Comment minimiser les vulnérabilités de base de données pour éviter le piratage -

Les systèmes de base de données, tels que Microsoft SQL Server, MySQL et Oracle, se cachent derrière les coulisses, mais leur valeur et leurs vulnérabilités sont finalement à l'avant-plan. Oui, même le puissant Oracle dont on disait autrefois qu'il était impossible de le pirater est susceptible d'être exploité de la même manière que ses concurrents. Avec les nombreuses exigences réglementaires qui régissent la sécurité des bases de données, pratiquement aucune entreprise ne peut se cacher des risques qui s'y trouvent.

Outils pour détecter les risques de piratage de bases de données

Comme pour les systèmes sans fil, les systèmes d'exploitation, etc., vous avez besoin de bons outils pour trouver les problèmes de sécurité de la base de données. Voici quelques outils pour tester la sécurité de la base de données:

• Advanced SQL Password Recovery pour cracker les mots de passe Microsoft SQL Server

• Cain & Abel pour cracker les hashes

• QualysGuard pour effectuer des analyses de vulnérabilité approfondies

• SQLPing3 pour localiser Microsoft SQL Servers sur le réseau, en vérifiant la présence de mots de passe sa (le compte administrateur SQL Server par défaut) et effectuant des attaques par craquage de mots de passe de dictionnaire

Vous pouvez également utiliser des outils d'exploitation, tels que Metasploit, pour tester vos bases de données.

Rechercher des bases de données sur le réseau

La première étape dans la découverte des vulnérabilités de base de données consiste à déterminer leur emplacement sur votre réseau. Cela semble drôle, mais de nombreux administrateurs réseau ne sont même pas au courant de diverses bases de données en cours d'exécution dans leurs environnements. Cela est particulièrement vrai pour le logiciel de base de données gratuit SQL Server Express que n'importe qui peut télécharger et exécuter sur une station de travail ou un système de test.

L'utilisation de données sensibles dans les domaines non contrôlés du développement et de l'assurance qualité (AQ) est une faille de données qui risque de se produire.

Le meilleur outil pour découvrir les systèmes Microsoft SQL Server est SQLPing3.

SQLPing3 peut découvrir des instances de SQL Server cachées derrière des pare-feu personnels et bien d'autres - une fonctionnalité auparavant uniquement disponible dans l'application sœur SQLRecon de SQLPing2.

Si vous avez Oracle dans votre environnement, Pete Finnigan a une excellente liste d'outils de sécurité centrés sur Oracle sur www. petefinnigan. com / outils. htm qui peut effectuer des fonctions similaires à SQLPing3.

Crack de mots de passe de base de données

SQLPing3 sert également de programme de craquage de mots SQL Server basé sur un dictionnaire. Il vérifie les mots de passe SA vierges par défaut. Un autre outil gratuit pour cracker les hachages de mots de passe SQL Server, MySQL et Oracle est Cain & Abel.

Le produit commercial Elcomsoft Distributed Password Recovery peut également craquer les hachages de mot de passe Oracle.

Si vous avez accès au maître SQL Server. fichiers mdf, vous pouvez utiliser Advanced SQL Password Recovery d'Elcomsoft pour récupérer les mots de passe de base de données immédiatement.

Vous pourriez tomber sur certains fichiers de base de données Microsoft Access hérités protégés par mot de passe. Pas de soucis: l'outil Advanced Office Password Recovery peut vous aider.

Comme vous pouvez l'imaginer, ces outils de mot de passe sont un excellent moyen de démontrer les faiblesses les plus élémentaires de la sécurité de votre base de données. L'un des meilleurs moyens de prouver qu'il y a un problème est d'utiliser Microsoft SQL Server 2008 Management Studio Express pour vous connecter aux systèmes de bases de données pour lesquels vous avez maintenant les mots de passe et configurer des comptes de porte dérobée ou pour voir ce qui est disponible.

Dans pratiquement tous les systèmes SQL Server non protégés, il existe des informations personnelles sensibles sur les finances ou la santé.

Analyser les bases de données à la recherche de vulnérabilités

Comme pour les systèmes d'exploitation et les applications Web, certaines vulnérabilités propres à une base de données peuvent être supprimées uniquement en utilisant les bons outils. Vous pouvez utiliser QualysGuard pour trouver des problèmes tels que

• Buffer overflows

• escalades de privilèges

• hashes de mots de passe accessibles par défaut / non protégés

• méthodes d'authentification faibles activées

• fichiers journaux d'écouteurs de base de données pouvant être renommés sans authentification

Un excellent scanner de vulnérabilité de base de données commercial tout-en-un permettant d'effectuer des vérifications approfondies de bases de données - y compris des audits des droits utilisateur sur SQL Server, Oracle, etc. - est AppDetectivePro. AppDetectivePro peut être un bon ajout à votre arsenal d'outils de test de sécurité si vous pouvez justifier l'investissement.

De nombreuses vulnérabilités peuvent être testées à la fois du point de vue d'un outsider non authentifié et d'une perspective d'initié de confiance. Par exemple, vous pouvez utiliser le compte SYSTEM pour Oracle pour vous connecter, énumérer et analyser le système (ce que QualysGuard prend en charge).