book

Security für Data-Warehouse- und Business-Intelligence-Systeme

by Herbert Stauffer

August 2018

Intermediate to advanced

302 pages

7h 43m

German

dpunkt

Read now

Unlock full access

1.1 Aufbau des Buches1.2 Grundkonzept1.3 Ganzheitliche Betrachtung von Security1.3.1 Ordnungsmäßigkeit des Betriebs1.3.2 Schutz vor kriminellen Aktivitäten1.3.3 Angemessene Verfügbarkeit der Services1.3.4 Standards, Methoden und Zertifikate1.4 Klassen von potenziellen Schäden1.5 Unterschiede zu transaktionalen Systemen
2.1 Rechtliche Anforderungen an Daten2.2 Branchenspezifische regulatorische Anforderungen2.3 Betriebliche Anforderungen

3.1 Anstoß3.2 Sicherheitsprozess3.3 Hilfsmittel
4.1 Perspektiven der Bedrohungsmodellierung4.2 Strukturorientierte Bedrohungsmodellierung4.3 Angreiferorientierte Bedrohungsmodellierung4.4 Wertorientierte Bedrohungsmodellierung4.5 Vorgehensweise
5.1 Wahrscheinlichkeit des Eintretens5.1.1 Bedrohungsfaktoren5.1.2 Verwundbarkeiten/Schwächen5.2 Auswirkung5.2.1 Technische Auswirkungen5.2.2 Betriebswirtschaftliche Auswirkungen
6.1 Verschiedene Arten der Risikobehandlung6.2 Langfristige Sicherstellung und Weiterentwicklung der Maßnahmen
7.1 Unterschiedliche Zugriffsregelung je Data Warehouse Layer7.2 Funktionale Berechtigungen (Toolrechte)7.3 Fachliche Berechtigungen (Datenrechte)7.4 Besondere Berechtigungsobjekte7.4.1 Reports, Cockpits und Dashboards7.4.2 Semantischer Layer7.4.3 Mobile Endgeräte7.4.4 Data Dictionaries
8.1 Skill- und Rollenmodelle8.2 Einordnung der Rollen8.3 Implementierungsarten für applikatorische Berechtigungen8.3.1 Matrixmodell8.3.2 Einzelrechtemodell8.3.3 Vergleich Einzelrechte- zu Matrixmodell8.3.4 Möglichkeiten zum späteren Wechsel des Modells8.4 Datenzugriff mit technischen oder persönlichen Usern8.5 Herausforderung 1: multiple Rollen8.5.1 Additive Rechtevergabe am Beispiel eines Datenwürfels8.5.2 Restriktive Rechtevergabe am Beispiel eines Datenwürfels8.5.3 Multiple technische Rollen bei funktionalen Rechten8.6 Herausforderung 2: unterschiedliche Rechte in hierarchischen Daten8.7 Alternatives Konzept: Überwachen statt Verhindern
9.1 Zuständigkeit für Freigabe von Berechtigungsanträgen9.2 Weitere Rollen9.3 Drei Komponenten bei der Berechtigungsvergabe9.4 Autorisierungsprozesse9.4.1 Rechte und Rollen9.4.2 Rollen und Anwender9.5 Einsatz von Autorisierungstools9.6 Arten der Authentifizierung (Login)9.7 Segregation of Duties (SoD)9.8 Systemübergreifende Rechteverwaltung9.8.1 Rollenimport aus operativen Systemen in ein Data Warehouse9.8.2 Vergabe von Rollen für mehrere Systeme9.8.3 Beibehalten oder Wechsel der Data Ownership im Data Warehouse9.9 Protokollierung von Datenzugriff und -verwendung
10.1 Ermitteln der Businesskritikalität10.1.1 Anforderungen an IT-Services10.1.2 Strukturierung eines IT-Serviceportfolios10.1.3 Herleiten von Business-Intelligence-Services10.1.4 Wert eines Business-Intelligence-Service10.1.5 Bestimmen des Service Level10.2 Backup und Restore10.3 Disaster Recovery und Notfallkonzepte10.3.1 Prävention10.3.2 Inhalt und Struktur von Notfallplänen10.3.3 Disaster Recovery einüben10.4 Spezifische Technologien10.4.1 Mobile Plattformen10.4.2 Cloud-Anwendungen und Rechenzentrum-Outsourcing10.4.3 Hadoop-Plattformen und Data Lakes10.4.4 Sandboxes10.4.5 Data Science Labs10.4.6 NoSQL-Datenbanken10.5 Räumliche Sicherheit
11.1 ISO 15408 – Common Criteria for IT Security Evaluation11.2 ISO 27000 ff11.2.1 Struktur von ISO 27000 ff11.2.2 Beurteilung11.3 Bundesamt für Sicherheit in der Informationstechnik (BSI)11.3.1 BSI-Standards11.3.2 IT-Grundschutz-Kataloge11.3.3 Weitere Hilfsmittel11.3.4 Kritikpunkte am BSI-Framework11.4 ISIS1211.4.1 Das ISIS12-Vorgehensmodell11.4.2 Tools und Hilfsmittel11.4.3 Zertifizierung11.4.4 Schwächen von ISIS1211.5 OWASP11.5.1 Hilfsmittel11.5.2 Beurteilung11.6 ITIL 201111.6.1 Security-Aspekte in den ITIL-Phasen11.6.2 Beurteilung11.7 STRIDE11.8 OSSTMM 311.9 MELANI11.10 Data Center Tier Standard
12.1 Rollenbezeichnungen in einem zentralen Autorisierungssystem12.2 Berücksichtigung von Sicherheitsaspekten beim Aufbau eines neuen Systems12.2.1 Datenschutz-Checkliste zu VDSG Art. 912.2.2 Initiale Prüfungen12.2.3 Datenbearbeitung12.2.4 Aufbewahrung und Löschung12.3 Security-Prüfungen für Data Warehousing und Business Intelligence12.3.1 Sourcing (ETL-/ELT-Prozesse)12.3.2 Persistente Datenspeicherung und -abfragen12.3.3 Frontend und User-Zugriff (Autorisierung)12.3.4 Repository und Administration12.3.5 Generelle Infrastruktur und Komponenten sowie Organisation12.3.6 Mobile Geräte und Plattformen12.3.7 Mobile Datenträger12.3.8 Elektronische Datenübertragung12.4 Interne Risiken/Bedrohungen und Schutzmöglichkeiten12.4.1 Interne Risiken/Bedrohungen12.4.2 Behandlung von internen Risiken/Bedrohungen
13.1 Fünf Schritte des Penetration Testing13.1.1 Schritt 1: Klärung der Ziele und des Rahmens13.1.2 Schritt 2: Vorbereitung13.1.3 Schritt 3: Erste Phase des Angriffs (Auffinden von Sicherheitslücken)13.1.4 Schritt 4: Zweite Phase des Angriffs (Eindringen in das System)13.1.5 Schritt 5: Auswertung und Maßnahmenplan13.2 Grenzen von Penetrationstests13.3 Personenbezogener Angriff13.3.1 Social Engineering13.3.2 IGEL-Prinzip13.4 Technischer Angriff13.5 Physischer Angriff
A.1 Tools für SicherheitskonzepteA.2 Security-Penetration-Test-SuitenA.3 User Activity TrackingA.4 Spezifische Tools für einzelne Aufgaben in PenetrationstestA.4.1 PortscannerA.4.2 Vulnerability-ScannerA.4.3 SnifferA.4.4 PaketgeneratorenA.4.5 PasswortcrackerA.5 PasswortmanagerA.6 PasswortgeneratorenA.7 Verzeichnisdienste
E.1 LiteraturE.2 Weblinks

Content preview from Security für Data-Warehouse- und Business-Intelligence-Systeme

CLizenzmanagement

In den vorhergehenden Kapiteln wurde ausgiebig die Rechtevergabe behandelt und darauf hingewiesen, dass die Vergabe von funktionalen Rechten einen direkten Einfluss auf die Lizenzierung hat. Indem funktionale Rechte einem Anwender zugeordnet werden, wird automatisch festgelegt, dass dieser Anwender eine Lizenz benötigt und welchen Typ von Lizenz. Funktionale Rechte, also Lizenzen, sind daher immer mit Kosten verbunden. Somit steht Security in direktem Bezug zum Lizenzmanagement.

Zweck des Lizenzmanagements ist eine auf die Nutzung abgestimmte Lizenzbeschaffung und Verwaltung. Einerseits soll eine Überlizenzierung verhindert werden, da dies eine nicht benötigte Investition bedeutet. Andererseits soll eine Unterlizenzierung genauso ...