Embed Size (px)
Citation preview
AUDITORÍA DE BASE DE DATOS
María Fernanda Cordobés
Vanessa González
Administración de Base de
DatosSemestre I-
2013
Agenda
Auditoría y Auditoría de BD
Objetivos
Importancia
Recolección de datos
Propiedades
Pasos para realizar una auditoría
Metodologías
Herramientas de Auditoría
Caso Práctico
Administración de Base de Datos - Sem I-2013
2
Auditoría
Recopilación, y evaluación de evidencia sobre
información de una entidad.
Determinar e informar el grado de
cumplimiento entre la información y los
criterios establecidos en la misma.
Herramienta de control y supervisión de la
organización.
Administración de Base de Datos - Sem I-2013
3
Auditoría de BD
Mide, garantiza, demuestra, monitorea y
registrar los accesos.
Permite conocer:
Cuando/Quien accedió a los datos.
Desde que estación y dispositivo de la red.
Sentencia SQL ejecutada.
Efecto sobre la BD.
Administración de Base de Datos - Sem I-2013
4
Objetivos
Administración de Base de Datos - Sem I-2013
5
Investigar actividades dudosas sobre la BD.
Recopilar información acerca de actividades
específicas de la BD
Recopilar estadísticas sobre qué tablas
actualizadas, E/S lógicas, cantidad de
usuarios conectados concurrentemente.
Recopilar inverosimilitudes en los datos
(detección de errores).
Objetivos
Administración de Base de Datos - Sem I-2013
6
Recopilar los errores por pérdida de
información.
Mitigar los riesgos asociados con el manejo
inadecuado de los datos.
Evitar acciones criminales.
Importancia
Administración de Base de Datos - Sem I-2013
7
La naturaleza de la información almacenada
en la BD.
Demostrar la integridad de dicha información.
Mitigar los riesgos asociados a la perdida de
información.
Resguardar información confidencial.
Monitoreo los datos con el fin de saber como,
cuando y por quien fueron modificados.
Recolección de datos
Sentencias SQL: Registro de los intentos de
conexión con la base de datos.
Privilegios: recopila las operaciones que se
han efectuado sobre la base de datos y los
usuarios
Objetos: Se pueden recoger operaciones
realizadas sobre determinados objetos de la
base de datos.Administración de Base de Datos - Sem I-2013
8
Propiedades
Revisión de los permisos de cada usuario y
fichero del sistema para detectar fallas de
seguridad.
La auditoría varía con el tiempo.
Consume mucho tiempo y no garantiza la
“limpieza” del sistema.
Administración de Base de Datos - Sem I-2013
9
Pasos para realizar una
auditoría
Identificación de todas las BD de la
organización.
Clasificar los nivele de riesgo de los datos de
las BD.
Analizar los permisos de acceso de los
usuarios.
Analizar los controles de acceso existentes.
Establecer los modelos de auditoría a utilizar.
Establecer las pruebas a realizar para cada
BD, aplicación y/o usuario.Administración de Base de Datos - Sem I-2013
10
Metodologías
Metodología tradicional (Checklist).
Metodología de evaluación de riesgos.
Administración de Base de Datos - Sem I-2013
11
Estudio Previo y Plan de Trabajo
Concepción de la BD Y Selección
del EquipoDiseño y Carga
Explotación y Mantenimiento
Revisión Post-Implantación
Herramientas de auditoría.
SMBD: Casi todos incluyen algún tipo de
soporte para Auditoría (registro de
operaciones, audit trail).
Software de Auditoría (extracción de datos,
seguimiento de transacciones, datos de
prueba).
Sistema de monitoreo y ajuste.
Administración de Base de Datos - Sem I-2013
12
Caso Práctico
Administración de Base de Datos - Sem I-2013
13
¿Qué es la auditoría en Oracle?
Es un conjunto de características que permite
al ABD y a los usuarios hacer un seguimiento
del uso de la base de datos.
El ABD puede definir la actividad de la
auditoría predeterminada.
Se almacena en el diccionario de datos, en la
tabla SYS.AUD$
Administración de Base de Datos - Sem I-2013
14
¿Qué es importante auditar?
Intentos de inicio de sesión.
Acceso a objetos.
Acciones a la BD.
Administración de Base de Datos - Sem I-2013
15
¿Qué vistas debemos ver?
Principales vistas en SYS.AUD$:
DBA_AUDIT_OBJECT
DBA_AUDIT_SESSION
DBA_AUDIT_TRAIL
USER_AUDIT_TRAIL
DBA_FGA_AUDIT_TRAIL
Administración de Base de Datos - Sem I-2013
16
Habilitando la Auditoría
Parámetro audit_trail
NONE
OS
DB
DB, EXTENDED
XML
XML, EXTENDED
Administración de Base de Datos - Sem I-2013
17
Habilitando la Auditoría
Poner audit_trail en modo DB
Administración de Base de Datos - Sem I-2013
18
Comando audit
Auditorías de inicio de sesión.
AUDIT SESSION [WHENEVER (NOT)
SUCCESSFUL]
Auditorías de acción.
AUDIT <acción> [BY <user, session, access>]
[WHENEVER (NOT) SUCCESSFUL]
Auditorías de objeto.
AUDIT <objeto> ON <esquema> [BY <user,
session, access>]
Administración de Base de Datos - Sem I-2013
19
Auditoría de Inicio de Sesión
Administración de Base de Datos - Sem I-2013
20
Auditoría de Inicio de Sesión
Administración de Base de Datos - Sem I-2013
21
Auditoría de acción
Administración de Base de Datos - Sem I-2013
22
Auditoría de acción
Administración de Base de Datos - Sem I-2013
23
Auditoría de objeto
Administración de Base de Datos - Sem I-2013
24
Auditoría de objeto
Administración de Base de Datos - Sem I-2013
25
Auditoría de objeto
Administración de Base de Datos - Sem I-2013
26
Comando noaudit
NOAUDIT <opción> [BY <user, session, access>]
[WHENEVER (NOT) SUCCESSFUL]
Administración de Base de Datos - Sem I-2013
27
Preguntas
Administración de Base de Datos - Sem I-2013
28
