TRABAJO

DE
BASE DE DATOS

TEMA:

SEGURIDAD DE BASE DE DATOS

CHRISTIAN VILLACIS

SEXTO SEMESTRE
ING. EN SISTEMAS

2010
 SEGURIDAD DE LA BASE DE DATOS

SEGURIDAD.

Son mecanismos que protegen a la base de datos frente a amenazas ya

sean intencional o accidentales.

Específicamente la seguridad no se aplica solamente en lo que son los

datos almacenados en base de datos, sino a otras partes del sistema,
incluso puede afectar a su propia base de datos. Es decir este problema
encierra en si todo lo que tiene que ver con el hardware, el software, las
personas y los datos.
Para tener un buen resultado en lo que es la seguridad se pide obtener
los controles apropiados, ya que estos mismos se tienen que definir de
acuerdo a los objetivos específicos de un sistema. Según las
organizaciones de hoy en día la seguridad es muy importante por que
sin ella podría haber pérdidas o falta de disponibilidad, y llegaría a ser
desastrosa.

Situaciones en las cuales la seguridad debe de controlar:

• Robo y Fraude
• Perdida de Confidencialidad
• Perdida de Privacidad
• Perdida de Integridad
• Perdida de Disponibilidad

Robo o Fraude.- Encierra a toda una organización y no solamente

tiene que ver con lo que es la base de datos, ya que son personas las
que producen tales delitos como por ejemplo la alteración de los datos.
La Confidencialidad.- Es la necesidad de tener en secreto algunos
datos, especialmente los mas críticos para la organización, ya que
podemos llegar a una perdida de competitividad.
Privacidad.- Este nos dice que es la necesidad de cuidar los datos de
las personas.
Integridad.- La perdida de integridad se basa en la aparición de datos
inválidos, y afecta directamente a la operación de la organización.
Disponibilidad.- Este nos quiere decir que si los datos, o el sistema
dejan de estar accesibles, afecta a los resultados financieros. Y para
prevenir esto podemos aplicar una operación prácticamente continua
24/7, que no es nada mas ni nada menos que estar disponible los 24
horas al día, y los 7 días de la semana.

AMENAZAS

Es una situación o un suceso en el cual esta involucrado una persona,

acción o una circunstancia que puede llegar hacer daño a la
organización, ya sea este daño tangible (perdida de hardware, software
o datos) o intangible (perdida de credibilidad o de la confianza de los
clientes). Los problemas con que toda organización o empresa se
encuentran son las posibles amenazas, y solo se podría combatir como
mínimo con la inversión del tiempo y el esfuerzo necesario.
Las amenazas se deberían ver siempre como una ruptura potencial de
seguridad, es decir que si tiene resultados podría ocasionar un impacto.
Ejemplo: la visualización y divulgación de datos no autorizados, la
amenaza seria el fraude, el robo y también la perdida de privacidad.
Se debe tener en cuenta mucho en identificar que tipo de amenaza
asecha dicha organización ya que así poder tener en marcha el plan
apropiado y su contramedida.

CONTRAMEDIDAS
Controles Informatizados

Estos controles son aplicados a las amenazas con el objetivo de

enfrentar los sistemas informáticos y van desde controles físicos hasta
procedimientos administrativos.
Controles de seguridad automático informatizado para entorno
multiusuario:
• Autorización
• Controles de acceso
• Vistas
• Copias de seguridad y recuperación

AUTORIZACION

Es el acceso legítimamente de una persona al sistema o a un objeto del

sistema.
Este proceso Implica la autenticación de los sujetos que soliciten acceso
a los objetos, donde la palabra:
Sujeto = nos representa tanto como a un usuario como a un programa.
Objeto = nos representa una tabla de la base de datos, una vista, un
procedimiento.
AUTENTICACION
Es responsabilidad del Administrador crear cuentas de usuarios
individuales para que puedan acceder al sistema informático. Cada
usuario se le da una identificación, que es utilizada por el sistema para
saber de quien se trata. Además del usuario se le asigna también una
contraseña, que es puesta por el usuario y conocida por el sistema
operativo, la misma que será suministrada por el sistema operativo para
autenticar quien es el usuario.
Usualmente le corresponde al Administrador de base de datos (DBA) la
autorización del manejo del (SGBD), a parte debe configurar cuentas de
usuario y contraseñas individuales utilizando el mismo (SGBD).

CONTROLES DE ACCESO

Esta se basa en la concesión y revocación de privilegios.

Privilegio.- Le permite al usuario crear o ingresar algún objeto de base
de datos o ejecutar ciertas utilidades del (SGBD).
Los privilegios se les dan a los usuarios para que puedan realizar tareas
requeridas por su trabajo.
Solo se debe conceder un privilegio a un usuario, los privilegios
excesivos pueden poner en cuestión los mecanismos de seguridad.

CONTROL DE ACCESO DISCRECIONAL (DAC, Discretionary Access

Control)
El Estándar de SQL: Soporta los mecanismos DAC, y sus comandos son
GRANT Y REVOKE.
Comando GRANT.- Proporciona privilegios a los usuarios.
Comando REVOKE.- Este comando en cambio hace lo contrario, se los
quita.

Este control es muy efectivo sin embargo tiene algunas debilidades, es

decir un usuario no autorizado puede engañar a otro que si lo este para
que le revele datos confidenciales.

Garantiza privilegios a usuarios, incluyendo la capacidad para acceder

archivos de datos específicos, registros o campos para operar de una
manera determinada (read, insert, delete, o update).

CONTROL DE ACCESO OBLIGATORIO (MAC, Mandatory Access

Control)

Clasifica usuarios y datos en múltiples niveles de seguridad, y luego

fuerza determinadas reglas acordes a cada nivel.
Es decir este control se basa en que no puede ser modificado por los
usuarios, se le asigna una clase de seguridad a cada objeto además a
cada usuario se le da un nivel de autorización para cada clase de
seguridad.
Uno de los tipos del MAC es el Bel-LaPalula, que describe como objetos a
lo que es relaciones, vistas, tuplas y atributos, y lo que es sujeto
podemos decir que se trata de usuarios y programas.

Existen reglas que habilitan/prohíben lecturas/escrituras en la BD, de

acuerdo a combinaciones específicas de clases de seguridad y permisos.
La mayoría de los DBMS actuales no soportan control mandatorio.
Algunas versiones lo hacen para aplicaciones específicas Ej. Defensa.

Modelo Bell-LaPadula:

Objetos (tablas, vistas, tuplas)

Sujetos (usuarios, programas de usuario)

Clases de Seguridad:

Top secret (TS) alto secreto, secret (S) secreto, confidential (C)
confidencial, unclassified (U) no clasificado.
TS > S> C > U
Cada objeto y sujeto tiene asignada una clase.
El Sujeto S puede leer el objeto O sólo si
Clase(S) >= clase(O) (Propiedad de Seguridad Simple)

El Sujeto S puede escribir el objeto O

Sólo si clase(S) <= clase(O) (Propiedad *)

Relaciones Multinivel

• Usuarios con permisos S y TS pueden ver ambas filas; si tiene permiso

C sólo ve la primera y si tiene permiso U no ve ninguna.
• Si un usuario con permiso C trata de insertar <101, Azul, Silla, C>:
• Si se permite, viola la restricción de clave
• Si no se permite, el usuario entiende que hay otro objeto con
Clave 101 que tiene clase > C!

VISTAS

Digamos que es un relación virtual en la que tenemos un resultado

dinámico de una o mas operaciones que operan sobre las relaciones de
la base y se genera en el momento en que el usuario hace una solicitud.
COPIA DE SEGURIDAD Y RECUPERACION

Es muy importante este tema ya que debemos hacer periódicamente

copias de la base de datos y del archivo de registros para garantizar de
posibles fallos que puedan tener mas adelante la base.

Integridad
Este nos ayuda a mantener un sistema de base de datos seguro para
que así le impida que lleguen los datos inválidos y para no tener posibles
errores.

CIFRADO
Es una codificación de datos que se lo realiza por medio de un algoritmo
que hace que los datos no sean legibles por ningún programa. Podemos
concluir que el cifrado oculta la información y tiene dos técnicas la una
se llama irreversible y la otra reversible.
La irreversible.- Esta técnica no permite conocer los datos originales
aunque los mismos datos se los puedan continuar usándose.
La reversible.- son las que se utilizan frecuentemente.

Bibliografía

SISTEMAS DE BASE DE DATOS

Autor: Thomas M.Connolly

Carolyn E. Begg

http://www.hospedajeydominios.com/mambo/documentacion-
manual_php-pagina-security_database.html