À quoi sert l’audit des données ?

Presque toutes les grandes organisations disposent d’un département spécialisé dans la lutte contre les menaces à la sécurité de l’information. Dans cet article, nous discutons de l’utilité des audits de données, de leur objectif et de leurs avantages. Dans la plupart des cas, le personnel de ce département doit accomplir les tâches suivantes :

Détection de la violation des mots de passe des utilisateurs et de l’analyse des ports réseau.
Prévention des infections par des virus informatiques.
Détection de logiciels malveillants et illégaux installés sur les PC des employés de l’entreprise.
Prévention des fraudes sur Internet.
Révélation des erreurs et problèmes dans le cycle de fonctionnement des systèmes d’information (processus).
Détection des erreurs logicielles et dysfonctionnements du système.
Révélation des vulnérabilités potentielles dans les systèmes de sécurité et de stockage des données, qui peuvent être utilisées pour effectuer des violations de données.

Dans la plupart des cas, tous les moyens mentionnés précédemment sont utilisés pour se protéger contre les pirates externes. Cependant, les menaces internes peuvent être aussi dangereuses que les attaques de pirates. Les menaces internes sont appelées ainsi car leur source sont les propres employés de l’entreprise ou des sous-traitants engagés. Dans la plupart des cas d’incidents causés par des initiés, les vols ou fuites de données sont effectués via des e-mails, des messageries, des réseaux sociaux, des stockages cloud, etc.

Il existe de nombreuses solutions DLP sur le marché aujourd’hui pour contrôler les canaux de fuite de données. Cependant, dans la pratique, les contrevenants n’utilisent pas seulement les e-mails et les applications Web. Divers types de bases de données sont largement utilisés pour stocker des données sensibles dans l’environnement des entreprises. Ces SGBD et les applications associées interagissent entre eux via des protocoles spécifiques. Le problème est que de nombreuses solutions DLP ne sont pas capables de scanner le trafic spécifique à la base de données, il est donc nécessaire d’utiliser des logiciels dédiés.

Surveillance de l’activité des bases de données par DataSunrise

La suite de sécurité des bases de données DataSunrise est spécialement conçue pour l’analyse du trafic des bases de données. La fonctionnalité de surveillance des bases de données effectue des audits des bases de données. Les résultats des audits peuvent être stockés dans une base de données intégrée ou exportés vers des systèmes SIEM externes pour analyse.

Solution avancée pour l'audit des bases de données et la surveillance des activités des bases de données

Lors de la réalisation d’audits de bases de données, DataSunrise collecte les informations suivantes :

Tout d’abord, l’évaluation des résultats de l’audit permet de détecter le responsable de la fuite de données et d’évaluer son coût. Mais l’audit des bases de données permet également de prévenir les vols de données en révélant des comportements utilisateurs suspects (par exemple, des requêtes qui ne sont pas typiques pour certains utilisateurs, des tentatives d’accès à des éléments de base de données qu’ils ne sont pas autorisés à voir, etc.).

L’audit des bases de données de DataSunrise – Le module de surveillance des activités des bases de données intègre également des algorithmes d’apprentissage automatique que DataSunrise utilise pour enregistrer les requêtes SQL typiques pour la base de données donnée. Étant donné que ces requêtes ressemblent à un comportement utilisateur normal, elles sont considérées par défaut comme sûres, toutes les autres requêtes peuvent donc être considérées comme suspectes et doivent être bloquées ou examinées plus en détail.

Audit des données de DataSunrise et conformité SOX

La section 404 de SOX établit les exigences suivantes en matière d’audit des bases de données :

1.1 Surveillance des accès à la base de données par les utilisateurs privilégiés et les “imposteurs”.
1.2 Surveillance des modifications des privilèges.
1.3 Surveillance des échecs d’accès.

La section Événements système de DataSunrise fournit des journaux complets sur les connexions à la base de données, les tentatives d’authentification, les modifications des politiques de sécurité, l’attribution de privilèges et d’autres événements système, ce qui aide à prévenir les dépassements d’autorité par les initiés et à protéger la confidentialité et la gouvernance des données.

1.4 Surveillance des modifications de schéma.
1.5 Surveillance des accès directs aux données.

DataSunrise surveille en continu les modifications apportées au contenu de la base de données et fournit des journaux complets contenant les éléments suivants :

Code SQL des requêtes interceptées.
Informations sur la session : noms d’utilisateur, applications clients, durée de la session, adresses IP (noms d’hôte) d’où proviennent les requêtes, etc.
Informations sur la base de données cible : instance de la base de données qui a reçu les requêtes utilisateurs, nombre d’entrées de base de données affectées par la requête entrante.
Erreurs de base de données.

Audit des données de DataSunrise et PCI DSS

L’exigence 10 de PCI DSS définit les obligations des organisations concernées en matière de surveillance et de suivi des données des titulaires de carte, qui incluent :

10.1 Mettre en œuvre des journaux d’audit pour lier tous les accès aux composants du système à chaque utilisateur individuel.

Les journaux contiennent des données sur toutes les actions de l’utilisateur depuis l’ouverture de la session jusqu’à sa fermeture, y compris les éléments de la base de données auxquels l’utilisateur a accédé.

10.2 Mettre en œuvre des journaux d’audit automatisés pour tous les composants du système afin de reconstituer les événements suivants :
10.2.1 Vérifiez que tous les accès individuels aux données des titulaires de carte sont enregistrés.
10.2.2 Vérifiez que toutes les actions effectuées par un individu disposant de privilèges root ou administrateur sont enregistrées.
10.3.1 Vérifiez que l’identification de l’utilisateur est incluse dans les entrées du journal.
10.3.2 Vérifiez que le type d’événement est inclus dans les entrées du journal.
10.3.3 Vérifiez que la date et l’heure sont incluses dans les entrées du journal.
10.3.4 Vérifiez que l’indication de succès ou d’échec est incluse dans les entrées du journal.
10.3.5 Vérifiez que l’origine de l’événement est incluse dans les entrées du journal.
10.3.6 Vérifiez que l’identité ou le nom des données affectées, du composant système ou des ressources est inclus dans les entrées du journal.

La solution DAM de DataSunrise consigne l’ensemble des événements de la base de données, y compris le responsable des requêtes, les données de session détaillées, les journaux des erreurs, les codes SQL des requêtes, les résultats de leur exécution et tous les paramètres requis sont indiqués ci-dessus. Il existe également la fonctionnalité Data Discovery qui aide à détecter et à organiser les données sensibles, y compris les numéros de carte de crédit.

10.5 Sécurisez les journaux d’audit pour qu’ils ne puissent pas être modifiés.
10.5.3 Sauvegardez rapidement les fichiers journaux d’audit sur un serveur de journaux centralisé ou un support difficile à modifier.
10.5.4 Écrivez les journaux des technologies tournées vers l’extérieur sur un serveur de journaux centralisé, sécurisé et interne ou un périphérique de support.

Les journaux d’audit sont stockés dans des bases de données PostgreSQL ou MySQL spécifiées, ou dans la base de données SQLite intégrée de DataSunrise. Le stockage des journaux dans des bases de données externes avec des exigences d’authentification séparées vous permet de vous conformer aux exigences ci-dessus et empêche les attaquants de suivre leurs traces. DataSunrise génère des rapports d’audit aux formats CSV et PDF. DataSunrise dispose également d’une fonctionnalité de rapport qui affiche des informations sur le trafic cible de base de données sous forme de tableaux ou de diagrammes. Pour une analyse en temps réel des résultats des audits de base de données, DataSunrise peut être intégré à presque tous les systèmes SIEM existants grâce à la prise en charge du protocole Syslog.

10.6 Examinez les journaux et les événements de sécurité pour tous les composants du système afin d’identifier les anomalies ou les activités suspectes. Remarque : les outils de récupération, de traitement et d’alerte des journaux peuvent être utilisés pour répondre à cette exigence.

Chaque règle d’audit de DataSunrise a une option permettant d’ajouter des abonnés qui recevront une notification chaque fois que la règle sera déclenchée. Des règles d’audit correctement configurées aident à se conformer à l’exigence ci-dessus et économisent beaucoup de temps pour les DBA.

Remarque : Certaines des sous-clauses des exigences ne sont pas mentionnées car elles nécessitent des mesures de la part de l’acquéreur du produit.

Conclusion

Les paramètres de sécurité et d’audit de DataSunrise sont hautement évolutifs et faciles à utiliser. Prenez le temps de configurer correctement les politiques de confidentialité et d’audit, cela automatisera les principales procédures de routine quotidiennes de surveillance, simplifiera les procédures requises et fera gagner du temps à vos employés.

L’audit des bases de données aide à effectuer à la fois des enquêtes et des préventions de fuite de données. Ainsi, la fonctionnalité DataSunrise Database Audit est une ligne de défense supplémentaire pour vos précieuses informations.

DataSunrise prend en charge toutes les principales bases de données et entrepôts de données tels qu’Oracle, Exadata, IBM DB2, IBM Netezza, MySQL, MariaDB, Greenplum, Amazon Aurora, Amazon Redshift, Microsoft SQL Server, Azure SQL, Teradata et bien d’autres. Vous êtes invité à télécharger un essai gratuit si vous souhaitez installer dans vos locaux. Dans le cas où vous êtes un utilisateur cloud et exécutez votre base de données sur Amazon AWS ou Microsoft Azure vous pouvez l’obtenir depuis AWS market place ou Azure market place.