Seguridad Base de Datos

Slide 1

• 
• Legenda: Equipo: Ketzalli Velasco Camacho y Alexis Daniel Castañeda Cedillo

Seguridad de base de datos

• La seguridad de datos, Se trata de un aspecto que tiene que ver con la protección de datos contra accesos no autorizados y para protegerlos de una posible corrupción durante todo su ciclo de vida.
• Seguridad de datos incluye conceptos como encriptación de datos, tokenización y prácticas de gestión de claves que ayudan a proteger los datos en todas las aplicaciones y plataformas de una organización.
• La seguridad de la base de datos debe abordar y proteger lo siguiente:
• Los datos en la base de datos
• El sistema de gestión de bases de datos
• Cualquier aplicación asociada
• El servidor de base de datos físico y / o el servidor de base de datos virtual y el hardware subyacente
• La infraestructura informática y / o de red utilizada para acceder a la base de datos.
• Cuanto más accesible y utilizable es la base de datos, más vulnerable es a las amenazas de seguridad; cuanto más invulnerable es la base de datos a las amenazas, más difícil es acceder y usarla.

Consejos de seguridad

• Crea contraseñas fuertes
• Es preciso que crees contraseñas fuertes y únicas, con letras, números y símbolos que sean difíciles de descifrar. También puedes alternar entre letras mayúsculas y minúsculas, lo importante será que no sea tan simple.
• No guardes las claves
• Jamás guardes las contraseñas en tu dispositivo o dejes acceso directo a ellas. En este caso puedes optar por un gestor de contraseñas que te ayude crearlas de forma segura e incluso resguardarlas de terceros.
• Cuidado con las redes
• Debes tener mucha precaución al conectarte a una red pública y no colocar ninguna contraseña, ya que por ser pública, cierta información puede filtrarse. Es recomendable que uses una red privada virtual donde puedas cifrar los datos y la conexión.
• Utiliza alertas
• Las alertas son una gran alternativa a la hora de proteger cuentas bancarias, redes sociales, entre otras. Estas alertas se activan inmediatamente al detectar un movimiento inusual y te notificarán directamente al correo electrónico o al dispositivo que un intruso trató de acceder.

Practicas para seguridad en BD

• Restringir información>> No se debe permitir a los usuarios ver información confidencial, limita el acceso a los archivos que la contengan para que la base datos permanezca segura. Recordemos que solo personal autorizado puede ver esta informacion confidencial.
• Utiliza los sistemas necesarios>> Limitar el uso de programas en tus ordenadores, sólo usa aquellos que sean estrictamente necesarios, el exceso de programas o aplicaciones en el sistema operativo puede ser entrada fácil al acceso a la base de datos.
• Garantía de seguridad>> Es importante que los programadores garanticen la seguridad de los datos en todo momento. Por ello es necesario que constantemente revisen el buen funcionamiento de las bases de datos y la seguridad de los mismos.
• Haz copias de seguridad regularmente>> Es recomendable que hagas copias de seguridad regularmente, es una excelente manera de resguardar la base de datos.
• 

MongoDB

• Recordemos. MongoDB es una base de datos orientada a documentos. Esto quiere decir que en lugar de guardar los datos en registros, guarda los datos en documentos. Estos documentos son almacenados en BSON, que es una representación binaria de JSON.
• Una de las diferencias más importantes con respecto a las bases de datos relacionales, es que no es necesario seguir un esquema. Los documentos de una misma colección - concepto similar a una tabla de una base de datos relacional -, pueden tener esquemas diferentes.
• 

Seguridad en MongoDB

• Cualquier sistema de seguridad requiere de un primer paso, que es el acceso del usuario al sistema. Este acceso se divide en dos partes:
• Autentificación o autenticación "¿quién eres?": el sistema pide al usuario que se identifique, el usuario proporciona sus credenciales, y el sistema le permite acceder.
• Autorización "¿a qué tienes acceso?": una vez autentificado, el sistema debe decidir a qué recursos tiene acceso el usuario (con su correspondiente nivel de privilegios y acciones permitidas), y a cuáles tiene su acceso prohibido.
• MECANISMOS DE AUTENTIFICACIÓN EN MONGODB
• MongoDB dispone de 4 mecanismos de autentificación, ordenados de menos a más seguro:
• SCRAM
• X.509:
• LDAP
• KERBEROS
• MECANISMO DE AUTORIZACIÓN EN MONGODB
• MongoDB dispone de un sistema de control de acceso basado en roles. En él, cada usuario pertenece a uno o más roles. Cada rol dispone de uno o más privilegios. De esta forma se favorece un alto grado de aislamiento de responsabilidades en las tareas operacionales.

Implementación Seguridad

• 
• Básicamente se activan:
• La autenticación de usuarios
• Sólo se permiten conexiones desde la ip indicada (en este caso la ip local)
• Se cambia el puerto por defecto al que deseemos
• Se deshabilita cualquier acceso vía http tanto a la parte de administración como a la API Rest.
• Lo siguiente sería crear los usuarios con acceso a la base de datos (colección) que deseemos.
• Los pasos a seguir serían:
• Crear usuario admin con el role “root” en la bd admin
• Crear usuario ejemplo con el role “dwOwner” en la bd ejemplo
• Modificar el fichero .config con la configuración propuesta
• Reiniciar el servicio de Mongo

Implementación MongoDB

• IP Binding
• Modificaremos nuestro archivo mongod.conf configurando la propiedad bindip a la ip privada de la instancia, de este modo sólo se podrá acceder a la base de datos desde nuestra red privada.
• La configuracion quedaria:
• net: port: 27017 bindIp: 10.131.82.47
• Firewall
• Añadiendo un par de simples reglas de firewall podremos restringuir cualquier entrada desde una dirección sospechosa.
• ufw allow from {ip} to any port 27017
• Usuarios y roles
• Una buena practica de seguridad consiste en crear usuarios con los permisos estrictamente necesarios en cada una de nuestras bases de datos. En nuestro caso, crearemos un usuario que pueda leer y modificar evitando cualquier otro privilegio innecesario.
• db.createUser( { user: "{user}", pwd: "{pass}", roles: [ { role: "readWrite", db: "{mydb}" } ] } )

Bibliografía

• Carrasco, R. (s. f.). La seguridad en MongoDB | ramoncarrasco.es. RamonCarrasco. Recuperado 13 de mayo de 2021, de https://www.ramoncarrasco.es/es/content/es/kb/134/la-seguridad-en-mongodb
• A. (2020a, noviembre 23). Seguridad en Bases de Datos. Onyx Systems. https://blog.onyxsystems.es/seguridad-en-bases-de-datos/#:%7E:text=La%20seguridad%20en%20base%20de%20datos%20significa%20el,cibern%C3%A9ticos%20que%20puedan%20robar%20informaci%C3%B3n%20de%20sus%20archivos.
• C. (2021, 3 febrero). Ciberseguridad de las bases de datos. Ciberseguridad. https://ciberseguridad.com/guias/bases-datos/
• Fernández, A. F. (2019, 17 septiembre). Aplicando seguridad a mongoDB. Antonio Fernández - Desarrollador de software | Emprendedor. https://antoniofernandez.com/seguridad-mongodb-produccion/
• R. (2014, 3 febrero). MongoDB: qué es, cómo funciona y cuándo podemos usarlo (o no). Genbeta. https://www.genbeta.com/desarrollo/mongodb-que-es-como-funciona-y-cuando-podemos-usarlo-o-no