V (Юбилейная) Конференция «Развитие информационной безопасности в Казахстане»

1. TRUSTWAVE DATABASE SECURITY
– 10 ШАГОВ К ЭФФЕКТИВНОЙ
ЗАЩИТЕ БАЗ ДАННЫХ
Эдгар Эбель, Area Manager CIS
eebel@Trustwave.com / +491638495433

2. ОБЫЧНЫЙ РАБОЧИЙ ДЕНЬ TRUSTWAVE
Проводим
+1 новое
судебное
расследование
Проводим
11 тестов на
проникновение
Получаем
+2 млрд
событий и
анализируем
их
Анализируем
+9,000 сетевых
атак
Выявляем
+10,000
вредоносных
веб-сайтов
Анализируем
+22,000 атак на
веб-приложения
Анализируем
+1 млн спам и
фишинг
сообшений
Сканируем
+1 млн единиц
оборудования
на наличие
уязвимостей
Обучаем
1 офицера
полиции в
области
киберпреступ-
ности
Обучаем
5 разработчиков
безопасному
написанию кода

3. ©2016 Trustwave Holdings, Inc.
ВЗЛОМ ДАННЫХ В ЦИФРАХ
Breach Level Index (a/o June 22, 2016) http://breachlevelindex.com
$158$4
Средняя стоимость
взлома
Стоимость взлоама
из расчета на одну
запись
Ponemon: 2016 Cost of a Data
Breach Study
76%
Число взломанных
организаций в
2015
CyberEdge: 2016
Cyberthreat Defense Report
Ponemon: 2016 Cost of a Data
Breach Study
Млн.

4. ПРОДОЛЖИТЕЛЬНОСТЬ ВЗЛОМА
Медиана длительности различных этапов
111
Дней
продолжи
тельности
взлома
86 7
Дней до
обнаруже
ния
взлома
Дней для
устранения
взлома

5. TRUSTWAVE
SPIDERLABS

6. ©2016 Trustwave Holdings, Inc.
TRUSTWAVE SPIDERLABS
Эксперты в области безопасности баз данных
Самая крупная в мире команда аналитиков защиты баз данных
• К нашему мнению прислушиваются и делятся им в виде различных постов и
публикаций
• Являемся автором базы знаний безопасности баз данных, фундамент
продуктового портфеля (AppDetectivePRO и DbProtect) по защите баз данных
Выявили больше уязвимостей, чем какая либо другая компания/команда
• Больше чем 100 Oracle уязвимостей с 2005
• Дюжины уязвимостей в SQL Server, DB2, Sybase, MySQL и Hadoop
• Выявили 80% всех уязвимостей, которые были устранены вендорами баз
данных за последние 4 года
Самая общирная база знаний угроз баз данных
• Сигнатуры атак и проверки для более чем 2,000 уязвимостей
• Ежемесячные ASAP апдейты базы знаний
• Встроенные политики соответсивия стандартам и лучших практик по
безопасности

7. ©2016 Trustwave Holdings, Inc.
5 ОСНОВНЫХ
ПРОБЛЕМ
БЕЗОПАСНОСТИ
БАЗ ДАННЫХ

8. ©2016 Trustwave Holdings, Inc.
5 ОСНОВНЫХ ПРОБЛЕМ
• Своевременная установка патчей
• Дефолтные учетки и слабые пароли
• SQL инъекции
• Черезмерные права пользователей (групп
пользователей)
• Ненужные функции

9. 10 ШАГОВ К
ЭФФЕКТИВНОЙ
ЗАЩИТЕ БАЗ
ДАННЫХ

10. ©2016 Trustwave Holdings, Inc.
10 ШАГОВ
1. Программа защиты баз данных с эффективными
процессами (Составление плана – ключ к успеху)
2. Учет баз данных (Вы должны знать где ваши
данные, чтобы их эффективно защищать)
3. Стандарты и нормативные требования (На что
равнятся)
4. Выявление уязвимостей и конфигурационных
ошибок (Мошенники не ищут сложных путей)
5. Кто имеет доступ к данным и какие у него
права/привелегии (У кого ключ от сейфа?)

11. ©2016 Trustwave Holdings, Inc.
10 ШАГОВ
6. Компенсирующие средства контроля (Если нет
пластыря под рукой)
7. Регулярная оценка привелегий учетных записей (В
мире нет ничего постоянного, кроме непостоянства)
8. Аудит действий привилегированных пользователей
в режиме реального времени (Доверяй, но
проверяй)
9. Мониторинг действий на основе правил
10. Выявление нарушений правил, уведомление и
реагирование в режиме реального времени

12. ПРОВЕРЕННАЯ МЕТОДОЛОГИЯ

13. ©2016 Trustwave Holdings, Inc.
ССЫЛКИ
SpiderLabs blog
https://www.trustwave.com/Resources/SpiderLabs-
Blog/
Trustwave Database Security
https://www.trustwave.com/Products/Database-
Security/
Download AppDetectivePRO trial version
https://www2.trustwave.com/appdetective-
evaluation.html

14. СПАСИБО ЗА ВНИМАНИЕ!
ВОПРОСЫ?