Seguridad de bases de datos Oracle

Aprovechando que Oracle Corporation ha sacado su pack de actualizaciones trimestral, vamos a hablar un poco de seguridad de bases de datos Oracle.

La seguridad de bases Oracle es compleja. La seguridad de cualquier producto Oracle es por definición complicada también, y algunos motivos para argumentar esto son:

• Los productos Oracle no son productos orientados al usuario final, así que familiarizarse con ellos requiere hacer un uso intensivo de ellos fuera del ámbito habitual de operación de un terminal informático de escritorio. Nadie hace la contabilidad doméstica ni mantiene una libreta de direcciones personal con un Oracle Database.
• Oracle es un producto complejo ya de por sí y profundizar a todos los niveles es complicado. No es fácil meterse hasta las tripas, algo esencial para fortificar una solución Oracle
• Al igual que sucede con muchos productos middleware, no son usados de un modo directo y por tanto, para conocerlos es necesario ser administrador de los mismos. No todos somos administradores, por desgracia
• Las bases de datos Oracle son algo complejas en definición y estructura, lo que dificulta su estudio
• El sistema de actualizaciones es complejo y requiere muchas veces de la asistencia de la compañía. Matrices de riesgo, pre-requisitos … no tienen por qué ser fáciles de ejecutar e interpretar.
• Oracle corre con muchas versiones en muchas plataformas, y no necesariamente tienen por qué comportarse exactamente igual. Cada despliegue es un mundo
• Los productos Oracle suelen ocupar posiciones críticas en los despliegues, lo que hace que cualquier anormalidad en su operación acarree un efecto dominó generalmente notorio en las organizaciones. Y eso lo saben muy bien los sysadmins. Es lo que llamamos el factor miedo a la hora de actualizar, y es la principal causa de que el legacy de Oracle sea prácticamente infinito y que muchos admiistradores no parcheen las bases con tal de no incurrir en potenciales fallas de operación. Es el escenario ideal para aplicar el «si algo funciona bien, no lo toques»

Hacer una toma de contacto con estos preceptos puede ser menos doloroso con ayuda de papers como Oracle Database Security. Más que un documento sobre seguridad, es una pequeña introducción a las bases Oracle, pero sin duda es un documento que puede contribuír a comprender las pautas básicas de operación de una base de datos de este tipo, como primer requisito para comprender la seguridad inherente al modus operandi del producto.

No obstante, para productos de este tipo, suelo recomendar la formación que la compañía ofrece. Y por supuesto, disponer de su suporte sin restricciones. Si escoge Usted Oracle en detrimento de otros sistemas empresariales, que los hay más baratos e incluso gratuítos (hasta Oracle tiene prioductos gratuítos), hágalo a lo grande. No escatime ni en formación ni en soporte.

Si se comprase un Ferrari ¿lo llevaría al taller del barrio para cambiarle el aceite?