Pengujian Database - Keamanan

Pengujian keamanan basis data dilakukan untuk menemukan celah-celah dalam mekanisme keamanan dan juga untuk menemukan kerentanan atau kelemahan sistem basis data.

Sasaran utama dari pengujian keamanan database adalah untuk mengetahui kerentanan dalam sistem dan untuk menentukan apakah data dan sumber dayanya dilindungi dari penyusup potensial. Pengujian keamanan menentukan cara untuk mengidentifikasi potensi kerentanan secara efektif, bila dilakukan secara teratur.

Diberikan di bawah ini adalah tujuan utama melakukan pengujian keamanan database -

Authentication
Authorization
Confidentiality
Availability
Integrity
Resilience

Jenis Ancaman pada Sistem Database

Injeksi SQL

Ini adalah jenis serangan yang paling umum dalam sistem database di mana pernyataan SQL yang berbahaya dimasukkan ke dalam sistem database dan dijalankan untuk mendapatkan informasi penting dari sistem database. Serangan ini memanfaatkan celah dalam implementasi aplikasi pengguna. Untuk mencegah hal ini, bidang masukan pengguna harus ditangani dengan hati-hati.

Elevasi Hak Istimewa dalam Database

Dalam serangan ini, pengguna sudah memiliki beberapa akses dalam sistem database dan dia hanya mencoba untuk meningkatkan akses ini ke tingkat yang lebih tinggi sehingga dia dapat melakukan beberapa aktivitas yang tidak sah dalam sistem database.

Kegagalan layanan

Dalam jenis serangan ini, penyerang membuat sistem database atau sumber daya aplikasi tidak tersedia untuk pengguna yang sah. Aplikasi juga dapat diserang dengan cara yang membuat aplikasi, dan terkadang seluruh mesin, tidak dapat digunakan.

Akses tidak sah ke data

Jenis serangan lainnya adalah mendapatkan akses tidak sah ke data dalam aplikasi atau sistem database. Akses tidak sah termasuk -

Akses tidak sah ke data melalui aplikasi berbasis pengguna
Akses tidak sah dengan memantau akses orang lain
Akses tidak sah ke informasi otentikasi klien yang dapat digunakan kembali

Spoofing Identitas

Dalam Identity Spoofing, peretas menggunakan kredensial pengguna atau perangkat untuk meluncurkan serangan terhadap host jaringan, mencuri data, atau melewati kontrol akses ke sistem database. Mencegah serangan ini membutuhkan infrastruktur TI dan mitigasi tingkat jaringan.

Manipulasi data

Dalam serangan manipulasi data, seorang hacker mengubah data untuk mendapatkan keuntungan atau merusak citra pemilik database.

Teknik Pengujian Keamanan Basis Data

Pengujian Penetrasi

Tes penetrasi adalah serangan terhadap sistem komputer dengan tujuan menemukan celah keamanan, yang berpotensi mendapatkan akses ke sana, fungsionalitas, dan datanya.

Penemuan Resiko

Risk Finding adalah proses menilai dan memutuskan risiko yang terkait dengan jenis kerugian dan kemungkinan terjadinya kerentanan. Ini ditentukan di dalam organisasi dengan berbagai wawancara, diskusi dan analisis.

Tes Injeksi SQL

Ini melibatkan pemeriksaan input pengguna di bidang aplikasi. Misalnya, memasukkan karakter khusus seperti ',' atau ';' di kotak teks mana pun di aplikasi pengguna seharusnya tidak diizinkan. Ketika terjadi kesalahan database, itu berarti input pengguna dimasukkan ke dalam beberapa query, yang kemudian dieksekusi oleh aplikasi. Dalam kasus seperti itu, aplikasi rentan terhadap injeksi SQL.

Serangan ini merupakan ancaman besar bagi data karena penyerang bisa mendapatkan akses ke informasi penting dari database server. Untuk memeriksa titik masuk injeksi SQL ke dalam aplikasi web Anda, cari tahu kode dari basis kode Anda tempat kueri MySQL langsung dijalankan pada database dengan menerima beberapa masukan pengguna.

Pengujian Injeksi SQL dapat dilakukan untuk Tanda Kurung, Koma, dan Kutipan.

Pembobolan Kata Sandi

Ini adalah pemeriksaan paling penting saat melakukan pengujian sistem database. Untuk mengakses informasi penting, peretas dapat menggunakan alat peretas kata sandi atau dapat menebak nama pengguna / kata sandi yang umum. Kata sandi umum ini dengan mudah tersedia di internet dan juga alat peretas kata sandi tersedia secara bebas.

Oleh karena itu, perlu untuk memeriksa pada saat pengujian apakah kebijakan kata sandi dipertahankan dalam sistem. Dalam kasus aplikasi perbankan dan keuangan, ada kebutuhan untuk menetapkan kebijakan sandi yang ketat pada semua sistem basis data informasi penting.

Audit Keamanan Sistem Basis Data

Audit keamanan adalah proses mengevaluasi kebijakan keamanan perusahaan pada interval waktu yang teratur untuk menentukan apakah standar yang diperlukan diikuti atau tidak. Berbagai standar keamanan dapat diikuti sesuai kebutuhan bisnis untuk menentukan kebijakan keamanan dan kemudian penilaian kebijakan yang ditetapkan terhadap standar tersebut dapat dilakukan.

Contoh standar keamanan yang paling umum adalah ISO 27001, BS15999, dll.

Alat Pengujian Keamanan Database

Ada berbagai alat pengujian sistem yang tersedia di pasar, yang dapat digunakan untuk menguji OS dan pemeriksaan aplikasi. Beberapa alat yang paling umum dibahas di bawah ini.

Proxy Serangan Zed

Ini adalah alat pengujian penetrasi untuk menemukan kerentanan dalam aplikasi web. Ini dirancang untuk digunakan oleh orang-orang dengan berbagai pengalaman keamanan dan karenanya sangat ideal untuk pengembang dan penguji fungsional yang baru mengenal pengujian penetrasi. Biasanya digunakan untuk Windows, Linux, Mac OS.

Paros

Semua data HTTP dan HTTPS antara server dan klien, termasuk cookie dan bidang formulir, dapat disadap dan dimodifikasi menggunakan pemindai ini. Digunakan untuk Cross-platform, Java JRE / JDK 1.4.2 atau lebih tinggi.

Perangkat Insinyur Sosial

Ini adalah alat open source dan elemen manusia diserang daripada elemen sistem. Ini memungkinkan Anda untuk mengirim email, applet java, dll. Yang berisi kode serangan. Ini lebih disukai untuk Linux, Apple Mac OS X dan Microsoft Windows.

Ikan cakalang

Alat ini digunakan untuk memindai situs mereka dari kerentanan. Laporan yang dihasilkan oleh alat ini dimaksudkan sebagai dasar untuk penilaian keamanan aplikasi web profesional. Ini lebih disukai untuk Linux, FreeBSD, MacOS X, dan Windows.

Vega

Ini adalah alat keamanan web multiplatform sumber terbuka yang digunakan untuk menemukan contoh injeksi SQL, skrip lintas situs (XSS), dan kerentanan lainnya dalam aplikasi web. Ini lebih disukai untuk Java, Linux, dan Windows.

Wapiti

Wapiti adalah perangkat open source dan berbasis web yang memindai halaman web aplikasi web dan memeriksa skrip dan formulir yang dapat memasukkan data. Itu dibangun dengan Python dan dapat mendeteksi kesalahan penanganan File, database, XSS, injeksi LDAP dan CRLF, deteksi eksekusi Perintah.

Web Scarab

Itu ditulis dalam Java dan digunakan untuk menganalisis aplikasi yang berkomunikasi melalui protokol HTTP / HTTPS. Alat ini dirancang terutama untuk pengembang yang dapat menulis kode sendiri. Alat ini tidak bergantung pada OS.