Les infrastructures de bases de données offrent souvent des vulnérabilités qui peuvent entraîner des fuites de données plus ou moins importantes. La société Imperva, spécialisée dans la sécurité, a listé les dix failles les plus critiques.
Menace n° 1 – L’abus de privilège excessif
Lorsque les utilisateurs (ou les applications) ont des privilèges d’accès à une base de données excédant les exigences de leur fonction professionnelle, ils ont l’opportunité d’en abuser. L’utilisateur d’une base de données peut avoir des privilèges excessifs pour la simple raison que les administrateurs n’ont pas le temps de définir ni de mettre à jour des mécanismes de contrôle granulaire des privilèges d’accès pour chacun.
Menace n° 2 – L’abus de privilège légitime
Les utilisateurs peuvent également abuser de privilèges légitimes d’accès à une base de données à des fins non autorisées. Par exemple dans le domaine de la santé pour visualiser et copier des dossiers médicaux.
Menace n° 3 – L’élévation de privilège
Les auteurs d’attaques peuvent profiter des vulnérabilités des logiciels de bases de données pour transformer les privilèges d’accès d’un utilisateur ordinaire en ceux d’un administrateur. Les vulnérabilités peuvent se trouver dans les procédures enregistrées, les fonctions intégrées, les implémentations de protocoles, voire dans les données SQL.
Menace n° 4 – L’exploitation des failles des bases de données vulnérables ou mal configurées
Les bases de données sont souvent vulnérables, non corrigées ou disposent de comptes et d’une configuration toujours définis par défaut. L’auteur d’une attaque qui tente d’exploiter la base de données commence généralement par tester les systèmes sur ces vulnérabilités, ce qui peut entraîner une violation de sécurité.
Menace n° 5 – L’injection SQL
Dans le cadre d’une attaque par injection SQL, l’auteur insère généralement (ou « injecte ») des informations de bases de données non autorisées dans une chaîne de données SQL vulnérable. Généralement, les chaînes de données visées incluent les procédures enregistrées et les paramètres d’entrée des applications Web. Ces informations injectées sont ensuite envoyées vers la base de données où elles sont exécutées. En utilisant l’injection SQL, les auteurs d’attaques peuvent obtenir l’accès illimité à l’ensemble d’une base de données.
Menace n° 6 – Les faiblesses de l’audit natif
Un enregistrement automatique de toutes les transactions de bases de données sensibles et/ou inhabituelles devrait être la base sous-jacente de tout déploiement de base de données. Une faible règle d’audit des bases de données présente un sérieux risque.
Menace n° 7 – Le déni de service
Le « déni de service » est une catégorie d’attaque générale par laquelle l’accès aux applications réseau est refusé à certains utilisateurs. Les conditions de déni de service peuvent être créées par de nombreuses techniques, parmi lesquelles beaucoup sont liées aux vulnérabilités mentionnées précédemment. Par exemple, le déni de service peut être obtenu en profitant de la vulnérabilité d’une plate-forme de bases de données pour faire tomber un serveur. D’autres techniques communes de déni de service incluent la détérioration de données, l’engorgement du réseau et la surcharge en ressources du serveur (mémoire, unité centrale, etc.).
Menace n° 8 – Les vulnérabilités des protocoles de communication des bases de données
Un nombre croissant de vulnérabilités de sécurité sont identifiées dans les protocoles de communication conçus par tous les fournisseurs de bases de données. Les activités frauduleuses prenant pour cible ces vulnérabilités peuvent aller de l’accès aux données non autorisées à la détérioration de données, en passant par le déni de service.
Menace n° 9 – Les copies non autorisées de données sensibles
De nombreuses entreprises s’efforcent de localiser toutes leurs bases de données et de les inventorier de manière appropriée. Mais de nouvelles bases peuvent être créées sans que l’équipe responsable de la sécurité soit informée et les données sensibles copiées peuvent être ainsi exposées si les contrôles nécessaires ne sont pas appliqués. Ces bases de données « cachées » peuvent contenir des informations potentiellement sensibles. Cependant, si les personnes chargées de la sécurité ne connaissent pas le contenu de ces bases, il est difficile de s’assurer que les contrôles nécessaires ont été mis en place.
Menace n° 10 – L’exposition de données de sauvegarde
Les dispositifs de sauvegarde de bases de données auxiliaires ne sont généralement pas protégés contre d’éventuelles attaques. D’où un risque lié par exemple vol de disques durs et de bandes de sauvegarde de bases de données.