As organizações sejam de porte pequeno, médio ou grande, estão cada vez mais dependentes da tecnologia e, para a grande maioria delas, a informação é o bem mais importante e essencial para seus negócios. Neste sentido, o Sistema Gerenciador de Banco de Dados (SGBD) desempenha importante papel, e seu correto funcionamento é essencial para que sejam preservados os três objetivos principais das normas de segurança da informação: confidencialidade, integridade e disponibilidade da informação.
Os SGBD's, e o ambiente onde estão inseridos, estão em constantes mudanças e, por isso, é importante aplicar atualizações que corrijam falhas do software (bugs), corrijam vulnerabilidades que comprometam a segurança e implementem novas funcionalidades. Daí a importância de ficar atento e aplicar as correções antes que os sistemas fiquem comprometidos.
O objetivo deste artigo é apresentar os conceitos envolvidos no processo de atualização do SGBD Oracle.
Um pouco de história
Até o ano de 2004 as correções de segurança para o Oracle eram realizadas através de atualizações conhecidas como Security Alerts. Os Security Alerts eram lançados à medida que as falhas de segurança e bugs eram descobertos. Cada alerta possuía um número de severidade indicando o grau de risco da vulnerabilidade.
Após uma pesquisa realizada pela Oracle, com clientes de diversos setores, chegou-se à conclusão que o lançamento trimestral de atualizações seria um bom ponto de equilíbrio entre a freqüência de lançamento de patches (para proteção contra graves vulnerabilidades) e a freqüência de atualização necessária para os clientes protegerem seus sistemas. Uma programação de lançamento de atualizações trimestral proporcionaria aos administradores de bancos de dados uma maior facilidade para planejar e gerenciar o processo de manutenção. Além disso, a aplicação planejada de um único pacote de patches seria melhor do que a aplicação de diversos patches lançados sem programação.
Em Janeiro de 2005 a Oracle deu início à sua atual política de lançamento de patches.
Conhecendo o Metalink
O Metalink é o site de suporte da Oracle (ver seção Links) e uma fonte essencial de consulta para a administração e atualização dos produtos. Através dele tem-se acesso a uma ampla documentação sobre procedimentos de atualizações, boletins informativos, respostas a perguntas freqüentes, exemplos de procedimentos, guias de referência, pesquisa de erros, dentre outros. É também através do site que se faz o download de todos os arquivos necessários para atualizar o Oracle.
Para ter acesso ao Metalink é necessário ter um contrato de suporte com a Oracle e receber um código de identificador de suporte válido (Customer Support Identifier – CSI). O CSI é solicitado no momento do cadastro no site Metalink.
O que é preciso saber para atualizar o Oracle
Para manter o Oracle atualizado é necessário primeiro entender os conceitos envolvidos no processo de atualização. As atualizações disponibilizadas pela Oracle referem-se à segurança do software e à atualização dos programas e componentes que fazem parte do pacote do SGBD (ver Tabela 1).
Tabela 1. Atualizações disponíveis.
|
Atualizações de segurança |
· Critical Patch Update - CPU · Security Alert |
|
Atualização dos programas que fazem parte do pacote do SGBD |
· Patch Set · Interim Patches |
CPU - Critical Patch Update
Um Critical Patch Update (CPU) é um conjunto de atualizações para correção de vulnerabilidades de segurança nos produtos da Oracle. Um CPU inclui também outros tipos de correções, não relacionadas a falhas de segurança, mas que são necessárias por causa de interdependências com as correções de segurança. Os CPU’s, para o servidor de banco de dados Oracle, são cumulativos, ou seja, cada CPU contém todas as correções do seu antecessor. Este pacote de atualização contém correções de segurança de vulnerabilidades com grau de severidade alto e médio, e a aplicação da atualização corrige falhas que possibilitariam ataques como:
- SQL Injection: tipo de ataque onde o invasor se aproveita de uma falha em um componente do banco de dados para inserir um código SQL arbitrário e acessar diretamente a base de dados;
- Buffer Overflow: também conhecido como “estouro de memória”, é uma falha de segurança que possibilita rodar programas indesejáveis na área de memória que foi ultrapassada. Se a vulnerabilidade for explorada pode ocasionar corrupção de dados, travamento do sistema e a execução de comandos arbitrários;
- Negação de Serviços: é um ataque que permite que uma pessoa deixe um sistema inutilizável ou consideravelmente lento para os usuários legítimos através do consumo de seus recursos, de maneira que ninguém consiga utilizá-lo;
- Elevação de privilégios: um usuário com acesso restrito ao banco de dados poderá explorar a falha de segurança e elevar seus privilégios por conta própria, muitas vezes ganhando poderes de administrador e conseguindo o controle total do sistema.
Os CPU’s são disponibilizados separadamente para cada produto: Oracle Database Server, Oracle Application Server, Oracle Enterprise Manager, Oracle Collaboration Suíte, entre outros. Para estes produtos, o CPU é cumulativo. No caso do Oracle E-Business Suite and Applications, o CPU não é cumulativo o que significa que correções de CPU e Security Alerts anteriores não estão incluídas na atualização mais recente. Neste caso deve-se verificar se todas as correções anteriores foram aplicadas antes de aplicar a correção mais recente.
...
