Proteja los Datos más Sensibles

Proteja los Datos más Sensibles
de su Empresa con
Oracle Database Security
Copyright © 2014, Oracle and/or its affiliates. All rights reserved. |
Juan Carlos Carrillo
Security Sales Specialist
Oracle
September, 2014
Webcast Database Security

Safe Harbor Statement
The following is intended to outline our general product direction. It is intended for
information purposes only, and may not be incorporated into any contract. It is not a
commitment to deliver any material, code, or functionality, and should not be relied upon
in making purchasing decisions. The development, release, and timing of any features or
functionality described for Oracle’s products remains at the sole discretion of Oracle.
Webcast Database Security 2

• Juan Carlos Carrillo
– Security Sales Specialist, Oracle
Today’s Speaker

“故曰：知彼知己，百戰不殆；不知彼
而知己，一勝一負；不知彼，不知己，
每戰必殆。”
– 孫子

“Si conoces a los demás y te conoces a ti
mismo, ni en cien batallas correrás
peligro”
– Sun Tzu, General Militar, Estratega y Filosofo

55%
Crimen
Organizado
Copyright © 2014, Oracle and/or its affiliates. All rights reserved. | 6
Espionaje 24%
Hacktivists 2%
Source: Verizon Data Breach Investigations Report, 2013

Las violaciones internas representan casi el 70% de todos
los incidentes
Source: 2013 Verizon Data Breach Investigations Report
Copyright © 2014, Oracle and/or its affiliates. All rights reserved. | Webcast Database Security 7

Robo de Tarjetas de Pago (Credito y Debito)
$11B
12
10
8
6
4
PERDIDAS EN BILLONES DE DOLARES
EN LA INDUSTRIA DE TARJETAS DE PAGO
EN 2012 0
2
2000 2001 2002 2003 2004 2005 2006 2007 2008 2009 2010 2011 2012

D E L O S D A T O S S E N S I B L E S
VIVEN EN BASES DE DATOS

0%
De las fugas de información fueron
detectados por programas de anti-virus
o sistemas de prevención de
intrusos
Source: Verizon 2013 Data Breach Investigations Report
Copyright © 2014, Oracle and/or its affiliates. All rights reserved. | Webcast Database Security
10

Anatomía de una fuga de información
Millones de consumidores afectados
Los atacantes hackean via
phishing a los provedores
El Malware busca
información de tarjetas en
texto claro (no cifrado)
El Malware envía los
datos de tarjeta de
credito a los propios
servidores de archivos
Buscan,
encuentran e
infectan los
servidores de
archivos
Los atacantes usando
credenciales robadas
acceden al portal de
provedores
Los datos son extraidos
vía servidores de FTP
Encuentran e infectan los puntos
de venta (POS) con malware
PERIMETRO

¿Por qué es importante la Seguridad de los Datos?
97% Evitables con Controles Simples

2. Robo de Credenciales 3. Ataques de Fuerza Bruta
1. Inyecciones de SQL
Los tres principales tipos de ataque

Escalada de privilegios a través de ataques de inyección SQL
Frecuente
Sencillo
Valioso
Source: Online Web Application Security Project, 2014
Riesgo
#1

Ataques de Inyección de SQL
statement = "SELECT * FROM users
WHERE name ='" + userName + "';"
1.
El atacante inserta codigo
malicioso (SQL) en el
campo de aplicación web
2.
SQL aprovecha la
vulnerabilidad de la
aplicación
3.
La inyección comunica a
través de la base de datos y
lee / escribe a los datos
Name:
Address:
Phone:

Robo de Credenciales
1.
Con un ataque de phishing
a empleados privilegiadas
o proveedores
2.
Robo de credenciales de
cuentas privilegiadas 3.
Utiliza las credenciales
para acceder a datos
sensibles, escondido
debajo del radar

Las violaciones de datos están creciendo y las bases de
datos son el objetivo
El crecimiento de fugas de
información va de 53
millones de registros en
2005 a más de 250 millones
de registros de datos
personales el día de hoy
Credenciales robadas son la
principal amenaza
“Bases de datos y
servidores de archivos, son
repositorios de información
valiosa, los atacantes lo
tienen como objetivo
primario.”
Segundo objetivo más
común de información
privilegiada: las bases de
datos
#1
Source: Privacyrights.org; 2014 Verizon Data Breach Investigations Report

Ejemplo:
Ley
Federal de
Protección de
Datos
Personales en
Posesión de
Particulares

La Seguridad como habilitador para proteger los Datos Personales
Ejemplo: LFPDPPP
• La Ley Federal de Protección de Datos Personales en Posesión de los Particulares en su
articulo 19 menciona:
“Todo responsable que lleve a cabo tratamiento de datos personales deberá́ establecer
y mantener medidas de seguridad administrativas, técnicas y físicas que permitan
proteger los datos personales contra daño, pérdida, alteración, destrucción o el uso,
acceso o tratamiento no autorizado.”
• Debido a que la mayoría de los datos personales de los individuos está en formato
digital, el contar con un sistema de aseguramiento de las bases de datos es fundamental
para el cumplimiento de la misma regulación, dichas medidas no pueden ser menores a
aquellas que se mantienen para el manejo de su información.
19

Ejemplo: LFPDPPP
• La Ley en el articulo 63, menciona que las vulneraciones a la seguridad de bases de
datos constituyen infracciones a la Ley de hasta 21 millones de pesos (pueden
duplicarse en caso de reincidencia y/o datos personales sensibles).
• A su vez el articulo 67, menciona las penas (3 meses a 3 años de prisón) a las que
pueden ser objeto las personas que estando autorizados para tratar datos personales,
con ánimo de lucro, provoque una vulneración de seguridad a las bases de datos bajo su
custodia.
Penas y Multas
20

Ejemplo: LFPDPPP
• El articulo 48 del Reglamento solicita que los responsables
– Establecer un sistema de supervisión y vigilancia interna para comprobar el cumplimiento de las
políticas de privacidad.
– Los reportes que la suite de seguridad en la base de datos Oracle ofrece entregarían dicha
información.
• A su vez el articulo 61 del Reglamento pide:
– Llevar a cabo revisiones o auditorías
Medidas a Implementar
21

Ejemplo: LFPDPPP
• El mismo IFAI en su metodología de análisis de riesgos sugiere que el riesgo se vera
disminuido si separamos la información en bases de datos de menor tamaño y que cada
base de datos tenga una autenticación distinta.
• La misma metodología pide producir y almacenar registros de auditoría relacionados a
las actividades de los usuarios, las excepciones, y eventos de seguridad, así como
asegurar que los registros de auditoría no puedan modificarse.
• Descartar el acceso a los datos personales desde entornos que no sean específicamente
necesarios aporta a la disminución del riesgo latente de los datos personales.
Metodología de Análisis de Riesgo (IFAI Marzo 2014)
http://inicio.ifai.org.mx/DocumentosdeInteres/Metodologia_de_Riesgo_BAA_marzo2014.pdf
22

Como mitigar el
riesgo

Controles de Seguridad para Bases de Datos
DETECTIVOS ADMINISTRATIVOS
PREVENTIVOS
Encripción y Redacción
Enmascaramiento y Segmentación
Control de Usuarios Privilegiados
Monitoreo de la Actividad
Firewall de Base de Datos
Auditoría y Reporteo
Administración de Llaves
Descubrimiento
de Privilegios y Datos
Administración de la Configuración
Seguridad basada en Etiquetas
Respaldos Seguros

Licencias de los Controles de Seguridad
DETECTIVOS ADMINISTRATIVOS
PREVENTIVOS
Advanced Security
Masking and Subsetting
Database Vault
Audit Vault and Database Firewall
Key Vault
Enterprise Manager
Lifecycle Management
Label Security
Secure Backup

Encripción Transparente de Datos para Ambientes Productivos
Oracle Advanced Security
• Encripción Transparente de Datos
• Previene acceso a datos en reposo
• No requiere cambios en la aplicación
• Gestión de llaves de dos niveles
• Sobrecarga con hardware
“Cercana a Cero”
• Integración con tecnologías Oracle
– Ej. Exadata, Advanced Compression, ASM, GoldenGate,
DataPump, etc.

Redacción de Datos para Ambientes Productivos
Oracle Advanced Security
• Redacción de datos sensibles en tiempo
real basada en el contexto de la sesión de
la base de datos
• Librería de políticas de redacción y
definición de políticas apunta-y-clic
• Aplicación consistente, políticas aplicadas
a los datos
• Transparente para las aplicaciones,
usuarios, y actividades operacionales

Segmentación, Despersonalización y Enmascaramiento de Datos
para Ambientes no Productivos y Bases de Datos Heterogéneas
Oracle Data Masking and Subsetting
• Reemplaza datos sensibles de aplicación
• Integridad referecial
detectada/preservada
• Librería de plantillas y formatos
extensible
• Plantillas de aplicación disponibles
• Soporte a enmascaramiento de datos en
bases de datos no-Oracle
(My SQL, Sybase, Microsoft, IBM)

Control de Usuarios Privilegiados
Oracle Database Vault
• Limita el acceso del DBA a datos de
aplicación
• Reglas Multi-factor de comandos SQL
• Los reinos crean zonas de protección
• Aplicación del gobierno de datos
empresarial, privilegios mínimos,
segregación de funciones
• Políticas de aplicación incluidas

Seguridad en base al Etiquetamiento de Datos
Oracle Label Security
• Particionamiento virtual de la información
para ambientes de Nube, SaaS, y Hosteo
• Clasificación de usuarios y datos usando
etiquetas
• Etiquetas basadas en impulsores del
negocio
• Control de acceso automáticamente
aplicado a nivel de filas, transparente a
las aplicaciones
• Las etiquetas pueden ser factores en
otras políticas

Administración de Respaldos Seguros de la Base de Datos
hacia Cintas, NAS, la Nube de Amazon S3 y Exadata
Oracle Secure Backup
LAN
Almacenamiento
Librería de Cintas Librería Virtual de Cintas (VTL)
Servidor(es) de
Media
Clientes
UNIX / Linux / Windows
Conectividad
Directamente Adjutna
(SCSI o SAS)
NAS
Servidor de
Administración
Exadata
31

Monitoreo de la Actividad y Firewall de BD
Oracle Audit Vault and Database Firewall
• Monitoreo del tráfico de red, detección y
bloqueo de actividad no autorizada
• Análisis altamente preciso de la
gramática SQL
• Posibilidad de detectar/parar ataques de
inyección SQL
• Enfoque de listas blancas para ejecutar
la actividad
• Listas negras para controlar actividad de
alto riesgo
• Appliance de software seguro y escalable
Permitir
Registrar
Alertar
Substituir
Aplicaciones
Bloquear
Listas
Blancas
Listas
Negras
Análisis
SQL
Factores
de Políticas
Usuarios
32

Auditoría, Reporteo y Alertas en Tiempo Real
• Repositorio seguro centralizado
entregado como un appliance de
software seguro y escalable
• Alertamiento poderoso - umbrales,
agrupación-por
• Reportes incluidos y
personalizados
• Reporteo multi-fuente consolidado
• Segregación de funciones de
granularidad fina

Detección de Amenazas, Monitoreo de la Actividad y Auditoría

Administración centralizada de llaves,
Secrets, Oracle Wallets, Java Keystores, y más
Oracle Key Vault

Análisis de Roles y Privilegios
Oracle Database Vault
• Activación del modo de captura de
privilegios
• Reporteo sobre roles y privilegios
actualmente usados en la base de datos
• Ayuda a revocar privilegios no necesarios
• Aplicación del menor privilegio y
reducción del riesgo
• Incremento de la seguridad sin disrupción
Análisis de
Privilegios
Create…
Drop…
Modify…
DBA role
APPADMIN role

Descubrimiento de Bases de Datos y sus Datos Sensibles
Oracle Enterprise Manager
• Escaneo de Oracle en busca de datos
sensibles
• Definiciones de datos extensibles
incluidas
• Descubrimiento de modelos de datos de
aplicación
• Adecuada protección de datos sensibles:
encriptar, redactar, enmascarar, auditar…

Administración de la Configuración de Bases de Datos
Oracle Database Lifecycle Manager
• Descubrimiento y clasificación de bases
de datos
• Escaneo por mejores prácticas y
estándares
• Detección de cambios no autorizados
• Remediación automatizada
• Parcheo y aprovisionamiento
Descubrimiento
Escaneo y
Monitoreo
Parcheo

Diagrama Conceptual
***
Firewall de Base de Datos
Respaldos Seguros
Análisis de Privilegios
Controles de Usuarios Privilegiados
Bóveda de Llaves
Bóveda de Auditoría
Auditoría
y Eventos
Enmascaramiento
Encripción
Redacción
Etiquetamiento

Arquitectura de Seguridad
Users
Apps
Copyright © 2012, Oracle and/or its affiliates. All rights reserved.
Advanced Security
Data Redaction
Data MaskingAdvanced Security
TDE
Database Vault
Privilege Analysis
Database Vault
Privileged User Controls
OS &
Databases Storage Directories Custom
Database Firewall
Audit Data &
Event Logs
Alerts
Reports
Audit Vault
Policies
Events
40

Acciones a realizar
Encontrar los datos sensibles y quien tiene
acceso a ellos
Evitar el acceso no autorizado a los datos
Detectar comportamiento anómalo e
informarlo
1
2
3

Proteja los Datos más Sensibles

Proteja los Datos más Sensibles

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Semelhante a Proteja los Datos más Sensibles

Semelhante a Proteja los Datos más Sensibles (20)

Mais de Juan Carlos Carrillo

Mais de Juan Carlos Carrillo (20)

Último

Último (20)

Proteja los Datos más Sensibles

Notas do Editor