Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Parameterlängen für die Befehle müssen dann nochmals in der Länge beschränkt werden,
was nur dann möglich ist, wenn man die Inhalte der Datenbank bzw. der Felder genau
kennt. Da sich auch unter SQL mehrere Befehle kombinieren lassen, muß auch deren
Kombinationsmöglichkeit stark eingeschränkt werden. Zum Schluß ist es wichtig, zu
verhindern, daß Angreifer über andere Ports in die Maschine einbrechen und die
komplette Datenbank mit Hilfe von anderen Protokollen über die Firewall kopieren. Es
muß also zum Schutz der SQL Datenbanken die Firewall noch gegen sog. insider attacks
gesichert werden. Dies bedeutet in der Praxis, daß auf der Firewall neben der SQL
Datenbank keine anderen Funktionen aktiviert sein dürfen, und daß die Firewall sofort
Alarm meldet, wenn jemand versucht, z.B. eine FTP Verbindung von innen heraus zu
öffnen. Im Grunde muß also eine Firewall, die eine SQL Datenbank sichern soll, gegen
Angreifer von außen und innen schützen. Ein PROXY, der Inhalte filtern kann, ist bei
ORACLE erhältlich. PERL Skripte tun's im Prinzip aber auch. Man findet auf
http://www.perl.org/CPAN/ einige Hinweise auf Filter.
Es gibt aber noch einige Probleme mit den neuen JDBC-Treibern von ORACLE 8i. Der
JDBC Thin Driver ist ein Klasse 4 Treiber, und erfordert folgende Besonderheit, hier ein
Zitat von ORACLE:
In Netscape 4.0 this involves signing your applet, then opening your
connection as follows. Please refer to your browser documentation for the
many details you have to take care of.
netscape.security.PrivilegeManager.enablePrivilege
("UniversalConnect");
connection = DriverManager.getConnection
("jdbc:oracle:thin:scott/tiger@dlsun511:1721:orcl");
Firewall Considerations
The JDBC Thin driver cannot connect to a database from behind a firewall.
The firewall prevents the browser from opening a TCP/IP socket to the
database.
This problem can be solved by using a Net8 compliant firewall and using
connect strings in the applet that are compliant with the firewall
configuration. This solution really only works for an intranet, because the
connect string is dependent on the firewall behind which the client browser
is running.
ORACLE ist ja nun auch unter LINUX und FreeBSD (das ist das Betriebssystem des
geheimnisvollen Oracle 8i Database-Servers) verfügbar ist, möchte ich hier an dieser
Stelle noch ein Zitat aus dem Handbuch von ORACLE erwähnen:
"When the IP port number of the SQL*Net connection can be determined in advance, such
as 1521, then connection can be permitted with some degree of security. Systems running
multi-threaded servers, pre-spawned servers, or ones with architectures that do not
support IP port sharing, require dynamic port allocation which tends to prevent
connections. Firewall support where IP port redirection is employed requires an intelligent
filter to monitor the port redirection information during the connect phase so that the filter
can selectively open up the required port. Alternatively, a wide range of ports would have
to be opened in advance, which would severely compromise security. In an application
proxy solution the proxy itself handles IP port redirection issues."
1. Multi-Threaded Server (MTS) and pre-spawned servers always use dynamic
port numbers.
2. "Dedicated Server" may either use 1. single port number say 1521 ; or
2.dynamic port numbers. Wherever possible, the first option is taken. It is the
operating system and TCP/IP protocol implementation that determines which
option is taken, not the version of Oracle or SQL*Net.
Erstellt von Doc Gonzo - http://kickme.to/plugins