Évaluation des Vulnérabilités

Les bases de données sont une cible privilégiée pour les cybercriminels car elles contiennent souvent des données sensibles. Ces données sensibles peuvent être des informations financières, elles peuvent contenir des propriétés intellectuelles, des secrets d’entreprise ou des informations personnellement identifiables. Il existe certains éléments qui rendent les bases de données vulnérables aux menaces internes et externes. Ces éléments peuvent être causés soit par des facteurs humains soit par des facteurs techniques.

Il y a de nombreux facteurs qui peuvent affecter la vulnérabilité des bases de données. Parmi les facteurs les plus courants figurent les mots de passe faibles, qui peuvent rendre les bases de données extrêmement vulnérables. Parmi les autres vulnérabilités qui peuvent rendre votre base de données une cible facile pour les cybercriminels, on trouve les serveurs mal configurés et le fait de ne pas installer les correctifs de sécurité à temps pour les bases de données. Les chercheurs en sécurité des bases de données analysent constamment différentes bases de données pour trouver de nouvelles façons de les pirater. Lorsqu’ils réussissent, l’information est immédiatement partagée avec la communauté de sécurité des bases de données et des correctifs de sécurité pour les bases de données sont publiés. Cependant, peu d’administrateurs système installent les correctifs, laissant les ordinateurs vulnérables. Installer des correctifs et patches de sécurité des bases de données est essentiel.

Ci-dessous se trouvent les ressources publiques qui vous permettent d’augmenter le niveau de protection de vos bases de données :

1. Base de données CVE
2. Normes de référence CIS
3. Conformité DISA

Toutes les vulnérabilités de bases de données découvertes sont collectées dans une base de données CVE spéciale. Common Vulnerabilities and Exposures (CVE®) est une base de données de vulnérabilités dans le code. CVE est maintenant la norme industrielle pour les identifiants de vulnérabilités et d’expositions. Les Enrées CVE – également appelées “CVEs”, “Identificateurs CVE” et “Numéros CVE” par la communauté – fournissent des points de référence pour l’échange de données afin que les produits et services de cybersécurité puissent communiquer entre eux. Les Entrées CVE fournissent également une base de référence pour évaluer la couverture des outils et des services afin que les utilisateurs puissent déterminer quels outils sont les plus efficaces et appropriés pour les besoins de leur organisation. En bref, les produits et services compatibles avec CVE offrent une meilleure couverture, une interopérabilité plus facile et une sécurité renforcée.

Le processus de création d’une Entrée CVE commence avec la découverte d’une vulnérabilité de sécurité potentielle. L’information est ensuite assignée à un ID CVE par une Autorité de Numérotation CVE (CNA), la CNA rédige la Description et ajoute des Références, et l’Entrée CVE complétée est ajoutée à la liste CVE et publiée sur le site web CVE par l’équipe CVE.

Les régulations nationales et internationales de protection des données sensibles stipulent clairement que les bases de données ne doivent présenter aucune vulnérabilité et que tous les correctifs de sécurité doivent être appliqués immédiatement après leur publication.

Comme mentionné précédemment, l’une des raisons de la vulnérabilité des bases de données est la mauvaise configuration des serveurs. Le Center for Internet Security, Inc. (CIS®) est une organisation communautaire à but non lucratif responsable du développement des Contrôles CIS® et des Références CIS™, des pratiques exemplaires mondialement reconnues pour sécuriser les systèmes informatiques et les données.

Les Références CIS sont des pratiques exemplaires pour la configuration sécurisée d’un système cible. Elles sont développées par des efforts volontaires d’experts informatiques, de fournisseurs de technologie, de membres communautaires publics et privés et de l’équipe de Développement des Références CIS.

Ces pratiques exemplaires sont disponibles pour les systèmes d’exploitation, les fournisseurs de cloud, les logiciels de serveur, les dispositifs mobiles, les appareils réseau et les logiciels de bureau.

DISA signifie Defense Information Systems Agency et fait partie du Département de la Défense (DoD). La mission de l’agence est de fournir un support technologique et de communication au gouvernement et aux agences de défense associées. L’Agence a développé et maintient une norme de sécurité pour les systèmes informatiques et les réseaux qui se connectent au Département de la Défense. Cette norme contient des ensembles de configurations sécurisées et de listes de contrôle, connues sous le nom de Guides de Mise en Œuvre Technique de la Sécurité (STIGS), qui garantissent la sécurité des réseaux et systèmes informatiques.

Évaluation des Vulnérabilités avec DataSunrise

La capacité d’Évaluation des Vulnérabilités de DataSunrise vous permet de rendre vos bases de données moins vulnérables à plusieurs niveaux.

Premièrement, elle vous informe de toutes les CVEs (vulnérabilités) connues pour les bases de données incluses dans la configuration de votre DataSunrise. La liste des vulnérabilités peut être téléchargée depuis le site web de DataSunrise. En conséquence, les administrateurs et propriétaires de bases de données peuvent obtenir les informations les plus récentes sur les correctifs de sécurité disponibles pour les bases de données et les appliquer, ce qui augmente le niveau de sécurité des bases de données.

Deuxièmement, en utilisant des requêtes SQL, l’outil d’Évaluation des Vulnérabilités peut vérifier si vos bases de données protégées sont conformes aux exigences du CIS et du DISA.

La Suite de Sécurité des Bases de Données DataSunrise vous permet de garder vos bases de données sécurisées et à jour avec les dernières pratiques de sécurité des bases de données.

Conclusion

En résumé, sécuriser les bases de données est essentiel pour protéger les informations sensibles contre les menaces internes et externes. En abordant les vulnérabilités courantes, telles que les mots de passe faibles, les serveurs mal configurés et les failles de sécurité non corrigées, les organisations peuvent réduire considérablement le risque de cyberattaques. Utiliser des ressources telles que les CVEs, les Références CIS et les normes de conformité DISA, ainsi que des outils tels que l’Évaluation des Vulnérabilités de DataSunrise, aide à garantir que les bases de données restent sécurisées et à jour. Mettre en œuvre ces pratiques est crucial pour maintenir une posture de sécurité solide et protéger les données précieuses.