Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen

BSI Grundschutz für den Datenbankbetrieb 

Norman Sibbing 

Oracle Deutschland 

Schachmatt 

ohne 

IT Grundschutz

BSI – IT Grundschutz 

IT Sicherheit-Standards 

Angesichts der vielfältigen und wachsenden 

Gefährdungspotentiale und der steigenden 

Abhängigkeit stellen sich damit für alle 

Anwender hinsichtlich der Informationssicherheit 

die Fragen, wie kann ich, wo, mit welchen 

Mitteln mehr Sicherheit erreichen 

IT-Grundschutz bietet eine einfache Methode, 

dem Stand der Technik entsprechende 

Sicherheitsmaßnahmen zu identifizieren und 

umzusetzen 

https://www.bsi.bund.de/DE/Themen/ITGrundschutz/StartseiteITGrundschutz/startseiteitgrundschutz_node.html 

2

Sicherheit versus Aufwand 

Quelle: BSI Grundschutz 

3

Allgemein 

Es gibt keine 100%ige Sicherheit 

• Betriebssystem härten 

– Sowohl OS als auch DB Software 

– Nur Komponenten installieren, die benötigt werden 

– Unnötige Dienste gegebenenfalls deinstallieren 

• Benutzer personalisieren 

• Überblick verschaffen (und behalten) 

• Sicherheitspatches einspielen (CPU/PSU) 

– Frühzeitig DB Upgrade planen 

• Trennung zwischen DBA Gruppe und Softwarebesitzer 

– Primäre Gruppe “oinstall” (siehe Install Doku) 

• Datenbank-Auditing nutzen 

4

B 5.7 Gefährdungen bei Datenbanken 

BSI - IT Grundschutz (Auszug) 

• Organisatorische Mängel 

– Fehlende Auswertung von Protokolldaten (G 2.22) 

– Mangelhafte Organisation des Wechsels von Datenbank-Benutzern (G 2.110 ) 

• Menschliche Fehlhandlungen 

– Fehlerhafte Administration von Zugangs- und Zugriffsrechten (G 3.16) 

– Unbeabsichtigte Datenmanipulation (G 3.24) 

• Technisches Versagen 

– Ausfall einer Datenbank (G 4.26) 

– Unterlaufen von Zugriffskontrollen über ODBC (G 4.27) 

• Vorsätzliche Handlungen 

– Systematisches Ausprobieren von Passwörtern (G 5.18) 

– Manipulation an Daten oder Software bei Datenbanksystemen (G 5.64) 

– SQL-Injection (G 5.131) 

Quelle: https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/baust/b05/b05007.html 

5

Maßnahmen für den sicheren Datenbankbetrieb 

Sicherheitslösungen 

• Zugriffskontrolle 

– M 2.130 Gewährleistung der Datenbankintegrität 

• Trennung administrativer Rollen 

– M 2.131 Aufteilung von Administrationstätigkeiten bei Datenbanksystemen 

• Wie lassen sich Passwordmanagement und 

Benutzerverwaltung zentralisieren 

– M 2.132 Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen 

– M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile 

• Verschlüsselung und deren Auswirkungen 

– M 4.72 Datenbank-Verschlüsselung 

6



• Auditing, Tracking und Reporting 

– M 2.133 Kontrolle der Protokolldateien eines Datenbanksystems 

– M 2.34 Dokumentation der Veränderungen an einem bestehenden System 

– M 4.69 Regelmäßiger Sicherheitscheck der Datenbank 

• Umgang mit weiteren Sicherheitsgefährdungen 

– G 5.131 SQL-Injection 

– G 2.137 Fehlende und unzureichende Planung bei der Verteilung von Patches 

und Änderungen 

– G 2.29 Softwaretest mit Produktionsdaten 

7













8


M 2.130 Gewährleistung der Datenbankintegrität 

• M 2.128 Zugangskontrolle einer Datenbank 

– Normalen Benutzern den Zugang zu einer 

Produktionsdatenbank über einen interaktiven 

SQL-Interpreter unterbinden 

– Remote-Zugänge zu Datenbanken sollten äußerst restriktiv 

gehandhabt werden 

– Bei erhöhten Sicherheitsanforderungen sollte geprüft werden, 

ob eine starke Authentisierung, die über Benutzername und 

Passwort hinausgeht, erforderlich ist. 

• M 2.129 Zugriffskontrolle einer Datenbank 

– Schutz der Datenbankobjekte 

– Schutz der Daten 

– Restriktiver Datenzugriff über Anwendungen 

https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/m/m02/m02130.html 

9

Oracle Database Vault 

Multi-Factor Zugriffssteuerung “Policy Enforcement” 

Procurement 

Applikation Rebates 

DBA 

HR 

• Schützt Applikationsdaten und verhindert den Zugang 

nicht freigebener Applikationen 

• Steuert Wer, Wo, Wann und Wie auf Daten zugreifen 

kann 

10

Oracle Advanced Security 

Starke Authentisierung 

Applikation 

Starke Authentisierung 

Kerberos 

X509 

v3 

• Starke Authentisierung besonders für 

“hoch privilegierte Benutzer (DBAs)” 

– Kerberos 

– PKI 

– RADIUS (Einmal Password, Risiko-Basierte Authentisierung, ...) 

11













12


M 2.131 Aufteilung von Administrationstätigkeiten bei Datenbanksystemen 

• Es sollten grundsätzlich zwei verschiedene 

Administrator-Rollen unterschieden werden: 

– die fachlich übergreifende Administration der Datenbank- 

Software (traditioneller DBA) 

• Backup / Recovery 

• Resource-Management 

– die Administration der anwendungsspezifischen Belange 

• Erfordernisse der einzelnen Anwendungen an die 

Datenbank 

• Verwaltung der zugehörigen Datenbankobjekte 

• Diese beiden Aufgaben sollten von verschiedenen 

Personen durchgeführt werden 


13

Oracle Database Vault 

Zugriffssteuerung für privilegierte Benutzer und Multifaktor Autorisierung 

• Schränkt Befugnisse von privilegierten Benutzern ein 

• Ermöglicht Aufgabenverteilung und Funktionstrennung 

• Erzwingt Security Regeln 

• Schützt und konsolidiert Anwendungsdaten und verhindert das 

Umgehen der Anwendung 

14

Organisatorischer vs. Erzwungener Sicherheit 

Beschränkung und Kontrolle von DB Aktivitäten 

Sicherheitskonzept (Beispiel) 

Klassifikation 

Rollenkonzept 

Aufgaben 

Nicht-vertrauenswürdiger 

DBA tool-basierte Policy- 

Erzwinung 

Maßnahmen 

Maßnahmenimplementierung (Bsp.) 

Maßnahmen Organisatorisch Tool-basiert 

20% organisatorische 

Implementierung von 

Maßnahmen 

80% tool-basierte Implementierung 

von Maßnahmen 

Database 

Vault oder 

andere 

Lösungen 

Tool-based Implementation von Maßnahmen kann garantieren, dass die Logik und Policies 

automatisch überwacht wird. D.h. die implementierte wird durchgesetzt (erzwungen)! 

DBA 

DBA 

DBA 

Legende: 

Vertrauenswürdiger 

DBA 

Externe Dienstleister 

/ externer DBA 

15

Organisatorischer vs. Erzwungener Sicherheit 

Beschränkung und Kontrolle von DB Aktivitäten 

Organisatorische Maßnahmen Tool-basierte Maßnahmen 

• … 

• Rollenkonzept definieren mit AKV 

(Aufgaben, Kompetenzen und 

Verantwortlichkeiten) 

• Personalisierte DBA Accounts nutzen 

� SYS und SYSTEM nur für limitierte 

Aufgaben wie Patching verwenden 

• Root und Windows Administrator 

Users 

• … 

� Nur personalisierte Account für das 

OS verwenden 

� Unter (L)UNIX SUDO nutzen 

Manuelle Überwachung 

• … 

• Oracle DB Vault 

� Erzwingt definierte Policies auf Basis 

Sicherheitszonen und Regeln für 

beliebige Nutzer 

� Schützt Datenzugriff 

� Gewaltenteilung 

Acct-Mgmt. & DB Admin. 

� Beschränkt DBA Zugriff und 

Aktivitäten 

• Monitoring out-of-the-Box 

� Oracle DB Vault Reporting 

� Oracle Audit Vault für DB Akivitäten 

Automatische Kontrolle 

und Überwachung 

16

Oracle Sicherheitsansatz 

Lösungsansätze im RZ einer Bundesbehörde 

• Erhöhter Schutz sensitiver Daten in Verfahren unter 

kombinierter Verwendung von Sicherheitsoptionen für 

Oracle Datenbanken 

• Verschlüsselung zur Sicherung gehosteter Daten und 

DBVault zur Sicherstellung der Funktionstrennung 

• DBA des RZ erhält kontrollierte, definierte Zugriffe aber 

ohne Einsicht in Verfahrensdaten 

• Ermöglicht das Outsourcen und Konsolidieren sensibler 

Daten 

• Hoster übernimmt die Verantwortung des Betriebs 

• Kunde behält die Datenhoheit und Datenverantwortung 

17

Projekt EPOS 2.0 

Multi-Mandant Umgebung 

Fachabteilung 

EPOS Mandanten 

http/s 

Verschlüsselung 

Web&App DMZ Datenbank DMZ 

EPOS 2.0 

Applikations- 

Server 

AES 256bit SQL*Net 


Switch 

Autorisierungs- 

Faktoren 

Oracle Real 

Application Cluster 

AES 256bit Datenbank 


SYSTEM 

EPOS Mandant 

EPOS Mandant 

EPOS 2.0 

Oracle 

Datenbank 

Betreiber 

DBA 

Backup 


18

EPOS 2.0 Sicherheit mit Oracle 

Nutzen 

• Höherer Sicherheitslevel erzielt durch 

– Verschlüsselung 

– Zugriffssteuerung hoch privilegierter Benutzer 

– Verfügbarkeit 

• Adressierung der 

– Anforderungen des BDSG (vgl. u.a. §1 oder §42 BDSG) 

– definierten Ziele der nationalen eGovernment Strategie 

(Ziel: Transparenz, Datenschutz und Datensicherheit) 

• Einsatz von BSI zertifizierten Oracle Produkten 

• Keine Beeinträchtigung in der Bedienung des Fachverfahrens 

• Verschlüsselung ohne Performanceverlust unter Verwendung 

der Intel® Xeon® 56XX AES-NI Prozessor-Technologie 

19













20


M 2.132 Regelung für die Einrichtung von Datenbankbenutzern/benutzergruppen 

• Die Einrichtung von Benutzern/Benutzergruppen aus 

einer Datenbank bilden die Voraussetzung für eine 

angemessene Vergabe von Zugriffsrechten 

(siehe M 2.129 Zugriffskontrolle einer Datenbank) 

– Erforderlich sind: (u.a. in Anlehnung an M 2.30 Regelung für die 

Einrichtung von Benutzern / Benutzergruppen) 

• Name, Vorname 

• Vorschlag für die Benutzer-Kennung 

(wenn nicht durch Konventionen vorgegeben) 

• Organisationseinheit 

• Erreichbarkeit (z. B. E-Mail, Telefon, Raum) 

• Zustimmung von Vorgesetzten 


21

Datenbank Benutzer Management: “Best Practice” 

ENTERPRISE USER 

SECURITY 

Management 

Oracle Internet Directory 

LOGIN 

Umlenkung 

EUS 

LOGIN 

Anwender 

Oracle 

Datenbanken 

CENTRALIZED USER 

ADMINISTRATION FOR DB 

Synchronisation 

CUA4DB 

Läuft auf Oracle Identity Manager 

Synchronisation 

Corporate Directory 

oder HR System 

CUA4DB 

Zentrale Administration 

Self-service Passwortänderung 

Audit 

Anwender 

LOGIN 

Oracle 

und andere 

Datenbanken 

22

Password Management 

Oracle Privileged Account Management 

DBA 

• User logs in as DBA 

• Adds Table to DB 

• System out of space 

Return DBA password 

Request DBA password 

Return unix password 

Request unix password 

HR Application 

Database 

Set DBA password for HR App 

Database based on password 

policy for HR App Database 

User checks in passwords Oracle Privileged 

Account Manager 

• User logs in as superuser 

• Adds disk space 

Unix Server 

Verify OPAM User 

in HR DBA Role 

LDAP Server 

23













24


M 2.31 Dokumentation der zugelassenen Benutzer und Rechteprofile 

• Dokumentiert werden sollten insbesondere 

– zugeordnetes Rechteprofil 

(ggf. Abweichungen vom verwendeten Standard-Rechteprofil) 

– Begründung für die Wahl des Rechteprofils 

(und gegebenfalls der Abweichungen) 

– Zuordnung des Benutzers zu einer Organisationeinheit, Raum- 

und Telefonnummer 

– Zeitpunkt und Grund der Einrichtung 

– Befristung der Einrichtung 

– zugehörige Benutzer 


25

1 

Wer ist der 

Reviewer? 

Aktuelle Anwenderkonten-Zuordnungen bestätigen 

Web-basiertes Testat im Oracle Identity Manager 

Periode für 

Review 

einstellen 

Was soll 

Reviewed 

werden? 

Wann 

starten? Wie 

oft? 

2 

Reviewer wird 

benachrichtigt 

Nutzt Self Service 

Reviewer Auswahl 

Zertifizieren 

ausmustern 

ablehnen 

Delegieren 

Kommentar 

3 

Automatisierte 

Aktionen 

kommen aus dem 

periodischen Review 

Email 

Ergebnis 

zu User 

Terminiere User 

automatisch 

Benachrichtigung 

des 

Prozessbesitzers 

Benachrichttgung 

des delegierten 

Reviewers 

4 

Report und 

Ergebnisse 

bleiben in 

DB gespeichert 

Archive 

Attestierte Daten 

Attest-Aktionen 

Delegierungswege 

26













27


M 4.72 Datenbank-Verschlüsselung 

• In Abhängigkeit von der Art der in einer Datenbank 

gespeicherten Informationen und den sich daraus 

ergebenden Anforderungen an deren Vertraulichkeit 

und Integrität kann es notwendig werden, diese Daten 

zu verschlüsseln 

• Darüber hinaus besteht die Möglichkeit, Daten 

weiterhin im Klartext in der Datenbank abzuspeichern, 

beim Zugriff über ein Netz jedoch eine verschlüsselte 

Datenübertragung zu realisieren. Dies kann z. B. 

durch die Secure Network Services der Oracle 

SQL*Net Produktfamilie durchgeführt werden 


28


Schutz der Daten vor unautorisierten Benutzern 

Application 

Strong Authentication 

• Transparente Verschlüsselung für alle gespeicherten Daten 

• Keine Änderung der Anwendung notwendig 

• Verschlüsselung der Daten für den Netzwerktransfer 

• Hoch performant 

Network Encryption 

Data At Rest Encryption 

Built-In Key 

Management 

• Einfache Bereitstellung “Easy deployment” 

Media Encryption 

Disk 

Backups 

Exports 

Off-Site 

Facilities 

29


Schlüsselmanagement 

Table and 

Tablespace Keys 

Master Key 

Oracle Wallet 

PKCS #11 API 

HSM 

• Erstellung, Speicherung, und Erneuerung der Schlüssel 

• Zweitstufiges Schlüsselmanagement 

– Datenverschlüsselung durch interne und externen Schlüssel 

Create a wallet and generate the master key: 

alter system set key identified by “e3car61” 

Open the wallet: 

alter system set wallet open identified by “e3car61” 

Rotate master (table/tablespace keys re-encrypted): 

alter system set key identified by “2naf1sh” 

Rotate table/tablespace keys (data re-encrypted) 

alter table employee REKEY; 

• Speicherung des Master-Schlüssels im External Security Module 

(außerhalb der Datenbank) 

– Oracle Wallet (PKCS #12 file) oder Hardware Security Module (HSM) 

• Separation of duties -- Wallet Kennwort ist dem System oder 

Datenbank-Admin nicht bekannt 

30


Transparent Data Encryption Performance 

• “Verschlüsselung von Daten ist kostspielig” ist ein Mythos ! 

– (ggf. entstanden durch schlechte Third-Party Lösungen) 

• Mehrlast der CPU ~5% / 10x Beschleunigung bei Nutzung des AES-NI Chip 

• Mehrlast der CPU kann durch Nutzung der Oracle Advanced Compression oder 

Exadata Hybrid Columnar Compression (EHCC) weiter reduziert werden 

– Bei einer Komprimierung von ca. 75%, müssen auch 75% weniger Daten verschlüsselt werden! 

31

Vorteile der Oracle Verschlüsselung 

• Kein Aufwand beim Einrichten der 

Netzwerkverschlüsselung 

• Verschlüsselung ist Datentyp-Echt 

• Transparent für Applikationen 

• Verschlüsselung über alle physikalischen Medien 

– Datenbankfiles, Transaktionsfiles, Archive, Exports, Backups und 

Netzwerk 

• Implementiertes Key-Management 

– Performantes Rekeying 

• Hardwareunterstützung 

• ....... 

32

Leichte Umsetzung 


Alternative Lösungen 

Disk 

NAS 

Encryption 

Applikation 

Sicherheit 

Oracle 

Database 

33












34


M 2.133 Kontrolle der Protokolldateien eines Datenbanksystems 

• Die in einem Datenbanksystem mögliche Protokollierung bzw. 

Auditierung ist in einem sinnvollen Umfang zu aktivieren 

• Dabei sind insbesondere folgende Vorkommnisse von Interesse: 

– Anmeldezeiten und -dauer der Benutzer 

– Anzahl der Verbindungen zur Datenbank 

– fehlgeschlagene bzw. abgewiesene Verbindungsversuche 

– Zugriffe auf die Systemtabellen 

– Erzeugung neuer Datenbankobjekte und 

– Datenmodifikationen (eventuell mit Datum, Uhrzeit und Benutzer) 

• Die Protokollierung sicherheitsrelevanter Ereignisse ist als 

Sicherheitsmaßnahme allerdings nur dann wirksam, wenn die 

protokollierten Daten auch ausgewertet werden 


35



• Für die Überprüfung der Protokolldateien sind diese 

grundsätzlich in eine andere Umgebung zu kopieren 

• Die Verantwortlichkeiten für die Protokollierung und die 

Verantwortlichkeiten für die zu protokollierenden Aktivitäten 

müssen getrennt werden 

• Die Protokolldaten müssen auf dem Produktivsystem regelmäßig 

gelöscht werden 

– Sie dürfen allerdings nur dann gelöscht werden, wenn die 

Protokolldateien vorher ausgewertet und kontrolliert wurden 


36



• Der Zugriff auf die Protokolldateien strikt zu beschränken 

• Es muss verhindert werden, dass Angreifer ihre Aktionen durch 

nachträgliche Änderung der Protokolldateien verbergen können, 

andererseits könnten über die gezielte Auswertung von 

Protokolldateien Leistungsprofile der Benutzer erstellt werden. 

Deshalb dürfen beispielsweise Änderungen überhaupt nicht 

vorgenommen werden können und lesender Zugriff darf nur den 

Revisoren gestattet werden 


37

Oracle Audit Vault 

Automatisches Aktivitätsmonitoring & Audit Reporting 

HR Data 

CRM/ERP Data 

Custom App 

Audit 

Data 

• Automatisches Überwachen von Oracle 

und Nicht-Oracle Datenbanken 

• Erkennt und signalisiert verdächtige Aktivitäten 

• Out-of-the box Compliance Reports 

• Forensische kundenspezifische Berichte 

• Integration: SIEM Tools, E-Mail und Remedy 

! 

Alerts 

Built-in 

Reports 

Custom 

Reports 

Policies 

Auditor 

38

Attacker 

Real-World Payment System Security Attack 

Stolen data via FTP 

IPS/IDS Sensor 

• Attacker penetrates perimeter using malware 

• Scans internal network locating vulnerable PC 

• Launches exploit and takes over “trusted” 

corporate PC 

• Logs into Payment database (PCI asset) using 

“default” DB Admin username password 

• Downloads financial records (PCI data) by 

querying Payment database as a DBA 

• FTP’s financial records out 

Corporate PC 

Payment 

DB Server 

DB query 

Secure Payments Network 

ArcSight ESM 

Correlated Events 

Firewall traversal 

Network scan 

Botnet attack on PC 

Admin query to Payment server 

FTP out stolen financial data 

Audit Vault Alerts 

Database access 

Access to secure payments 

Export of payments data 

39

Oracle Audit Vault + ArcSight 

Integrated Solution 

Oracle Audit 

Vault 

ArcSight ESM 

• Collects Audit Vault alerts 

• Correlates with enterprise events 

• Alerts security staff about risky activity 

• Generates enterprise compliance 

reports 

Oracle Audit Vault 

• Consolidates all database activity 

• Alerts ESM about suspicious activity 

• Drills down to database activity 

• Generates compliance and entitlement 

reports 

ArcSight 

ESM 

40

Auditing 

Best Practices 

• Personalisierung der DBAs 

• SYSDBA Auditing (audit_sys_operations) 

• Für DDL (Standard Auditing) 

– Strukturänderungen an relevanten Tabellen 

– Benutzer und Rollenmanagement 

• Für DML (Fine Grained Auditing) 

– Lese und Schreibzugriffe auf relevante Tabellen 

• Verwendung des „XML, EXTENDED“ Audit Trails 

– Schnelles File System benutzen 

• Verwendung des „DBMS_AUDIT_MGMT“ Packages 

• Bei Neuinstallationen: Auditeinstellungen beachten 

41












42


M 2.34 Dokumentation der Veränderungen an einem bestehenden 

System 

• Um einen reibungslosen Betriebsablauf zu 

gewährleisten, muss der Administrator einen Überblick 

über das System haben bzw. sich verschaffen können 

• Es sollten Veränderungen, die Administratoren am 

System vornehmen, dokumentiert werden 

(nach Möglichkeit automatisiert) 

• Unter Unix müssen ausführbare Dateien, auf die auch 

andere Benutzer als der Eigentümer Zugriff haben oder 

deren Eigentümer „root“ ist, vom Systemadministrator 

freigegeben und dokumentiert werden 


43

Lifecycle Management 

Discovery und 

Einbindung 

Change 

Management 

Konfigurations- und 

Compliance 

Management 

Finde Assets und binde sie in Cloud Control ein 

End to End Management für Patches, 

Upgrades und Schema Änderungen 

Dokumentation von 

Konfigurationsänderungen und Compliance 

44

EM 12.1 Configuration Management 

Inventory Reporting 

Konfigurations-Details 

Versionsverteilung 

Trendanzeige 

45

Configuration Management 

Topology Viewer 

• Grafische Anzeige von 

Beziehungen zwischen Targets 

• Verwaltung auf System-Ebene, 

statt auf Target-Ebene 

• Root Cause Analyse 

• Beziehungen 

• Out-of-box systems 

• ‘Depends On’ 

• ‘Used By’ 

• Eigene Sichten auf 

vorgefertigte Systeme erweitert 

durch weitere Targets 

Host 

Datenbank 

Topology Name 

Listener 

46


M 4.69 Regelmäßiger Sicherheitscheck der Datenbank 

• Der Datenbankadministrator sollte regelmäßig, jedoch 

mindestens einmal monatlich einen Sicherheitscheck 

des Datenbanksystems durchführen, der durch das 

Betriebskonzept geregelt sein sollte 

– Auszug: 

• Gibt es Datenbank-Benutzer mit leicht zu ermittelndem oder 

keinem Passwort? 

• Gibt es Benutzer, die die ihnen zugewiesenen Rechte nicht mehr 

für ihre Aufgabenerfüllung benötigen? 

• Welche Benutzer-Kennungen haben modifizierende 

Zugriffsrechte auf die Datenbankobjekte der Anwendungen? 

• Welche Benutzer besitzen die gleichen Rechte wie der 

Datenbank-Administrator? 


47

Configuration Management 

Compliance 

– Compliance Framework 

Mapping der Compliance Standards mit 

Business Standards 

(PCI, COBIT, HIPAA, CIS, etc) 

– Compliance Standard 

Gruppierung von Regeln 

– Compliance Rule 

Einzelne Checks/Tests die für einen 

Targettyp ausgeführt werden 

• Umfassendes Reporting 

• Aktualisierung über Self-Update 

Compliance Manager, 

Security Auditors 

DBAs, Admins, 

IT Managers 

Compliance 

Frameworks 

Compliance Standards 

Rules 

48

Compliance Ebenen 

Rule 

Standard 

Framework 

49

Security Balanced Scorecard für Datenbanken 

Eine globale und transparente Sicht für den Security Manager 

Sind die gesetzten Ziele erfüllt? Wie performen die KPIs? 

Security Ziele setzen und automatisiert messen. 

50












51


G 5.131 SQL-Injection 

• Mit SQL-Injection wird das Einschleusen (Injizieren) 

schädlicher oder unerwünschter Datenbankbefehle in 

die Datenbankabfragen einer Applikation bezeichnet 

• Ermöglicht wird diese Technik durch eine 

unzureichende Prüfung bzw. Maskierung der 

Eingaben innerhalb der Applikation 

• Dieses Vorgehen eröffnet einem Angreifer vielfältige 

Möglichkeiten (u.a.): 

– unberechtigter Zugriff auf Daten 

– Ausführen von Betriebsystembefehlen 

– Kontrolle über die Datenbank 

– Kontrolle über den Server 

https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/g/g05/g05131.html 

52

Oracle Database Firewall im Überblick 

Anwendungen 

Standard- 

berichte 

Eigene 

Berichte 

Erlauben 

Protokollieren 

Alarmieren 

Ersetzen 

Blocken 

Policies 

(Baselines) 

• Effiziente Analyse des SQL in Echtzeit schützt vor SQL 

Injection, Eskalieren von Privilegien und Rollen 

– Bietet damit sogar einen Schutz vor nicht geschlossenen 

Sicherheitslücken (zero day exploits) auf der SQL Ebene 

• Flexible Reaktionsmöglichkeiten 

• Genauigkeit ist von zentraler Bedeutung 

DB2 

53

Beispiel - Vergleiche, Mustererkennung 

Wenn man unterstellt, dass eine Bedingung verdächtig 

ist, die immer den Wert WAHR liefert, dann müssen z.B. 

SQL Abfragen mit einer solchen Bedingung abgefangen 

werden. 

Folgende Bedingungen sind alle WAHR: 

• 1 = 1 

• 2000 = (100+1900) 

• SIN(45) = COS(45) 

• ‘hund’ = ‘hund’ 

• 10 = 10 

• SQRT(49) = (8-1)/1 

• LEFT(‘catastrophe’, 3) = ‘cat’ 

• ‘katze’ ‘maus’ 

54

Positivlisten 

Anwendungen 

Positivliste 

(White List) 

Erlauben 

Blocken 

• Positivlisten können automatisch generiert werden 

• Für jede Anwendung oder Applikation zu definieren 

• Faktoren wie Tageszeit, Wochentag, Netzwerk, Anwendung, ... 

können berücksichtigt werden 

• Aktionen, die nicht auf der Positivliste stehen, werden nicht 

ausgeführt 

55












56

Lifecycle Management 

Discovery und 

Einbindung 

Change 

Management 

Konfigurations- und 

Compliance 

Management 

Finde Assets und binde sie in Cloud Control ein 

End to End Management für Patches, 

Upgrades und Schema Änderungen 

Dokumentation von 

Konfigurationsänderungen und Compliance 

57

G 2 Organisatorische Mängel 

• G 2.137 Fehlende und unzureichende Planung bei 

der Verteilung von Patches und Änderungen 

Grober Prozess eines Patch-Deployments 

Welche Systeme 

sind betroffen? 

Enterprise 

Manager 

Patch 

Entscheidung 

Risk 

Matrix 

Test-Umgebung 

Clone von Prod. 

BACKUP 

Enterprise 

Manager 

Data 

Masking 

Deploy Patch 

auf Test-Umgeb. 

Enterprise 

Manager 

Was hat der 

Patch verändert? 

Enterprise 

Manager 

Testen 

Enterprise 

Manager 

RAT 

Deploy in die Produktion 

New Baseline 

Restore 

BACKUP 

Enterprise 

Manager 

Oracle Patch Management Best Practice 

http://www.oracle.com/us/support/assurance/leveraging-cpu-wp-164638.pdf 

Ergebnisse dokumentieren 

Enterprise 

Manager 

58

Patch Management 

Einfaches (!Einfacheres!) Patching 

• Schritt 1: Auswählen von Patches und Targets 

• Schritt 2: Optionen auswählen (In-Place, Out-of-Place, Rolling, Non-Rolling) 

• Schritt 3: Validierungen ausführen – Analyse bzgl. Konflikten,… 

• Schritt 4: Review -> Pre Deploy -> Deploy 

59












60

G 2.29 Softwaretest mit Produktionsdaten 

• Als wesentliche Gründe werden hierfür angeführt, 

dass nur im direkten Vergleich mit vorhandenen 

Arbeitsergebnissen eine abschließende Beurteilung 

über die Funktion und Performance des Produktes 

möglich ist 

• Darüber hinaus sind mangelndes Sicherheitsbewusstsein, 

überzogenes Vertrauen und Unkenntnis 

über mögliche schädliche Auswirkungen ursächlich 

für diese Vorgehensweise 

https://www.bsi.bund.de/ContentBSI/grundschutz/kataloge/g/g02/g02029.html 

61

Oracle Data Masking 

Irreversible Anonymisierung 

Produktion Entwicklung 

NACHNAME SSN GEHALT 

AGUILAR 203-33-3234 40.000 

BENSON 323-22-2943 60.000 

• Verfälscht sensitive Daten aus nicht-Produktionsdatenbanken 

• Referentielle Integrität bleibt, so dass Anwendungen weiter 

funktionieren 

• Sensitive Daten verlassen niemals die Datenbank 

NACHNAME SSN GEHALT 

ANSKEKSL 111-23-1111 60.000 

BKJHHEIEDK 222-34-1345 40.000 

• Erweiterbare Template- und Regel-Bibliothek für eine Automation 

• Neu in EM 12c: Application Data Modeling, Sensitive Data Discovery 

62

Datenmaskierung selbst in heterogenen Umgebungen 

Enterprise Manager Cloud Control 

with Data Masking 

Oracle Databases 

manage 

manage 

manage 

Production 

(Oracle) 

Staging 

(Oracle) 

Test 

(Oracle) 

Production 

(non-Oracle) 

Staging 

(Oracle) 

Test 

(non-Oracle) 

Non-Oracle Databases 

Database 

Gateway 

Database 

Gateway 

monitor § 

manage 

monitor § 

§ Available for IBM DB2, Microsoft SQLServer, Sybase 

Enterprise Manager Cloud Control 

with Data Masking 

63

Nachdenken und handeln! 

1 

2 

3 

4 

5 

Welche Daten muss ich vor wem schützen? 

Welche Angriffe traue ich meinem potenziellen 

Gegner zu? 

Erkennen ich Sicherheitsverstöße und Angriffe? 

Wissen privilegierte Benutzer was sie tun und 

nicht tun dürfen? 

Sind wir konform mit allen uns betreffenden 

regulartorischen Anforderungen? 

64

Applications 

Database Security – “Big Picture” 

Activity Audit 

Network SQL Monitoring 

and Blocking 

Data 

Discovery 

Unauthorized 

DBA Activity 

Compliance 

Scan 

Auditing 

Authorization 

Authentication 

Vulnerability 

Scan 

Multi-factor 

authorization 

Patch 

Automation 

Encrypted Database 

Data Masking 

65

Maßnahmen für den sicheren Datenbankbetrieb Sicherheitslösungen

Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.

Template löschen?

Als Template speichern?