Datenbank-Sicherheit erfordert effiziente Zugriffskontrollen
Automatische Verwaltung privilegierter Accounts ist unverzichtbar
Eine PAS-Lösung muss auf jeden Fall eine geschützte Verwahrung und Policy-basierte, automatische Änderung von administrativen Passwörtern bieten, das heißt, die Lösung sollte eine statische und dynamische Passwortspeicherung unterstützen.
Bei der Implementierung einer solchen Lösung hat sich eine schrittweise Vorgehensweise bewährt. Zunächst müssen die Passwörter zentral gespeichert und alle Zugriffe auf diese Passwörter kontrolliert und protokolliert werden. Genutzt werden sollten dabei Features wie Verification (Überprüfung der Gültigkeit der Passwörter auf dem Zielsystem) und Reconciliation (kontrolliertes Zurücksetzen von Passwörtern im Falle einer erkannten Abweichung), Dual Control (Steuerung von Passwortzugriffen über ein Vier-Augen-Prinzip) oder Password Expiration Alert (Versenden einer Warnmeldung für Passwörter, für die gemäß der Passwort-Richtlinie eine Änderung ansteht). Anschließend sollte eine schrittweise Aktivierung der automatischen Anwendung vorher festgelegter Passwort-Policies unter Nutzung von Features wie One-Time Password (zeitnahe erneute Änderung des entnommenen Passworts) oder “Exclusive Password” (Unterbindung der gleichzeitigen Nutzung desselben Passworts durch mehr als eine Person) erfolgen.
Application Accounts dürfen nicht vernachlässigt werden
Aber nicht nur die Passwörter von Administratoren sind im Hinblick auf die Datenbank-Sicherheit ein Bereich, der zu beachten ist. Auch Application Accounts oder Software Accounts, das heißt, die in Anwendungen, Skripten oder Konfigurationsdateien gespeicherten Passwörter, sind eine Sicherheitslücke. Im Unterschied zu privilegierten Accounts, die von Administratoren und damit Personen genutzt werden, greifen Applikationen automatisch auf Backend-Systeme zu, die eine Authentifizierung erfordern. Die Application Accounts werden zum Beispiel für den Datenbank-Zugriff einer Anwendung benötigt. Da die Passwörter meistens im Klartext vorliegen und nie geändert werden, bieten sie ebenfalls eine sicherheitskritische Zugangsmöglichkeit zu vertraulichen Datenbeständen – und zwar für zahlreiche Datenbank-Administratoren oder Anwendungsentwickler.
Ein Lösungsansatz ist hier, die in Skripten oder Konfigurationsdateien eingebetteten statischen Passwörter zu eliminieren. Das heißt, auch die Application Accounts können zentral abgelegt, automatisch verwaltet und in Abhängigkeit zu den Systemkonten mitgeändert werden.