Evaluación de Vulnerabilidades
Las bases de datos son un objetivo clave para los cibercriminales porque a menudo contienen datos sensibles. Esta información sensible puede ser de tipo financiero, puede contener propiedad intelectual, secretos corporativos o información personal identificable. Hay ciertas cosas que hacen que las bases de datos sean vulnerables a amenazas internas y externas. Estas cosas pueden ser causadas por factores humanos o técnicos.
Hay muchos factores que pueden afectar la vulnerabilidad de una base de datos. Entre los más populares se encuentran las contraseñas débiles, que pueden hacer que las bases de datos sean realmente vulnerables. Entre otras vulnerabilidades que pueden hacer que tu base de datos sea presa fácil para los cibercriminales están los servidores mal configurados y la falta de instalación oportuna de parches de seguridad para bases de datos. Los investigadores de seguridad de bases de datos analizan constantemente diferentes bases de datos intentando encontrar nuevas formas de hackearlas. Cuando tienen éxito en esto, la información se comparte inmediatamente con la comunidad de seguridad de bases de datos y se emiten parches de seguridad. Sin embargo, pocos administradores de sistemas instalan estas soluciones, dejando los sistemas vulnerables. Instalar parches y soluciones de seguridad para las bases de datos es fundamental.
A continuación se encuentran los recursos públicos mediante los cuales puedes aumentar el nivel de protección de tus bases de datos:
- Base de datos de CVEs
- Referencias de CIS
- Cumplimiento DISA
Todas las vulnerabilidades descubiertas de bases de datos se recopilan en una base de datos especial de CVE. Vulnerabilidades y Exposiciones Comunes (CVE®) es una base de datos de vulnerabilidades en el código. CVE es ahora el estándar de la industria para identificadores de vulnerabilidades y exposiciones. Las Entradas CVE, también llamadas “CVEs”, “ID de CVE” y “números de CVE” por la comunidad, proporcionan puntos de referencia para el intercambio de datos para que los productos y servicios de ciberseguridad puedan comunicarse entre sí. Las Entradas CVE también proporcionan una base para evaluar la cobertura de herramientas y servicios, permitiendo a los usuarios determinar qué herramientas son más efectivas y adecuadas para las necesidades de su organización. En resumen, los productos y servicios compatibles con CVE proporcionan una mejor cobertura, interoperabilidad más fácil y mayor seguridad.
El proceso de creación de una Entrada CVE comienza con el descubrimiento de una posible vulnerabilidad de seguridad. La información se asigna entonces a un ID de CVE por una Autoridad de Numeración CVE (CNA), el CNA redacta la Descripción y añade Referencias, y después la Entrada CVE completada se añade a la lista de CVE y se publica en el sitio web de CVE por el Equipo de CVE.
Las regulaciones nacionales e internacionales de protección de datos sensibles estipulan claramente que las bases de datos no deben tener ninguna vulnerabilidad y todos los parches de seguridad deben aplicarse inmediatamente después de su lanzamiento.
Como se mencionó anteriormente, una de las razones de la vulnerabilidad de las bases de datos es la mala configuración de los servidores. El Centro para la Seguridad en Internet, Inc. (CIS®) es una organización comunitaria sin fines de lucro responsable del desarrollo de los Controles CIS® y de las Referencias CIS™, las mejores prácticas reconocidas a nivel mundial para asegurar sistemas y datos de TI.
Las Referencias CIS son las mejores prácticas para la configuración segura de un sistema objetivo. Se desarrollan mediante esfuerzos voluntarios de expertos en TI, proveedores de tecnología, miembros de la comunidad pública y privada y el equipo de Desarrollo de Referencias CIS.
Estas mejores prácticas están disponibles para sistemas operativos, proveedores de nube, software de servidor, dispositivos móviles, dispositivos de red y software de escritorio.
DISA significa la Agencia de Sistemas de Información de Defensa y es parte del Departamento de Defensa (DoD). La misión de la agencia es proporcionar soporte de tecnología de la información y comunicación al gobierno y a las agencias de defensa asociadas. La Agencia desarrolló y mantiene un estándar de seguridad para sistemas informáticos y redes que se conectan al Departamento de Defensa. Este estándar contiene conjuntos de configuraciones y listas de verificación seguras, conocidas como Guías de Implementación Técnica de Seguridad (STIGS), que aseguran la seguridad de las redes y sistemas informáticos.
Evaluación de Vulnerabilidades con DataSunrise
La capacidad de Evaluación de Vulnerabilidades de DataSunrise te permite hacer que tus bases de datos sean menos vulnerables en muchos niveles.
En primer lugar, te informa sobre todas las CVEs (vulnerabilidades) conocidas para las bases de datos incluidas en tu configuración de DataSunrise. La lista de vulnerabilidades se puede descargar desde el sitio web de DataSunrise. Como resultado, los administradores y propietarios de bases de datos pueden obtener la información más reciente sobre los parches de seguridad de bases de datos disponibles y aplicarlos, lo que aumenta el nivel de seguridad de la base de datos.
En segundo lugar, usando consultas SQL, la herramienta de Evaluación de Vulnerabilidades puede verificar si tus bases de datos protegidas cumplen con los requisitos de CIS y DISA.
DataSunrise Database Security Suite te permite mantener tus bases de datos seguras y actualizadas con las últimas prácticas de seguridad de bases de datos.
