melden.

Richtlinien zur Datenbanksicherheit sollten in Ihre allgemeinen Geschäftsziele integriert werden und diese unterstützen, wie z. B. den Schutz von kritischem geistigem Eigentum und Ihre Richtlinien zur Cybersicherheit und Cloud-Sicherheitsrichtlinien. Stellen Sie sicher, dass Sie die Verantwortung für die Aufrechterhaltung und Prüfung der Sicherheitskontrollen in Ihrem Unternehmen festgelegt haben und dass Ihre Richtlinien die Ihres Cloud-Anbieters in Vereinbarungen über die gemeinsame Verantwortung ergänzen. Sicherheitskontrollen, Schulungen und Bildungsprogramme zur Sensibilisierung für Sicherheit sowie Strategien für Penetrationstests und Schwachstellenanalysen sollten alle zur Unterstützung Ihrer formellen Sicherheitsrichtlinien eingeführt werden.

Heutzutage bieten zahlreiche Anbieter Datenschutz-Tools und -Plattformen an. Eine umfassende Lösung sollte alle folgenden Funktionen umfassen:

• Entdeckung: Suchen Sie nach einem Tool, das Schwachstellen in all Ihren Datenbanken – ob in der Cloud oder On-Premises gehostet – scannen und klassifizieren kann und Empfehlungen zur Behebung der erkannten Schwachstellen gibt. Oftmals sind Erkundungsfähigkeiten erforderlich, um die gesetzlichen Vorschriften einzuhalten.
  
  
• Überwachung der Datenaktivität: Die Lösung sollte in der Lage sein, alle Datenaktivitäten in allen Datenbanken zu überwachen und zu prüfen, unabhängig davon, ob Ihre Bereitstellung On-Premises, in der Cloud oder in einem Container erfolgt. Das System sollte Sie in Echtzeit auf verdächtige Aktivitäten aufmerksam machen, damit Sie schneller auf Bedrohungen reagieren können. Sie benötigen außerdem eine Lösung, die Regeln, Richtlinien und eine Aufgabentrennung durchsetzen kann und die über eine umfassende und einheitliche Benutzeroberfläche Einblick in den Status Ihrer Daten bietet. Stellen Sie sicher, dass jede Lösung, für die Sie sich entscheiden, die Berichte erstellen kann, die Sie zur Erfüllung der Compliance-Anforderungen benötigen.
  
  
• Verschlüsselungs- und Tokenisierungsfunktionen: Im Falle einer Sicherheitsverletzung bietet die Verschlüsselung eine letzte Verteidigungslinie gegen eine Kompromittierung. Jedes Tool, für das Sie sich entscheiden, sollte flexible Verschlüsselungsfunktionen enthalten, die Daten in lokalen, Cloud-, Hybrid- oder Multicloud-Umgebungen schützen können. Suchen Sie nach einem Tool mit Funktionen zur Datei-, Volumen- und Anwendungsverschlüsselung, das den Compliance-Anforderungen Ihrer Branche entspricht, die möglicherweise eine Tokenisierung (Datenmaskierung) oder erweiterte Funktionen zur Verwaltung von Sicherheitsschlüsseln erfordern.
  
  
• Optimierung der Datensicherheit und Risikoanalyse: Ein Tool, das durch die Kombination von Datensicherheitsinformationen mit fortschrittlichen Analysen kontextbezogene Erkenntnisse generieren kann, ermöglicht Ihnen die einfache Durchführung von Optimierungen, Risikoanalysen und Berichterstellung. Wählen Sie eine Lösung, die große Mengen historischer und aktueller Daten über den Status und die Sicherheit Ihrer Datenbanken speichern und zusammenführen kann, und suchen Sie nach einer Lösung, die Datenexploration, Auditing und Berichterstellungsfunktionen über ein umfassendes, aber benutzerfreundliches Self-Service-Dashboard bietet.