U bent hier: Home > Blog > auditing

Inbraak in een Oracle database detecteren met een honeypot

Marcel-Jan Krijgsman, 16 mei 2011

In februari kwam een inbraak in het nieuws bij beveiligingsbedrijf HBGary Federal. Dit bedrijf adviseert de Amerikaanse overheid hoe hun websites beveiligd moeten worden. Er waren voor die tijd aanvallen geweest van hackerscollectief Anonymous op bedrijven die WikiLeaks dwars zaten. De CEO van HBGary zei in de pers te weten wie de leiding achter Anonymous was en dat hij dit in de openbaarheid zou brengen. Hij had het nog niet gezegd of Anonymous begon een aanval tegen de websites van HBGary. Die aanval lukte op de site van HBGary Federal.

Om extra zout in de wonden de wrijven, deed een lid van Anonymous, een 15-jarig meisje, tegenover de site Ars Technica uit de doeken hoe de aanval gelukt was. Ze was begonnen met het zoeken van SQL injection lekken in de website. SQL injection is een methode waarin een hacker in een invoerveld of URL, of een andere plek waar data ingevoerd wordt, een stuk SQL toevoegt. Als de website/applicatie lek is voor SQL injection, kan het zijn dat een hacker met een UNION ALL een andere tabel kan uitlezen. Op deze manier las zij een gebruiker tabel uit, waaruit ze e-mail adressen van alle gebruikers haalde en ook versleutelde wachtwoorden. Die wachtwoorden wist ze te ontsleutelen, waarna ze met dat wachtwoord ook de mail van de CEO kon lezen en sturen, maar dat is een ander verhaal. Lees het artikel van Ars Technica maar eens.

(meer…)

Inbraak in een Oracle database detecteren met auditing

Marcel-Jan Krijgsman, 15 april 2011

Een verschil tussen de computerwereld en de echte wereld is dat als er in je huis of bedrijfspand ingebroken is, het meestal zonneklaar is dat dit gebeurd is. Ofwel je ziet het aan het gebruik van een koevoet op de voordeur, of aan de waardevolle spullen die weg zijn.

Bij IT-gerelateerde inbraken is dat anders. Het bedrijf Verizon Business publiceert elk jaar een interessant rapport met statistische gegevens over IT-gerelateerde inbraken bij organisaties, het zogenaamde Data Breach Investigations Report. Hun rapport van 2010 laat zien dat inbraak in 44% van de gevallen pas na maanden of jaren wordt ontdekt. En dan wordt die inbraak in 61% van de gevallen ook nog eens door externe partijen ontdekt, bijvoorbeeld omdat ze zien dat er fraude is gepleegd. Je vraagt je af: zijn onze databases maanden geleden gehacked zonder dat we het weten? Maar hoe zorg je dat je een inbraak in een database sneller ontdekt? (meer…)

Auditing met de log van de Oracle listener

Marcel-Jan Krijgsman, 18 november 2010

Oracle kent allerlei manieren om de gangen van gebruikers na te gaan. Met auditing kan men zien of iemand is ingelogd geweest, of iemand een ALTER PROCEDURE heeft uitgevoerd om een procedure te wijzigen en of iemand een update heeft gedaan op de salaristabel. Met Fine Grained Auditing kan men zelfs zien wie het salaris van de directeur gewijzigd heeft en wanneer.

In Oracle 11g staat auditing standaard aan op een aantal acties, waaronder inloggen. Maar op Oracle 10g databases of lager staat auditing standaard niet aan en is auditing zelden geïmplementeerd. Dus toen we gisteren een vraag kregen van een klant of we konden achterhalen of iemand de afgelopen 3 maanden ingelogd was geweest op een oudere Oracle versie, had ik enige twijfels of dat zou lukken.

(meer…)