Anzeige
Anzeige
Beitrag drucken

Schutz vor Fremdzugriff

Datenbanksysteme vor Cyber-Angriffen sichern

Vom Computerhändler über den Spiele-Hersteller hin zum Shopping-Portal: Unternehmen werden immer wieder Opfer von Cyber-Angriffen. Auch Produktionsbetriebe sind in der Pflicht, ihre Infrastruktur gegen Datendiebstähle und Angriffe abzusichern. Eine wichtige Rolle spielt dabei die Sicherheit der Datenbanken.

Bild: Fotolia / zimmytws

Computer-Kriminalität stellt ein Phänomen dar, dass Unternehmen aller Branchen und besonders bekannte Unternehmen betreffen kann. Gerade in mittelständischen Produktionsbetrieben ist das Gefahrenpotenzial in vielen Fällen hoch: Unzureichend gesicherte IT-Infrastrukturen sind nicht selten, und Sicherheitslücken bieten Einfallstore für Cyber-Angriffe. So können Unbefugte oft mit wenig Aufwand Zugang zu hochsensiblen Kundendatenbanken und Betriebsgeheimnissen erlangen. Gleichzeitig müssen viele Unternehmen ihren Kunden strengen Datenschutz vertraglich zusichern. Umfassende Schwachstellenanalysen sind also dringend gefordert, um die größten Bedrohungen für die jeweilige Organisation ausfindig zu machen. Zudem fordern verschiedene nationale und internationale Compliance-Richtlinien wie das Bundesdatenschutzgesetz oder der Sarbanes-Oxley Act von Betrieben Kontrolle über Daten und Schutz vor Sicherheitsverletzungen. Diesen Schutz müssen Unternehmen intern prüfen und überwachen. Bei der Umsetzung von Datenschutzmaßnahmen ist daher wichtig, neben dem technischen Know-how auch das relevante Compliance-Wissen des Inhouse-Personals oder eines beauftragten Dienstleisters zu prüfen.

SQL-Injections vermeiden

Ein Angriffsziel in Produktionsbetrieben stellen die in der Industrie weit verbreiteten Oracle-Datenbanken dar. Um diese abzusichern gilt es zunächst, typische Schlupflöcher zu schließen. Eine Maßnahme umfasst hierbei das ‚Härten‘ von Anwendungen und der gesamten Datenbankumgebung. Zum Schutz der eigentlichen Datenbank können Unternehmen die vom Datenbank-Anbieter speziell entwickelte Datenbankfirewall installieren. Das Härten dient zum Beispiel dem Schutz vor SQL-Injections-Angriffen. Unternehmen erleichtern solche Angriffe, wenn beispielsweise eine Anwendung Benutzereingaben oder sonstige ungeschützte Informationen als Eingabeparameter in Web-Applikationen ungeprüft verwendet. Ohne vorbeugende Maßnahmen könnten Angreifer dann SQL-Befehle verändern oder durch eigene Befehle ersetzen, um Zugriff auf die Datenbank zu erhalten und dort Informationen auszupähen oder Daten zu manipulieren.

Zugriffsrechte beschränken

Auch auf eine zielgerichtete Rechtevergabe für den Systemzugriff und die entsprechende Trennung bestimmter, sensibler Informationen aus verschiedenen Bereichen sollten Unternehmen achten. Denn eine mangelhafte Rechtevergabe für den Informationsabruf durch Mitarbeiter bietet eine weitere Angriffsfläche für unbefugte Zugriffe. Betriebe sollten bestehende Vorgaben daher entsprechend prüfen und deren Einhaltung über die Datenbanksoftware sicherstellen. Die Rechte sind hier auf Datensatzebene zu vergeben: Der Administrator kann individuell den Datenzugriff steuern. Für die Zugriffskontrolle ist die Oracle Virtual Private Database (VPD) besonders wichtig. Mit dieser Sicherheitskomponente, die ein Bestandteil der Datenbank Enterprise Edition des Software-Herstellers ist, lässt sich ein feingranulares Zugriffskonzept implementieren. Das Produkt Database Vault des Datenbank-Anbieters geht noch einen Schritt weiter. Die Lösung steuert auch die Zugriffe der Administratoren auf die Daten. Dies gestattet eine Aufspaltung von Daten und Administration, so dass nicht jeder Techniker oder Entwickler den Inhalt einer betreuten Datanbank einsehen kann. Darüber hinaus bietet das Programm Protokollmechanismen, welche die Verletzung von Zugriffsberechtigungenaufzeichnen und diese Daten für Auswertung oder Alarmierung bereitstellen.

Daten gezielt verschlüsseln

Angesichts der steigenden Häufigkeit und Schwere von Datendiebstählen genügt es allerdings nicht, ausschließlich mögliche Sicherheitslücken in der Infrastruktur zu schließen und Firewalls einzurichten. Werden zum Beispiel physische Medien wie Laufwerke oder Sicherungsbänder gestohlen, lässt sich die Datenbank durch Kriminelle vergleichweise einfach auch außerhalb des Unternehmens wiederherstellen. Daher empfiehlt sich zuätzlich zu anderen Maßnahmen eine sichere Verschlüsselung der Daten. Oracle-Datenbanken ermöglichen beispielsweise zusätzlich zur Verschlüsselung von Backups und Datenkommunikation auch die automatisierte Verschlüsselung und Entschlüsselung der Informationen innerhalb der Datenbank. Dieser Prozess lässt sich in die Infrastruktur integrieren. Allerdings führt hier eine sehr hohe Sicherheit eventuell zu Performanceeinbußen von Datenbankanwendungen. Daher bietet es sich an, die Datenverschlüsselung innerhalb der Datenbank nicht pauschal anzuwenden, sondern auf sensible Daten zu reduzieren.

Audit-Konzepte etablieren

Ein wichtiger Compliance-Bestandteil von Sarbanes-Oxley besteht in der regelmäßigen Prüfung der Datenbankinstallation. Die Vorschrift fordert die Prüfung von Passwortschutz, nicht verwendeten Datenbankbenutzern, unverschlüsselten Datenbankzugriffen, Patch-Stand der Datenbank sowie der Betriebssystemkomponenten. Weitere Prüfungen umfassen etwa ein universelles Tracking, wodurch Zugriffe auf individuelle User zugeordnet werden können. Dabei lassen sich Details der jeweiligen Transaktionen erkennen ~ beispielsweise Quellapplikation, Abfragetext, Antwortattribute, Betriebssystem und Hostnamen. Die Prüfung selbst schützt die eigentliche Datenbankumgebung jedoch nicht, sondern gestattet Unternehmen, mögliche Angriffe und Verletzungen zu erkennen sowie gegebenenfalls Angreifer zu identifizieren. Sehr ernst nehmen sollten Datenbank-Administratoren das regelmäßige Einspielen der vierteljährlich bereitgestellten Patches des Datenbank-Herstellers. So wurde in letzter Zeit beispielsweise Sicherheitslücken behoben, die Angreifer für einen Zugriff aus der Ferne ohne Authentifizierung ausnutzen konnten. Weitere Datenlecks wurden unter anderem in angeschlossenen Middleware-Produkten gefunden.

In Prävention investieren

Zusätzlich zu diesen häufigen Bedrohungen von Oracle-Datenbanken bestehen weitere Lücken und Schlupflöcher für Angreifer abhängig von der eingesetzten Infrastruktur und Einstellungen. Schutz für eine spezifische IT-Umgebung bietet daher vor allem ein individuelles Full-Service-Sicherheitskonzept auf Basis einer Sicherheitsbedarfs-Analyse. Die Erfahrung hat gezeigt, dass sich vorbeugende Maßnahmen zur Datensicherheit lohnen, denn die Investition in die Prävention liegt oftmals weit unter den Kosten einer im Ernstfall nötigen Schadensbegrenzung.


Das könnte Sie auch interessieren:

PerfectPattern hat die kostenlose Basisversion von Insights App vorgestellt. Mit der Software können Prozessingenieure, Produktionsexperten und Datenwissenschaftler die von PerfectPattern entwickelte KI-Technologie Aivis nutzen, um Einblicke in Produktionsprozesse zu erhalten.‣ weiterlesen

Die Buss-Unternehmensgruppe ist in vielen unterschiedlichen Geschäftsfeldern tätig. Eine Herausforderung, stand doch ein Wechsel des ERP-Systems ins Haus - mit mehr als 80 Unternehmen innerhalb der Gruppe. Gemeinsam mit dem IT-Dienstleister Sven Mahn IT gelang es, das Projekt innerhalb von 14 Wochen umzusetzen.‣ weiterlesen

Werden neue Technologien wie beispielsweise künstliche Intelligenz Teil des Arbeistalltages wünscht sich ein Großteil der unter 31-Jährigen, darüber informiert zu werden. Dies geht aus einer Studie des IT-Security-Anbieters Kaspersky hervor. Auch ein menschliches Antlitz könnte laut Studie für mehr Akzeptanz sorgen.‣ weiterlesen

Schlechtere Stimmung als noch im Juni. Geschäftsklima-Index des Ifo Instituts hat in der aktuellen Erhebung im Vergleich zum Vormonat nachgegeben.‣ weiterlesen

Die Sprints zu Covid19-Impfstoffen zeigen den Leistungsdruck, unter dem die Technologieentwicklung steht. In kürzester Zeit sollen Forscher und Ingenieure Lösungen für die kritischen Probleme unserer Zeit finden. Der Accelerated-Discovery-Ansatz soll helfen, Forschungs- und Entwicklungsprozesse mit KI, Hybrid Cloud und schließlich Quantencomputern um das zehn- bis hundertfache des heute Möglichen zu beschleunigen.‣ weiterlesen

Trebing + Himstedt hat die Partnerschaft mit Celonis bekanntgegeben. Die Unternehmen wollen zukünftig beim Thema Process Mining zusammenarbeiten.‣ weiterlesen

Im Rahmen einer Partnerschaft wollen Crate.io und Zühlke zukünftig gemeinsam an Smart Factory- und Industrie 4.0-Lösungen arbeiten.‣ weiterlesen

Die Dualis GmbH IT Solution hat für Lean-Manufacturing-Aufgabenstellungen ein Add-on zur 3D-Simulationsplattform Visual Components entwickelt. Basierend auf Process Modelling können damit automatisch branchengängige Standardized Work Sheets generiert werden.‣ weiterlesen

Um verschiedene Daten aufzubereiten und den Mitarbeitern nutzenbringend bereitzustellen, ist nicht immer ein großes IT-Projekt nötig. Wer schnell Daten für die Beschäftigten visualisieren möchte, sollte sich einmal näher mit Dashboards befassen.‣ weiterlesen

Die Simulation am digitalen Zwilling macht die Inbetriebnahme von Anlagen und Maschinen mit automatisierten Bewegungen sicherer. Fehler fallen früher auf und können behoben werden, bevor die Anlage aufgebaut ist. So lassen sich Schäden und Verzögerungen vermeiden. Auch als Schulungstool für Bediener und Programmierer ist die digitale Maschine hilfreich.‣ weiterlesen

ISPE, APV, Concept Heidelberg und die VDI/VDE Gesellschaft Mess- und Automatisierungstechnik richten am 30. November bis zum 1. Dezember 2021 im Dorint Kongresshotel in Mannheim die 14. Offizielle GAMP 5 Konferenz aus.‣ weiterlesen

Anzeige
Anzeige
Anzeige
Anzeige
Anzeige
Anzeige