|
Страница 1 из 11
В данной работе представлено несколько простых шагов по защите баз данных oracle 9i. Особое внимание уделяется последним изменениям, сделанным в oracle 9i, которые могут быть полезны для защиты систем баз данных oracle.
Ограничения объема статьи не позволяют представить полное руководство по защите систем Oracle, для этого нужно писать книгу. Поэтому мы рассматриваем конкретные угрозы, наиболее часто встречающиеся в Интернете (в таких узлах, как bugtraq), и угрозы, о которых сообщают в Oracle в службу secalert_us; кроме того, мы касаемся угроз на основании исследований, проводимых Security Assurance Group корпорации Oracle. Некоторые из рассматриваемых вопросов были в общих чертах изложены в докладе Hack Proofing Oracle” [HACK], представленном на OpenWorld 2000. Данная статья основана на этой работе. Половина сообщений, полученных secalert_us, связана с компонентами сетевого доступа; эти сообщения в основном отправляются хакерами и сообществом обеспечения безопасности сетей. Другая половина сообщений в основном связана с доступом к серверам или приложениям. Из сообщений, связанных с компонентами сетевого доступа, половина (25% от общего количества) посвящена листенеру баз данных. Листенер стал объектом атак сообщества хакеров (начинают появляться доступные для загрузки инструментальные средства для исследования защиты листенеров), поэтому в данной статье рассматриваются способы защиты листенеров, а также последствия атак на незащищенные листенеры. Помните: нужно своевременно вставлять заплаты!На следующей диаграмме показано распределение количества сообщений об ошибках, связанных с безопасностью, которые ежемесячно поступают в secalert_us (данные нормализованы с целью скрыть фактическое количество сообщений).
Рис. 1. Количество сообщений об ошибках, ежемесячно поступающих в secalert_us (данные нормализованы) Как видите, количество сообщений об ошибках возрастает более или менее линейно, поэтому нет никакой публикации, такой, как эта, которая могла бы отразить самые последние поступившие сообщения. Поэтому читателям настоятельно рекомендуется следить за последними оповещениями о проблемах безопасности и заплатах, сделанных Oracle и доступных в: https://otn.oracle.com/deploy/security – оповещения о проблемах безопасности; https://metalink.oracle.com – заплаты. Структура документа Оставшаяся часть статьи имеет следующую структуру: в разделе Безопасность листенера” описано, как нарушитель может найти и воспользоваться плохо сконфигурированными листенерами и в результате полностью скомпрометировать базу данных и сервер; в разделе Атаки баз данных” рассмотрены некоторые атаки баз данных и серверов; в разделе PLSExtProc” рассмотрены дополнительные атаки агента внешних процедур Oracle (который позволяет выполнять в сервере внешние процедуры); приложение A содержит тестовые скрипты для некоторых атак баз данных; приложение B содержит пошаговый контрольный список вопросов безопасности, который поможет защитить листенер и базу данных от атак, описанных в данной статье; приложение C содержит список дополнительной литературы и ссылок. |