Univerzita pro obchodní partnery 10.03.2011 InfoSphere Guardium Jan Musil jan_musil@cz.ibm.com
Obsah prezentace Co je to InfoSpere Guardium a co poskytuje Přehled norem a jejich požadavků na databázovou bezpečnost Co InfoSphere Guardium monitoruje? Nevýhody nativního databázového auditu Architektura InfoSphere Guardium a jeho výhody Škálovatelnost InfoSphere Guardium řešení Komplexní pohled na řešení Monitorování & audit koncových aplikačních uživatelů Podporované platformy Integrace řešení s existující infrastrukturou Výhody oproti konkurenci Role uživatelů ve vztahu k bezpečnosti databázových systémů 2
Co je to InfoSphere Guardium? Společnost Guardium byla založena v roce 2002 Produkty společnosti Guardium se zaměřují na aktivní monitorování databázové aktivity V současné době používá produkty Guardium více než 400 zákazníků po celém světě Z bankovního sektoru jsou to například Citibank, Bank of America, HSBC, ING, RBS nebo Societe Generale Od prosince 2009 jsou tyto produkty pod názvem InfoSphere Guardium součástí IBM Integrated Data Management portfolia 3
Produkty InfoSphere Guardium zákazníkům poskytují... Monitorování veškerého databázového provozu v reálném čase a zamezení přístupu k citlivým datům Rychlé zjištění neautorizovaných nebo podezřelých aktivit na základě definovaných pravidel a politik Automatizované workflow pro efektivní nápravu skutečností, které jsou v rozporu s požadavky bezpečnostních standardů Jednotné prostředí pro správu většiny databázových platforem a aplikačních prostředí Informix, DB2, Oracle, SQL Server, z/os, Sybase a další SAP, Siebel, Oracle EBS, PeopleSoft, WebSphere a další 4
Nejdůležitější normy a jejich požadavky na databázovou bezpečnost 5
Co InfoSphere Guardium monitoruje? SQL chyby a neúspěšná přihlášení DDL příkazy (Create/Drop/Alter Tables) SELECT dotazy DML příkazy (Insert, Update, Delete) DCL příkazy (Grant, Revoke) Uložené procedury XML zpracovávané databázemi Data (záznamy) vracené databázovým systémem zpět uživatelům 6 6
Nevýhody nativního databázového auditu Neobsahuje všechny potřebné informace Obtížné monitorování privilegovaných uživatelů Problematické monitorování činnosti reálných koncových aplikačních uživatelů ve vícevrstvé architektuře Úroveň auditních informací není dostatečně detailní Je neefektivní a drahý Má výrazný vliv na výkonnost databáze Obtížné získávání reportů, jejich nevěrohodnost jako důkazní materiál a chybějící aktivní systém varování Každý databázový systém má jiný tvar auditních záznamů a tudíž vyžaduje různé metody pro jejich zpracování Dostatečně neodděluje role Databázový audit je plně pod správou privilegovaných Uživatelů Privilegovaní uživatelé mohou auditní systém obejít Auditní záznamy nejsou uloženy bezpečně 7
InfoSphere Guardium = databázová bezpečnost v reálném čase 8 100% viditelnost všech databázových operací včetně lokálního přístupu Nevyžaduje žádné změny v konfiguraci databázového systému nebo v aplikaci Minimální vliv na výkonnost databáze Oddělení rolí se zabezpečným úložištěm auditních informací Politiky a pravidla poskytující dostatečně jemné monitorování a audit informací kdo, co, kdy a jak o každéčinnosti Automatický systém varování v reálném čase Kolektor může pojmout auditní data za 3 až 6 měsíců s možností zabezpečené archivace
Škálovatelnost InfoSphere Guardium řešení 9
Komplexní pohled na řešení 10
Monitorování & audit koncových aplikačních uživatelů Většina vícevrstvých aplikací sdílí účty několika databázových uživatelských účtů Správa aplikačních uživatelů je nezávislá na databázových uživatelských účtech Je obtížné nebo i zcela nemožné identifikovat aplikační uživatele prostřednictvím databázové SQL komunikace Případné podezřelé aktivity lze databázovým auditem zjistit pouze pro sdílené databázové účty Kdo je ale skutečný uživatel, kdo tyto aktivity provádí? 11
Metody používané pro identifikaci koncových uživatelů 1) Automatické přenesení uživatelské identity InfoSphere Guardium přímo podporuje komerční aplikace jako jsou Oracle EBS, PeopleSoft, SAP a další 2) Guardium API Použití speciálních aplikačních atributů (jako např. uživatelská identita) přenesených do SQL komunikace (dummy SELECT) Takto získané informace kolektor sváže s komunikací aplikačního uživatele 3) Uložené procedury Vhodné v případě, kdy se pro ověření identity používá uložená procedura, která obsahuje v některém argumentu identitu uživatele Jméno uživatele se extrahuje a sváže s komunikací 4) S-TAP sonda na aplikačním serveru Uživatelská identita se získá např. z přihlašovací webové stránky 12
Podporované databáze: Podporované operační systémy pro S-TAP sondy: 13
Integrace řešení s existující infrastrukturou Directory Services (Active Directory, LDAP, etc.) SIEM (ArcSight, EnVision, Tivoli, etc.) SNMP Dashboards (HP OpenView, Tivoli, etc.) Change Ticketing Systems - Remedy, Peregrine, etc Authentication (RSA SecurID, RADIUS, Kerberos) Send Alerts (CEF, CSV, syslog) Vulnerability Standards (CVE, STIG, CIS Benchmark) Sensitive Data - ---- - - - - - xxx-xxxxxx - - - - - - - Data Leak & Data Classification Software Deployment (Tivoli, RPM, Native Distributions) McAfee (EPO) Long Term Storage (EMC Centera, IBM TSM FTP, SCP, etc.) Application Servers (Oracle EBS, SAP, Siebel, Cognos, PeopleSoft, WebSphere, etc.) 14
Výhody oproti konkurenci Zcela nezávislé na systému nativního databázového auditu Integrace s existujícími systémy (např. přímá integrace s LDAP, archivace do TSM a podobně a další) Agregace a korelace dat z různých systémů v reálném čase Efektivní způsob ukládání auditních dat I po archivaci dat z kolektoru jsou data stále dostupná S-TAP sonda a aktivní opatření (S-GATE) Komplexní přístup k vyhodnocení zranitelnosti systému s předdefinovanými pravidly Automatizovaná aktualizace sledovaných objektů Zjednodušená konfigurace prostřednictvím GuardAPI rozhraní Optimalizace síťové komunikace filtrováním dat potřebných pouze pro audit Zabudovaný workflow proces pro řešení incidentů 15
Základní role uživatelů v informačních systémech Privilegovaní uživatelé Koncoví uživatelé Vývojáři, systémoví analytici a administrátoři IT operátoři 16
Privilegovaní uživatelé Uživatelé s nejvyšší úrovní privilegií Typicky databázoví administrátoři (DBAs), superuživatelé a systémoví administrátoři Musí být vždy pod intenzivní kontrolou jak ze strany oddělení bezpečnosti, tak ze strany auditorů Případné problémové aktivity Přístup k uživatelským datům, jejich modifikace nebo mazání Modifikace databázových schémat Přístup k datům za použití nestandardních nebo neschválených komunikačních kanálů Neautorizované přidávání uživatelských účtů nebo jejich modifikace 17
Koncoví uživatelé Osoby, které mají legitimní přístup k datům prostřednictvím nějaké aplikace Představují vážné riziko úmyslného nebo i nevědomého zneužití dat Případné problémové aktivity Přístup k neúměrně velkému množství dat nebo takovému objemu dat, které není potřeba pro jejich legitimní činnost Přístup k datům mimo standardní pracovní dobu Přístup k datům za použití nestandardních nebo neschválených komunikačních kanálů 18
Vývojáři, systémoví analytici a administrátoři Uvedené role nutně musí mít extrémně vysoká privilegia přístupu k datům Možným průnikem k datům může dojít k prozrazení intelektuálního vlastnictví nebo osobního soukromí Možností přístupu k produkčnímu systému a jeho modifikacemi mohou způsobit Zhoršení výkonnosti systému Havárie systému Zranitelnost zabezpečení systému Případné problémové aktivity Přístup k živým produkčním systémům 19
IT operátoři Mají významný vliv na správnou funkci a správu databázových systémů Jejich aktivity ve vztahu k databázovým systémům musí být sledovány ve dvou klíčových oblastech Neschválené změny databází a databázových systémů nebo aplikací, které k databázím přistupují Záplatování produkčních systémů nesprávnými záplatami nebo v nevhodnou dobu 20
21
Jan Musil jan_musil@cz.ibm.com 22