Anwendungsbenutzer mit DataSunrise identifizieren

DataSunrise bietet Tools für Datenmaskierung, Datenbanksicherheit und Aktivitätsüberwachung. Unser Ansatz besteht darin, kontinuierlich den Bedürfnissen unserer aktuellen und potenziellen Kunden zu folgen, um ein Produkt zu entwickeln, das den Anforderungen der modernen IT-Umgebung entspricht. Daher umfasst das DataSunrise Database Security Suite die Funktionalität zur Identifizierung von Anwendungsbenutzern.

Es ist gängige Praxis in heutigen Umgebungen, dass eine Anwendung Verbindungspools verwendet, um mit einer Datenbank zu kommunizieren. Mit anderen Worten, anstatt jedes Mal eine neue Verbindung zu erstellen, wenn sich ein Anwendungsbenutzer anmeldet, verwendet der Anwendungsserver eine der wiederverwendbaren Verbindungen aus dem Pool. So verwendet die Anwendung nur einen Datenbankbenutzer, um sich mit der Datenbank zu verbinden. Verbindungspooling hilft erheblich bei der Steigerung der Anwendungsleistung, hat jedoch einige Nachteile, wenn es um die Prüfung von Datenbanktransaktionen oder die Einschränkung des Zugriffs bestimmter Endbenutzer geht.

Da die Anwendung einen einzigen Datenbankbenutzer für alle Transaktionen von Anwendungsbenutzern verwendet, ist es schwierig, den Endbenutzer zu identifizieren, der eine bestimmte Anweisung ausgeführt hat. Strenge Vorschriften in einigen Umgebungen verlangen jedoch die Verwaltung des Zugriffs auf sensible Daten für einige Anwendungsbenutzer. Dies ist auch für Unternehmen erforderlich, die strenge Prüfungsanforderungen von HIPAA und SOX erfüllen.

Wenn Sie dasselbe Problem haben, bietet Ihnen DataSunrise die Lösung. DataSunrise Database Security Suite verwendet Algorithmen, um zugeordnete Anwendungsbenutzer zu identifizieren, sodass Sie immer wissen, wer genau Ihre Datenbank abgefragt hat. Sie können auch Sicherheitsregeln konfigurieren, um bestimmte Abfragen von unerwünschten Endbenutzern zu blockieren.

Wie DataSunrise Endbenutzer identifiziert

Wenn ein Benutzer über eine Anwendung mit Verbindungspools mit einer Datenbank kommuniziert, muss die Anwendung verfolgen, wer die Abfrage initiiert hat, damit sie die Abfrageantwort genau an denselben Benutzer zurücksenden kann. Die Herausforderung von DataSunrise besteht darin, die „Spuren“ des Endbenutzers unter den verschiedenen Arten von Daten zu erfassen, die von der Anwendung gesendet werden.

Die Spuren eines Anwendungsbenutzers können in verschiedenen Arten von aus der Anwendung extrahierten Daten gefunden werden. DataSunrise kann gleichzeitig mehrere der folgenden Techniken anwenden:

• Abfragebasierte Erkennung. Extrahieren von Anwendungsbenutzernamen aus SQL-Anweisungen. Wenn ein Client seine Anmeldeinformationen eingibt, sendet die Anwendung eine SQL-Anfrage an den Web-Server, um zu überprüfen, ob es einen solchen Benutzer gibt. DataSunrise fängt diese Abfrage ab und identifiziert den Endbenutzer.
• ResultSet-basierte Erkennung. Extrahieren von Anwendungsbenutzernamen aus dem Ergebnis einer SQL-Abfrage ausführung.
• Bindungsbasierte Erkennung. Identifizieren von Anwendungsbenutzern gemäß dem angegebenen regulären Ausdrucksmuster für SQL-Abfragebindungen.
• Erkennung durch Sitzungsparameter. Identifizieren von Anwendungsbenutzern gemäß dem angegebenen regulären Ausdrucksmuster für Parameter der Sitzung.
• SAP ECC (für SAP HANA, SAP Sybase, Oracle, IBM Db2). Erkennung von Endbenutzern anhand eines Satzes von integrierten Mustern für Sitzungsparameter.
• Oracle EBS. Integrierte Erkennung von Endbenutzern.
• Bizagi Cloud Platform. Integrierte Erkennung von Endbenutzern.

Überprüfen wir das Grundprinzip am Beispiel einer abfragebasierten Erkennung. Angenommen, ein Kunde möchte sich in sein Online-Bankkonto einloggen. Wenn der Kunde Anmeldeinformationen eingibt, sendet die Webanwendung eine SELECT-Abfrage an den Webserver, um zu überprüfen, ob ein Benutzerkonto vorhanden ist, das den angegebenen Anmeldeinformationen entspricht.

Um DataSunrise so zu konfigurieren, dass es diese Art von Abfragen erfasst, müssen Sie das reguläre Ausdrucksmuster für erforderliche SQL-Abfragen in den Einstellungen der Datenbankinstanz festlegen (Configurations – Databases – Actions – Application User Settings in der DataSunrise Web Console).

Sobald der Benutzer seine Anmeldeinformationen eingibt, sendet die Anwendung die SELECT-Abfrage, die das Anwendungsbenutzer-Login enthält, an den Webserver. DataSunrise fängt diese Abfrage ab, identifiziert das Endbenutzer-Login und verknüpft es mit aufeinanderfolgenden Abfragen, bis das angegebene Muster erneut mit einem anderen Anwendungsbenutzer-Login übereinstimmt.

Mit dieser Funktionalität bietet DataSunrise eine Lösung für das Problem der Identifizierung von Anwendungsendbenutzern, die mit Datenbankaktivitäten in Verbindung stehen, wenn die Anwendung Verbindungspools verwendet.

Für detaillierte Anweisungen zur Konfiguration der Anwendungsbenutzererkennung lesen Sie den Abschnitt Erfassung von Anwendungsbenutzern im DataSunrise Database Security Benutzerhandbuch.