Презентация на тему "Безопасность СУБД"

Содержание

• 
  Слайд 1

  Безопасность СУБД

  СУБД имеет свои собственные: Пользовательские бюджеты Механизм ведения аудита Механизм разграничения доступа Язык программирования Механизм управления паролями

• 
  Слайд 2
  

  MicrosoftSQLServer (организация системы безопасности)

• 
  Слайд 3
  

  Службы SQL Server Local System Account Domain User Account

• 
  Слайд 4
  

  Режимы доступа к серверу Стандартный (Standard Security) Интегрированный (Integrated Security)

• 
  Слайд 5
  

  Системные таблицы Syslogins Sysusers Sysprotects Sysmemebrs Sysobjects

• 
  Слайд 6
  

  Таблица Syslogins Syslogins Sysusers Одна на сервер Идентификаторы и пароли пользователей SQL Server Информация о пользователях и группах Windows NT

• 
  Слайд 7
  

  Таблица Sysusers Syslogins Sysusers Есть в каждой БД Права доступа к БД Права доступа к объектам БД

• 
  Слайд 8
  

  Таблицы Sysprotects и Sysobjects Sysprotects Sysobjects Есть в каждой БД Информация об объектах БД

• 
  Слайд 9
  

  Таблица Sysmembers Syslogins Sysusers Sysmembers Одна на сервер Принадлежность пользователей к ролям

• 
  Слайд 10
  

  Стандартные идентификаторы пользователей SA BULTIN/Administrators

• 
  Слайд 11
  

  Доступ к БД Идентификатор пользователя (Login) Учётное имя в БД (User account)

• 
  Слайд 12
  

  Стандартные учётные имена Dbo guest Системный администратор Пользователь, не имеющий учётного имени

• 
  Слайд 13
  

  Роли Именованный набор прав Уровень сервера Уровень БД

• 
  Слайд 14
  

  Доступ без учётного имени Учётная запись guest роль Public

• 
  Слайд 15
  

  Разрешения (Permissions) Выполнение SQL-выражений Действия с объектами Предопределённые (стандартные)

• 
  Слайд 16
  

  Разрешения (Permissions) Выполнение SQL-выражений оператор CREATE DATABASE операторы создания объектов БД

• 
  Слайд 17
  

  Разрешения (Permissions) Действия с объектами Исполнение хранимых процедур Работа с таблицами и видами Доступ к определённым полям

• 
  Слайд 18
  

  Разрешения (Permissions) Предопределённые (стандартные) На основе принадлежности к роли Разрешения владельца объекта

• 
  Слайд 19
  

  Database Scanner Взгляд на СУБД с точки зрения безопасности Поддержка MS SQL, Oracle, Sybase Интеграция с Internet Scanner

• 
  Слайд 20
  

  Уязвимости СУБД Microsoft SQL Server Sybase Adaptive Server Oracle Default Admin sa sa sys, system Default Admin passwords blank blank sys - "change_on_install" system - "manager" Default OS accounts "Local System" for NT "sybase" for Unix "Local System" for NT "oracle" for Unix "Local System" for NT Бюджеты по умолчанию

• 
  Слайд 21
  

  Уязвимости СУБД ELEMENT MS SQL Server Sybase AS Login / Account Management Password Management Rights / Permissions Oracle Strength Aging Stale Logins/ Accts . Off Hours Usage Attacks Trojan Horses Stale Logins/ Accts . No Control No Control No Control in 7 Бюджет, неиспользуемый в течение долгого времени

• 
  Слайд 22
  

  ELEMENT MS SQL Server Sybase AS Login / Account Management Password Management Rights / Permissions Oracle Strength Aging Stale Logins/ Accts . Off Hours Usage Attacks Trojan Horses Off Hours Usage No Control No Control No Control Отсутствие средств разграничения доступа по времени работы Контроль соединений в запрещённые часы работы Уязвимости СУБД

• 
  Слайд 23
  

  ELEMENT MS SQL Server Sybase AS Login / Account Management Password Management Rights / Permissions Oracle Strength Aging Stale Logins/ Accts . Off Hours Usage Attacks Trojan Horses Attacks No Protection No Protection No Protection in 7 Серия неудачных попыток входа за короткий промежуток времени Microsoft SQL Server, Sybase, Oracle 7 не блокируют бюджеты Oracle 8 FAILED_LOGIN_ATTEMPT parameter Login Attempt Уязвимости СУБД

• 
  Слайд 24
  

  Уязвимости СУБД Атака по словарю

• 
  Слайд 25
  

  Регистрация сервера с использованием Standard Security сохраняет пароль SA в реестре HKEY_CURRENT_USER\SOFTWARE\Microsoft\Microsoft SQL Server\SQLEW\Registered Server\SQL 6.5. Уязвимости СУБД Открытый пароль SA

• 
  Слайд 26
  

  Microsoft SQL Server, Sybase, and Oracle 7 не имеют механизмов контроля возраста пароля Определение разумного интервала смены пароля уменьшает риск Oracle 8 имеет средства контроля возраста пароля: Password Grace Time Password Life Time Password Reuse Max Password Reuse Time ELEMENT MS SQL Server Sybase AS Login / Account Management Password Management Rights / Permissions Oracle Strength Aging Stale Logins/ Accts . Off Hours Usage Attacks Trojan Horses Aging No Facility No Facility No Facility in 7 Уязвимости СУБД Возраст пароля

• 
  Слайд 27
  

  sp_password SA New Password New Password New Password Уязвимости СУБД Троянские кони в хранимых процедурах

• 
  Слайд 28
  

  Уязвимости СУБД Доступ к ОС через СУБД

• 
  Слайд 29

  Database Scanner

  ПРИЛОЖЕНИЯ СУБД ОС СЕТЕВЫЕ СЛУЖБЫ ПОЛЬЗОВАТЕЛИ Database Scanner

• 
  Слайд 30

  Характеристики Database Scanner

  Выявление слабых паролей. Проверка срока действия пароля. Обнаружение атак. Выявление неиспользуемых бюджетов. Проверка ограничений по времени работы.

• 
  Слайд 31

  Группы выполняемых проверок