Veri Tabanı Güvenliği

Uygulamalarda içeriklerin dinamikleştirilmesi ve kişilere özel sunumlar ve işlemler yapılabilmesi için bilindiği gibi veritabanı sistemleri kullanılmaktadır. İlgili sistemler bir yandan uygulamalarda bize kullanış kolaylığı sağladığı gibi bir yandan da çok geniş yelpazede bir atak yüzeyi sunmaktadır. Bu yazıda uygulamaların SQL ve NoSql veritabanı güvenli konfigürasyonu hakkında konulardan bahsedilecektir. Bu makale oluşturulurken kaynaklarda belirtilen Owasp serileriden faydalanılmıştır. Ayrıca kodsal düzeyde fortifyla yapılan taramalarda çıkan bulgulardan bir kaçını inleyeceğiz.

Backend Veritabanlarının Korunması

Backend veritabanlarını diğer sunuculardan izole edilerek mümkün olduğunca az sayıda hosta hizmet vermesi sağlanmalıdır. Tabiki bu kısım ağ mimarisine göre değişecektir.

Aşağıda yazılan maddeler bu kapsamda yönlendirici olacaktır:

Tcp bağlantılarını devre dışı bırakarak tğm erişimlerin yerel soket dosyası üzerinden okunacak şekilde yapılandırılması.
Veritabanının yalnızca localhost üzerinden çalışacak şekidle yapılandırılması
Portlara erişimin firewall kurallarıyla kısıtlanması
Veritabanu sunucusunun uygulama sunucusundan izole edilmiş ayrı bir DMZ te tutulması.
Veritabanı yönetimi amacıyla kullanılan phpmyadmin gibi web tabanlı uygulamalarda aynı şekilde korunmalıdır.

Uygulamanın büyük kısmı kullanıcı tarafında çalışıyorsa thick client gibi bu şekilde güvenilmeyen sistemlerde erişim kontrollerinin kısıtlanabileceği API üzerinden veritabanına iletişim kurmalıdır.

Taşıma Katmanı Korumasını Uygulamak

Veritabanı sistemlerinin çoğu varsayılandaki yapılandırması şifrelenmemiş ağ bağlantıları (Microsoft Sql Server gibi ilk bağlantıda ) ve tahmin edilebilir parolalar ile çalışır. İlk iletişimin şifreli olduğu bağlantılarda sonraki iletişimde şifresiz olarak devam edeceği için tüm hassas bilgileri açık metin olarak iletilecektir.

Trafiği şifrelenmesi için aşağıdaki önerilerin takip edilmesi fyadalı olacaktır:

Veritabanının yalnızca şifrelenmiş iletişimler kuracağı şekilde yapılandırılması
Sunucuya yetkili otoriteler tarafından imzalanmış güvenilir bir sertifika yüklenmesi
İstemci uygulamaları TLSv1.2+ ve modern cipher (e.g, AES-GCM or ChaCha20) larla kullanılması.

Güvenli Kimlik Doğrulama Yapılandırması

Veritabanları yerel sunuculardan bağlantı isteği gelsede daima kimlik doğrulama istemeledir.

Veri tabanı hesapları:

Güçlü ve benzersiz parolalarla korunmalı
Yalnızca bir uygulama veya hizmet tarafından kullanılmalı
Minimum izinlerle kullanılmalıdır.

Mevcut hesapların rutin yönetim süreçleri aşağıdaki gibi olmalıdır:

Hesapların hala kullanılıp kullanılmadığının tespit edilmesi.
İzinlerin kontrol edilmesi,yeni eklenen farklı uygulama 3. Parti uygulamaların izinlerinin gözden geçirilmesi.
Devre bırakılan, askıya alınan, uzun süre kullanılmayan, eski versiyonu kaldırılmamış fakat kullanımda olmayan uygulamaların veritabanı kullanıcı hesapları denetlenmeli ve kaldırılmalıdır.
Ayrılan personelin ya da herhangi bir şekilde saldırıya uğramış ve/veya hesapları ele geçirilmişse hesabı kaldırılmalıdır.

Microsoft SQL Server için, SQL Server hesapları yerine mevcut Windows hesaplarının kullanılmasıyla uygulama bu kullanıcılarla sisteme bağlaancaktır. Bu sayede de ilgili kimlik bilgilerini saklama gereksinimide ortadan kalkacaktır. MySQL için de “Windows Native Authentication Plugins” eklentisi benzer kullanım kolaylığı sağlar.

Veritabanı Kimlik Bilgilerini Güvenli Bir Şekilde Saklama

Uygulamanın kaynak kodunda veritabanı kimlik bilgileri, şifreli ya da açık metin olarak saklanmamalıdır. Ayrıca bu kimlik bilgileri pentest aşamalarında da karşıldığı gibi test aşamalarında kullanılması için yorum satırı olarakta bırakılmamalı/unutulmamalıdır.

Bunun yerine, şu şekilde yapılandırılmış bir dosyada saklanmalıdırlar:

Uygulama kök dizinin dışında yer almalıdır.
Yalnızca dosyayı okuması gereken kişilere sadece okuma izni verilmelidir.
Github, gitlab gibi platformlara bu dosyalar yüklenmemelidir.
ASP.NET’teki web.config te bulunan şifreleme yöntemleri gibi yöntemlerle bu parolalar şifrelenmelidir.

Güvenli İzinler Oluşturma

Veritabanı yöneticileri kullanıcı hesaplarına uygulamaların çalışabileceği en düşük ayrıcalıklı şekilde izin tanımlamalıdır.

Tüm ortamlarda aşağıdakileri yapabilirsiniz:

root, sa ve SYS hesaplarınının kullanmaması
Hesaplara veritabanı yönetici haklarının verilmemesi
Yalnızca izin verilen localhost yada uygulama sunucusunun adresi gibi adreslerden bağlanılması sağlanması
Hesabın yalnızca erişmesi gereken veritabanlarına erişmesinin sağlanması, geliştirme uat ve production ortamlarının tümünün veritabanı ve hesaplarının ayrı tutulması
Veritabanında kullanıcıların çalıştırdığı genelde uygulamalarda çalıştırılan Select,Update ve Delete sorguları haricindeki sorguların kısıtlanması, Hesabın veritabanı sahibi olması yetki yükseltme zafiyetine sebep olabilir.
Bir veritabanın diğer veritabanına gerekmedikçe doğrudan erişecek şekilde yapılandırılmaması, Eğer zorunlu bir durum varsa kullanıcının minimum yetkilerle tablo ve veritabanlarına erişimin sağlayacak şekilde oluşturulması

Kritik seviyede hassas bilgiler içeren uygulamalar için izinlerin aşağıdaki gibi daha sıkı uygulanması önerilir:

Tablo düzeyinde izinler
Sütun düzeyinde izinler
Satır düzeyinde izinler.
Verilerin tutulduğu asıl tablolar yerine kısıtlı erişimlerle işlem yapmayı sağlayan viewlerin oluşturularak kullanılması

Veritabanı Yapılandırması ve Sıkılaştırma

Veritabanı sunucusunun işletim sistemi, CIS Benchmark’ları veya Microsoft Güvenlik Benchmark’ları gibi güvenli bir kontrol listesiyle bilikte sıkılaştırılmalıdır.

Veritabanı uygulaması da kısıtlamalar ve erişimlerle birlikte kontrol edilerek düzgün bir şekilde yapılandırılmalı ve sertleştirilmelidir.

Aşağıdaki maddeler, mevcutta bulunan tüm veritabanı uygulamaları ve platformları için uygulanmalıdır:

Güncellemelerin takip edilmesi ve güvenli şekilde yüklenmesi
Veritabanı hizmetlerini düşük ayrıcalıklı bir kullanıcı hesabı altında çalışacak şekilde yapılandırın.
Varsayılan sistem hesaplarının ve veritabanlarının kaldırılması
Loglarla veritabanını dosyalarının farklı disklere konumlandırılması
Veritabanının düzenli yedeklerinin alınarak uygun izinlerde korunması ve şifrelenmesi

Ek olarak aşağıda bulunan maddelerle belirli veritabanı yazılımları için önerileri bulabilirsiniz

MSSQL Server Güvenlik Sıkılaştırması

SQL Server Configuration Manager yada SQL Server Surface Area Configuration gibi araçlarla gereksiz hizmetleri, özellikleri ve protokollerin devre dışı bırakılması
Xp_cmdshell ve xp_dirtree gibi kullanılması gerekmeyen prosedürlerin devre dışı bırakılması,
Uygulamaların çeşitli dillerde (C#, VB.NET, F#, vb.) yazılmasını ve bu dillerdeki kodların ortak ortamında çalıştırılmasını sağlayan CLR nin devre dışı bırakılması,
SQL Browser servisinin devre dışı bırakılması,
Hem SQL Server Authentication hem de Windows Authentication da oturum açma imkanı sağlayan Mixed Mode Authentication kimlik doğrulama metodunun devre dışı bırakılması,
Merkezi yönetimi bulunan bir log inceleme sistemiyle yetkisiz erişim ve veri hırsızlığına karşı sistemin incelenmesi,
Northwind and AdventureWorks veritabanlarının kaldırılması,

MySQL Güvenlik Sıkılaştırması

mysql_secure_installation script inin çalıştırılarak varsayılan veritabanı ve hesapların silinmesi,
LOAD_FILE() ve INTO OUTFILE gibi fonksiyonlarla dosyalara yazma ve okuma yapabildiği için FILE yetkilerinin tüm kullanıcılar için devre dışı bırakılması
MySQL güvenlik eklentilerinin, MySQL Enterprise Firewall gibi, etkinleştirilmesi
MySQL’de veritabanı tablolarınının, InnoDB table encryption veya MariaDB encryptions gibi özelliklerle, şifrelenerek korunması

İlgili sıkılaştırma politikalarının daha detaylı incelenmesi için aşağıdaki linkler incelenebilir.

https://mariadb.com/kb/en/library/securing-mariadb/

https://dev.mysql.com/doc/refman/8.0/en/security-guidelines.html

PostgreSQL Güvenlik Sıkılaştırması

Gereksiz PostgreSQL modül ve uzantılarının devre dışı bırakılması,
PostgreSQL’de kullanıcı erişimi ve izinleri yönetmek için rol tabanlı erişim kontrolü (RBAC) uygulanması,
PostgreSQL’de pgcrypto gibi şifreleme modülleriyle veri şifrelemesi kullanılması,

Oracle Veritabanı Güvenlik Sıkılaştırması

Oracle Advanced Security ile veritabanı bağlantılarını ve veritabanı dosyalarını şifrelenmesi
Veri erişimi güvenliğini artırmak için Oracle Database Vault gibi güvenlik özelliklerinin mimariye yapıya göre kullanılması
Oracle Database’de gereksiz servisleri, işlevleri ve bağlantıları devre dışı bırakılması,

Veritabanı güvenliği, sadece yazılım ve donanım yapılandırmalarıyla sınırlı kalmayıp, aynı zamanda sürekli izleme, güncellemeler ve güvenlik politikalarının düzenli olarak gözden geçirilmesi ile sağlanmalıdır.

Fortify Bulguları

Bu bölümde Webgoat ve bazı örnek projelerden derlenen bazı fortify veritabanı bulgularını incelenecektir.

Aşağıdaki ekran görüntüsü verilen bulgu “Unreleased Resource Database” bulgusudur. İlgili bulgunun kaynak kodlarına inilerek bakıldığında oluşturulan conn nesnesinin kullanıldıktan sonra kaldırılmasını önermektedir.

Bir diğer aşağıda ekran görüntüsü bulunan “Access Control: Database” bulgusu olan erişim denetimi yapılmadan kullanılan bir fonksiyonun saldırganlar tarafından çalıştırılarak yetkisiz şekilde kayıtlara erişim sağlanacağını belirten bir bulgudur.

Aşağıdaki ekran görüntüsü bulunan “Insecure Transport: Database” bulgusu ise bir .net projesindeki web.config dosyasında bulunan veritabanı bağlantısı için yazılan connectionString içinde tanımlanan veritabanı güvensiz bağlantısını ifade etmektedir.

Fortify kod seviyesinde bulduğu zafiyetlerin bir kaçına değinildi. Bununda yanında SQL injection gibi doğrudan ya da dolaylı olarak veritabanını ilgilediren farklı zafiyetleride bulmaktadır.

Sonraki yazılarda görüşmek üzere.