Anbieter und Nutzer in der Pflicht
Wie Unternehmen Cloud-Datenbanken absichern können
Der Cloud-Komfort verleitet manche Unternehmen dazu, es sich einfach zu machen. Best-Practice-Beispiele verhindern, dass die Cybersicherheit Schaden nimmt.
- Was das Shared-Responsibility-Prinzip bedeutet
- Warum sich die Nutzung von Datenbank-Proxy und Firewall lohnt
- Wie sich Verschlüsselung auf drei Ebenen realisieren lässt
- Wie sich Benutzer mittels MFA verwalten lassen
- Verschlüsselte Back-ups anfertigen und prüfen
Cloud-Datenbanken gehören zu den beliebtesten Angeboten von Datenbankanbietern. Vor allem die Hyperscaler haben funktionsreiche und oft kosteneffiziente Angebote. So sind zumindest aus technischer Sicht lokale Datenbanken fast nicht mehr notwendig. Doch wie bei vielen anderen Cloud-Angeboten gibt es auch bei Datenbanken Fragen zur Sicherheit. Grundsätzlich existieren nur wenige Unterschiede zwischen der Cybersecurity bei Inhouse-Lösungen und Cloud-Angeboten. Doch es gibt ein potenzielles Missverständnis: Der Anbieter sei allein für die Cybersicherheit verantwortlich. Bei Infrastruktur-Services muss der Nutzer eigene Sicherheitsvorkehrungen treffen. Dies gilt aber nicht für Database-as-a-Service-Angebote (DBaaS). Sie bieten mehr Komfort bei der Cyber Security, denn hier übernimmt der Anbieter die Hauptarbeit, sodass die Nutzer sich nur wenig um Sicherheitsfragen kümmern müssen.
| Cloud-Datenbanken sind deutlich komfortabler für die Admins als lokale Systeme, da der Anbieter einen Teil der Aufgaben übernimmt. Doch diese Einfachheit verführt häufig dazu, sicherheitsrelevante Aspekte zu vernachlässigen. Die hier kurz vorgestellten Best Practices sind ein guter Beginn, um geschäftskritische Datenbanken erfolgreich abzusichern. Darüber hinaus sind DBaaS-Angebote empfehlenswert, da hier der jeweilige Anbieter deutlich mehr Aufgaben bei der Cybersecurity übernimmt. |
|---|
Geteilte Verantwortung: Auch Nutzer sind in der Pflicht
Der größte Stolperstein beim Einsatz einer Cloud-Datenbank im Rahmen eines Infrastrukturangebotes (IaaS) ist die geteilte Verantwortung (Shared Responsibility). Die Anbieter werben damit, dass sie zahlreiche Maßnahmen für Administration und Sicherheit übernehmen – aber nicht alle. So sorgen sie üblicherweise dafür, dass die Anwendungssoftware regelmäßig aktualisiert wird, damit es keine bekannten Sicherheitslücken oder fehlerhaften Funktionen gibt. Das entbindet die Nutzer aber nicht davon, die Datenbanksicherheit im engeren Sinne in Eigenregie zu machen. Leider wird dies gelegentlich übersehen oder nicht präzise umgesetzt. So gab es bei einigen Unternehmen Sicherheitslücken und etliche Millionen Datensätze waren frei verfügbar für Zugriffe aus dem Internet. Um solche und andere Pannen mit der Cybersecurity bei Cloud-Datenbanken zu vermeiden, gibt es vier wichtige Sicherheitsthemen, die Unternehmen beim Betrieb ihres Datenbanksystems beachten müssen.
Datenbank-Proxy und Firewall nutzen
Ein wichtiger Grundschutz für Datenbanksysteme ist ein sogenannter Datenbank-Proxy. Er befindet sich zwischen der Anwendung und der eigentlichen Datenbank. Dort nimmt er die Verbindung durch eine Anwendung entgegen und stellt im Namen dieser Anwendung eine Verbindung zur Datenbank her. Ein Proxy ist also eine Zwischenschicht und hilft in erster Linie bei der Verwaltung von Datenbank-Clustern.
Ein moderner Datenbank-Proxy bietet jedoch auch zusätzliche Sicherheit. Er ist mit Filtern ausgestattet, mit denen alle Abfragen untersucht werden. Zudem kann er Datenbankanfragen blockieren, wenn sie laut einer Whitelist nicht erlaubt sind. So wird es Cyberkriminellen erschwert, die Datenbank auszunutzen. Darüber hinaus schützt ein solcher Proxy auch vor DDoS-Angriffen (Distributed-Denial-of-Service), die die Verbindung überlasten wollen. Er absorbiert einen Teil der Last oder ist mit einem Loadbalancer verbunden, der diese Angriffe ins Leere laufen lässt.
Ein sinnvoller zusätzlicher Schutz der gesamten Cloud-Infrastruktur sind Firewalls. Eine Paketfilter-Firewall schützt wichtige Knoten im Netzwerk, beispielsweise Router oder Switches. Sie bietet einen robusten Schutz für die allgemeine Sicherheit, kann aber nicht alle Angriffe verhindern. So sind Datenbanken vor allem durch SQL-Injection-Angriffe gefährdet. Diese Attacken können von einer zugelassenen Webanwendung ausgehen und es dem Cyberkriminellen ermöglichen, Daten in eine Datenbank einzuschleusen oder zu löschen. So müssen Unternehmen mehrere Firewalls nutzen, die jeweils höhere Sicherheitsstufen bieten und vor spezifischen Datenbankangriffen schützen.
Sensible Daten verschlüsseln
Allerdings greifen Schutzmaßnahmen nicht immer zu 100 Prozent. Daher gibt es ein Restrisiko, dass sich Kriminelle Zugang zu den Servern eines Unternehmens verschaffen können. Deshalb ist ein weiterer, wichtiger Schutz die Datenverschlüsselung. Ausgerechnet diese Möglichkeit wird in vielen Unternehmen ignoriert. Das ist fast schon fahrlässig, denn aus Sicht von Hackern sind verschlüsselte Daten eine frustrierende Angelegenheit. Sie haben es auf den schnellen Erfolg abgesehen – gute Verschlüsselung verhindert ihn, sodass sich viele Hacker ein lohnenderes Ziel suchen.
Eine erfolgreiche Verschlüsselung findet auf drei Ebenen statt: in der Anwendung, bei der Datenübertragung und im Ruhezustand. Der Idealzustand ist die Verschlüsselung auf allen Ebenen, Unternehmen sollten allerdings mindestens die Transportverschlüsselung bei der Datenübertragung einsetzen.
- Auf Anwendungsebene werden die Daten mit den entsprechenden Funktionen des Datenbanksystems verschlüsselt, bevor sie in die Datenbank geschrieben werden. Bei dieser Form der Verschlüsselung können Hacker die Daten nicht lesen, da sie nur kryptische Zeichen sehen. Allerdings sind die Schlüssel selbst wiederum unverschlüsselt. Sie müssen im Klartext vorliegen, damit die Anwendung die Daten entschlüsseln und wieder verschlüsseln kann.
- Das bedeutet, dass Daten in einer Datenbank bei Verbindungen mit dem LAN oder dem Internet im Klartext übertragen werden. Deshalb ist es sinnvoll, zusätzlich eine Transportverschlüsselung zu nutzen, ähnlich wie mit HTTPS/TLS bei Webverbindungen.
- Die dritte Verschlüsselungsebene sind Daten im Ruhezustand. Viele Datenbanksysteme kennen eine Möglichkeit, Tabellen, temporäre Dateien und Binärprotokolle zu verschlüsseln. Das ist der wirksamste Schutz: Kriminelle finden keine zusätzlichen Informationen, die ihnen den illegalen Zugriff auf die Datenbank erleichtern könnten.
Benutzerverwaltung mit Multi-Faktor-Authentifizierung
In modernen IT-Infrastrukturen hat sich das Prinzip „Zero Trust“ durchgesetzt. Es lässt sich auf Deutsch mit einer einfachen Anweisung ausdrücken: Vertraue niemandem. Gemeint ist damit, dass auf Computersysteme ausschließlich über genau definierte Benutzerrollen und Rechtezuweisungen zugegriffen werden darf. Solche Benutzeridentitäten werden mit Software-Lösungen für Identity & Access Management (IAM) zugewiesen und verwaltet. Dadurch ist es zum Beispiel möglich, Nutzern aus einem Fachbereich des Unternehmens ausschließlich Zugriff auf die von ihnen benötigten Anwendungen und Daten im Datenbanksystem zu geben und alle anderen Arten von Zugriffen auszuschließen.
Ein wichtiges Element zum Schutz dieser Benutzeridentitäten ist die Multi-Faktor-Authentifizierung. Das bedeutet: Ein Anwender meldet sich mit mindestens zwei Identifikationsmerkmalen an einer Datenbank an. Das ist beispielsweise ein spezifisches Passwort (1. Faktor) und ein Bestätigungscode (2. Faktor). Der Nutzer findet ihn in einer Authentifizierungs-App wie Google oder Microsoft Authenticator auf dem Smartphone. Dieses Verfahren verhindert, dass Hacker Erfolg haben, wenn sie ein Passwort ausspähen oder berechnen konnten. Leider sind sichere Passwörter schwer zu merken und leicht zu merkende äußerst unsicher. Deshalb sind sie als einziger Schutz nicht empfehlenswert und Unternehmen sollten ausschließlich Mehr-Faktor-Authentifizierung einsetzen.
Verschlüsselte Back-ups anfertigen und prüfen
Das Erzeugen von Back-ups ist eine der bedeutendsten Aufgaben bei der Verwaltung von Datenbanken. Denn eine verfügbare Sicherungskopie aller Datenbanken ist ein wichtiger Schutz vor Ransomware (Verschlüsselungs-Trojaner), aber auch vor weiteren Problemen wie Störungen im Rechenzentrumsbetrieb. In diesem Fall gibt es auch dann noch eine Kopie der Datenbank, wenn auf die originale Datenbankinstanz nicht mehr zugegriffen werden kann.
Viele Cloud-Anbieter aktivieren automatisch eine Back-up-Funktion. Diese speichert normalerweise einmal täglich eine Sicherung der gesamten Datenbankinstanz mit allen aktiven Datenbanken und Tabellen. Die Sicherungskopie jedes Tages wird allerdings nur eine bestimmte Zeit aufbewahrt, meist 90 Tage. Nach diesem Zeitraum wird sie gelöscht. Dadurch kann eine höchstens 90 Tage alte Datenbank wiederhergestellt werden.
Außerdem sollten die Datenbank-Admins die Sicherungen verschlüsseln, sofern der Anbieter diese Funktion anbietet. Darüber hinaus ist es wichtig, die Sicherungskopien nicht zusammen mit der Datenbank in einem Storage-Bereich zu speichern. Wer ganz sicher gehen will, speichert bei den großen Hyperscalern die Daten in einer anderen Region. Dadurch befinden sie sich in einem anderen, geografisch getrennten Rechenzentrum.
Max Mether ist Co-Founder & VP Server Product Management bei MariaDB
Lesen Sie mehr zum Thema
