Évaluation des Vulnérabilités

Les bases de données sont une cible clé pour les cybercriminels car elles contiennent souvent des données sensibles. Ces données sensibles peuvent être des informations financières, elles peuvent contenir de la propriété intellectuelle, des secrets d’entreprise ou des informations personnelles identifiables. Il y a certaines choses qui rendent les bases de données vulnérables aux menaces internes et externes. Ces choses peuvent être causées soit par des facteurs humains soit par des facteurs techniques.

De nombreux facteurs peuvent affecter la vulnérabilité des bases de données. Parmi ces facteurs les plus populaires figurent les mots de passe faibles, qui peuvent rendre les bases de données vraiment vulnérables. Parmi les autres vulnérabilités qui peuvent faire de votre base de données un jeu équitable pour les cybercriminels, on trouve les serveurs mal configurés et le défaut d’installer les correctifs de sécurité pour les bases de données en temps opportun. Les chercheurs en sécurité des bases de données analysent constamment différentes bases de données pour essayer de trouver de nouvelles façons de les pirater. Lorsqu’ils réussissent à le faire, l’information à propos de cela est immédiatement partagée avec la communauté de la sécurité des bases de données et des correctifs de sécurité pour les bases de données sont émis. Cependant, peu d’administrateurs système installent ces correctifs, laissant les ordinateurs vulnérables. Installez les correctifs et les mises à jour de sécurité des bases de données est crucial.

Ci-dessous se trouvent des ressources publiques utilisant lesquelles vous pouvez augmenter le niveau de protection de vos bases de données :

1. Base de données CVEs
2. Benchmarks CIS
3. Conformité DISA

Toutes les vulnérabilités des bases de données découvertes sont collectées dans une base de données CVE spéciale. Common Vulnerabilities and Exposures (CVE®) est une base de données des vulnérabilités du code. CVE est désormais le standard industriel pour les identifiants de vulnérabilité et d’exposition. Les entrées CVE — également appelées “CVEs,” “IDs CVE,” et “numéros CVE” par la communauté — fournissent des points de référence pour l’échange de données afin que les produits et services de cybersécurité puissent communiquer entre eux. Les entrées CVE fournissent également une base pour évaluer la couverture des outils et des services afin que les utilisateurs puissent déterminer quels outils sont les plus efficaces et adaptés aux besoins de leur organisation. En résumé, les produits et services compatibles avec CVE offrent une meilleure couverture, une interopérabilité plus facile et une sécurité renforcée.

Le processus de création d’une entrée CVE commence par la découverte d’une potentielle vulnérabilité de sécurité. L’information se voit ensuite attribuée un identifiant CVE par une autorité de numérotation CVE (CNA), la CNA rédige la Description et ajoute des Références, puis l’entrée CVE achevée est ajoutée à la liste CVE et publiée sur le site CVE par l’équipe CVE.

Les réglementations nationales et internationales sur la protection des données sensibles stipulent clairement que les bases de données ne doivent comporter aucune vulnérabilité et que tous les correctifs de sécurité doivent être appliqués immédiatement après leur publication.

Comme mentionné précédemment, l’une des raisons de la vulnérabilité des bases de données est la mauvaise configuration des serveurs. Le Center for Internet Security, Inc. (CIS®) est une organisation à but non lucratif dirigée par la communauté responsable du développement des CIS Controls® et des CIS Benchmarks™, des pratiques exemplaires mondialement reconnues pour sécuriser les systèmes et les données informatiques.

Les Benchmarks CIS sont des pratiques exemplaires pour la configuration sécurisée d’un système cible. Ils sont développés grâce aux efforts bénévoles d’experts en informatique, de fournisseurs de technologies, de membres de la communauté publique et privée et de l’équipe de développement des Benchmarks CIS.

De telles pratiques exemplaires sont disponibles pour les systèmes d’exploitation, les fournisseurs de services cloud, les logiciels de serveurs, les appareils mobiles, les dispositifs réseau, les logiciels de bureau.

DISA signifie Defense Information Systems Agency et fait partie du Département de la Défense (DoD). La mission de l’agence est de fournir un support en technologie de l’information et en communication au gouvernement et aux agences de défense associées. L’agence a développé et maintient un standard de sécurité pour les systèmes informatiques et les réseaux connectés au Département de la Défense. Ce standard contient des ensembles de configurations sécurisées et de listes de contrôle, connus sous le nom de Security Technical Implementation Guides (STIGS), qui garantissent la sécurité des réseaux et systèmes informatiques.

Évaluation des Vulnérabilités avec DataSunrise

La capacité d’évaluation des vulnérabilités de DataSunrise vous permet de rendre vos bases de données moins vulnérables à plusieurs niveaux.

Premièrement, elle vous informe de tous les CVE connus (vulnérabilités) pour les bases de données incluses dans la configuration de votre DataSunrise. La liste des vulnérabilités peut être téléchargée depuis le site web de DataSunrise. En conséquence, les administrateurs de bases de données et les propriétaires peuvent obtenir les informations les plus récentes sur les correctifs de sécurité disponibles pour les bases de données et les appliquer, ce qui augmente le niveau de sécurité des bases de données.

Deuxièmement, en utilisant les requêtes SQL, l’outil d’évaluation des vulnérabilités peut vérifier si vos bases de données protégées sont conformes aux exigences du CIS et de la DISA.

La suite de sécurité des bases de données de DataSunrise vous permet de maintenir vos bases de données sécurisées et à jour avec les dernières pratiques de sécurité des bases de données.