Vos données sont-elles à l’abri des cybermenaces ? Dans le monde d’aujourd’hui, la réponse à cette question ne peut jamais être un « oui » franc et massif.
Les risques pour les données sont légion. Mais il existe de bons et de mauvais moyens de gérer cette réalité. Si la cybersécurité en général vise à protéger les données contre les acteurs malveillants, il est judicieux de faire le maximum pour protéger les données à l’une de leurs principales sources, à savoir la base de données elle-même.
Le coût élevé des compromissions de données fait de la sécurité proactive des bases de données une nécessité pour les équipes SecOps. La sécurité des bases de données implique des outils, des processus, des contrôles et des tâches qui protègent les bases de données contre les menaces internes et externes. L’objectif est toujours de respecter le triptyque CIA pour les données sensibles, à savoir Confidentiality, Integrity et Availability. La sécurité des bases de données couvre l’infrastructure physique, les systèmes d’exploitation, les applications et les plateformes sous-jacentes. Elle comprend également des processus de sauvegarde et de restauration, sachant que la sauvegarde des données est la dernière ligne de défense en cas de compromission de données.
Comprendre la sécurité des bases de données
La sécurité des bases de données est fortement recommandée pour toute organisation qui souhaite protéger ses données contre les risques de compromission. Cela devrait donc concerner toutes les entreprises, mais si le coût élevé de gestion d’une compromission (4,55 millions de dollars selon IBM) vous inquiète, vous aurez à cœur de tout faire pour protéger vos données là où elles se trouvent.
La sécurité des bases de données se compose de contrôles et de contre-mesures déjà actifs dans d’autres domaines de l’environnement informatique, mais qui sont ici appliqués spécifiquement à une base de données :
Authentification : veiller à ce que tout utilisateur ayant accès à une base de données est bien celui qu’il prétend être
Autorisation : vérifier qu’un utilisateur est autorisé à accéder aux données qu’il souhaite consulter
Chiffrement : rendre le contenu de la base de données impossible à lire pour le protéger contre tout accès non autorisé
Audit : vérifier l’efficacité des contrôles et des contre-mesures en examinant les journaux d’accès et les flux de données connexes afin de repérer les anomalies et les activités suspectes des utilisateurs
Sauvegarde et restauration : conserver des copies du contenu des bases de données dans des endroits distincts, y compris dans le cloud, afin de restaurer les données modifiées ou supprimées par malveillance ou par accident
Menaces pour la sécurité des bases de données
Pratiquement toutes les cybermenaces externes peuvent menacer une base de données. Une attaque de phishing, par exemple, peut permettre à un hacker de détourner le compte d’un administrateur de base de données (DBA). Un malware contenu dans un e-mail peut compromettre un terminal ou une application, donnant ainsi un accès non autorisé à une base de données. En interne, le logiciel de la base de données peut être sujet à des vulnérabilités connues ou de type « zero day ».
Les attaques perpétrées plus bas dans la stack technologique mettent également les bases de données en danger. Si le BIOS d’un système est en retard de correctifs, par exemple, un hacker pourra prendre le contrôle d’un serveur de base de données et provoquer des dégâts considérables sans que personne ne se rende compte qu’une attaque est en cours. Les systèmes d’exploitation et les logiciels de base de données non corrigés présentent des risques comparables.
Les menaces peuvent également venir de l’intérieur. Il peut notamment s’agir d’actes de malveillance, mais aussi d’erreurs involontaires qui peuvent aboutir à des compromissions de données. Par exemple, un développeur de logiciels peut cloner une base de données et la placer dans un environnement de développement, où les contrôles d’accès et les mesures de protection font défaut. Ainsi exposée, la base de données risque d’être compromise.
Évaluation des risques de sécurité pour les bases de données
Au vu de telles menaces, la sécurité des bases de données doit faire l’objet de bilans de risque réguliers. Les spécificités d’un tel bilan varieront en fonction de l’échelle et de la complexité de vos environnements, ainsi que des ressources à votre disposition. Toutefois, les objectifs et les pratiques générales restent les mêmes, quel que soit le champ d’application. Par exemple :
Vérifiez les autorisations d’accès : qui peut accéder à la base de données ? Le contrôle des autorisations d’accès peut représenter une travail important dans une grande organisation. En ce sens, l’utilisation d’une solution de contrôle d’accès basé sur les rôles (RBAC) peut simplifier le processus : par exemple, tous les membres d’un département donné peuvent accéder à la base de données, mais personne d’autre n’y est autorisé, etc.
Vérifiez les niveaux de privilèges d’accès : les utilisateurs ne devraient pas tous avoir le même niveau de privilèges d’accès. Certains utilisateurs n’auront besoin que d’un accès en lecture seule, tandis que les administrateurs devront pouvoir modifier les données ou la structure de la base de données elle-même.
Contrôlez les processus d’authentification : comment les utilisateurs sont-ils authentifiés ? Par exemple, si l’authentification multifacteur (MFA) est déployée dans l’entreprise, est-elle aussi appliquée à la base de données ?
Effectuez un audit de vos politiques et procédures d’application de correctifs : il est fortement recommandé de mettre en place des processus rigoureux pour maintenir les logiciels de base de données à jour, car le moindre retard dans l’installation des correctifs peut exposer la base à des risques.
Examen des politiques de sécurité des bases de données : il est conseillé de procéder à un examen général des politiques de sécurité. Votre base de données est-elle configurée pour chiffrer les données au repos ? La politique de chiffrement est-elle appliquée ? Les politiques sont-elles appliquées de manière cohérente dans toutes les instances de la base de données ? Les copies « dev » d’une base de données sont-elles également protégées de manière adéquate ? Les bases de données sauvegardées sont-elles chiffrées et soumises à des contrôles d’accès ? Il s’agit là d’exemples où une évaluation des risques peut révéler de graves lacunes nécessitant des mesures correctives.
Tests d’intrusion (pentesting) : le pentesting consiste à engager des hackers éthiques de type « white hat » pour attaquer vos bases de données et voir s’ils peuvent s’y introduire. Vous serez probablement stupéfait de voir ce à quoi il leur est possible d’accéder.
Recherche proactive de menaces : comme le montrent les solutions de Threat Hunting de Rubrik , le processus consiste à rechercher des signatures de menaces sur vos actifs numériques. Il se peut que des malwares se cachent dans l’environnement de votre base de données, attendant le moment idéal pour s’activer et compromettre vos données. Si vous pouvez le découvrir à temps, vous vous épargnerez beaucoup de problèmes par la suite.
Bonnes pratiques de sécurité des bases de données
Au fil des ans, les équipes de sécurité et leurs partenaires ITOps ont mis au point un ensemble de bonnes pratiques visant à renforcer la sécurité des bases de données. Certaines d’entre elles reprennent des règles cyber de bon sens et les appliquent aux bases de données : contrôles d’accès stricts, mots de passe forts, rotation des mots de passe, gestion des correctifs, etc.
Cependant, certaines bonnes pratiques sont spécifiques aux bases de données. Par exemple :
Séparer les serveurs de base de données des serveurs web : les deux types de serveurs ont des impératifs différents en matière de sécurité. Chacun d’entre eux nécessite des processus de durcissement distincts. En séparant les deux serveurs, vous réduisez le risque de compromission d’un serveur de base de données en cas d’intrusion sur un serveur web.
Inventoriez continuellement vos données : vous pensez peut-être savoir où se trouvent toutes vos données, mais vous pourriez être surpris. Entre les sauvegardes, les instances de développement et de test et les projets Shadow IT, vous pourrez découvrir des données à des endroits inattendus. On ne peut pas protéger ce que l’on ne voit pas.
Effectuez des audits réguliers : les choses changent rapidement dans un environnement de base de données dynamique. D’où l’importance d’auditer les journaux de base de données et les contrôles de sécurité pertinents.
Surveillez l’activité des bases de données : les menaces peuvent se manifester par un comportement anormal de la base de données, par exemple des demandes excessives d’exportation de données à des heures inhabituelles. Surveillez continuellement l’activité de la base pour détecter les attaques à temps.
Protéger les données quand tout le reste a échoué
Même après avoir évalué les risques et appliqué les bonnes pratiques de sécurité des bases de données, vous n’êtes jamais à l’abri d’une compromission. Quand tout le reste a échoué, la bonne solution de protection des données peut vous aider à récupérer l’intégralité des données contenues dans vos bases.
La sauvegarde et la restauration des bases de données doivent être considérées comme un élément à part entière de leur sécurité, même s’il ne s’agit pas d’un contrôle ou d’une contre-mesure à proprement parler. Une sauvegarde fiable est essentielle pour l’intégrité et la disponibilité des données. Qu’est-ce qui fait une bonne solution de sauvegarde de base de données ?
Architecture « zero trust » couvrant les bases de données on-prem et cloud : personne ne devrait être autorisé à accéder à une base de données par défaut. Vérifier chaque utilisateur et appliquer le principe du moindre privilège, c’est assurer la sécurité et la disponibilité des bases de données.
Récupération rapide et flexible : un outil de sauvegarde de base de données doit permettre aux administrateurs de récupérer soit des bases entières, soit uniquement les données nécessaires, et ce rapidement. Rubrik peut atteindre des objectifs de temps de restauration (RTO) ambitieux. En cas de cyberattaque, il faut savoir réagir vite. Plus le rétablissement est rapide, mieux cela vaut pour tout le monde, surtout si la compromission touche des applications en prise directe avec les clients.
Automatisation globale basée sur des politiques : il est temps de ne plus dépendre de multiples solutions de sauvegarde pour vos bases de données. Une solution efficace de sauvegarde des bases de données donne aux administrateurs les outils nécessaires pour automatiser les fonctions de sauvegarde et de restauration sur la base de règles appliquées globalement, ce qui permet une gestion efficace des sauvegardes dans l’ensemble de l’environnement multi-bases de données.
Sauvegardes incrémentielles permanentes : grâce à la parallélisation, les sauvegardes peuvent être limitées aux seules données modifiées, le montage en direct (live mount) rendant ces données rapidement disponibles.
Remédiation des ransomwares : la sauvegarde des bases de données doit aujourd’hui prendre en compte la menace et l’impact des ransomwares. Une bonne solution atténuera l’impact des attaques de ransomware, par exemple en créant des sauvegardes immuables et isolées par air-gap, qui ne peuvent être modifiées ou supprimées de quelque manière que ce soit. Elles peuvent donc résister à toutes les tentatives de chiffrement des ransomwares.
L’avenir de la sécurité des bases de données
La sécurité des bases de données continue d’évoluer en même temps que les technologies et les réglementations. L’avenir de la sécurité des bases de données passera probablement par l’adaptation aux nouvelles lois sur la protection de la vie privée, lesquelles exigent l’implémentation obligatoire de contrôles, d’audits et de reporting.
La sécurité des bases de données est également appelée à évoluer au rythme des changements des modèles de déploiement IT. La croissance de l’Edge Computing, par exemple, placera les bases de données de production sur de nombreux sites en périphérie, plutôt que sur des plateformes on-prem ou cloud centralisées. La sécurité des bases de données devra s’adapter à ce changement.
Renforcer la sécurité des bases de données
Les bases de données sont menacées. Elles constituent une cible de choix pour des acteurs malveillants qui cherchent à voler, endommager ou chiffrer vos données. D’où l’importance de contrôles et de contre-mesures de cybersécurité qui contribuent à défendre vos bases de données. Toutefois, pour renforcer la protection de vos données précieuses et sensibles, vous devez mettre en œuvre des mesures de sécurité spécifiques aux bases de données. Ces mesures vont, entre autres, du chiffrement et des contrôles d’accès à la séparation des serveurs de bases de données et des serveurs web. La protection des données a également un rôle important à jouer, car elle garantit que les données seront disponibles rapidement en cas de compromission.
Rubrik se différencie clairement dans ce domaine. Nos solutions permettent d’assurer la sécurité et la disponibilité des bases de données. Nous automatisons la protection des bases de données et simplifions une tâche qui s’avère souvent complexe. Nos sauvegardes immuables et isolées par air-gap résistent aux ransomwares, tandis que nos sauvegardes permettent une restauration ultra-rapide des bases de données. Vous pouvez récupérer ce dont vous avez besoin, quand vous en avez besoin. Ensemble, toutes ces capacités permettent d’atténuer une grande partie des risques liés à la sécurité des bases de données.