Sådan minimeres databasesvagheder, der undgår at få hackede dummier

Databasesystemer som Microsoft SQL Server, MySQL og Oracle har lurket bag kulisserne, men deres værdi og deres sårbarheder er endelig kommet til forkant. Ja, selv den mægtige Oracle, der engang hævdedes at være unhackable, er modtagelig for lignende udnyttelser som dens konkurrence. Med de mange lovmæssige krav til databasesikkerhed kan næsten ingen forretning skjule sig fra de risici, der ligger inden for.

Værktøjer til at registrere databasekrævningsrisici

Som med trådløse operativsystemer og så videre har du brug for gode værktøjer, hvis du skal finde de databasesikkerhedsproblemer, der tæller. Følgende er nogle værktøjer til afprøvning af databasesikkerhed:

• Avanceret SQL Password Recovery til krakning af Microsoft SQL Server-adgangskoder

• Cain & Abel for cracking database password hashes

• QualysGuard for at udføre dybdefulde sårbarhedsscanninger

• SQLPing3 til at finde Microsoft SQL-servere på netværket, kontrollere tomt (standard SQL Server system administratorkonto) adgangskoder, og udføre ordbogens adgangskodekrakning angreb

Du kan også bruge udnyttelsesværktøjer, som Metasploit, til din database test.

Find databaser på netværket

Det første skridt i at opdage database sårbarheder er at finde ud af, hvor de er placeret på dit netværk. Det lyder sjovt, men mange netværksadministratorer er ikke engang klar over forskellige databaser, der kører i deres omgivelser. Dette gælder især for den gratis SQL Server Express-database software, som alle kan downloade og køre på en arbejdsstation eller et testsystem.

Ved brug af følsomme data i de ukontrollerede områder med udvikling og kvalitetssikring (QA) er der et databrud, der venter på at ske.

Det bedste værktøj til at opdage Microsoft SQL Server-systemer er SQLPing3.

SQLPing3 kan opdage forekomster af SQL Server gemt bag personlige firewalls og mere - en funktion der tidligere kun var tilgængelig i SQLPing2s søstersøgning SQLRecon.

Hvis du har Oracle i dit miljø, har Pete Finnigan en fantastisk liste over Oracle-centreret sikkerhedsværktøjer på www. petefinnigan. dk / værktøjer. htm, der kan udføre funktioner svarende til SQLPing3.

Crack database passwords

SQLPing3 fungerer også som et godt ordbogbaseret SQL Server password-cracking program. Den kontrollerer automatisk tomme adgangskoder som standard. Et andet gratis værktøj til at knække SQL Server, MySQL og Oracle adgangskode hashes er Cain & Abel.

Det kommercielle produkt Elcomsoft Distributed Password Recovery kan også ødelægge Oracle-adgangskode hashes.

Hvis du har adgang til SQL Server-masteren. mdf filer, kan du bruge Elcomsoft's Advanced SQL Password Recovery til at genoprette databaseadgangskoder med det samme.

Du kan måske snuble over nogle tidligere Microsoft Access-databasefiler, der også er beskyttet med adgangskode. Ingen bekymringer: Værktøjet Advanced Office Password Recovery kan få dig lige ind.

Som du kan forestille dig, er disse værktøjer til adgangskrævende værktøj en fantastisk måde at demonstrere de mest grundlæggende svagheder i din databasesikkerhed. En af de bedste måder at gøre ved at bevise, at der er et problem, er at bruge Microsoft SQL Server 2008 Management Studio Express til at oprette forbindelse til de databasesystemer, som du nu har adgangskoder til og konfigurere backdoor-konti eller gennemse for at se, hvad der er tilgængeligt.

I næsten alle ubeskyttede SQL Server-systemer er der følsomme personlige økonomiske eller sundhedsmæssige oplysninger tilgængelige for at tage.

Scan databaser for sårbarheder

Som med operativsystemer og webapplikationer kan nogle databasespecifikke sårbarheder kun udrotes ved at bruge de rigtige værktøjer. Du kan bruge QualysGuard til at finde sådanne problemer som

• Bufferoverløb

• Privilege eskaleringer

• Adgangskodehak er tilgængelige via standard / ubeskyttede konti

• Aktive godkendelsesmetoder aktiveret

• Databaselytterlogfiler, der kan omdøbes uden godkendelse

En stor all-in-one-sårbarhedsscanner til kommerciel database til at udføre dybtgående databasekontroller - herunder brugerrettighedsrevisioner på SQL Server, Oracle og så videre - er AppDetectivePro. AppDetectivePro kan være et godt supplement til dit sikkerhedsprøvningsværktøj arsenal, hvis du kan retfærdiggøre investeringen.

Mange sårbarheder kan testes fra både et uautoriseret outsiderperspektiv og et pålideligt insiderperspektiv. Du kan f.eks. Bruge SYSTEM-kontoen til Oracle til at logge ind, opregne og scanne systemet (noget som QualysGuard understøtter).