Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

oder anderen Kommunikationsserver vor den eigentlichen Datenbankserver geschaltet
hat. Ohne ein sogenanntes Port-Sharing mit dynamischen Ports bleibt dann natütlich die
Zahl der simultanen Clients auf einen begrenzt. Mit aktiviertem Port-Sharing, also beim
Einsatz von ORACLE als "multi threaded" Server, der vielen Clients gleichzeitig Rede und
Antwort steht, müssen nämlich in der Firewall alle Ports > 1024 für den Zugriff auf den
SQL Server geöffnet werden. Dies muß aus diesem Grund geschehen, da es ja nicht der
SQL-Server ist, der die Verbindungen zum Client anfordert, sondern es die Clients sind,
die die Ports > 1024 anfordern. Es bleibt also allein für Firewalls die Aufgabe, die IP -
Nummern der Clients zu selektieren, also nur auf Cirquit-Level den Zugriff auf den
Datenbank-Server einschränken. Für MySQL ab Version 3.20 gilt Port 3333, für die
älteren Versionen der Port 3306.
Welches sind die Gefahren, die einer Datenbank drohen ? Hier kann man mehrere
aufzählen:
1. Denial of Service durch zu zuviele Abfragen/Sekunde
2. Denial of Service durch zu komplexe Abfragen
3. Denial of Service durch fehlerhafte Statements
4. Denial of Service durch zu lange Ausgabe-Ergebnisse
5. Denial of Service durch Parameter mit Überlänge
6. Denial of Service durch "buffer overflow"
7. Einbruch in die Datenbank durch Ersniffen der Paßworte über das Netzwerk
8. Einbruch durch Fehler in der Konfiguration des Authntifizierungsmechanismus
9. Einbruch über den PDC/BDC im Falle von Microsoft Netzwerken
10. Einbruch über andere unsichere Dienste
11. Einbruch durch Erraten der Paßworte "dictionary attacks"
12. Einbruch durch unsichere Clients
13. Einbruch durch unklare Zugriffsrechte
14. Einbruch durch Replikations-Server von ACCESS
15. Einbruch durch trojanische Pferde (ODBC, ACCESS)
16. Einbruch in den ODBC Treiber (Microsoft Windows NT)
17. Einbruch über andere Sicherheitslücken
18. Ausspähen der Daten bei der Übertragung über das Netzwerk (ACCESS)
19. Zugriff mit gespoofter IP nach der Paßwort-Authentifizierung
Die Probleme sind hier unterschiedlicher Natur und von System zu System verschieden.
Hier weitere Erläuterungen zu den obigen Punkten:
1. Denial of Service durch zu viele Abfragen pro Sekunde treten häufig bei
Internet Datenbanken auf. Datenbanken sind recht schnell, wenn keine
Schreibzugriffe stattfinden, das weit größere Problem sind aber die Interfaces,
allen voran CGI-BIN´s oder ASP´s für die Ausgabe auf WWW-Browser. Eine
besonderes Problem tritt z.B. bei dem IIS-Server unter Windows NT 4.0 auf,
der bei der Eingabe von "https" anstelle von "http" durch die CPU - fressende
Verschlüsselung bei vielen simultanen Abfragen schnell zum Erliegen kommt.
2. Denial of Service durch zu komplexe Abfragen tritt relativ häufig auf. Wer
schon einmal in den großen Suchmaschinen nach Begriffen gesucht hat, die
garantiert nicht enthalten sind, wird feststellen, daß die Suchanfrage viel
Länger dauert, als wenn ein gängiger Begriff recherchiert werden soll. Wenn
mehrere dieser Begriffe noch durch ODER verknüpft werden, dann kann es
passieren, daß die Datenbank schon mit einer Anfrage Minuten beschäftigt
ist.
3. Denial of Service durch fehlerhafte Statements ist weit komplexer, als man
vielleicht ahnen kann. Hinter jeder Datenbank stecken recht viele
Möglichkeiten, Befehle miteinander zu kombinieren. Bei SQL Datenbanken
sind die Möglichkeiten so vielfältig, daß man durchaus duch geschickte
INDIZIERUNG bestimmter Fehler das tausend oder millionenfache an
Erstellt von Doc Gonzo - http://kickme.to/plugins