Descargado 24 veces
Subido porHaydee Lo
Auditoria bd
La auditoría de bases de datos permite medir, asegurar, demostrar, monitorear y registrar los accesos a la información almacenada en las bases de datos. Esto incluye registrar quién accede a los datos, cuándo, desde dónde y qué acciones se realizan. El objetivo principal es demostrar la integridad de los datos, mitigar riesgos como pérdidas y fugas de información, y conocer exactamente qué cambios se hicieron a la base de datos.
Auditoria bd
- 3. Es el procesoque permite medir, asegurar, demostrar, monitorear y registrar los accesos a la información almacenada en las bases de datos incluyendo la capacidad de determinar: • Quién accede a los datos • Cuándo se accedió a los datos • Desde qué tipo de dispositivo/aplicación • Desde que ubicación en la Red • Cuál fue la sentencia SQL ejecutada • Cuál fue el efecto del acceso a la base de datos
- 4. 4 • Investigaractividades dudosas sobre la BD. • Recopilar información acerca de actividades específicas de la BD • Recopilar estadísticas sobre qué tablas actualizadas, E/S lógicas, cantidad de usuarios conectados concurrentemente. • Recopilar inverosimilitudes en los datos (detección de errores). • Recopilar los errores por pérdida de información. • Mitigar los riesgos asociados con el manejo inadecuado de los datos. • Evitar acciones criminales.
- 5. 5 • Recopilarlos errores por pérdida de información. • Mitigar los riesgos asociados con el manejo inadecuado de los datos. • Evitar acciones criminales.
- 6. Monitorear y mantenerun registro del uso de los datos por los usuarios autorizados y no autorizados. Conservar trazas de uso y del acceso a las bases de datos. Permitir investigaciones Alertas en tiempo real
- 7. • Toda lainformación de la organización reside en bases de datos y deben existir controles relacionados con el acceso a las mismas. • Se debe poder demostrar la integridad de la información almacenada en las bases de datos. • Las organizaciones deben mitigar los riesgos asociados a la pérdida de datos y a la fuga de información. • La información confidencial esresponsabilidad de las organizaciones. • Los datos convertidos en información a través de bases de datos y procesos de negocios representan el negocio. • Las organizaciones deben tomar medidas mucho más allá de asegurar sus datos. • Deben monitorearse perfectamente a fin de conocer quién o qué les hizo exactamente qué, cuándo y cómo. 7
- 8. • Problemas porseguridad en instalaciones y el acceso físico • Riesgo relacionado a los accesos lógicos y privacidad de las bases de datos • Definición de estructuras físicas y lógicas de las bases de datos • Control de carga y mantenimiento de las bases de datos • Integridad de los datos y protección de accesos • Estándares para análisis y programación en el uso de bases de datos • Procedimientos de respaldo y de recuperación de datos 8
- 9. • Monitorear ymantener un registro del uso de los datos por los usuarios autorizados y no autorizados. • Conservar trazas de uso y del acceso a las bases de datos. • Permitir investigaciones • Alertas en tiempo real 9
- 10. • Saber todoacerca del negocio y de los sistemas implementados, datos de la empresa, objetivo social, políticas e normas implementadas. Sin olvidar toda la información que corresponda al sistema de Bases de datos. • Identificación de todas las BD de la organización. • Clasificar los nivele de riesgo de los datos de las BD. • Analizar los permisos de acceso de los usuarios. • Analizar los controles de acceso existentes. • Establecer los modelos de auditoría a utilizar. • Establecer las pruebas a realizar para cada BD, aplicación y/o usuario. 10
- 11. • En todaempresa que conste con un Sistema de Base de Datos con información sumamente importante para su desarrollo y datos confidenciales de usuarios externos. Ejemplos: • Bancos, Supermercados, Colegios y Universidades. 11
- 12. Metodología Tradicional Eneste tipo de metodología el auditor revisa el entorno con la ayuda de una lista de control (checklist), que consta de una serie de puntos a verificar. Por ejemplo: 12 SI NO N/A 1. ¿Existe una metodología de Diseño de Base de Datos? 2. ¿Existen logs que permitan tener pistas sobre las acciones realizadas sobre los objetos de las bases de datos? 3. Se han configurados los logs para almacenar la información relevante? . . . . NOTA: Debiendo registrar el auditor el resultado de su investigación
- 13. Metodología de Evaluaciónde Riesgos Este tipo de metodología, conocida también por Risk Oriented Approach(*) (Enfoque Orientada a Riesgo) es la que propone la ISACA y fija los objetivos de control que minimizan los riesgos potenciales a los que está sometido el entorno. • Considerando los riesgos de: • Dependencia por la concentración de Datos • Accesos no restringidos en la figura del DBA • Incompatibilidades entre el sistema de seguridad de accesos del SGBD y el general de instalación • Impactos de los errores en Datos y programas • Rupturas de enlaces o cadenas por fallos del software • Impactos por accesos no autorizados • Dependencias de las personas con alto conocimiento técnico 13
- 14. Pruebas de cumplimiento • Listar los privilegios y perfiles existentes. • Si se detectan inconsistencias en los controles, o si los controles no existen, se diseña otro tipo de prueba que permiten dimensionar el impacto de estas deficiencias. • Pruebas sustantivas. • Comprobar si la información presenta alteraciones, comparándola con otra fuente, revisando los documentos de entrada de datos y las transacciones que se han ejecutado. 14
- 15. • Cuando elauditor se encuentra con el sistema en Producción tendrá que estudiar el SGBD y su entorno; como Control, Integridad y Seguridad de los Datos compartidos entre usuarios. • La complejidad del entorno de las Bases de Datos hacen que no se pueda limitar solo al SGBD. case Repositorio FACILIDADES DEL USUARIO ENTORNO DE BASE DE DATOS DICCIONARIO DE DATOS L4G INDEP. PAQUETES SEGURIDAD CONFIDEN. PRIVACIDAD AUDITORIA L4G SEGURIDAD RECUPER. CATALOGO NUCLEO SOFTWARE AUDITORIA SISTEMA MONITOR/ AJUSTE MONITOR TRANSAC. APLICACIONES SO MINERIA DE DATOS PROTOCOLOS Y SIST. DISTRIBUIDOS 15 09-12-2014 AUDITOR INFORMATICO SGBD UTILIDADES DEL DBA
- 16. COMPONENTES DEL CONTROLINTERNO
- 17. Usuario :BLOPEZ pc_002 IP : 192.168.1.5 Aplicaciones Sentencias : • SELECT • INSERT • DELETE • UPDATE • Registro de logs • Registro de estación de trabajo • Registro de la IP • Registro del usuario • Registro fecha y hora Base de datos
- 18. • La grandifusión de los Sistemas de Gestión de Bases de datos (SGBD) junto con la relación de los datos como uno de los recursos fundamentales de las empresas, ha hecho que los temas relacionados a su control interno y auditoria cobren cada día mayor interés • Demostrar la integridad de la información, mitigar los riesgos asociados, asegurar la confidencial de la información, garantizar la seguridad de los datos y conocer quién o qué les hizo exactamente qué, cuándo y cómo a los datos, conforman la idea principal de la Auditoria. • Estudiar el SGBD y su entorno es primordial al implementar un ambiente de auditoria de BD • Oracle Audit Vault y SQL Server Audit son algunos de los productos que nos ofrecen el mercado para los auditores de BD 18
Notas del editor
- #8 La importancia de la auditoría del entorno de bases de datos radica en que es el punto de partida para poder realizar la auditoría de las aplicaciones que utiliza esta tecnología.
- #9 La importancia de la auditoría del entorno de bases de datos radica en que es el punto de partida para poder realizar la auditoría de las aplicaciones que utiliza esta tecnología.
- #10 La importancia de la auditoría del entorno de bases de datos radica en que es el punto de partida para poder realizar la auditoría de las aplicaciones que utiliza esta tecnología.
- #11 La importancia de la auditoría del entorno de bases de datos radica en que es el punto de partida para poder realizar la auditoría de las aplicaciones que utiliza esta tecnología.
- #12 La importancia de la auditoría del entorno de bases de datos radica en que es el punto de partida para poder realizar la auditoría de las aplicaciones que utiliza esta tecnología.
- #13 Aunque existen distintas metodologías que se aplican en auditoria informática (prácticamente cada firma de auditores y cada empresa desarrolla la suya propia), se pueden agrupar en dos clases:
- #14 Aunque existen distintas metodologías que se aplican en auditoria informática (prácticamente cada firma de auditores y cada empresa desarrolla la suya propia), se pueden agrupar en dos clases: Existen básicamente 2 metodologías las cuales están basadas en la minimización de los riesgos, que se conseguirá en función de que existan los controles y de que éstos funcionen. En consecuencia el auditor deberá revisar estos controles y su funcionamiento.
- #15 La importancia de la auditoría del entorno de bases de datos radica en que es el punto de partida para poder realizar la auditoría de las aplicaciones que utiliza esta tecnología.
- #16 Aunque existen distintas metodologías que se aplican en auditoria informática (prácticamente cada firma de auditores y cada empresa desarrolla la suya propia), se pueden agrupar en dos clases: Existen básicamente 2 metodologías las cuales están basadas en la minimización de los riesgos, que se conseguirá en función de que existan los controles y de que éstos funcionen. En consecuencia el auditor deberá revisar estos controles y su funcionamiento.
- #18 Fusión entre Audit Vault y Oracle Database Firewall ? No, más que una integración es un nuevo producto!!! Tal y como lo habíamos mencionado en la segunda semana del mes de diciembre, Oracle hizo una reorganización de productos, reuniendo en uno sólo el Audit Vault Server y el Oracle Database Firewall; dos productos con múltiples características sobresalientes, pero que por distintas razones, entre ellas tal vez la misma importante, el "COSTO", no habían obtenido el protagonismo que se merecen. Desde este 18 de diciembre, ambos productos aparecen como uno sólo en la lista de precios de Oracle. La gran novedad, es que por primera vez, en más de 20 años de conocer y estar metido con tecnología Oracle, el nuevo producto, cuesta un poco más del5% del costo original de ambos productos. Si, así como usted lo escucha. Hasta el 03 de diciembre, figuraba en la lista de precios, el Audit Vault Server y el Database Firewall Management Server, ambos con un valor de $57.500 por procesador, con métrica de licenciamiento "Enterprise", o sea, tomando en cuenta los core´s asociados al procesador en sí, para determinar la cantidad de licencias requeridas. Para la nueva lista de precios, el "Audit Vault and Database Firewall", figura en la lista de precios en lugar de Audit Vault Server, Audit Vault Collection Agent, Database Firewall Management Server y Database Firewall, a un precio de $6.000,00 USApor procesador, con las mismas restricciones anteriores para la determinación de la cantidad de licencias. El nuevo producto, establece 3 grandes áreas de acción: Database Activity Monitoring and Firewall, componente para darle seguimiento al tráfico de SQL de todas las versiones de base de datos Oracle y de fabricantes terceros, como SQL Server, SyBASE SAP, IBM DB2 y MySQL, logrando a través de un enfoque único realizar el análisis gramatical de los SQLs, permitiendo agrupar en "CLUSTER" millones de instrucciones, para permitir escalabilidad y exactitud en el análisis de las sentencias, facilitando la creación de listas blancas, negras y excepciones, para detectar actividades no autorizadas en la base de datos, incluyendo ataques de inyección de código. Auditoría Ampliada Empresarial: Capacidades para recoger, consolidar y administrar la auditoría nativa y de registro de sucesos en la base de datos Oracle y de terceros como Microsoft Windows, Microsoft Active Directory, Oracle Solaris Cluster y ASM Cluster File System, así como soporte para XML o a tablas de recolección de auditoría basada en plugins de XML. Consolidación de informes y alertas: El nuevo producto, utiliza un repositorio unificado y centralizado, para todos los registros de auditoría y eventos, que permite analizar en tiempo real contra las políticas predefinidas. Cuenta con un conjunto de informes integrados, que le permite satisfacer los requisitos de cumplimiento y poderosas capacidades de alerta, incluyendo multi-eventos y administración de umbrales de las mismas. Tal vez es importante resaltar como lo afirma Vipin Samar, Vicepresidente de Database Security Product Development en Oracle, que esté, "es más que una integración de dos productos existentes, un nuevo producto que provee una unificación de la plataforma de auditoría y monitoreo, para ambientes de base de datos. Los clientes ya no tendrán que elegir entre seguridad y cumplimiento, ahora pueden tener un producto que les permite obtener a la vez de una forma más simple ambas características a un precio inferior."
- #19 Aunque existen distintas metodologías que se aplican en auditoria informática (prácticamente cada firma de auditores y cada empresa desarrolla la suya propia), se pueden agrupar en dos clases: Existen básicamente 2 metodologías las cuales están basadas en la minimización de los riesgos, que se conseguirá en función de que existan los controles y de que éstos funcionen. En consecuencia el auditor deberá revisar estos controles y su funcionamiento.