Oracle Audit Vault y Database Firewall pueden consolidar los datos de auditoría de miles de bases de datos y controlar el tráfico de SQL al mismo tiempo, buscando, alertando y pre de SQLstatements no autorizados o fuera de la política.
Oracle Audit Vault y Database Firewall soporta la base de datos Oracle, Microsoft SQL Server, IBM DB2 para LUW, SAP Sybase ASE, bases de datos Oracle MySQL y Oracle Big Data Appliance.
Oracle Audit Vault.
Oracle Audit Vault proporciona un seguimiento exhaustivo y flexible a través de la consolidación de los datos de auditoria.
El Audit Vault es el repositorio central, altamente escalable y segura que almacena los datos de auditoria consolidados, así como los registros de eventos generados por el servidor de seguridad de base de datos.
En el AV se tienen los colectores que pueden ser (REDO, DBAUD y OSAUD) y los agentes de los colectores para gestionarlos.
Para añadir un Colector
Existen dos tipos de usuarios en el AV:
- El administrador que es el encargado de configurar y gestionar la instalación de OAV.
- El auditor que genera reportes, gestiona las opciones de auditora y alertas.
Beneficios:
El Audit Vault es la plataforma central para la presentación de informes, alertas y gestión de políticas.
- Primera línea de defensa: forma transparente detectar y bloquear los ataques de inyección SQL, escalada de privilegios y otras amenazas contra Oracle, Microsoft SQL Server, IBM DB2, SAP Sybase y bases de datos MySQL
- Respuesta más rápida: Detectar automáticamente las actividades de base de datos no autorizadas que violan las políticas de seguridad, y frustrar los perpetradores de cubrir sus pistas
- Informes de cumplimiento simplificado: analizar fácilmente los datos de auditoría y de eventos y tomar medidas en el momento oportuno con los informes de cumplimiento fuera de la caja
El Audit Vault es la plataforma central para la presentación de informes, alertas y gestión de políticas.
La información tal como el tipo de evento (crear tabla, eliminar la tabla, crear procedimiento, truncate table, seleccionar, insertar, actualizar, eliminar) junto con el contexto del evento, como la dirección IPr, hora del evento, y la declaración SQL, son algunos ejemplos de la información de auditoria que normalmente se necesita en el cumplimiento y los informes forenses.
OS Event Logs.
Reporte de la actividad.
Acceso de datos.
Reporte de las sesiones del usuario.
Alertas.
Database Firewall.
Puede actuar como una primera línea de defensa en la red, la aplicación de comportamiento de la aplicación prevista, lo que ayuda a evitar la inyección SQL, bypass aplicación, y otras actividades maliciosas de llegar a la base de datos.
Monitoreo.
El monitoreo incluye el examen de las declaraciones SQL que generan los datos de auditoría. Debido a la vigilancia del tráfico SQL se realiza fuera de la base de datos, el servidor de seguridad de base de datos puede decidir si un evento se debe permitir, modificar, bloquear, o alertar.
Monitoreo Activo.
Intercepta de forma transparente el tráfico SQL, es como un firewall a nivel de aplicación, se analiza la seguridad de la carga útil de SQL en paquetes TCP antes de enviarlo a la base de datos.
Existen tres tipos de listas de cumplimiento de políticas.
La política de lista blanca aplica la seguridad mediante un conjunto de sentencias SQL aprobadas junto con las condiciones bajo las cuales fueron ejecutadas incluyendo el nombre de usuario, la dirección IP, la hora del día, y el nombre del programa.
Database Firewall compara el tráfico SQL con la lista blanca aprobado y luego en base a la política, se opta por alertar, sustituir o bloquear la sentencia SQL.
La lista blanca se aprende con el tiempo mediante el control de tráfico de base de datos. El período de seguimiento necesario para establecer la lista blanca variará en función del ciclo de aplicación y de negocios.
Lista Negra de Cumplimiento de Políticas.
Bloquea sentencias SQL específicas. Al igual que con las políticas de la lista blanca, la política de la lista negra pueden evaluar varios factores, tales como nombre de usuario, dirección IP, la hora del día y el programa, antes de tomar la decisión.
Excepción Lista de Cumplimiento de Políticas.
Invalidan a las políticas de la lista blanca y lista negra al permitir políticas de derivación personalizada que se creen para actividades específicas.
Por ejemplo, podrían ser utilizados para permitir a un administrador remoto específico procedente de una dirección IP predeterminada para diagnosticar un problema particular, el rendimiento de aplicaciones sin estar sujeta a la lista blanca o la lista negra.
Monitoreo Pasivo.
Observa el tráfico de base de datos y analiza las interacciones de SQL. La información del Firewall se registra en el Audit Vault, permitiendo informes para abarcar la información observada en la red junto con la información de auditoría de la base de datos, sistemas operativos, y directorios.
VIDEO TUTORIAL.
OAV Primera Parte.
OAV Segunda Parte.
OAV Tercera Parte.
OAV Cuarta Parte.
Bibliografía:
- http://www.oracle.com/us/products/database/security/audit-vault-database-firewall/overview/index.html
- http://www.oracle.com/technetwork/database/database-technologies/audit-vault-and-database-firewall/overview/overview-1877404.html
- http://docs.oracle.com/cd/E37100_01/index.htm
- http://www.oracle.com/us/products/database/security/ds-security-audit-vault-firewall-1883353.pdf
- http://www2.udla.edu.ec/udlapresencial/pluginfile.php/118312/mod_resource/content/1/owp-audit-vault-firewall-1958266.pdf
