Bình thường mới: đối phó với thực tế của một thế giới không an toàn

Bởi nhân viên Techopedia, ngày 27 tháng 10 năm 2016

Takeaway: Người dẫn chương trình Eric Kavanagh thảo luận về bảo mật cơ sở dữ liệu với Robin Bloor, Dez Blanchfield và IDERA's Ignacio Rodriguez.

Bạn hiện chưa đăng nhập. Vui lòng đăng nhập hoặc đăng ký để xem video.

Eric Kavanagh: Xin chào và chào mừng trở lại, một lần nữa, với Hot Technologies. Tên tôi là Eric Kavanagh; Tôi sẽ là chủ nhà của bạn cho webcast hôm nay và đó là một chủ đề nóng và nó sẽ không bao giờ trở thành một chủ đề nóng. Đây là một chủ đề nóng bây giờ bởi vì, thẳng thắn, tất cả các vi phạm mà chúng tôi nghe thấy và tôi có thể đảm bảo với bạn rằng nó sẽ không bao giờ biến mất. Vì vậy, chủ đề của ngày hôm nay, tiêu đề chính xác của chương trình mà tôi nên nói, là Ngôi sao bình thường mới: Xử lý thực tế của một thế giới không an toàn. Đó là chính xác những gì chúng ta đang giải quyết.

Chúng tôi đã có máy chủ của bạn, của bạn thực sự, ngay tại đó. Từ một vài năm trước, nhớ bạn, có lẽ tôi nên cập nhật ảnh của mình; đó là năm 2010. Thời gian trôi nhanh. Gửi cho tôi một email với nếu bạn muốn đưa ra một số gợi ý. Vì vậy, đây là slide trượt nóng tiêu chuẩn của chúng tôi dành cho công nghệ nóng. Toàn bộ mục đích của chương trình này thực sự là để xác định một không gian cụ thể. Vì vậy, hôm nay chúng ta đang nói về bảo mật, rõ ràng. Thực tế, chúng tôi đang có một góc rất thú vị với nó, với những người bạn của chúng tôi từ IDERA.

Và tôi sẽ chỉ ra rằng bạn, với tư cách là thành viên khán giả của chúng tôi, đóng một vai trò quan trọng trong chương trình. Xin đừng ngại. Gửi cho chúng tôi một câu hỏi bất cứ lúc nào và chúng tôi sẽ xếp hàng để trả lời câu hỏi nếu chúng tôi có đủ thời gian cho nó. Chúng tôi có ba người trực tuyến ngày hôm nay, Tiến sĩ Robin Bloor, Dez Blanchfield và Ignacio Rodriguez, người đang gọi từ một địa điểm không được tiết lộ. Vì vậy, trước hết, Robin, bạn là người dẫn chương trình đầu tiên. Tôi sẽ đưa chìa khóa cho bạn. Mang nó đi.

Tiến sĩ Robin Bloor: Được rồi, cảm ơn vì điều đó, Eric. Bảo mật cơ sở dữ liệu - Tôi cho rằng chúng ta có thể nói rằng khả năng dữ liệu có giá trị nhất mà bất kỳ công ty nào thực sự chủ trì là trong cơ sở dữ liệu. Vì vậy, có một loạt các điều bảo mật mà chúng ta có thể nói về. Nhưng những gì tôi nghĩ tôi sẽ làm là nói về chủ đề bảo mật cơ sở dữ liệu. Tôi không muốn lấy bất cứ điều gì từ bài thuyết trình mà Ignacio sẽ đưa ra.

Vì vậy, hãy bắt đầu với, thật dễ dàng để nghĩ rằng bảo mật dữ liệu là mục tiêu tĩnh, nhưng thực tế không phải vậy. Đó là một mục tiêu di chuyển. Và đây là điều quan trọng để hiểu theo nghĩa là hầu hết các môi trường CNTT của mọi người, đặc biệt là môi trường CNTT của công ty lớn, luôn thay đổi. Và bởi vì họ luôn thay đổi, bề mặt tấn công, những khu vực mà ai đó có thể cố gắng, bằng cách này hay cách khác, từ bên trong hoặc từ bên ngoài, để thỏa hiệp bảo mật dữ liệu, luôn luôn thay đổi. Và khi bạn làm một cái gì đó như, bạn nâng cấp cơ sở dữ liệu, bạn sẽ không biết liệu bạn vừa, bằng cách đó, đã tạo ra một loại lỗ hổng cho chính bạn. Nhưng bạn không nhận thức được và có thể không bao giờ phát hiện ra cho đến khi điều gì đó tệ hại xảy ra.

Có một cái nhìn tổng quan về bảo mật dữ liệu. Trước hết, trộm dữ liệu không có gì mới và dữ liệu có giá trị được nhắm mục tiêu. Thông thường dễ dàng tìm ra cho một tổ chức những dữ liệu mà họ cần bảo vệ nhiều nhất là gì. Một sự thật tò mò là máy tính đầu tiên, hoặc thứ mà chúng ta có thể tuyên bố là máy tính đầu tiên, được chế tạo bởi tình báo Anh trong Thế chiến thứ hai với một mục đích trong tâm trí, và đó là đánh cắp dữ liệu từ thông tin liên lạc của Đức.

Vì vậy, hành vi trộm cắp dữ liệu đã là một phần của ngành CNTT kể từ khi nó bắt đầu. Nó trở nên nghiêm trọng hơn nhiều với sự ra đời của internet. Tôi đã xem xét một bản ghi số lượng các vi phạm dữ liệu đã xảy ra từ năm này qua năm khác. Và con số đã tăng vọt lên trên 100 vào năm 2005 và kể từ thời điểm đó, nó có xu hướng ngày càng tồi tệ hơn mỗi năm.

Số lượng lớn dữ liệu bị đánh cắp và một số lượng lớn hơn các vụ hack đang diễn ra. Và đó là những hack được báo cáo. Có một số lượng lớn các sự cố xảy ra trong đó công ty không bao giờ nói bất cứ điều gì vì không có gì buộc công ty phải nói bất cứ điều gì. Vì vậy, nó giữ cho dữ liệu vi phạm yên tĩnh. Có rất nhiều người chơi trong ngành hack: chính phủ, doanh nghiệp, nhóm hacker, cá nhân.

Một điều mà tôi nghĩ thật thú vị khi đề cập đến, khi tôi đến Moscow, tôi nghĩ đó là khoảng bốn năm trước, đó là một hội nghị phần mềm ở Moscow, tôi đã nói chuyện với một nhà báo chuyên về lĩnh vực hack dữ liệu. Và anh ta tuyên bố - và tôi chắc chắn rằng anh ta đúng, nhưng tôi không biết điều đó ngoài anh ta là người duy nhất từng đề cập với tôi, nhưng - có một doanh nghiệp Nga tên là Mạng lưới kinh doanh Nga, có lẽ họ có một người Nga Tên nhưng tôi nghĩ đó là bản dịch tiếng Anh của nó, nó thực sự được thuê để hack.

Vì vậy, nếu bạn là một tổ chức lớn ở bất cứ đâu trên thế giới và bạn muốn làm điều gì đó để gây thiệt hại cho đối thủ cạnh tranh của mình, bạn có thể thuê những người này. Và nếu bạn thuê những người này, bạn sẽ nhận được sự từ chối rất hợp lý về người đứng đằng sau vụ hack. Bởi vì nếu nó được phát hiện ở tất cả những người đứng sau vụ hack, thì nó sẽ chỉ ra rằng có lẽ ai đó ở Nga đã làm điều đó. Và nó sẽ không giống như bạn đang cố gắng làm tổn thương đối thủ cạnh tranh. Và tôi tin rằng Mạng lưới kinh doanh Nga thực sự đã được các chính phủ thuê để làm những việc như hack vào ngân hàng để thử và tìm hiểu cách thức tiền khủng bố di chuyển xung quanh. Và điều đó được thực hiện với sự từ chối chính đáng của các chính phủ, những người sẽ không bao giờ thừa nhận rằng họ thực sự đã từng làm điều đó.

Công nghệ tấn công và phòng thủ phát triển. Cách đây rất lâu tôi thường đến Câu lạc bộ Chaos. Đó là một trang web ở Đức nơi bạn có thể đăng ký và bạn chỉ có thể theo dõi các cuộc trò chuyện của nhiều người khác nhau và xem những gì có sẵn. Và tôi đã làm điều đó khi tôi nhìn vào công nghệ bảo mật, tôi nghĩ vào khoảng năm 2005. Và tôi đã làm điều đó chỉ để xem những gì đang đi xuống và điều làm tôi ngạc nhiên là số lượng virus, về cơ bản nó là một hệ thống nguồn mở Tôi đã tiếp tục và những người đã viết vi-rút hoặc vi-rút tăng cường chỉ dán mã lên đó cho bất kỳ ai sử dụng. Và điều đó đã xảy ra với tôi vào thời điểm đó, tin tặc có thể rất, rất thông minh, nhưng có rất nhiều tin tặc không nhất thiết phải thông minh, nhưng chúng đang sử dụng các công cụ thông minh. Và một số trong những công cụ đó là thông minh đáng chú ý.

Và điểm cuối cùng ở đây: các doanh nghiệp có nhiệm vụ quan tâm đến dữ liệu của họ, cho dù họ có sở hữu nó hay không. Và tôi nghĩ điều đó ngày càng trở nên nhận ra hơn trước đây. Và nó ngày càng trở nên nhiều hơn, giả sử, đắt tiền cho một doanh nghiệp thực sự trải qua một vụ hack. Về các tin tặc, chúng có thể được đặt ở bất cứ đâu, có thể khó đưa ra công lý ngay cả khi chúng được xác định đúng. Nhiều người trong số họ rất lành nghề. Tài nguyên đáng kể, họ đã có botnet ở khắp mọi nơi. Cuộc tấn công DDoS gần đây xảy ra được cho là đến từ hơn một tỷ thiết bị. Tôi không biết liệu đó có phải là sự thật hay đó chỉ là một phóng viên sử dụng số tròn, nhưng chắc chắn một số lượng lớn thiết bị robot đã được sử dụng để thực hiện một cuộc tấn công vào mạng DNS. Một số doanh nghiệp có lợi nhuận, có các nhóm chính phủ, có chiến tranh kinh tế, có chiến tranh mạng, mọi thứ đang diễn ra ngoài kia, và không thể, tôi nghĩ rằng chúng ta đã nói trong phần mở đầu, điều đó khó có thể kết thúc.

Tuân thủ và quy định - có một số điều thực sự diễn ra. Có rất nhiều sáng kiến ​​tuân thủ dựa trên lĩnh vực, bạn biết - ngành dược phẩm hoặc ngành ngân hàng hoặc ngành y tế - có thể có những sáng kiến ​​cụ thể mà mọi người có thể làm theo, nhiều cách thực hành tốt nhất. Nhưng cũng có nhiều quy định chính thức, bởi vì chúng là luật, chúng có hình phạt kèm theo cho bất kỳ ai vi phạm luật. Các ví dụ của Hoa Kỳ là HIPAA, SOX, FISMA, FERPA, GLBA. Có một số tiêu chuẩn, PCI-DSS là một tiêu chuẩn cho các công ty thẻ. ISO / IEC 17799 dựa trên việc cố gắng có được một tiêu chuẩn chung. Đây là quyền sở hữu dữ liệu. Các quy định quốc gia khác nhau giữa các quốc gia, thậm chí ở châu Âu, hoặc có lẽ người ta nên nói, đặc biệt là ở châu Âu nơi nó rất khó hiểu. Và có GDPR, một quy định bảo vệ dữ liệu toàn cầu hiện đang được đàm phán giữa Châu Âu và Hoa Kỳ để cố gắng hài hòa các quy định vì có rất nhiều, thông thường, trên thực tế, có quốc tế, và sau đó có các dịch vụ đám mây mà bạn có thể không nghĩ rằng dữ liệu của bạn là quốc tế, nhưng nó đã đi ra quốc tế ngay khi bạn đi vào đám mây, bởi vì nó di chuyển ra khỏi đất nước của bạn. Vì vậy, đó là một bộ các quy định đang được đàm phán, bằng cách này hay cách khác, để đối phó với bảo vệ dữ liệu. Và hầu hết điều đó có liên quan đến dữ liệu của một cá nhân, tất nhiên, bao gồm khá nhiều dữ liệu nhận dạng.

Những điều cần suy nghĩ: lỗ hổng cơ sở dữ liệu. Có một danh sách các lỗ hổng được các nhà cung cấp cơ sở dữ liệu biết và báo cáo khi chúng được phát hiện và vá càng nhanh càng tốt, vì vậy có tất cả những điều đó. Có những điều liên quan đến nó trong việc xác định dữ liệu dễ bị tổn thương. Một trong những vụ hack lớn và thành công nhất về dữ liệu thanh toán đã được thực hiện cho một công ty xử lý thanh toán. Điều đó sau đó đã được tiếp quản bởi vì nó phải được thanh lý nếu không, nhưng dữ liệu không bị đánh cắp từ bất kỳ cơ sở dữ liệu hoạt động nào. Dữ liệu đã bị đánh cắp từ cơ sở dữ liệu thử nghiệm. Nó đã xảy ra đến mức các nhà phát triển vừa lấy một tập hợp con của dữ liệu là dữ liệu thực và sử dụng nó, mà không có bất kỳ sự bảo vệ nào, trong cơ sở dữ liệu thử nghiệm. Cơ sở dữ liệu thử nghiệm đã bị hack và rất nhiều chi tiết tài chính cá nhân của mọi người đã được lấy từ nó.

Chính sách bảo mật, đặc biệt liên quan đến bảo mật truy cập liên quan đến cơ sở dữ liệu, ai có thể đọc, ai có thể viết, ai có thể cấp quyền, có cách nào mà bất kỳ ai cũng có thể phá vỡ bất kỳ điều này không? Tất nhiên, sau đó, mã hóa từ cơ sở dữ liệu cho phép điều đó. Có chi phí vi phạm an ninh. Tôi không biết liệu đó có phải là thông lệ tiêu chuẩn trong các tổ chức hay không, nhưng tôi biết rằng một số nhân viên an ninh trưởng cố gắng cung cấp cho các giám đốc một số ý tưởng về chi phí vi phạm an ninh thực sự là gì trước khi nó xảy ra thay vì sau đó. Và họ, loại, cần phải làm điều đó để đảm bảo rằng họ có được ngân sách phù hợp để có thể bảo vệ tổ chức.

Và sau đó là bề mặt tấn công. Bề mặt tấn công dường như phát triển tất cả các thời gian. Đó là năm trên bề mặt tấn công dường như phát triển. Vì vậy, tóm lại, phạm vi là một điểm khác, nhưng bảo mật dữ liệu thường là một phần của vai trò của DBA. Nhưng bảo mật dữ liệu cũng là một hoạt động hợp tác. Bạn cần phải có, nếu bạn đang bảo mật, bạn cần có một ý tưởng đầy đủ về các biện pháp bảo vệ an ninh cho toàn bộ tổ chức. Và cần phải có chính sách của công ty về điều này. Nếu không có chính sách của công ty, bạn chỉ cần kết thúc với các giải pháp từng phần. Bạn biết đấy, dây cao su và nhựa, loại, cố gắng ngăn chặn an ninh xảy ra.

Vì vậy, đã nói rằng, tôi nghĩ rằng tôi giao cho Dez, người có lẽ sẽ cung cấp cho bạn những câu chuyện chiến tranh khác nhau.

Eric Kavanagh: Mang nó đi, Dez.

Dez Blanchfield: Cảm ơn bạn, Robin. Đó luôn là một hành động khó khăn để làm theo. Tôi đoán là tôi sẽ đến từ phía đối diện của quang phổ này, tôi đoán, cho chúng tôi cảm nhận về quy mô của thách thức mà bạn đang đối mặt và tại sao chúng ta nên làm nhiều hơn là chỉ ngồi dậy và chú ý đến điều này . Thách thức hiện nay chúng ta đang gặp phải với quy mô, số lượng và khối lượng, tốc độ của những điều này đang xảy ra, đó là điều tôi đang nghe thấy ở đây với rất nhiều CXO, không chỉ CIO, mà chắc chắn CIO là những người tham dự nơi buck dừng lại, là họ coi vi phạm dữ liệu để nhanh chóng trở thành chuẩn mực. Đó là điều mà họ gần như mong đợi sẽ xảy ra. Vì vậy, họ đang xem xét điều này từ quan điểm của, Được rồi, ừ, khi chúng ta bị vi phạm - không phải - khi chúng ta bị vi phạm, chúng ta cần phải làm gì về điều này? Họ đang làm gì trong môi trường cạnh truyền thống và bộ định tuyến, thiết bị chuyển mạch, máy chủ, phát hiện xâm nhập, kiểm tra xâm nhập? Họ đang làm gì trong hệ thống? Họ đang làm gì với dữ liệu? Và sau đó tất cả trở lại với những gì họ đã làm với cơ sở dữ liệu của họ.

Hãy để tôi chỉ chạm vào một vài ví dụ về một số điều đã thu hút được nhiều trí tưởng tượng của mọi người và sau đó đi sâu vào, loại, phá vỡ chúng một chút. Vì vậy, chúng tôi đã nghe tin tức về Yahoo - có lẽ là con số lớn nhất mà mọi người đã nghe là khoảng nửa triệu, nhưng thực tế hóa ra nó không chính thức giống như một tỷ - tôi đã nghe thấy con số ba tỷ kỳ lạ, nhưng gần như vậy một nửa dân số thế giới vì vậy tôi nghĩ rằng nó hơi cao. Nhưng tôi đã xác minh nó từ một số người dân trong các không gian có liên quan, những người tin rằng chỉ có hơn một tỷ hồ sơ đã bị phá vỡ khỏi Yahoo. Và đây chỉ là một con số đáng kinh ngạc. Bây giờ một số người chơi nhìn và nghĩ, đó chỉ là tài khoản webmail, không có vấn đề gì lớn, nhưng sau đó, bạn thêm một thực tế là rất nhiều tài khoản webmail đó, và một con số cao, đáng ngạc nhiên, cao hơn tôi dự đoán, thực sự là các tài khoản phải trả tiền. Đó là nơi mọi người đưa chi tiết thẻ tín dụng của họ vào và họ trả tiền để xóa quảng cáo, vì họ chán ngấy với quảng cáo và vì vậy 4 hoặc 5 đô la mỗi tháng họ sẵn sàng mua dịch vụ lưu trữ web và đám mây không có quảng cáo và tôi là một trong số đó và tôi đã nhận được điều đó qua ba nhà cung cấp khác nhau nơi tôi cắm thẻ tín dụng.

Vì vậy, thách thức sẽ thu hút sự chú ý hơn một chút bởi vì nó không chỉ là một câu nói viển vông, mà thôi, ồ, Yahoo đã thua, giả sử, từ 500 triệu đến 1.000 triệu tài khoản, 1.000 triệu tài khoản tạo ra nó Âm thanh rất lớn và tài khoản webmail, nhưng chi tiết thẻ tín dụng, tên, họ, địa chỉ email, ngày sinh, thẻ tín dụng, số pin, bất cứ điều gì bạn muốn, mật khẩu, và sau đó nó trở thành một khái niệm đáng sợ hơn nhiều. Và một lần nữa mọi người nói với tôi, Có Có, nhưng đó chỉ là dịch vụ web, đó chỉ là webmail, không có vấn đề gì lớn. Sau đó tôi nói, Có, tài khoản Yahoo cũng có thể đã được sử dụng trong các dịch vụ tiền của Yahoo để mua và bán cổ phiếu. Sau đó, nó trở nên thú vị hơn. Và khi bạn bắt đầu đi sâu vào nó, bạn nhận ra rằng, không sao, điều này thực sự không chỉ là các ông bố bà mẹ ở nhà, và thanh thiếu niên, với các tài khoản nhắn tin, đây thực sự là điều mà mọi người đã thực hiện các giao dịch kinh doanh.

Vì vậy, đó là một đầu của quang phổ. Đầu kia của quang phổ là một nhà cung cấp dịch vụ y tế nói chung, rất nhỏ ở Úc đã có khoảng 1.000 hồ sơ bị đánh cắp. Là một công việc nội bộ, có người bỏ đi, họ chỉ tò mò, họ bước ra khỏi cửa, trong trường hợp này là đĩa mềm 3, 5 inch. Cách đây ít lâu - nhưng bạn có thể nói về thời đại của truyền thông - nhưng chúng là trên công nghệ cũ. Nhưng hóa ra lý do họ lấy dữ liệu là họ chỉ tò mò về những người ở đó. Bởi vì họ có khá nhiều người trong thị trấn nhỏ này, vốn là thủ đô quốc gia của chúng ta, là những chính trị gia. Và họ quan tâm đến việc ai đang ở đó và cuộc sống của họ ở đâu và tất cả những thông tin đó. Vì vậy, với một vi phạm dữ liệu rất nhỏ được thực hiện trong nội bộ, một số lượng lớn các chính trị gia đáng kể trong các chi tiết của chính phủ Úc được cho là đã xuất hiện trước công chúng.

Chúng tôi đã có hai đầu khác nhau của quang phổ ở đó để xem xét. Bây giờ thực tế là quy mô tuyệt vời của những điều này chỉ là đáng kinh ngạc và tôi đã có một slide mà chúng ta sẽ nhảy đến rất, rất nhanh ở đây. Có một vài trang web liệt kê tất cả các loại dữ liệu, nhưng trang này đặc biệt là của một chuyên gia bảo mật có trang web nơi bạn có thể đến và tìm kiếm địa chỉ email hoặc tên của bạn và nó sẽ hiển thị cho bạn mọi sự cố về dữ liệu Vi phạm trong 15 năm qua rằng anh ta đã có thể nhúng tay vào, sau đó tải vào cơ sở dữ liệu và xác minh, và nó sẽ cho bạn biết liệu bạn có bị xóa sổ không, như thuật ngữ này. Nhưng khi bạn bắt đầu nhìn vào một vài trong số những con số này và ảnh chụp màn hình này chưa được cập nhật với phiên bản mới nhất của anh ấy, bao gồm một cặp, chẳng hạn như Yahoo. Nhưng chỉ cần nghĩ về các loại dịch vụ ở đây. Chúng ta đã có Myspace, chúng ta đã có LinkedIn, Adobe. Adobe thú vị bởi vì mọi người nhìn và nghĩ, Adobe có nghĩa là gì? Hầu hết chúng ta đang tải xuống Adobe Reader dưới một số hình thức, rất nhiều người trong chúng ta đã mua các sản phẩm Adobe bằng thẻ tín dụng, đó là 152 triệu người.

Bây giờ, theo quan điểm của Robin trước đây, đây là những con số rất lớn, thật dễ dàng để bị áp đảo bởi chúng. Điều gì xảy ra khi bạn có 359 triệu tài khoản bị xâm phạm? Vâng, có một vài điều. Robin nhấn mạnh thực tế là dữ liệu luôn luôn thay đổi trong cơ sở dữ liệu dưới dạng nào đó. Đó là thông điệp quan trọng ở đây. Hầu như không ai trên hành tinh này, mà tôi biết, điều hành một hệ thống dưới mọi hình thức, không lưu trữ nó trong cơ sở dữ liệu. Nhưng điều thú vị là có ba loại dữ liệu khác nhau trong cơ sở dữ liệu đó. Có những thứ liên quan đến bảo mật như tên người dùng và mật khẩu, thường được mã hóa, nhưng luôn có rất nhiều ví dụ mà họ không có. Có thông tin khách hàng thực tế xung quanh hồ sơ và dữ liệu của họ mà họ đã tạo cho dù đó là hồ sơ sức khỏe hay đó là email hay tin nhắn tức thời. Và sau đó có logic nhúng thực tế, vì vậy đây có thể được lưu trữ các thủ tục, nó có thể là một loạt các quy tắc, nếu + this + then + that. Và luôn luôn là văn bản ASCII bị mắc kẹt trong cơ sở dữ liệu, rất ít người ngồi đó suy nghĩ, đó là những quy tắc kinh doanh, đây là cách dữ liệu của chúng ta di chuyển và kiểm soát, chúng ta nên mã hóa nó khi nghỉ ngơi và khi nó ở trong chuyển động có lẽ chúng ta giải mã nó và giữ nó trong bộ nhớ, nhưng lý tưởng là nó cũng có thể như vậy.

Nhưng điều quan trọng là tất cả dữ liệu này nằm trong một cơ sở dữ liệu ở dạng nào đó và thường không phải là trọng tâm, chỉ là trong lịch sử, đã có trên các bộ định tuyến và chuyển mạch và máy chủ và thậm chí không phải trên cơ sở dữ liệu tại mặt sau Bởi vì chúng tôi nghĩ rằng chúng tôi đã che chắn được mạng lưới và nó, giống như, một kiểu người già điển hình, sống trong một lâu đài và bạn đặt một con hào xung quanh nó và bạn hy vọng những kẻ xấu sẽ không đến có thể bơi Nhưng sau đó, tất cả những kẻ xấu đột nhiên tìm ra cách tạo ra những chiếc thang mở rộng và ném chúng qua con hào và trèo qua con hào và trèo lên tường. Và đột nhiên con hào của bạn khá vô dụng.

Vì vậy, bây giờ chúng ta đang ở trong kịch bản mà các tổ chức đang ở chế độ bắt kịp trong một lần chạy nước rút. Theo quan điểm của tôi, chúng chạy nước rút trên tất cả các hệ thống, và chắc chắn là kinh nghiệm của tôi, trong đó, không phải lúc nào những con kỳ lân web này, như chúng ta thường nhắc đến chúng, thường xuyên hơn là các tổ chức doanh nghiệp truyền thống đang bị vi phạm. Và bạn không cần phải có nhiều trí tưởng tượng để tìm ra họ là ai. Có các trang web như một trang web được gọi là pastebin.net và nếu bạn truy cập pastebin.net và bạn chỉ cần nhập danh sách email hoặc danh sách mật khẩu, bạn sẽ kết thúc với hàng trăm ngàn mục nhập mỗi ngày được thêm vào nơi mọi người liệt kê các bộ dữ liệu mẫu lên đến một ngàn hồ sơ của tên, họ, chi tiết thẻ tín dụng, tên người dùng, mật khẩu, mật khẩu được giải mã, nhân tiện. Nơi mọi người có thể lấy danh sách đó, đi đến và xác minh ba hoặc bốn người trong số họ và quyết định rằng, tôi muốn mua danh sách đó và thường có một số cơ chế cung cấp một số cổng ẩn danh cho người bán dữ liệu.

Bây giờ điều thú vị là một khi doanh nhân liên kết nhận ra rằng họ có thể làm điều này, sẽ không mất nhiều trí tưởng tượng để nhận ra rằng nếu bạn chi 1.000 đô la Mỹ để mua một trong những danh sách này, điều đầu tiên bạn làm với nó là gì? Bạn không đi và thử và theo dõi các tài khoản, bạn đặt lại một bản sao của nó trên pastbin.net và bạn bán hai bản sao với giá 1.000 đô la mỗi cái và kiếm được lợi nhuận 1.000 đô la. Và đây là những đứa trẻ đang làm điều này. Có một số tổ chức chuyên nghiệp cực kỳ lớn trên khắp thế giới làm việc này để kiếm sống. Thậm chí còn có các quốc gia nhà nước tấn công các quốc gia khác. Bạn biết đấy, có rất nhiều cuộc nói chuyện về việc Mỹ tấn công Trung Quốc, Trung Quốc tấn công Mỹ, điều đó không đơn giản lắm, nhưng chắc chắn có những tổ chức chính phủ đang vi phạm các hệ thống được cung cấp bởi cơ sở dữ liệu. Đó không chỉ là trường hợp của các tổ chức nhỏ, mà còn là quốc gia so với các quốc gia. Nó đưa chúng ta trở lại vấn đề đó, dữ liệu được lưu trữ ở đâu? Đó là trong một cơ sở dữ liệu. Những kiểm soát và cơ chế trong đó là gì? Hoặc luôn luôn chúng không được mã hóa và nếu chúng được mã hóa, nó không phải lúc nào cũng là tất cả dữ liệu, có thể đó chỉ là mật khẩu được muối và mã hóa.

Và xoay quanh vấn đề này, chúng tôi có một loạt các thách thức với những gì trong dữ liệu đó và cách chúng tôi cung cấp quyền truy cập vào dữ liệu và tuân thủ SOX. Vì vậy, nếu bạn nghĩ về quản lý tài sản hoặc ngân hàng, bạn đã có những tổ chức lo lắng về thách thức chứng chỉ; bạn có các tổ chức lo lắng về việc tuân thủ trong không gian của công ty; bạn đã có sự tuân thủ và quy định của chính phủ; bạn đã có kịch bản ngay bây giờ khi chúng tôi có cơ sở dữ liệu tại chỗ; chúng tôi đã có cơ sở dữ liệu trong các trung tâm dữ liệu của bên thứ ba; chúng ta có cơ sở dữ liệu ngồi trong môi trường đám mây, vì vậy môi trường đám mây luôn luôn không có ở trong nước. Và vì vậy, điều này đang trở thành một thách thức lớn hơn và lớn hơn, không chỉ từ quan điểm bảo mật thuần túy mà chúng ta không bị hack, mà còn, làm thế nào để chúng ta đáp ứng tất cả các mức độ tuân thủ khác nhau? Không chỉ các tiêu chuẩn HIPAA và ISO, mà còn có hàng chục, hàng chục và hàng chục trong số này ở cấp tiểu bang, cấp quốc gia và toàn cầu vượt qua các ranh giới. Nếu bạn đang làm việc với Úc, bạn không thể di chuyển dữ liệu của chính phủ. Bất kỳ dữ liệu riêng tư của Úc không thể rời khỏi quốc gia. Nếu bạn ở Đức, nó thậm chí còn nghiêm ngặt hơn. Và tôi biết rằng Mỹ cũng đang tiến rất nhanh về vấn đề này vì nhiều lý do.

Nhưng nó lại đưa tôi trở lại với toàn bộ thách thức đó là làm thế nào để bạn biết những gì đang xảy ra trong cơ sở dữ liệu của bạn, cách bạn giám sát nó, làm thế nào để bạn biết ai đang làm gì trong cơ sở dữ liệu, ai có chế độ xem các bảng, hàng và cột và trường Khi nào họ đọc nó, họ có thường xuyên đọc nó không và ai theo dõi nó? Và tôi nghĩ rằng điều đó đưa tôi đến điểm cuối cùng trước khi tôi trao cho khách của chúng tôi hôm nay, người sẽ giúp chúng tôi nói về cách chúng tôi giải quyết vấn đề này. Nhưng tôi muốn để lại cho chúng tôi một suy nghĩ này và đó là, rất nhiều trọng tâm là chi phí cho doanh nghiệp và chi phí cho tổ chức. Và chúng tôi sẽ không đề cập chi tiết về điểm này ngày hôm nay, nhưng tôi chỉ muốn để nó trong tâm trí để suy ngẫm và đó là ước tính khoảng 135 đô la Mỹ đến 585 đô la Mỹ cho mỗi hồ sơ để dọn dẹp sau khi vi phạm. Vì vậy, khoản đầu tư bạn thực hiện để bảo mật xung quanh bộ định tuyến và thiết bị chuyển mạch và máy chủ đều tốt và tốt và tường lửa, nhưng bạn đã đầu tư bao nhiêu vào bảo mật cơ sở dữ liệu của mình?

Nhưng đó là một nền kinh tế sai lầm và khi vi phạm của Yahoo xảy ra gần đây và tôi có thẩm quyền tốt, đó là khoảng một tỷ tài khoản, không phải 500 triệu. Khi Verizon mua lại tổ chức này với giá trị tương đương 4, 3 tỷ đồng, ngay khi vi phạm xảy ra, họ đã yêu cầu trả lại một tỷ đô la hoặc giảm giá. Bây giờ nếu bạn làm toán và bạn nói có khoảng một tỷ hồ sơ đã bị vi phạm, giảm giá hàng tỷ đô la, ước tính $ 135 đến $ 535 để làm sạch hồ sơ giờ trở thành $ 1. Mà, một lần nữa, là xa vời. Nó không tốn 1 đô la để dọn sạch một tỷ hồ sơ. Với giá 1 đô la cho mỗi hồ sơ để dọn sạch một tỷ hồ sơ vì vi phạm kích thước đó. Bạn thậm chí không thể đưa ra một thông cáo báo chí cho loại chi phí đó. Và vì vậy chúng tôi luôn tập trung vào những thách thức nội bộ.

Nhưng một trong những điều, tôi nghĩ, và nó hành xử chúng ta rất coi trọng vấn đề này ở cấp cơ sở dữ liệu, đó là lý do tại sao đây là một chủ đề rất, rất quan trọng đối với chúng ta, và đó là, chúng ta không bao giờ nói về con người thu phí. Con số mà con người chúng ta phải chịu là gì? Và tôi sẽ lấy một ví dụ trước khi tôi nhanh chóng kết thúc. LinkedIn: vào năm 2012, hệ thống LinkedIn đã bị hack. Có một số vectơ và tôi sẽ không đi vào đó. Và hàng trăm triệu tài khoản đã bị đánh cắp. Mọi người nói khoảng 160 triệu lẻ, nhưng thực sự là một con số lớn hơn nhiều, nó có thể lên tới khoảng 240 triệu. Nhưng vi phạm đó đã không được công bố cho đến đầu năm nay. Đó là bốn năm mà hàng trăm triệu hồ sơ của mọi người ở ngoài đó. Bây giờ, đã có một số người trả tiền cho các dịch vụ bằng thẻ tín dụng và một số người có tài khoản miễn phí. Nhưng LinkedIn thật thú vị, bởi vì họ không chỉ có quyền truy cập vào chi tiết tài khoản của bạn nếu bạn bị vi phạm mà còn có quyền truy cập vào tất cả thông tin hồ sơ của bạn. Vì vậy, bạn đã kết nối với ai và tất cả các kết nối bạn có, và loại công việc họ có và loại kỹ năng họ có và thời gian họ làm việc tại các công ty và tất cả các loại thông tin và chi tiết liên hệ của họ.

Vì vậy, hãy nghĩ về thách thức chúng ta gặp phải trong việc bảo mật dữ liệu trong các cơ sở dữ liệu này, đồng thời tự bảo vệ và quản lý các hệ thống cơ sở dữ liệu, và dòng chảy về tác động, số lượng người sử dụng dữ liệu đó đã tồn tại trong bốn năm. Và khả năng ai đó có thể đi nghỉ ở đâu đó ở Đông Nam Á và họ đã có dữ liệu của họ ở đó trong bốn năm. Và ai đó có thể đã mua một chiếc xe hơi hoặc vay tiền mua nhà hoặc mua mười chiếc điện thoại trong năm qua bằng thẻ tín dụng, nơi họ đã tạo ra một ID giả trên dữ liệu đó trong bốn năm - bởi vì ngay cả dữ liệu LinkedIn cũng cung cấp cho bạn đủ thông tin tạo một tài khoản ngân hàng và một ID giả - và bạn lên máy bay, bạn đi nghỉ mát, bạn hạ cánh và bạn bị tống vào tù. Và tại sao bạn bị tống vào tù? Vâng, bởi vì bạn đã bị đánh cắp ID của bạn. Ai đó đã tạo một ID giả và hành động như bạn và hàng trăm ngàn đô la và họ đã làm điều này bốn năm và bạn thậm chí không biết về nó. Bởi vì nó ở ngoài kia, nó vừa xảy ra.

Vì vậy, tôi nghĩ rằng nó đưa chúng ta đến thách thức cốt lõi này là làm thế nào để chúng ta biết những gì đang xảy ra trên cơ sở dữ liệu của chúng ta, làm thế nào để chúng ta theo dõi nó, làm thế nào để chúng ta theo dõi nó? Và tôi mong muốn được nghe những người bạn của chúng tôi tại IDERA đã đưa ra một giải pháp để giải quyết vấn đề đó như thế nào. Và với điều đó, tôi sẽ bàn giao.

Eric Kavanagh: Được rồi, Ignacio, sàn là của bạn.

Ignacio Rodriguez: Được rồi. Vâng, chào mừng tất cả mọi người. Tên tôi là Ignacio Rodriguez, được biết đến với cái tên Iggy. Tôi với IDERA và một người quản lý sản phẩm cho các sản phẩm bảo mật. Các chủ đề thực sự hay mà chúng tôi vừa trình bày và chúng tôi thực sự phải lo lắng về các vi phạm dữ liệu. Chúng tôi cần phải có chính sách bảo mật cứng, chúng tôi cần xác định các lỗ hổng và đánh giá mức độ bảo mật, kiểm soát quyền của người dùng, kiểm soát bảo mật máy chủ và tuân thủ kiểm toán. Tôi đã từng làm kiểm toán trong lịch sử trước đây của tôi, chủ yếu là về phía Oracle. Tôi đã thực hiện một số trên SQL Server và đang thực hiện chúng với các công cụ hoặc, về cơ bản, các tập lệnh trong nhà, rất tuyệt nhưng bạn phải tạo một kho lưu trữ và đảm bảo kho lưu trữ được an toàn, liên tục phải duy trì các tập lệnh với các thay đổi từ kiểm toán viên, những gì có bạn.

Vì vậy, trong các công cụ, nếu tôi biết rằng IDERA đã ở ngoài đó và có một công cụ, nhiều khả năng tôi đã mua nó. Nhưng dù sao đi nữa, chúng ta sẽ nói về Secure. Đó là một trong những sản phẩm của chúng tôi trong dòng sản phẩm bảo mật của chúng tôi và về cơ bản, chúng tôi đang xem xét các chính sách bảo mật và ánh xạ chúng theo các hướng dẫn quy định. Bạn có thể xem toàn bộ lịch sử cài đặt SQL Server và về cơ bản bạn cũng có thể thực hiện đường cơ sở của các cài đặt đó và sau đó so sánh với các thay đổi trong tương lai. Bạn có thể tạo ảnh chụp nhanh, đây là đường cơ sở của cài đặt của bạn và sau đó có thể theo dõi nếu bất kỳ điều nào trong số đó bị thay đổi và cũng được cảnh báo nếu chúng bị thay đổi.

Một trong những điều chúng tôi làm tốt là ngăn ngừa rủi ro và vi phạm an ninh. Thẻ báo cáo bảo mật cung cấp cho bạn chế độ xem các lỗ hổng bảo mật hàng đầu trên các máy chủ và sau đó mỗi kiểm tra bảo mật được phân loại là rủi ro cao, trung bình hoặc thấp. Bây giờ, trên các danh mục hoặc kiểm tra bảo mật, tất cả những điều này có thể được sửa đổi. Giả sử nếu bạn có một số điều khiển và sử dụng một trong các mẫu mà chúng tôi có và bạn quyết định, thì, các điều khiển của chúng tôi thực sự chỉ ra hoặc muốn rằng lỗ hổng này không thực sự cao mà là trung bình hoặc ngược lại. Bạn có thể có một số được gắn nhãn là trung bình nhưng trong tổ chức của bạn, các điều khiển bạn muốn gắn nhãn cho chúng hoặc xem xét chúng, ở mức cao, tất cả các cài đặt đó đều có thể được cấu hình bởi người dùng.

Một vấn đề quan trọng khác mà chúng ta cần xem xét là xác định các lỗ hổng. Hiểu ai có quyền truy cập vào cái gì và xác định từng quyền hiệu quả của người dùng trên tất cả các đối tượng SQL Server. Với công cụ chúng ta sẽ có thể xem qua và xem xét các quyền trên tất cả các đối tượng SQL Server và chúng ta sẽ sớm thấy một ảnh chụp màn hình về điều đó ở đây. Chúng tôi cũng báo cáo và phân tích quyền của người dùng, nhóm và vai trò. Một trong những tính năng khác là chúng tôi cung cấp các báo cáo rủi ro bảo mật chi tiết. Chúng tôi có các báo cáo ngoài luồng và chứa các tham số linh hoạt để bạn tạo các loại báo cáo và hiển thị dữ liệu mà kiểm toán viên, nhân viên an ninh và người quản lý yêu cầu.

Chúng ta cũng có thể so sánh sự thay đổi về bảo mật, rủi ro và cấu hình theo thời gian, như tôi đã đề cập. Và đó là với các ảnh chụp nhanh. Và những ảnh chụp nhanh đó có thể được định cấu hình theo như bạn muốn thực hiện chúng - hàng tháng, hàng quý, hàng năm - có thể được lên lịch trong công cụ. Và, một lần nữa, bạn có thể so sánh để xem những gì đã thay đổi và điều tuyệt vời là nếu bạn có vi phạm, bạn có thể tạo một ảnh chụp nhanh sau khi được sửa chữa, so sánh và bạn sẽ thấy rằng có một mức độ cao rủi ro liên quan đến ảnh chụp nhanh trước đó và sau đó báo cáo, bạn thực sự thấy trong ảnh chụp nhanh tiếp theo sau khi nó được sửa chữa rằng nó không còn là vấn đề nữa. Đó là một công cụ kiểm toán tốt mà bạn có thể cung cấp cho kiểm toán viên, một báo cáo bạn có thể cung cấp cho các kiểm toán viên và nói, Nhìn Nhìn, chúng tôi đã gặp rủi ro này, chúng tôi đã giảm thiểu nó, và bây giờ nó không còn là rủi ro nữa. được đề cập với các ảnh chụp nhanh bạn có thể cảnh báo khi cấu hình thay đổi và nếu cấu hình bị thay đổi và được phát hiện, điều đó cũng gây ra rủi ro mới, bạn cũng sẽ được thông báo về điều đó.

Chúng tôi nhận được một số câu hỏi về Kiến trúc máy chủ SQL của chúng tôi với Bảo mật và tôi muốn sửa lỗi cho trang trình bày ở đây có ghi Dịch vụ Bộ sưu tập., Chúng tôi không có bất kỳ dịch vụ nào, đó phải là Máy chủ quản lý và Bộ sưu tập. Chúng tôi có bảng điều khiển của chúng tôi và sau đó là Máy chủ quản lý và bộ sưu tập của chúng tôi và chúng tôi có một bản thu không cần thiết sẽ đi ra ngoài cơ sở dữ liệu đã được đăng ký và thu thập dữ liệu thông qua các công việc. Và chúng tôi có Kho lưu trữ máy chủ SQL và chúng tôi làm việc cùng với Dịch vụ báo cáo máy chủ SQL để lên lịch báo cáo và tạo báo cáo tùy chỉnh. Bây giờ trên Thẻ Báo cáo Bảo mật, đây là màn hình đầu tiên bạn sẽ thấy khi SQL Secure được khởi động. Bạn sẽ dễ dàng nhìn thấy những mục quan trọng mà bạn có mà nó phát hiện ra. Và, một lần nữa, chúng ta có mức cao, mức trung bình và mức thấp. Và sau đó chúng tôi cũng có các chính sách phù hợp với kiểm tra bảo mật cụ thể. Chúng tôi có một mẫu HIPAA; chúng tôi có các mẫu IDERA Security Cấp 1, 2 và 3; chúng tôi có hướng dẫn PCI. Đây là tất cả các mẫu mà bạn có thể sử dụng và, một lần nữa, bạn có thể tạo mẫu của riêng mình, dựa trên các điều khiển của riêng bạn. Và, một lần nữa, chúng có thể sửa đổi. Bạn có thể tạo của riêng bạn. Bất kỳ mẫu hiện có nào có thể được sử dụng làm đường cơ sở, sau đó bạn có thể sửa đổi những mẫu này theo ý muốn.

Một trong những điều tốt đẹp để làm là xem ai có quyền. Và với màn hình này, chúng ta sẽ có thể xem thông tin đăng nhập SQL Server nào trên doanh nghiệp và bạn sẽ có thể xem tất cả các quyền và quyền được chỉ định và hiệu quả ở cơ sở dữ liệu máy chủ ở cấp đối tượng. Chúng tôi làm điều đó ở đây. Bạn sẽ có thể chọn, một lần nữa, cơ sở dữ liệu hoặc máy chủ, sau đó có thể lấy báo cáo về các quyền của SQL Server. Vì vậy, có thể xem ai có quyền truy cập vào những gì. Một tính năng hay khác là bạn sẽ có thể so sánh các cài đặt bảo mật. Giả sử bạn có các cài đặt tiêu chuẩn cần được đặt cho doanh nghiệp của mình. Sau đó, bạn có thể so sánh tất cả các máy chủ của mình và xem cài đặt nào được đặt trên các máy chủ khác trong doanh nghiệp của bạn.

Một lần nữa, các mẫu chính sách, đây là một số mẫu mà chúng tôi có. Về cơ bản, một lần nữa, bạn sử dụng một trong số đó, tạo riêng của bạn. Bạn có thể tạo chính sách của riêng bạn, như đã thấy ở đây. Sử dụng một trong các mẫu và bạn có thể sửa đổi chúng khi cần. Chúng tôi cũng có thể xem Quyền hiệu quả của Máy chủ SQL. Điều này sẽ xác minh và chứng minh rằng các quyền được đặt chính xác cho người dùng và vai trò. Một lần nữa, bạn có thể ra khỏi đó và xem và xem và xác minh rằng quyền được đặt chính xác cho người dùng và vai trò. Sau đó, với Quyền truy cập đối tượng máy chủ SQL, sau đó bạn có thể duyệt và phân tích cây đối tượng SQL Server từ cấp độ máy chủ xuống các vai trò và điểm cuối cấp đối tượng. Và bạn có thể xem ngay các quyền được thừa kế và các thuộc tính liên quan đến bảo mật được gán và hiệu quả ở cấp đối tượng. Điều này cung cấp cho bạn một cái nhìn tốt về các truy cập mà bạn có trên các đối tượng cơ sở dữ liệu của bạn và những người có quyền truy cập vào các đối tượng đó.

Chúng tôi có, một lần nữa, báo cáo của chúng tôi mà chúng tôi có. Chúng là các báo cáo đóng hộp, chúng tôi có một số báo cáo mà bạn có thể chọn để thực hiện báo cáo của mình. Và rất nhiều trong số này có thể được tùy chỉnh hoặc bạn có thể có báo cáo khách hàng của mình và sử dụng kết hợp với các dịch vụ báo cáo và có thể tạo báo cáo tùy chỉnh của riêng bạn từ đó. Bây giờ là So sánh ảnh chụp nhanh, đây là một tính năng khá thú vị, tôi nghĩ, nơi bạn có thể ra ngoài đó và bạn có thể so sánh các ảnh chụp nhanh của mình mà bạn đã chụp và xem liệu có sự khác biệt nào về số không. Có đối tượng nào được thêm vào không, có quyền đã thay đổi không, bất cứ điều gì chúng ta có thể thấy những thay đổi đã được thực hiện giữa các ảnh chụp nhanh khác nhau. Một số người sẽ xem xét những điều này ở cấp độ hàng tháng - họ sẽ thực hiện một ảnh chụp nhanh hàng tháng và sau đó thực hiện so sánh mỗi tháng để xem có gì thay đổi không. Và nếu không có gì đáng lẽ phải thay đổi, bất cứ điều gì đã đến các cuộc họp kiểm soát thay đổi và bạn thấy rằng một số quyền đã được thay đổi, bạn có thể quay lại để xem điều gì đã xảy ra. Đây là một tính năng khá hay ở đây, nơi bạn có thể thực hiện so sánh, một lần nữa, về tất cả mọi thứ được kiểm toán trong ảnh chụp nhanh.

Sau đó, so sánh đánh giá của bạn. Đây là một tính năng hay khác mà chúng tôi có ở đó bạn có thể đi ra ngoài và xem các đánh giá và sau đó so sánh chúng và nhận thấy rằng so sánh ở đây có một tài khoản SA không bị vô hiệu hóa trong ảnh chụp nhanh gần đây mà tôi đã thực hiện - nó hiện đã được sửa chữa Đây là một điều khá hay, nơi bạn có thể chỉ ra rằng, được thôi, chúng tôi đã có một số rủi ro, chúng được xác định bởi công cụ và bây giờ chúng tôi đã giảm thiểu những rủi ro đó. Và, một lần nữa, đây là một báo cáo tốt để cho các kiểm toán viên thấy rằng trên thực tế những rủi ro đó đã được giảm thiểu và được quan tâm.

Tóm lại, bảo mật cơ sở dữ liệu, nó rất quan trọng và tôi nghĩ rằng rất nhiều lần chúng ta đang xem xét các vi phạm đến từ các nguồn bên ngoài và đôi khi chúng ta không thực sự chú ý quá nhiều đến các vi phạm nội bộ và đó là một số điều mà chúng ta cần coi chừng Và Secure sẽ giúp bạn ở đó để đảm bảo rằng không có đặc quyền nào không cần phải được chỉ định, bạn biết đấy, đảm bảo tất cả các bảo mật này được đặt đúng cho các tài khoản. Đảm bảo tài khoản SA của bạn có mật khẩu. Cũng kiểm tra chừng nào, các khóa mã hóa của bạn, chúng đã được xuất chưa? Chỉ cần nhiều thứ khác nhau mà chúng tôi kiểm tra và chúng tôi sẽ cảnh báo bạn về thực tế nếu có vấn đề và ở cấp độ nào của vấn đề. Chúng tôi cần một công cụ, rất nhiều chuyên gia cần các công cụ để quản lý và giám sát các quyền truy cập cơ sở dữ liệu và chúng tôi thực sự xem xét việc cung cấp khả năng mở rộng để kiểm soát các quyền của cơ sở dữ liệu và theo dõi các hoạt động truy cập và giảm thiểu rủi ro vi phạm.

Bây giờ một phần khác của các sản phẩm bảo mật của chúng tôi là có một WebEx được trình bày và một phần của bản trình bày mà chúng tôi đã nói trước đó là dữ liệu. Bạn biết ai đang truy cập những gì, những gì có bạn và đó là công cụ Trình quản lý tuân thủ SQL của chúng tôi. Và có một WebEx được ghi lại trên công cụ đó và nó thực sự sẽ cho phép bạn theo dõi xem ai đang truy cập vào bảng nào, cột nào, bạn có thể xác định các bảng có các cột nhạy cảm, cho đến ngày sinh, thông tin bệnh nhân, các loại bảng đó và thực sự xem ai có quyền truy cập vào thông tin đó và nếu nó đang được truy cập.

Eric Kavanagh: Được rồi, vì vậy hãy đi sâu vào các câu hỏi, tôi đoán ở đây. Có lẽ, Dez, tôi sẽ ném nó cho bạn trước, và Robin, hãy hô vang hết mức có thể.

Dez Blanchfield: Vâng, tôi đã rất ngại khi đặt câu hỏi từ slide ^{thứ 2} và 3. Trường hợp sử dụng điển hình bạn đang thấy cho công cụ này là gì? Ai là loại người dùng phổ biến nhất mà bạn đang thấy đang áp dụng điều này và đưa nó vào chơi? Và ở mặt sau của nó, mô hình ca sử dụng điển hình, sắp xếp, họ sẽ làm thế nào về điều đó? Làm thế nào nó được thực hiện?

Ignacio Rodriguez: Được rồi, trường hợp sử dụng điển hình mà chúng tôi có là các DBA đã được giao trách nhiệm kiểm soát truy cập cho cơ sở dữ liệu, họ đảm bảo rằng tất cả các quyền được đặt theo cách họ cần và sau đó theo dõi và các tiêu chuẩn của họ tại chỗ Bạn biết đấy, những tài khoản người dùng nhất định này chỉ có thể có quyền truy cập vào các bảng cụ thể này, v.v. Và những gì họ đang làm với nó là đảm bảo rằng các tiêu chuẩn đó đã được đặt ra và các tiêu chuẩn đó không thay đổi theo thời gian. Và đó là một trong những điều lớn mà mọi người đang sử dụng nó là để theo dõi và xác định xem có bất kỳ thay đổi nào đang được thực hiện mà không được biết đến hay không.

Dez Blanchfield: Bởi vì họ là những kẻ đáng sợ, phải không? Là bạn có thể có một tài liệu chiến lược, bạn đã có những chính sách làm cơ sở cho điều đó, bạn có sự tuân thủ và quản trị bên dưới điều đó, và bạn tuân thủ các chính sách, bạn tuân thủ quản trị và nó được bật đèn xanh và rồi đột nhiên một tháng sau, một người nào đó tung ra một sự thay đổi và vì một lý do nào đó, nó không trải qua cùng một bảng đánh giá thay đổi hoặc quá trình thay đổi, hoặc bất cứ điều gì có thể, hoặc dự án chỉ tiếp tục và không ai biết.

Bạn có bất kỳ ví dụ nào bạn có thể chia sẻ - và tôi biết, rõ ràng, không phải lúc nào bạn cũng chia sẻ vì khách hàng có chút lo lắng về nó, vì vậy chúng tôi không nhất thiết phải đặt tên - nhưng hãy cho chúng tôi một ví dụ về nơi bạn Có thể bạn đã thấy điều này trên thực tế, bạn biết đấy, một tổ chức đã đưa nó vào vị trí mà không nhận ra và họ chỉ tìm thấy thứ gì đó và nhận ra, đó là giá trị gấp mười lần, chúng tôi chỉ tìm thấy thứ gì đó mà chúng tôi không nhận ra. bất kỳ ví dụ nào mà mọi người đã thực hiện điều này và sau đó phát hiện ra rằng họ có vấn đề lớn hơn hoặc vấn đề thực sự mà họ không nhận ra họ có và sau đó bạn có được thêm ngay vào danh sách thiệp Giáng sinh không?

Ignacio Rodriguez: Vâng, tôi nghĩ rằng điều lớn nhất mà chúng tôi đã thấy hoặc đã báo cáo là những gì tôi vừa đề cập, theo như sự tiếp cận mà ai đó đã có. Có nhà phát triển và khi họ triển khai công cụ, họ thực sự không nhận ra rằng lượng X của những nhà phát triển này có nhiều quyền truy cập vào cơ sở dữ liệu và có quyền truy cập vào các đối tượng cụ thể. Và một điều nữa là tài khoản chỉ đọc. Có một số tài khoản chỉ đọc mà họ có, đến để tìm hiểu những tài khoản chỉ đọc này thực sự, đã chèn dữ liệu và xóa đặc quyền. Đó là nơi chúng tôi đã thấy một số lợi ích cho người dùng. Điều quan trọng, một lần nữa, chúng ta đã nghe nói rằng mọi người thích, một lần nữa, có thể theo dõi các thay đổi và đảm bảo rằng không có gì làm họ mù quáng.

Dez Blanchfield: Cũng như Robin nhấn mạnh, bạn đã có những tình huống mà mọi người không thường nghĩ tới, phải không? Khi chúng tôi mong đợi chúng tôi, bạn nghĩ, nếu chúng tôi làm mọi thứ theo quy tắc, và tôi thấy, và tôi chắc chắn bạn cũng sẽ thấy điều đó - hãy nói cho tôi biết nếu bạn không đồng ý với nó - các tổ chức tập trung như vậy chủ yếu vào việc phát triển chiến lược và chính sách và tuân thủ và quản trị và KPI và báo cáo, rằng họ thường bị khắc phục về điều đó, họ không nghĩ về các ngoại lệ. Và Robin đã có một ví dụ thực sự tuyệt vời mà tôi sẽ đánh cắp từ anh ấy - xin lỗi Robin - nhưng ví dụ là lần khác, nơi một bản sao trực tiếp của cơ sở dữ liệu, một ảnh chụp nhanh và đưa nó vào thử nghiệm phát triển, phải không? Chúng tôi làm dev, chúng tôi kiểm tra, chúng tôi làm UAT, chúng tôi tích hợp hệ thống, tất cả các loại công cụ đó và sau đó chúng tôi thực hiện một loạt các thử nghiệm tuân thủ ngay bây giờ. Thường thì thử nghiệm dev, UAT, SIT thực sự có một thành phần tuân thủ trong đó chúng tôi chỉ đảm bảo rằng tất cả đều lành mạnh và an toàn, nhưng không phải ai cũng làm điều đó. Ví dụ này mà Robin đã đưa ra với một bản sao của cơ sở dữ liệu trực tiếp được đưa vào thử nghiệm với môi trường phát triển để xem liệu nó có còn hoạt động với dữ liệu trực tiếp hay không. Rất ít công ty ngồi lại và suy nghĩ, điều đó có xảy ra hay không? Có thể họ luôn cố định về công cụ sản xuất. Hành trình thực hiện trông như thế nào? Có phải chúng ta đang nói về ngày, tuần, tháng? Việc triển khai thường xuyên trông như thế nào đối với một tổ chức có quy mô trung bình?

Ignacio Rodriguez: Ngày. Đó không phải là ngày, ý tôi là, nó chỉ là một vài ngày. Chúng tôi chỉ cần thêm một tính năng nơi chúng tôi có thể đăng ký nhiều, nhiều máy chủ. Thay vì phải vào đó trong công cụ và nói rằng bạn có 150 máy chủ, bạn phải vào đó riêng lẻ và đăng ký máy chủ - bây giờ bạn không phải làm điều đó. Có một tệp CSV mà bạn tạo và chúng tôi sẽ tự động xóa nó và chúng tôi không giữ nó ở đó vì những lo ngại về bảo mật. Nhưng đó là một điều khác mà chúng tôi phải xem xét, đó là bạn sẽ có một tệp CSV ngoài đó với tên người dùng / mật khẩu.

Những gì chúng tôi làm là chúng tôi tự động, là chúng tôi xóa nó một lần nữa, nhưng đó là một tùy chọn bạn có. Nếu bạn muốn đến đó một cách cá nhân và đăng ký chúng và không muốn mạo hiểm, thì bạn có thể làm điều đó. Nhưng nếu bạn muốn sử dụng tệp CSV, hãy đặt nó vào một vị trí an toàn, trỏ ứng dụng đến vị trí đó, nó sẽ chạy tệp CSV đó và sau đó nó sẽ tự động được đặt để xóa tệp đó sau khi hoàn tất. Và nó sẽ đi và đảm bảo và kiểm tra các tập tin được gỡ bỏ. Cây sào dài nhất trên cát mà chúng tôi có được khi thực hiện là đăng ký máy chủ thực tế.

Dez Blanchfield: Được rồi. Bây giờ bạn đã nói về các báo cáo. Bạn có thể cho chúng tôi biết thêm một chút chi tiết và cái nhìn sâu sắc về những gì được gói sẵn trước khi báo cáo xung quanh, tôi đoán, thành phần khám phá xem xét những gì trong đó và báo cáo về nó, tình trạng hiện tại của quốc gia, những gì đến trước được xây dựng và nướng sẵn theo như các báo cáo xung quanh tình trạng tuân thủ và bảo mật hiện tại, và sau đó chúng có thể dễ dàng mở rộng như thế nào? Làm thế nào để chúng ta xây dựng trên những?

Ignacio Rodriguez: Được rồi. Một số báo cáo mà chúng tôi có, chúng tôi có các báo cáo liên quan đến máy chủ chéo, kiểm tra đăng nhập, bộ lọc thu thập dữ liệu, lịch sử hoạt động và sau đó là báo cáo đánh giá rủi ro. Và cũng có bất kỳ tài khoản Windows nghi ngờ. Có rất nhiều, rất nhiều ở đây. Xem thông tin đăng nhập SQL đáng ngờ, thông tin đăng nhập máy chủ và ánh xạ người dùng, quyền người dùng, tất cả các quyền của người dùng, vai trò máy chủ, vai trò cơ sở dữ liệu, một số lỗ hổng chúng tôi có hoặc báo cáo xác thực chế độ hỗn hợp, cơ sở dữ liệu khách, lỗ hổng hệ điều hành thông qua XPSs, các thủ tục mở rộng, và sau đó là vai trò cố định dễ bị tổn thương. Đó là một số báo cáo mà chúng tôi có.

Dez Blanchfield: Và bạn đã đề cập rằng họ đủ quan trọng và một số trong số họ, đó là một điều hợp lý. Làm thế nào dễ dàng cho tôi để điều chỉnh nó? Nếu tôi chạy một báo cáo và tôi nhận được biểu đồ lớn tuyệt vời này, nhưng tôi muốn lấy ra một số phần mà tôi không thực sự quan tâm và thêm một vài tính năng khác, có một người viết báo cáo, có một loại giao diện nào đó không và công cụ để cấu hình và điều chỉnh hoặc thậm chí có khả năng xây dựng một báo cáo khác từ đầu?

Ignacio Rodriguez: Sau đó, chúng tôi sẽ hướng người dùng sử dụng Dịch vụ báo cáo Microsoft SQL để làm điều đó và chúng tôi có nhiều khách hàng thực sự sẽ lấy một số báo cáo, tùy chỉnh và lên lịch cho họ bất cứ khi nào họ muốn. Một số kẻ này muốn xem các báo cáo này hàng tháng hoặc hàng tuần và họ sẽ lấy thông tin mà chúng tôi có, chuyển nó vào Dịch vụ báo cáo và sau đó thực hiện điều đó từ đó. Chúng tôi không có người viết báo cáo được tích hợp với công cụ của mình, nhưng chúng tôi tận dụng Dịch vụ báo cáo.

Dez Blanchfield: Tôi nghĩ đó là một trong những thách thức lớn nhất với những công cụ này. Bạn có thể vào đó và tìm đồ, nhưng sau đó bạn cần có khả năng rút nó ra, báo cáo cho những người không nhất thiết phải là DBA và kỹ sư hệ thống. Có một vai trò thú vị xuất hiện trong kinh nghiệm của tôi và đó là, bạn biết đấy, các nhân viên rủi ro luôn ở trong các tổ chức và họ chủ yếu xuất hiện và một loạt rủi ro hoàn toàn khác mà chúng ta đã thấy gần đây, trong khi bây giờ với dữ liệu Vi phạm trở thành không chỉ là một điều mà là một cơn sóng thần thực sự, CRO đã đi từ hiện tại, bạn biết đấy, nhân sự và tuân thủ và sức khỏe nghề nghiệp và tập trung loại an toàn hiện nay đến rủi ro không gian mạng. Bạn biết đấy, vi phạm, hack, bảo mật - kỹ thuật hơn rất nhiều. Và điều đó trở nên thú vị bởi vì có rất nhiều CRO đến từ phả hệ MBA chứ không phải phả hệ kỹ thuật, vì vậy họ phải tìm hiểu kỹ về điều này có nghĩa là gì khi chuyển đổi giữa rủi ro không gian mạng chuyển sang CRO, vân vân. Nhưng điều lớn mà họ muốn chỉ là báo cáo khả năng hiển thị.

Bạn có thể cho chúng tôi biết bất cứ điều gì xung quanh định vị liên quan đến việc tuân thủ? Rõ ràng một trong những điểm mạnh lớn của điều này là bạn có thể thấy những gì đang diễn ra, bạn có thể theo dõi nó, bạn có thể học hỏi, bạn có thể báo cáo về nó, bạn có thể phản ứng với nó, thậm chí bạn có thể ưu tiên một số điều. Thách thức bao trùm là tuân thủ quản trị. Có những phần chính của điều này cố tình liên kết với các yêu cầu tuân thủ hiện hành hoặc tuân thủ ngành như PCI, hoặc một cái gì đó tương tự như hiện tại, hoặc đó là thứ gì đó đang đi xuống bản đồ? Liệu nó, sắp xếp, phù hợp với khuôn khổ của các tiêu chuẩn như COBIT, ITIL và ISO? Nếu chúng tôi triển khai công cụ này, nó có cung cấp cho chúng tôi một loạt các kiểm tra và số dư phù hợp với các khung đó không, hoặc làm thế nào để chúng tôi xây dựng nó vào các khung đó? Đâu là vị trí với những thứ đó trong tâm trí?

Ignacio Rodriguez: Vâng, có những mẫu mà chúng tôi có mà chúng tôi cung cấp với công cụ. Và chúng tôi đang đi đến điểm một lần nữa, nơi chúng tôi đang đánh giá lại các mẫu của chúng tôi và chúng tôi sẽ thêm và sẽ sớm có thêm. FISMA, FINRA, một số mẫu bổ sung mà chúng tôi có và chúng tôi thường xem xét các mẫu và xem thử những gì đã thay đổi, chúng tôi cần thêm gì? Và chúng tôi thực sự muốn đi đến điểm mà bạn biết rằng các yêu cầu bảo mật đã thay đổi khá nhiều, vì vậy chúng tôi đang tìm cách để làm cho điều này có thể mở rộng nhanh chóng. Đó là điều mà chúng tôi đang xem xét trong tương lai.

Nhưng ngay bây giờ chúng tôi đang xem xét có thể tạo mẫu và có thể lấy mẫu từ trang web; bạn có thể tải chúng Và đó là cách chúng tôi xử lý điều đó - chúng tôi xử lý chúng thông qua các mẫu và chúng tôi đang tìm cách trong tương lai ở đây để làm cho điều đó dễ dàng mở rộng và nhanh chóng. Bởi vì khi tôi từng làm kiểm toán, bạn biết đấy, mọi thứ thay đổi. Một kiểm toán viên sẽ đến một tháng và tháng tiếp theo họ muốn thấy điều gì đó khác biệt. Sau đó, đó là một trong những thách thức với các công cụ, là có thể thực hiện những thay đổi đó và có được những gì bạn cần, và đó là loại nơi chúng tôi muốn đến.

Dez Blanchfield: Tôi đoán rằng thách thức của kiểm toán viên thay đổi thường xuyên dựa trên thực tế là thế giới di chuyển nhanh hơn. Và trước đây, yêu cầu từ quan điểm kiểm toán, theo kinh nghiệm của tôi, sẽ chỉ là tuân thủ thương mại thuần túy, và sau đó nó trở thành tuân thủ kỹ thuật và bây giờ là tuân thủ hoạt động. Và tất cả những thứ khác, bạn biết đấy, mỗi ngày có ai đó xuất hiện và họ không chỉ đo lường bạn về hoạt động như ISO 9006 và 9002, họ đang xem xét mọi thứ. Và tôi thấy bây giờ loạt 38.000 đang trở thành một điều lớn trong ISO. Tôi tưởng tượng rằng điều đó sẽ ngày càng trở nên khó khăn hơn. Tôi sắp bàn giao cho Robin vì tôi đã ăn cắp băng thông.

Cảm ơn bạn rất nhiều khi thấy điều đó, và tôi chắc chắn sẽ dành nhiều thời gian hơn để tìm hiểu nó bởi vì tôi thực sự không nhận ra rằng nó thực sự khá sâu sắc. Vì vậy, cảm ơn bạn, Ignacio, tôi sẽ trao cho Robin ngay bây giờ. Một bài thuyết trình tuyệt vời, cảm ơn bạn. Robin, đối diện với bạn.

Tiến sĩ Robin Bloor: Được rồi Iggy, tôi sẽ gọi bạn là Iggy, nếu điều đó ổn. Điều gì làm tôi bối rối, và tôi nghĩ dưới ánh sáng của một số điều Dez đã nói trong bài thuyết trình của mình, có rất nhiều điều đang diễn ra ngoài kia mà bạn phải nói rằng mọi người thực sự không chăm sóc dữ liệu. Bạn biết đấy, đặc biệt khi nói đến thực tế là bạn chỉ nhìn thấy một phần của tảng băng trôi và có lẽ có rất nhiều điều đang xảy ra mà không ai báo cáo. Tôi quan tâm đến quan điểm của bạn về việc có bao nhiêu khách hàng mà bạn biết, hoặc khách hàng tiềm năng mà bạn biết, có mức độ bảo vệ mà bạn, loại, cung cấp không chỉ với điều này, mà còn công nghệ truy cập dữ liệu của bạn? Ý tôi là, ai ngoài kia được trang bị đúng cách để đối phó với mối đe dọa, là câu hỏi?

Ignacio Rodriguez: Ai được trang bị đúng cách? Ý tôi là, rất nhiều khách hàng mà chúng tôi thực sự chưa giải quyết bất kỳ loại kiểm toán nào, bạn biết đấy. Họ đã có một số, nhưng điều quan trọng là cố gắng theo kịp và cố gắng duy trì và đảm bảo. Vấn đề lớn mà chúng tôi thấy là - và thậm chí tôi gặp phải khi tôi đang tuân thủ, là - nếu bạn chạy các kịch bản của mình, bạn sẽ làm điều đó mỗi quý một lần khi các kiểm toán viên đến và bạn đã phát hiện ra vấn đề. Chà, đoán xem, đã quá muộn rồi, kiểm toán ở đó, kiểm toán viên ở đó, họ muốn báo cáo của họ, họ đánh dấu nó. Và sau đó, chúng tôi sẽ nhận được một dấu hiệu hoặc chúng tôi đã nói, hey, chúng tôi cần khắc phục những vấn đề này, và đó là nơi sẽ xảy ra. Đây sẽ là một loại chủ động mà bạn có thể tìm thấy rủi ro của mình và giảm thiểu rủi ro và đó là những gì khách hàng của chúng tôi đang tìm kiếm. Một cách để chủ động thay vì phản ứng khi kiểm toán viên đến và tìm thấy một số quyền truy cập không phải là nơi họ cần, những người khác có đặc quyền quản trị và họ không nên có chúng, những kiểu đó. Và đó là nơi chúng tôi đã thấy rất nhiều phản hồi từ đó, rằng mọi người thích công cụ này và đang sử dụng nó cho.

Tiến sĩ Robin Bloor: Được rồi, một câu hỏi khác mà tôi đã nhận được, theo một nghĩa nào đó, cũng là một câu hỏi rõ ràng, nhưng tôi chỉ tò mò. Có bao nhiêu người thực sự đến với bạn sau vụ hack? Ở đâu, bạn biết đấy, bạn đang kinh doanh, không phải vì họ nhìn vào môi trường của họ và nhận ra rằng họ cần được bảo mật theo cách có tổ chức hơn nhiều, nhưng thực ra bạn ở đó đơn giản chỉ vì họ đã chịu đựng một số đau đớn.

Ignacio Rodriguez: Trong thời gian ở đây tại IDERA, tôi chưa thấy ai. Thành thật mà nói với bạn, hầu hết các tương tác tôi đã có với các khách hàng mà tôi đã tham gia đều mong muốn hơn và cố gắng bắt đầu kiểm toán và bắt đầu xem xét các đặc quyền, vân vân. Như tôi đã nói, tôi có bản thân mình, chưa có kinh nghiệm trong thời gian ở đây, rằng chúng tôi đã có bất kỳ ai đến sau vi phạm mà tôi biết.

Tiến sĩ Robin Bloor: Ồ, thật thú vị. Tôi đã nghĩ rằng đã có ít nhất một vài. Tôi thực sự đang xem xét điều này, nhưng cũng thêm vào đó, tất cả những sự phức tạp thực sự làm cho dữ liệu được bảo mật trên toàn doanh nghiệp theo mọi cách và trong mọi hoạt động bạn làm. Bạn có cung cấp tư vấn trực tiếp để giúp đỡ mọi người? Ý tôi là, rõ ràng là bạn có thể mua các công cụ, nhưng theo kinh nghiệm của tôi, mọi người thường mua các công cụ tinh vi và sử dụng chúng rất tệ. Bạn có cung cấp tư vấn cụ thể - phải làm gì, đào tạo ai và những thứ như vậy không?

Ignacio Rodriguez: Có một số dịch vụ mà bạn có thể, theo như các dịch vụ hỗ trợ, sẽ cho phép một số dịch vụ đó xảy ra. Nhưng theo như tư vấn, chúng tôi không cung cấp bất kỳ dịch vụ tư vấn nào ngoài đào tạo, bạn biết đấy, làm thế nào để sử dụng các công cụ và những thứ tương tự, một số trong đó sẽ được giải quyết với mức hỗ trợ. Nhưng mỗi người chúng ta không có một bộ phận dịch vụ đi ra ngoài và làm điều đó.

Tiến sĩ Robin Bloor: Được rồi. Về mặt cơ sở dữ liệu bạn trình bày, phần trình bày ở đây chỉ đề cập đến Microsoft SQL Server - bạn có làm Oracle không?

Ignacio Rodriguez: Trước tiên, chúng tôi sẽ mở rộng sang lĩnh vực Oracle với Trình quản lý tuân thủ. Chúng tôi sẽ bắt đầu một dự án với điều đó vì vậy chúng tôi sẽ xem xét mở rộng điều này sang Oracle.

Tiến sĩ Robin Bloor: Và bạn có khả năng đi nơi khác không?

Ignacio Rodriguez: Vâng, đó là thứ mà chúng tôi phải xem xét trên các lộ trình và xem mọi thứ như thế nào, nhưng đó là một số điều chúng tôi đang xem xét, là những gì các nền tảng cơ sở dữ liệu khác chúng tôi cần phải tấn công.

Tiến sĩ Robin Bloor: Tôi cũng quan tâm đến việc phân chia, tôi chưa có bất kỳ hình ảnh định sẵn nào về việc này, nhưng về mặt triển khai, bao nhiêu trong số này thực sự được triển khai trên đám mây, hoặc gần như là tất cả tại chỗ ?

Ignacio Rodriguez: Tất cả tại chỗ. Chúng tôi đang xem xét mở rộng Secure cũng như để trang trải Azure, yeah.

Tiến sĩ Robin Bloor: Đó là câu hỏi Azure, bạn chưa có nhưng bạn đang đến đó, nó rất có ý nghĩa.

Ignacio Rodriguez: Vâng, chúng tôi sẽ đến đó rất sớm.

Tiến sĩ Robin Bloor: Vâng, hiểu biết của tôi từ Microsoft là có rất nhiều hành động với Microsoft SQL Server trong Azure. Nó trở thành, nếu bạn thích, một phần quan trọng của những gì họ cung cấp. Một câu hỏi khác mà tôi quan tâm - đó không phải là kỹ thuật, nó giống như một câu hỏi làm thế nào bạn tham gia - ai là người mua cho điều này? Bạn đang được bộ phận CNTT tiếp cận hay bạn đang bị CSO tiếp cận, hay đó là một loạt người khác? Khi một cái gì đó như thế này đang được xem xét, nó có phải là một phần của việc xem xét một loạt các thứ để bảo vệ môi trường? Tình hình ở đó thế nào?

Ignacio Rodriguez: Đó là một hỗn hợp. Chúng tôi có CSO, rất nhiều lần đội ngũ bán hàng sẽ tiếp cận và nói chuyện với các DBA. Và sau đó, các DBA, một lần nữa, đã được thuê để có được một số loại chính sách quy trình kiểm toán. Và sau đó họ sẽ đánh giá các công cụ và báo cáo chuỗi và đưa ra quyết định về phần nào họ muốn mua. Nhưng đó là một túi hỗn hợp của những người sẽ liên hệ với chúng tôi.

Tiến sĩ Robin Bloor: Được rồi. Tôi nghĩ bây giờ tôi sẽ quay lại với Eric bởi vì chúng tôi, loại, đã hoàn thành giờ, nhưng có thể có một số câu hỏi của khán giả. Eric?

Eric Kavanagh: Vâng chắc chắn, chúng tôi đã đốt cháy rất nhiều nội dung hay ở đây. Đây là một câu hỏi thực sự hay mà tôi sẽ gửi cho bạn từ một trong những người tham dự. Anh ấy đang nói về blockchain và những gì bạn đang nói, và anh ấy đang hỏi, có cách nào để di chuyển một phần chỉ đọc của cơ sở dữ liệu SQL sang một thứ tương tự như những gì blockchain cung cấp không? Đó là một loại khó khăn.

Ignacio Rodriguez: Vâng, tôi sẽ thành thật với bạn, tôi không có câu trả lời cho câu hỏi đó.

Eric Kavanagh: Tôi sẽ ném nó cho Robin. Tôi không biết nếu bạn nghe câu hỏi đó, Robin, nhưng anh ấy chỉ hỏi, có cách nào để di chuyển phần chỉ đọc của cơ sở dữ liệu SQL sang một thứ tương tự như những gì blockchain cung cấp không? Bạn nghĩ gì về điều này?

Tiến sĩ Robin Bloor: Giống như, nếu bạn sẽ di chuyển cơ sở dữ liệu, bạn cũng sẽ di chuyển lưu lượng cơ sở dữ liệu. Có cả một bộ phức tạp liên quan đến việc đó. Nhưng bạn sẽ không làm điều đó vì bất kỳ lý do nào khác ngoài việc làm cho dữ liệu trở nên bất khả xâm phạm. Bởi vì một blockchain sẽ chậm hơn để truy cập, vì vậy, bạn biết đấy, nếu tốc độ là thứ của bạn - và nó gần như luôn luôn là thứ - thì bạn sẽ không làm điều đó. Nhưng nếu bạn muốn cung cấp, loại quyền truy cập được mã hóa có khóa cho một số người làm điều đó, bạn có thể làm điều đó, nhưng bạn phải có một lý do rất chính đáng. Bạn có nhiều khả năng để nó ở nơi nó đang ở và bảo vệ nó ở nơi nó đang ở.

Dez Blanchfield: Vâng, tôi đồng ý về điều đó, nếu tôi có thể cân nhắc nhanh chóng. Tôi nghĩ rằng thách thức của blockchain, thậm chí là blockchain công khai ngoài đó, nó được sử dụng trên bitcoin - chúng tôi thấy khó có thể mở rộng quy mô vượt ra ngoài, khoảng bốn giao dịch một phút theo kiểu phân tán đầy đủ. Không phải vì thử thách tính toán, mặc dù ở đó, các nút đầy đủ chỉ gặp khó khăn để theo kịp khối lượng cơ sở dữ liệu di chuyển ngược và chuyển tiếp và lượng dữ liệu được sao chép bởi vì giờ đây nó không phải là megs.

Nhưng tôi cũng nghĩ, thách thức chính là bạn cần thay đổi kiến ​​trúc của ứng dụng bởi vì trong cơ sở dữ liệu, chủ yếu là đưa mọi thứ đến một vị trí trung tâm và bạn đã có mô hình loại máy khách-máy chủ đó. Blockchain là nghịch đảo; đó là về các bản sao được phân phối. Nó giống như BitTorrent theo nhiều cách và đó là rất nhiều bản sao có cùng dữ liệu. Và, bạn biết đấy, như Cassandra và cơ sở dữ liệu trong bộ nhớ nơi bạn phân phối nó và rất nhiều máy chủ có thể cung cấp cho bạn các bản sao của cùng một dữ liệu từ một chỉ mục phân tán. Tôi nghĩ rằng hai phần quan trọng, như bạn đã nói, Robin, là: một, nếu bạn muốn bảo mật nó và đảm bảo rằng nó không thể bị đánh cắp hoặc hack, điều đó thật tuyệt, nhưng đó chưa hẳn là một nền tảng giao dịch, và chúng tôi Đã có kinh nghiệm với dự án bitcoin. Nhưng trên lý thuyết những người khác đã giải quyết nó. Nhưng ngoài ra, về mặt kiến ​​trúc, rất nhiều ứng dụng ngoài kia không biết cách truy vấn và đọc từ một blockchain.

Có rất nhiều việc phải làm ở đó. Nhưng tôi nghĩ điểm mấu chốt của câu hỏi ở đó, chỉ là nếu tôi có thể, là lý do của việc chuyển nó sang blockchain, tôi nghĩ rằng câu hỏi đang được hỏi là, bạn có thể lấy dữ liệu ra khỏi cơ sở dữ liệu và đưa nó vào một dạng nào đó không an toàn hơn? Và câu trả lời là, bạn có thể để nó trong cơ sở dữ liệu và chỉ cần mã hóa nó. Có rất nhiều công nghệ bây giờ. Chỉ cần mã hóa dữ liệu ở phần còn lại hoặc trong chuyển động. Không có lý do tại sao bạn không thể có dữ liệu được mã hóa trong bộ nhớ và trong cơ sở dữ liệu trên đĩa, đây là một thách thức đơn giản hơn nhiều vì bạn không có một thay đổi kiến ​​trúc nào. Luôn luôn là hầu hết các nền tảng cơ sở dữ liệu, nó thực sự chỉ là một tính năng được kích hoạt.

Eric Kavanagh: Vâng, chúng tôi có một câu hỏi cuối cùng tôi sẽ gửi cho bạn, Iggy. Đó là một trong những khá tốt. Từ góc độ SLA và lập kế hoạch năng lực, loại thuế nào có được khi sử dụng hệ thống của bạn? Nói cách khác, bất kỳ độ trễ hoặc thông lượng bổ sung nào nếu trong hệ thống cơ sở dữ liệu sản xuất, ai đó muốn liên quan đến công nghệ của IDERA ở đây?

Ignacio Rodriguez: Chúng tôi thực sự không thấy nhiều ảnh hưởng. Một lần nữa, nó là một sản phẩm không có tác nhân và tất cả phụ thuộc vào, như tôi đã đề cập trước đó, các ảnh chụp nhanh. An toàn dựa trên ảnh chụp nhanh. Nó sẽ đi ra ngoài và thực sự tạo ra một công việc sẽ đi ra ngoài dựa trên các khoảng thời gian mà bạn đã chọn. Hoặc bạn muốn làm điều đó, một lần nữa, hàng tuần, hàng ngày, hàng tháng. Nó sẽ đi ra ngoài và thực hiện công việc đó và sau đó thu thập dữ liệu từ các thể hiện. Tại thời điểm đó, tải sau đó quay trở lại các dịch vụ quản lý và thu thập, khi bạn bắt đầu thực hiện các so sánh và tất cả những thứ đó, tải trên cơ sở dữ liệu không đóng vai trò gì trong đó. Tất cả tải đó hiện đang ở trên máy chủ quản lý và thu thập, cho đến khi thực hiện các so sánh và tất cả các báo cáo và tất cả những thứ đó. Lần duy nhất bạn truy cập cơ sở dữ liệu luôn là khi nó thực hiện thao tác chụp nhanh. Và chúng tôi chưa thực sự có bất kỳ báo cáo nào về việc nó thực sự gây bất lợi cho môi trường sản xuất.

Eric Kavanagh: Vâng, đó là một điểm thực sự tốt mà bạn thực hiện ở đó. Về cơ bản, bạn chỉ có thể đặt bao nhiêu ảnh chụp nhanh bạn chụp, khoảng thời gian đó là bao nhiêu và tùy thuộc vào những gì có thể xảy ra, nhưng đó là kiến ​​trúc rất thông minh. Đó là thứ tốt, anh bạn. Vâng, các bạn đang ở trên tuyến đầu cố gắng bảo vệ chúng tôi khỏi tất cả những tin tặc mà chúng tôi đã nói trong 25 phút đầu tiên của chương trình. Và họ ở ngoài đó, mọi người, đừng phạm sai lầm.

Vâng, hãy lắng nghe, chúng tôi sẽ đăng một liên kết đến webcast này, tài liệu lưu trữ, tại trang web của chúng tôi insideanalysis.com. Bạn có thể tìm thấy nội dung trên SlideShare, bạn có thể tìm thấy nó trên YouTube. Và folks, công cụ tốt. Cảm ơn thời gian của bạn, Iggy, tôi yêu biệt danh của bạn. Với điều đó, chúng tôi sẽ chào tạm biệt bạn, folks. Cảm ơn bạn rất nhiều vì thời gian và sự chú ý của bạn. Chúng tôi sẽ theo kịp bạn lần sau. Tạm biệt.