Schwachstellenbewertung
Datenbanken sind ein Hauptziel für Cyberkriminelle, da sie oft sensible Daten enthalten. Diese sensiblen Daten können finanzielle Informationen, geistiges Eigentum, Firmengeheimnisse oder persönlich identifizierbare Informationen umfassen. Es gibt einige Dinge, die Datenbanken für innere und äußere Bedrohungen anfällig machen. Diese Dinge können entweder durch menschliche oder technische Faktoren verursacht werden.
Es gibt viele Faktoren, die die Verwundbarkeit von Datenbanken beeinflussen können. Zu den beliebtesten Faktoren gehören schwache Passwörter, die Datenbanken wirklich anfällig machen können. Zu den weiteren Schwachstellen, die Ihre Datenbank zum Ziel für Cyberkriminelle machen können, gehören falsch konfigurierte Server und das Versäumnis, Sicherheitspatches für Datenbanken rechtzeitig zu installieren. Sicherheitsforscher für Datenbanken analysieren ständig verschiedene Datenbanken, um neue Wege zu finden, sie zu hacken. Wenn sie dabei erfolgreich sind, wird die Information sofort mit der Datenbanksicherheitsgemeinschaft geteilt und Sicherheitspatches für Datenbanken werden herausgegeben. Dennoch installieren nur wenige Systemadministratoren die Fixes und lassen Computer anfällig zurück. Das Installieren von Sicherheitspatches und Fixes für Datenbanken ist daher von entscheidender Bedeutung.
Im Folgenden finden Sie öffentliche Ressourcen, mit denen Sie den Schutzgrad Ihrer Datenbanken erhöhen können:
- CVEs-Datenbank
- CIS-Benchmarks
- DISA-Konformität
Alle entdeckten Datenbankschwachstellen werden in einer speziellen CVE-Datenbank gesammelt. Common Vulnerabilities and Exposures (CVE®) ist eine Datenbank von Schwachstellen im Code. CVE ist mittlerweile der Industriestandard für Schwachstellen- und Expositionskennungen. CVE-Einträge – auch als “CVEs”, “CVE-IDs” und “CVE-Nummern” in der Gemeinschaft bekannt – bieten Referenzpunkte für den Datenaustausch, sodass Cybersicherheitsprodukte und -dienste miteinander kommunizieren können. CVE-Einträge bieten auch eine Grundlage für die Bewertung der Abdeckung von Werkzeugen und Diensten, sodass Benutzer bestimmen können, welche Werkzeuge am effektivsten und am besten für die Bedürfnisse ihrer Organisation geeignet sind. Kurz gesagt, Produkte und Dienste, die mit CVE kompatibel sind, bieten eine bessere Abdeckung, einfachere Interoperabilität und verbesserte Sicherheit.
Der Prozess zur Erstellung eines CVE-Eintrags beginnt mit der Entdeckung einer potenziellen Sicherheitslücke. Die Information wird dann von einer CVE-Nummerierungsstelle (CNA) einer CVE-ID zugewiesen, die CNA schreibt die Beschreibung und fügt Referenzen hinzu, und der fertige CVE-Eintrag wird vom CVE-Team zur CVE-Liste hinzugefügt und auf der CVE-Website veröffentlicht.
Die nationalen und internationalen Schutzvorschriften für sensible Daten schreiben eindeutig vor, dass Datenbanken keine Schwachstellen aufweisen dürfen und alle Sicherheitspatches sofort nach ihrer Veröffentlichung angewendet werden müssen.
Wie bereits erwähnt, ist eine der Ursachen für die Verwundbarkeit von Datenbanken falsch konfigurierte Server. Das Center for Internet Security, Inc. (CIS®) ist eine gemeinnützige Organisation, die durch die Gemeinschaft getragen wird und für die Entwicklung der CIS Controls® und CIS Benchmarks ™ verantwortlich ist, die weltweit anerkannten Best Practices für die Sicherung von IT-Systemen und Daten.
CIS-Benchmarks sind Best Practices für die sichere Konfiguration eines Zielsystems. Sie werden durch freiwillige Anstrengungen von IT-Experten, Technologieanbietern, Mitgliedern der öffentlichen und privaten Gemeinschaft und dem CIS-Benchmark-Entwicklungsteam entwickelt.
Solche Best Practices sind für Betriebssysteme, Cloud-Anbieter, Serversoftware, mobile Geräte, Netzwerkgeräte und Desktop-Software verfügbar.
DISA steht für die Defense Information Systems Agency und ist Teil des Verteidigungsministeriums (DoD). Die Mission der Agentur besteht darin, IT- und Kommunikationsunterstützung für die Regierung und verbundene Verteidigungsagenturen bereitzustellen. Die Agentur hat einen Sicherheitsstandard für Computersysteme und Netzwerke entwickelt und hält diesen aufrecht, der mit dem Verteidigungsministerium verbunden ist. Dieser Standard enthält Sätze von sicheren Konfigurationen und Checklisten, bekannt als Security Technical Implementation Guides (STIGS), die die Sicherheit von Computernetzwerken und -systemen gewährleisten.
Schwachstellenbewertung mit DataSunrise
Die Schwachstellenbewertungsfunktion von DataSunrise ermöglicht es Ihnen, Ihre Datenbanken auf vielen Ebenen weniger anfällig zu machen.
Erstens informiert es Sie über alle bekannten CVEs (Schwachstellen) für die Datenbanken, die in Ihrer DataSunrise-Konfiguration enthalten sind. Die Liste der Schwachstellen kann von der DataSunrise-Website heruntergeladen werden. Dadurch können Datenbankadministratoren und -eigentümer die neuesten Informationen über verfügbare Sicherheitspatches für Datenbanken erhalten und diese anwenden, was das Sicherheitsniveau der Datenbank erhöht.
Zweitens kann das Schwachstellenbewertungstool mithilfe von SQL-Queries überprüfen, ob Ihre geschützten Datenbanken den Anforderungen von CIS und DISA entsprechen.
Die DataSunrise Database Security Suite ermöglicht es Ihnen, Ihre Datenbanken sicher und auf dem neuesten Stand der neuesten Sicherheitspraktiken zu halten.
