Das Dokument behandelt die IT-Sicherheitsbedrohungen und die Notwendigkeit von Maßnahmen wie das 'Härten' von Datenbanken zur Risikominderung. Es wird erklärt, dass 'Härten' bedeutet, die Sicherheit eines Systems durch die Reduktion unnötiger Softwarekomponenten und die Minimierung von Angriffsflächen zu erhöhen. Es werden verschiedene Tools und Methoden vorgestellt, um die Sicherheitslage von Datenbanken zu verbessern, sowie die Bedeutung von Überwachung und Compliance im Risikomanagement.

2. DTCC Pre-Sales “DB Hardening” und Oracle Security
Pre-
Version 1.0
Carsten Mützlitz

3. Grundbedrohungen der IT sind nachwievor gegeben
Vorbemerkungen
Verlust der Vertraulichkeit Verlust der Verfügbarkeit
- Netzverkehr abhören - Ausfall
(sniffer attacks)
- Zerstörung
- „Knacken“ kryptographischer
Schlüssel und Verfahren - Unterbrechung von Diensten
(code breaking/key recovery) (denial of service) durch:
- Angriffe auf Kennwörter - ping of death
(password guessing/ Mobile
Teleworking - ICMP attacks
cracking) Computing
INTERNET
- SYN flooding, etc.
- Falsche Rechte-Konzept
Corporate Corporate
Network Network
- Verarbeitungs-, Übertragungs- - Rechtsverbindlichkeit
und Speicherfehler elektronisch abgeschlossener
Verträge, wie z.B. per:
- Manipulation von Daten z. B. • Schlagwörter die als - Fax, E-Mail
durch spoofing attacks: Bedrohung eingestuft
- ip spoofing (IP fälschen) werden sind: - Electronic Commerce
• Hacker, Fremdpersonal, - Gesetzesauflagen
- DNS spoofing (Fälschung eigenes Personal,
von DNS-Einträgen) - Risiko-Früherkennung
• Fehler, Ausfälle,
- web spoofing (Fälschen • Fernwartung und - Authentizitätscheck (Who)
von Webseiten)
• Wirtschaftsspionage
Verlust der Integrität • u.v.m. Verlust der Verbindlichkeit
Eine Überwachung ist notwendig, um zu erkennen, ob eine Grundbedrohung ein Risiko darstellt.

4. IT wird HEUTE in das Risikomanagement einbezogen
Darüber besteht heute weitgehend Konsens
Die IT als Bestandteil des Risikomanagements
• Die zunehmende Technologieabhängigkeit
führt dazu, dass die IT-Systeme in die
Risikobetrachtung miteinbezogen werden
• IT Risikofaktoren sind Auswirkungen/Maßnahmen
• Sicherheit: Angriffe, Schadcode, Aktuelle Hard/Software, Regularien, moderne
Unautorisierte Zugriffe Sicherheitseinrichtungen
• Verfügbarkeit: Ausfälle, Downtimes, Redundante Auslegung der Systeme,
Wartung etc. Backup/Recovery, Spiegelung, Virtualisierung
• Performance: Produktivität der Skalierung von IT Systemen, Nutzung von
Endanwender/Kunden, Kundenverluste Peaks, Grids
• Compliance: Einhaltung von Aufbewahrungspflicht, Sorgfaltsanforderungen,
behördlichen und sonstigen Vorschriften Überwachung, Kontrolle
• Erweiterte Haftung: KontraG, Risikofrüherkennung, IT Infrastruktur muss alle
Transparenzschaffung im Jahresbericht Anforderungen erfüllen, Prozesse
• Ansätze des IT-Service Managements ITIL, ISO/IEC 17799, ISO 2000, Cobit
sollen unterstützen
IT Sicherheit/Compliance System Governance
Automatisierte Risikomanagement Prozesse können unterstützen: Analyse, Bewertung, Minimierung,
Kontrolle, Verfolgung.

5. Einführung in das Härten von
Datenbanken
• Was genau bedeutet „HÄRTEN“?
• Welche Tools stehen zur Verfügung?
• Was genau erreicht man durch das „HÄRTEN“?
• Oracle Security Lösungen

6. Härten = Die Sicherheit eines Systems erhöhen
Kleine Auswahl von Möglichkeiten
Härtung Erläuterung
• Unter Härten versteht man, die Sicherheit eines Systems zu erhöhen. Bas BSI sagt:
Definition „...die Entfernung aller Softwarebestandteile und Funktionen, die zur Erfüllung der
vorgesehenen Aufgabe durch das Programm nicht zwingend notwendig sind...“.
• Reduktion der Möglichkeiten zur Ausnutzung von Verwundbarkeiten
• Minimierung der möglichen Angriffsmethoden
• Beschränkung der einem Angreifer nach einem erfolgreichen Angriff zur Verfügung
Ziele
stehenden Werkzeuge
• Minimierung der einem Angreifer nach einem erfolgreichen Angriff zur Verfügung
stehenden Privilegien
• Erhöhung der Wahrscheinlichkeit der Entdeckung eines erfolgreichen Angriffs
• Nebenziel: Komplexität verringern
• Entfernung/Deaktivierung von für den Betrieb nicht zwingend erforderlichen
Softwarekomponenten
• Verwendung unprivilegierter Benutzerkonten zur Ausführung von Server-Prozessen
• Anpassung von Dateisystemrechten und ihrer Vererbung
• Verwendung von chroot oder anderen Jails für die Ausführung von Software
Methoden
• Verwendung von Mandatory Access Control
• Nutzung von Verschlüsselung, z.B. für die Datenübertragung
• Verwendung möglichst fehlerfreier Software ohne bekannte Verwundbarkeiten
• Backup Recovery, Deployment, Testing
• Einheitliche Admin-Umgebung, Überwachung, SLAs

7. Einführung in das Härten von
Datenbanken
• Was genau bedeutet „HÄRTEN“?
• Welche Tools stehen zur Verfügung?
• Was genau erreicht man durch das „HÄRTEN“?
• Oracle Security Lösungen

8. Welche Tools existieren für das Härten von DBs?
Kleine Auswahl von Möglichkeiten
Wissen Dokumente und Checklisten Tools
• Wissen schützt immer • Im Internet vorhanden • Security Scanner
• Fortbildungen • Oracle Standard • 3rd Party
sind Pflicht Listen • Oracle Tools
Egal welche Tools man nutzt. Das
Härten von DB-Systemen ist ein
manueller Vorgang, der jedoch durch
den Einsatz von Tools unterstützt UNBREAKABLE
DATABASE
werden kann.
Das Härten von DB-Systemen erfordert ein umfangreiches Wissen.

9. Dokumente und Checklisten
In der virtuellen Welt stehen verschiedene Dokumente zur Verfügung
Dokumente Erläuterung
• Oracle Standard Dokumentation 11g Security Guide, Sec. Checklist 10g
Oracle • Oracle Projekt Lockdown (Oracle Magazin):
• Technical Whitepaper: „Security Checkliste“ :
• Zahlreiche Blogs von Security Experten
Öffentlich (privat) • Internet googeln
• Bundesamt für Sicherheit in der Informationstechnik
• Beratungsunternehmen
3rd Parties (Business) • Softwarehersteller
• Oracle Partnerunternehmen
• Freiberufliche Berater
Oracle liefert einigen Content ...

10. Oracle Tool: Der Enterprise Manager
Configuration Management Pack

11. Oracle Configuration Management
Schwachstellen Begutachtung & Sichere Konfiguration
Monitor
Discover Classify Assess Prioritize Fix Monitor
Asset Configuration
Policy Vulnerability Analysis &
Management Management
Management Management Analytics
& Audit
• Datenbank Erkenntnisse darstellen (Reporting)
• Andauerndes Scanning von 375+ Best-Practices und
Industriestandards (“erweiterbar”)
• Aufdecken und verhindern unautorisierte
Konfigurationsänderungen
• Änderungsmanagement Compliance Reports
11

12. Einführung in das Härten von
Datenbanken
• Was genau bedeutet „HÄRTEN“?
• Welche Tools stehen zur Verfügung?
• Was genau erreicht man durch das „HÄRTEN“?
• Oracle Security Lösungen

13. Das HÄRTEN vermindert das Risiko
Ein Risiko bewertet man durch eine Bedrohungs- und Risikoanalyse
Risiko vs. Kosten
Hoch
Risiko
?Nicht gehärtetes System?
?Gehärtetes System?
Geringe Kosten Hohe Kosten
Hohes Risiko geringes Risiko
Gering Kosten Hoch
Ziel: Unwahrscheinlichkeit erhöhen, dass Risiko eintritt, bzw. die Folgen abgemildert werden.
Fazit: Risiken erkennt man durch Überwachnung!!!

14. Einführung in das Härten von
Datenbanken
• Was genau bedeutet „HÄRTEN“?
• Welche Tools stehen zur Verfügung?
• Was genau erreicht man durch das „HÄRTEN“?
• Oracle Security Lösungen

15. Oracle Security Lösungen
Zur Maßnahmenumsetzung und Überwachung
Verschlüsselung / Maskierung
• Oracle Advanced Security
• Oracle Secure Backup
• Oracle Data Masking
Zugriffskontrolle
• Oracle Database Vault
• Oracle Label Security
Audit und Tracking
• Oracle Audit Vault
• Oracle Configuration Management
• Oracle Total Recall
Monitoring und Blocking
• Oracle Database Firewall

16. Digitally signed by Carsten
CarstenMützlitz
DN: cn=Carsten Mützlitz,
c=DE, o=Oracle Deutschland,
ou=Systemberatung,
email=carsten.muetzlitz@oracl
Mützlitz
e.com
Date: 2011.04.28 08:28:03
+01'00'