Eine DBMS-Sicherheitseinrichtung umfasst die Mechanismen, Richtlinien und Kontrollen, die Datenbankvertraulichkeit, Integrität und Verfügbarkeit (CIA-Trias) schützen.
Kernkomponenten der Sicherheit
1. Authentifizierung
- Verifiziert Benutzeridentität: Passwörter, MFA, Biometrie, Zertifikate, Kerberos, SSO-Integration.
- Kontosperrung, Passwortkomplexität, Rotationsrichtlinien.
2. Autorisierung
- Erteilt Berechtigungen nach Authentifizierung: GRANT/REVOKE auf Objekten (Tabellen, Ansichten, Prozeduren).
- Rollenbasierte Zugriffskontrolle (RBAC): Rollen = Berufsfunktionen; Benutzer erhalten Rollen.
- Berechtigungsstufen: SELECT, INSERT, UPDATE, DELETE, EXECUTE, ALTER, ADMIN.
3. Zugriffskontrollmodelle
- DAC (Discretionary): Eigentümer gewährt Zugriff (Standard-SQL).
- MAC (Mandatory): Sicherheitslabels (Top Secret usw.) – Militär/Regierung.
- RBAC (Role-Based): Häufigstes Unternehmensmodell.
- ABAC (Attribute-Based): Dynamische Richtlinien (Zeit, Ort, Datenempfindlichkeit).
4. Verschlüsselung
- Im Ruhezustand: TDE (Transparent Data Encryption), Spaltenebene, Tablespace.
- In Übertragung: TLS 1.2+ für Client-Server, Replikation, Backup.
- Schlüsselverwaltung: HSM, KMS, Rotation, Trennung der Aufgaben.
5. Auditing und Überwachung
- Audit-Trails: Anmeldungen, DDL/DML, fehlgeschlagene Versuche, Berechtigungsänderungen.
- Feingründiges Auditing (FGA) für sensible Spalten.
- SIEM-Integration (Splunk, QRadar, Sentinel) für Echtzeitwarnungen.
6. Backup und Wiederherstellung
- Automatisierte vollständige/differenzierte/Protokoll-Backups.
- Point-in-Time-Wiederherstellung (PITR).
- Externer/immutabler Speicher (Ransomware-Schutz).
- Regelmäßige Wiederherstellungstests.
7. Netzwerksicherheit
- Private Subnetze, VPCs, Sicherheitsgruppen, NACLs.
- Datenbank-Firewalls / SQL-Injektionsprävention (WAF, parametrisierte Abfragen).
- Private Endpunkte, keine öffentliche IP.
8. Schwachstellenmanagement
- Patch-Management (CPU/PSU für Oracle, CU für SQL Server usw.)
- Konfigurationshärtung (CIS-Benchmarks, STIGs).
- Penetrationstests, Schwachstellenscans.
9. Datenmaskierung / Redaktion
- Dynamisch (Abfragezeit) oder statisch (Kopie) Maskierung für Nicht-Produktion, Dev, Analytik.
- Formatbewahrende Verschlüsselung, Tokenisierung.
10. Compliance-Abgleich
- PCI DSS (Req 3, 7, 8, 10), HIPAA (164.312), GDPR (Art 32), SOX.
- Auditberichte, Attestationen, Zertifizierungen.
Ein Defense-in-Depth-Ansatz, der diese Ebenen kombiniert, ist für modernen Datenschutz unerlässlich.
