OracleDatabaseVault:Fallasde diseo

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

JoxeanKoret

QuesDatabaseVault?

UnaformadeevitarqueelDBAveay/o manipuledatosfinancieros,fiscales,privados, etc... Obligatorioparacumplirciertasleyes(comola L.O.P.D.) Unadeclaracindeguerraparamuchos profesionales... Unseabrelavedaparalosinvestigadoresde seguridad

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot! JoxeanKoret

FallasdeDiseo

AdministradoryauditordeAuditVault SistemaOperativo Sistemadearchivos Sistemagestordebasededatos ElprotocolTNS

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

JoxeanKoret

AdministradoryAuditorde DatabaseVault

Lafallamssimpleyobvia

Quincontrolaalapolica? Quinessonaquasuntosinternos?

Yquincontrolaraaunhipotticodepartamentode controldeldepartamentodecontrol? Otrodepartamentodecontroldeldepartamentode controldeldepartamentodecontrol...,yasnveces?

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

JoxeanKoret

Fallas:SistemaOperativo

Elsistemadebasededatoscontina ejecutndosecomounnicousuariorealenel sistemaoperativo

Oracle(Unix/Linux) LocalSystem(Win32)

Elauditor,eladministradordedatabasevault, eladministradordesistemasylosusuariosse encuentranenelmismoespaciodeproceso

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot! JoxeanKoret

Fallas:SistemaOperativo

Eladministradordelabasededatospuede troyanizarelsistemaoperativo

Unaversintroyanizadadelalibreralibclntsh.so(o .dll) UnaversintroyanizadadelTNSListeneroun proxyjustodelantedelTNSListener UnaversintroyanizadadelalibreraOCI Unaversintroyanizadadecualquierotro componenteOracle

JoxeanKoret

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

Fallas:SistemaOperativo

Eladministradordesistemastieneelusuario OracleoLocalSystemenelsistemaoperativo

PuedeattacharsealprocesoOracleygrabarun registrodesusoperaciones Puedeponerbreakpointsenfuncionesascomo modificarelcomportamientodelabasededatos Puedecambiarvaloresdevariablesglobalesy locales,ascomoelUIDdeunasesinSQL,etc... Puedehacerloqueledlagana...

JoxeanKoret

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

Fallas:SistemadeArchivos

ElDBAtieneaccesoalsistemadearchivos

Puedeleerymodificarlosdatafilesencrudo Existenmltiplesherramientasylibreras

DataUnloader

HerramientadelapropiaOracle http://www.ora600.nl/introduction.htm

DUDE(DatabaseUnloadingbyDataExtraction)

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

JoxeanKoret

Fallas:Sistemadearchivos

Puedecopiarselabasededatosalcompleto

RMAN ALTERTABLESPACEXXXBEGINBACKUP EXP/IMPyanolevalensiempre,pero... PuedeusarRMANofastidiarapostaundatafiley ponersuversinmanipulada

Puedereimportarselabasededatos

DespusunRECOVERUNTILCANCELyyaest:)
JoxeanKoret

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

Fallas:Sistemadearchivos

Problemas

Lamodificacindedatosencrudoyposterior recuperacin(fundamental)llamaralaatencinde cualquiera Losdatospuedenirencriptadosdirectamenteen losdatafiles

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

JoxeanKoret

Fallas:Sistemadearchivos

Soluciones

Sielmecanismodeencriptadoestenlabasede datossetroyanizalabasededatosoelsistema operativo Seesperaaunafalladelsistemarealparano levantarsospechas

Siemprelashay,porsuerteypordesgracia

Siemprehaysolucionesaestetipode problemas:)
OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot! JoxeanKoret

Fallas:Sistemagestordebasede datos

UnavezinstaladalaopcinDatabaseVaultse haceuncoazotroyanizarPL/SQL Mejorponereltroyanoantesdeimplantar DatabaseVault:)

Durantelafasedepruebasotest

DondeseintentaponerDatabaseVaultsuelentener entornodepruebasytest,asquenoesunproblema;)

Pero...Qutroyanizar?
OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot! JoxeanKoret

Fallas:(Sistemagestordebasede datos)Qutroyanizar?

DBMS_OBFUSCATION_TOOLKIT

Todoloqueseencripteconestepaquetepuede sergrabadoenotrositio... Aslosadministradoresyauditoresdedatabase vaultnosedarncuentadenada Solovernloqueledejemosnosotros

Vistas*_USERS,*_PRIVS

DBMS_STANDARD,porejemplo...
OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot! JoxeanKoret

Fallas:(Sistemagestordebasede datos)PuertasTraseras

UnpaquetePL/SQLwrappedantesdela instalacindeDatabaseVault

Quenosdelosprivilegiosquequerramos... QueborrehuellasdeSYS.AUD$oquecreehuellas falsasenfuncindenuestrasnecesidades...

Endefinitiva:Quenosdevuelvaelpoderque eranuestro;)

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

JoxeanKoret

Fallas:Sistemagestordebasede datos

Siemprepodemostroyanizarlabasededatos

Comoyasehacomentadoantes

libclntsh.(so|dll) oracle[.exe] libocci.[so|dll] libnnz11.[so|dll] extjob[.exe] sqlplus[.exe]

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

JoxeanKoret

Fallas:(Sistemagestordebasede datos)Hooks

Elproblemadeparchear/troyanizarlibreras, binariosyPL/SQLesquehayquehacerlocada vezqueseapliqueunparche Mejorhacernosunaherramientaquehookee ciertasllamadas

oci_prepare_stmt Todaslasfuncioneskk*delabasededatos

Noesbroma,lasfuncionesdelkerneltieneneseprefijo

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

JoxeanKoret

Fallas:ElprotocolTNS

Algunosrulesetsebasanenciertosatributos delaconexinestablecidaparadeterminarsi setieneonoprivilegiopararealizaralgo:

DireccinIP,nombredeusuario,usuariodel sistemaoperativo,nombredelamquinacliente, programacliente,etc... Nuncahansidofiablesy,cambiarestafallade diseocondecenasdeaosnoestrivial

JoxeanKoret

LosdatosvienendecamposdelprotocoloTNS

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

Fallas:ElprotocolTNS

UnpaqueteTNSdeejemplo:

(CONNECT_DATA=(CID=(PROGRAM=)(HOST=192.1 68.1.5)(USER=oracle))(COMMAND=connect)(ARGUM ENTS=64)(SERVICE=LISTENER)(PROGRAM=java)(V ERSION=169869568))

Elusuariodelsistemaoperativolomarcamoscomo oracle,elprogramacomojavayladireccinIP como192.168.1.5

SoncamposdeunpaqueteTNS,fcilmente manipulables

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

JoxeanKoret

Conclusiones

Polticamentecorrectas

Anesuntantoinmaduro Recomiendoprudencia Esunagilipollez SiempreexistirnmilunmodosdequeelDBAoel administradordelamquinasepasenlos mecanismosporelarcodeltriunfo

JoxeanKoret

Polticamenteincorrectas

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

Solucionesalasfallasdediseo

Paraqueestofueseaselrootoeladministradornodeberatener privilegiosparahacerloquequisieraenelsistemaoperativo Elkerneltendraqueestarmscercadelusuariofinalparaquello pudieraacomodaryparametrizarasusrequisitosdeseguridad (espera,quememeo...) SistemasoperativoscomoPlan9(dondeseramsfcilhacereste tipodecosas)nosonmuyconocidosyOracle,queyosepa,notiene visosdeportarsusoftwareadichaplataformanunca Lasolucinmenosdrsticaesunmdulodelkernel,nounprograma deusuario,yunaseparacindeusuariosyprivilegiosporusuario real,comomnimo Detodosmodos,siempreexistirnotrosmodosdesaltarsetodoesto
OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot! JoxeanKoret

Fin

Pueseso;)Cualquierduda,sugerenciao comentarioamicuentadecorreo: joxeankoret@yahoo.es

OracleDatabaseVault:Elmundonoesdecolorrosaysoyroot!

JoxeanKoret