La mayora de las empresas tienen diferentes tipos de datos para almacenar

informacin del negocio y mantener la produccin sin contratiempos. Los datos

pueden estar en diferentes formatos, uno de esos son las bases de datos.
1. Para afianzar los conceptos de asegurabilidad de las base de datos se
plantea seleccionar 5 diferentes bases de datos comerciales y de libre
distribucin, para revisar, describir los temas referentes a la seguridad de las
mismas, teniendo en cuenta lo siguiente:
ORACLE: Es un sistema de gestin de base de datos relacional (o RDBMS por el
acrnimo en ingls de Relational Data Base Management System), fabricado
por Oracle Corporation.
Se considera a Oracle como uno de los sistemas de bases de datos ms
completos, destacando su:

Soporte de transacciones.

Estabilidad.

Escalabilidad.

Es multiplataforma.
Ref: https://basesdedatos.wordpress.com/sgbd-comerciales/

Proporciona seguridad multicapa que abarca prevencin, deteccin y control

administrativo. Esto incluye el cifrado transparente de datos, redaccin de datos,
enmascaramiento de datos, controles de usuario con privilegios, anlisis de uso de
privilegios, auditora condicional y seguridad de las aplicaciones reales.
Combinado con otras herramientas de la marca, Oracle proporciona controles muy
innovadores para ayudar a las organizaciones a abordar los requisitos de
seguridad y cumplimiento existentes y emergentes.

MySQL:
Es un sistema de gestin de base de datos relacional, multihilo y multiusuario con
ms de seis millones de instalaciones. MySQL AB desarrolla MySQL
como software libre en un esquema de licenciamiento dual. Por un lado lo ofrece
bajo la GNU GPL, pero, empresas que quieran incorporarlo en productos
privativos pueden comprar a la empresa una licencia que les permita ese uso.
Est desarrollado en su mayor parte en ANSI C.

Al contrario de proyectos como el Apache, donde el software es desarrollado por

una comunidad pblica, y el copyright del cdigo est en poder del autor
individual, MySQL es propiedad y est patrocinado por una empresa privada, que
posee el copyright de la mayor parte del cdigo. Esto es lo que posibilita el
esquema de licenciamiento anteriormente mencionado. Adems de la venta de
licencias privativas, la compaa ofrece soporte y servicios. Para sus operaciones
contratan trabajadores alrededor del mundo que colaboran va Internet. MySQL AB
fue fundado por David Axmark, Allan Larsson, y Michael Widenius.

Microsoft SQL Server:

Es un sistema de gestin de bases de datos relacionales (SGBD) basada en el
lenguajeTransact-SQL, capaz de poner a disposicin de muchos usuarios grandes
cantidades de datos de manera simultnea. As de tener unas ventajas que a
continuacin
se
pueden
describir.
Entre sus caractersticas figuran:

Soporte de transacciones.

Escalabilidad, estabilidad y seguridad.

Soporta procedimientos almacenados.

Incluye tambin un potente entorno grfico de administracin, que permite

el uso de comandos DDL y DML grficamente.

Permite trabajar en modo cliente-servidor donde la informacin y datos se

alojan en el servidor y las terminales o clientes de la red slo acceden a la
informacin.

Adems permite administrar informacin de otros servidores de datos

Este sistema incluye una versin reducida, llamada MSDE con el mismo motor de
base de datos pero orientado a proyectos ms pequeos, que en su versin 2005
pasa a ser el SQL Express Edition.
Microsoft SQL Server constituye la alternativa de Microsoft a otros sistemas
gestores de bases de datos como son Oracle, Sybase ASE o MySQL.
Es comn desarrollar completos proyectos complementando Microsoft SQL Server
yMicrosoft Access a travs de los llamados ADP (Access Data Project). De esta
forma se completa una potente base de datos (Microsoft SQL Server) con un
entorno de desarrollo cmodo y de alto rendimiento (VBA Access) a travs de la
implementacin de aplicaciones de dos capas mediante el uso de
formularios Windows.

Para el desarrollo de aplicaciones ms complejas (tres o ms capas), Microsoft

SQL Server incluye interfaces de acceso para varias plataformas de desarrollo,
entre ellas.NET.
Microsoft SQL Server, al contrario de su ms cercana competencia, no es
multiplataforma, ya que slo est disponible en Sistemas Operativos de Microsoft.
Ref: https://basesdedatos.wordpress.com/sgbd-comerciales/

QL Server incluye muchas caractersticas que admiten la creacin de aplicaciones

de base de datos seguras.
Las consideraciones comunes de seguridad, como el robo de datos o el
vandalismo, se aplican independientemente de la versin de SQL Server que se
use. La integridad de los datos tambin se debe considerar como un problema de
seguridad. Si los datos no estn protegidos, es posible que acaben perdiendo su
valor si se permite la manipulacin de datos ad hot y los datos se modifican sin
intencin o de forma malintencionada con valores incorrectos o bien se eliminan
por completo. Adems, a menudo existen requisitos legales que se deben cumplir,
como el almacenamiento correcto de informacin confidencial. El almacenamiento
de determinados tipos de datos personales est totalmente prohibido, en funcin
de las leyes que se apliquen en una jurisdiccin determinada.
Cada versin de SQL Server incluye diferentes caractersticas de seguridad, del
mismo modo que las versiones de Windows ms recientes mejoran la
funcionalidad respecto a las anteriores. Es importante comprender que las
caractersticas de seguridad no pueden garantizar por s solas una aplicacin de
base de datos segura. Cada aplicacin de base de datos es nica en lo que
respecta a los requisitos, el entorno de ejecucin, el modelo de implementacin, la
ubicacin fsica y el rellenado por parte del usuario. Algunas aplicaciones que son
locales en cuanto al mbito pueden necesitar una seguridad mnima, en tanto que
otras aplicaciones locales o las aplicaciones implementadas en Internet pueden
precisar medidas estrictas de seguridad y supervisin y evaluacin continuas.
Los requisitos de seguridad de una aplicacin de base de datos de SQL Server se
deben tener en cuenta en el tiempo de diseo, no a posteriori. La evaluacin de
las amenazas en las primeras fases del ciclo de desarrollo permite reducir al
mnimo los posibles daos cuando se detecte una vulnerabilidad.
Sin embargo, a pesar de que el diseo inicial de la aplicacin resulte adecuado,
pueden surgir nuevas amenazas a medida que evoluciona el sistema. La creacin
de varias lneas de defensa en torno a la base de datos permite reducir al mnimo
los daos producidos por una infraccin de seguridad. La primera lnea de defensa
consiste en reducir el rea de ataque; para ello, no se deben conceder ms
permisos que los estrictamente necesarios.

Ref: https://msdn.microsoft.com/es-es/library/bb669074%28v=vs.110%29.aspx

DB2: DB2 es un producto de base de datos de IBM. Se trata de un sistema de

gestin de bases de datos relacionales (RDBMS). DB2 est diseado para
almacenar, analizar y recuperar los datos de manera eficiente. Producto DB2 se
ampla con el respaldo de los servicios orientados a objetos y estructuras no
relacionales con XML.
Inicialmente, IBM haba desarrollado producto DB2 para su plataforma
especfica. Desde el ao 1990, se decidi desarrollar una base de datos
Universal Database (UDB) Server DB2, que puede ejecutarse en cualquier
sistema operativo con autoridad, como Linux, UNIX y Windows.
Permite el manejo de objetos grandes (hasta 2 GB), la definicin de datos y
funciones por parte del usuario, el chequeo de integridad referencial, SQL
recursivo, soporte multimedia: texto, imgenes, video, audio; queries paralelos,
commit de dos fases, backup/recuperacin online y offline.
Adems cuenta con un monitor grfico de performance el cual posibilita observar
el tiempo de ejecucin de una sentencia SQL y corregir detalles para aumentar el
rendimiento.
Mediante los extensores se realiza el manejo de los datos no tradicionales, por
ejemplo si tengo un donde tengo almacenados los curriculums de varias personas,
mediante este puedo realizar bsquedas documentos con los datos que me
interesen sin tener que ver los CV uno por uno.
Esta capacidad se utiliza en sistemas de bsqueda de personas por huellas
digitales, en sistemas informacin geogrfica, etc.
Internet es siempre la gran estrella, con DB2 es posible acceder a los datos
usando JDBC (tan potente como escribir directamente C contra la base de datos),
Java y SQL (tanto el SQL esttico, como complementa el SQL dinmico).

Permite agilizar el tiempo de respuestas de esta consulta

Recuperacin utilizando accesos de slo ndices.
Predicados correlacionados.
Tablas de resumen
Tablas replicadas

Uniones hash
DB2 utiliza una combinacin de seguridad externa y control interno de acceso
a proteger datos.
DB2 proporciona un juego de datos de acceso de las interfaces para los
diferentes tipos de usuarios y aplicaciones.
DB2 guarda sus datos contra la prdida, acceso desautorizado, o entradas
invlidas.
Usted puede realizar la administracin de la DB2 desde cualquier puesto de
trabajo.
La tecnologa de replicacin heterognea (heterogeneous replication) en SQL
Server permite la publicacin automtica de los datos en otros sistemas que no
sean SQL Server, entre los que se incluyen DB2.
La mayora de los que utilizan equipos IBM utilizan DB2 porque es confiable y
tiene un muy buen soporte tcnico".
El DB2 se basa en dos ejes que lo hacen fuerte en su rendimiento: utiliza un
sistema multiprocesador (SMP) simtrico y un sistema de procesador paralelo
masivo.
el DB2 distribuye y recuerda la ubicacin de cada pista donde se encuentra la
informacin. En el contexto de una larga base de datos, este sistema de
particin hace que la administracin sea mucho ms fcil de manejar que una
base de datos de la misma medida no particionada.
La base de datos se puede programar para tener una exacta cantidad de
particiones que contienen la informacin del usuario, ndice, clave de
transaccin y archivos de configuracin. De esta forma, los administradores
definen grupos de nodos, que son una serie de particiones de la base, lo que
posteriormente facilita cualquier bsqueda.

Ref: http://www.monografias.com/trabajos27/d-b-dos/d-b-dos.shtml

PostgreSQL: Es un sistema de gestin de bases de datos objeto-relacional,

distribuido bajo licencia BSD y con su cdigo fuente disponible libremente. Es el
sistema de gestin de bases de datos de cdigo abierto ms potente del mercado
y en sus ltimas versiones no tiene nada que envidiarle a otras bases de datos
comerciales.
PostgreSQL utiliza un modelo cliente/servidor y usa multiprocesos en vez
de multihilospara garantizar la estabilidad del sistema. Un fallo en uno de los
procesos no afectar el resto y el sistema continuar funcionando.
A continuacin tenis un grfico que ilustra de manera general los componentes
ms importantes en un sistema PostgreSQL.

Caractersticas:

Es una base de datos 100% ACID

Integridad referencial

Tablespaces

Nested transactions (savepoints)

Replicacin asincrnica/sincrnica / Streaming replication - Hot Standby

Two-phase commit

PITR - point in time recovery

Copias de seguridad en caliente (Online/hot backups)

Unicode

Juegos de caracteres internacionales

Regionalizacin por columna

Multi-Version Concurrency Control (MVCC)

Multiples mtodos de autentificacin

Acceso encriptado via SSL

Actualizacin in-situ integrada (pg_upgrade)

SE-postgres

Completa documentacin

Licencia BSD

Disponible para Linux y UNIX en todas sus variantes (AIX, BSD, HP-UX,
SGI IRIX, Mac OS X, Solaris, Tru64) y Windows 32/64bit.

Ref: http://www.postgresql.org.es/sobre_postgresql

a) Mecanismos de seguridad existentes para motores de bases de datos

Muchas capas y tipos de control de seguridad de la informacin son las
adecuadas para bases de datos, incluyendo:

El control de acceso
Auditora
Autenticacin
Encryption
Integridad controles
Las copias de seguridad
Seguridad de las aplicaciones
Database Security aplicando el mtodo estadstico

Acciones para la seguridad de bases de datos:

Proponer polticas y desarrollar procedimientos que promuevan la correcta

definicin y utilizacin de las bases de datos que contribuyan a garantizar el
aprovechamiento ptimo, la seguridad de la informacin y el adecuado
mantenimiento y respaldo de datos.

Realizar labores de administracin y mantenimiento de las bases de datos, los

mecanismos de seguridad de acceso a los datos, incluyendo:
Administracin de Usuarios de las bases de datos (creacin y modificacin de
perfiles).

Creacin de espacios para tablas de datos (tablespaces), bases de datos,

vistas, entre otros.

Administracin de la seguridad de las bases de datos (garantizar que slo las

personas autorizadas acceden la informacin almacena).

Definicin, creacin y monitoreo de bitcoras del Motor de Administracin de

Bases de Datos.

Definicin, creacin y monitoreo de bitcoras de los sistemas de informacin.

Documentacin de la configuracin y modificaciones efectuadas en las bases
de datos de los Sistemas.

Implementacin de polticas de respaldo de informacin. Planificar y ejecutar

procedimientos de respaldo recuperacin de Bases de Datos.

Diagnstico del motor de base de datos y de las bases de datos que

administra.

Labores de afinamiento del Motor de la Base de datos, de manera que tenga

un desempeo altamente eficiente.

Actualizacin peridica de las versiones del sistema administrador de Base de

Datos.

Respaldo y Migracin de bases de datos.

Diseo e implementacin de bases de datos de los Sistemas de Informacin,

incluyendo:

Asesora a los analistas desarrolladores, en el diseo e implementacin de

Bases de Datos de los Sistemas de Informacin.

Afinamiento y optimizacin de diseo de bases de datos existentes.

Diseo, configuracin e implementacin de interfaces de bases de datos entre

motores de base de datos.

Respaldar peridicamente la informacin contenida en las bases de datos de la

institucin, e implementar mecanismos de recuperacin que permitan la
continuidad en caso de desastres o situaciones de contingencia.

Privilegios del sistema

Privilegios del sistema permiten al usuario realizar acciones administrativas en una
base de datos. Estos incluyen privilegios (como se encuentran en SQL Server),

tales como: crear base de datos, crear procedimiento, crear opinin, la base de
datos de copia de seguridad, crear la tabla, cree gatillo, y ejecutar. [2]

Privilegios de Objeto
Privilegios de objetos permiten el uso de ciertas operaciones en objetos de base
segn lo autorizado por otro usuario. Los ejemplos incluyen: el uso, seleccionar,
insertar, actualizar y referencias.

Las evaluaciones de vulnerabilidad y el cumplimiento

Una de las tcnicas para la evaluacin de la seguridad de base de datos implica
realizar evaluaciones de vulnerabilidad o pruebas de penetracin contra la base de
datos. Probadores intentan encontrar vulnerabilidades de seguridad que se
podran utilizar para derrotar a los controles de seguridad o de derivacin, entrar
en la base de datos, comprometer el sistema etc. administradores de bases de
datos o seguridad de la informacin los administradores pueden, por ejemplo, el
uso escaneos de vulnerabilidad automatizado para buscar a una mala
configuracin de los controles dentro de las capas mencionadas anterior junto con
vulnerabilidades conocidas en el software de base de datos. Los resultados de
estos anlisis se utilizan para endurecer la base de datos (mejorar la seguridad) y
cerrar las vulnerabilidades especficas identificadas, pero otras vulnerabilidades a
menudo siguen sin ser reconocidos e impunes.

Abstraccin
Nivel de aplicacin de autenticacin y autorizacin mecanismos pueden ser
medios eficaces de suministro de abstraccin de la capa de base de datos. El
principal beneficio de la abstraccin es la de un inicio de sesin nico a travs de
la capacidad de mltiples bases de datos y plataformas. Un sistema nico de
sesin almacena las credenciales del usuario de base de datos y se autentica en
la base de datos en nombre del usuario.
Monitoreo de la actividad de base de datos (DAM)
Otra capa de seguridad de carcter ms sofisticado incluye en tiempo real
seguimiento de la actividad de base de datos, ya sea mediante el anlisis de
trfico de protocolo (SQL) en la red, o mediante la observacin de la actividad de
base de datos local en cada servidor utilizando agentes de software, o ambos. Se

requiere el uso de agentes para capturar las actividades ejecutadas en el servidor

de base de datos, que suelen incluir las actividades del administrador de base de
datos. Agentes permiten que esta informacin se capture de manera que no puede
ser desactivada por el administrador de la base, que tiene la capacidad de
deshabilitar o modificar los registros de auditora nativos.
Auditora Nativa
Adems de usar herramientas externas para la vigilancia o auditora, nativos de
auditora de base de datos capacidades tambin estn disponibles para muchas
plataformas de bases de datos. Las pistas de auditora nativos se extraen de
forma regular y se transfieren a un sistema de seguridad designada donde los
administradores de bases de datos no tienen acceso. Esto asegura un cierto nivel
de separacin de funciones que pueden proporcionar evidencia las pistas de
auditora nativos no fueron modificados por los administradores autenticados.
Encendido de impactos nativos el rendimiento del servidor. En general, las pistas
de auditora nativos de bases de datos no proporcionan los controles suficientes
para hacer cumplir la separacin de funciones; por lo tanto, la capacidad de
vigilancia basadas en host de red y / o mdulo del kernel nivel proporciona un
mayor grado de confianza para el anlisis forense y preservacin de las pruebas.
Procesos y procedimientos
Un buen programa de seguridad de base de datos incluye la revisin peridica de
los privilegios concedidos a las cuentas de usuario y cuentas utilizadas por
procesos automatizados. Para las cuentas individuales de una autenticacin de
dos factores sistema mejora la seguridad, pero aade complejidad y coste.
Cuentas utilizadas por procesos automatizados requieren controles apropiados
alrededor de almacenamiento de contraseas como suficientes cifrado y controles
de acceso para reducir el riesgo de compromiso.
Despus de que ocurre un incidente, los forenses de bases de datos determinan el
alcance de la violacin, e identificar las soluciones en los sistemas y procesos.
Mtodos estadsticos
La mayor amenaza a la seguridad de base de datos son los cambios no
rastreados, no autorizadas por los usuarios internos y externos. Algoritmos
basados en criptologa y otros mtodos estadsticos se despliegan tanto en
identificar estos eventos e informar las amenazas a los administradores.
Ref: http://www.rree.go.cr/?sec=ministerio&cat=ctic&cont=460