Valutazione delle Vulnerabilità

I database sono un obiettivo chiave per i cybercriminali perché spesso contengono dati sensibili. Questi dati sensibili possono essere informazioni finanziarie, possono contenere proprietà intellettuale, segreti aziendali o informazioni personali identificabili. Ci sono alcuni fattori che rendono i database vulnerabili alle minacce interne ed esterne. Questi fattori possono essere causati sia da fattori umani che tecnici.

Ci sono molti fattori che possono influenzare la vulnerabilità del database. Tra i fattori più comuni ci sono le password deboli, che possono rendere i database davvero vulnerabili. Tra le altre vulnerabilità che possono rendere il tuo database un gioco equo per i cybercriminali ci sono server configurati in modo errato e la mancata installazione tempestiva delle patch di sicurezza per i database. I ricercatori della sicurezza del database analizzano costantemente diversi database cercando di trovare nuovi modi per hackerarli. Quando ci riescono, le informazioni vengono immediatamente condivise con la comunità della sicurezza del database e vengono rilasciate le patch di sicurezza per i database. Tuttavia, pochi amministratori di sistema installano le correzioni, lasciando i computer vulnerabili. L’installazione delle patch di sicurezza del database e delle correzioni è cruciale.

Di seguito sono riportate le risorse pubbliche attraverso le quali è possibile aumentare il livello di protezione dei propri database:

1. Database delle CVE
2. CIS Benchmarks
3. Conformità DISA

Tutte le vulnerabilità del database scoperte sono raccolte in un database speciale chiamato CVE. Common Vulnerabilities and Exposures (CVE®) è un database di vulnerabilità nel codice. CVE è ora lo standard industriale per gli identificatori di vulnerabilità ed esposizione. Le Voci CVE — chiamate anche “CVE,” “CVE ID,” e “numeri CVE” dalla comunità — forniscono punti di riferimento per lo scambio di dati in modo che i prodotti e i servizi di cybersicurezza possano comunicare tra loro. Le Voci CVE forniscono anche una base per valutare la copertura degli strumenti e dei servizi in modo che gli utenti possano determinare quali strumenti sono più efficaci e appropriati per le esigenze della loro organizzazione. In breve, i prodotti e i servizi compatibili con CVE offrono una migliore copertura, una maggiore interoperabilità e una sicurezza migliorata.

Il processo di creazione di una Voce CVE inizia con la scoperta di una potenziale vulnerabilità di sicurezza. Le informazioni vengono quindi assegnate un ID CVE da un’Autorità di Numerazione CVE (CNA), la CNA scrive la Descrizione e aggiunge i Riferimenti, e quindi la Voce CVE completata viene aggiunta all’elenco CVE e pubblicata sul sito CVE dal Team CVE.

Le regolamentazioni nazionali e internazionali per la protezione dei dati sensibili stabiliscono chiaramente che i database non devono avere vulnerabilità e tutte le patch di sicurezza devono essere applicate immediatamente dopo il loro rilascio.

Come menzionato in precedenza, una delle ragioni principali della vulnerabilità del database è la configurazione errata dei server. Il Center for Internet Security, Inc. (CIS®) è un’organizzazione no-profit guidata dalla comunità, responsabile dello sviluppo dei CIS Controls® e dei CIS Benchmarks™, pratiche ottimali riconosciute a livello globale per la sicurezza dei sistemi IT e dei dati.

I CIS Benchmarks sono pratiche ottimali per la configurazione sicura di un sistema di destinazione. Sono sviluppati attraverso gli sforzi volontari di esperti IT, fornitori di tecnologia, membri della comunità pubblica e privata e il team di sviluppo dei CIS Benchmarks.

Tali pratiche ottimali sono disponibili per sistemi operativi, fornitori di cloud, software di server, dispositivi mobili, dispositivi di rete, software desktop.

DISA sta per Defense Information Systems Agency ed è parte del Department of Defense (DoD). La missione dell’agenzia è fornire supporto tecnologico e di comunicazione al governo e alle agenzie di difesa associate. L’Agenzia ha sviluppato e mantiene uno standard di sicurezza per i sistemi informatici e le reti che si connettono al Department of Defense. Questo standard contiene serie di configurazioni sicure e liste di controllo, note come Security Technical Implementation Guides (STIGS), che garantiscono la sicurezza delle reti e dei sistemi informatici.

Valutazione delle Vulnerabilità con DataSunrise

La capacità di Valutazione delle Vulnerabilità di DataSunrise consente di rendere i database meno vulnerabili su molti livelli.

Innanzitutto, ti informa su tutte le CVE note (vulnerabilità) per i database inclusi nella configurazione di DataSunrise. L’elenco delle vulnerabilità può essere scaricato dal sito web di DataSunrise. In questo modo, gli amministratori e i proprietari del database possono ottenere le informazioni più recenti sulle patch di sicurezza disponibili per il database e applicarle, aumentando così il livello di sicurezza del database.

In secondo luogo, utilizzando le query SQL, lo strumento di Valutazione delle Vulnerabilità può controllare se i tuoi database protetti sono conformi ai requisiti di CIS e DISA.

Il DataSunrise Database Security Suite ti consente di mantenere i tuoi database sicuri e aggiornati con le ultime pratiche di sicurezza del database.