Oracle安全技术概述.ppt

,Oracle数据安全整体解决方案,徐懿资深解决方案专家,内部威胁,隐私,合规性,议程,安全的业务驱动因素数据安全解决方案用户管理访问控制数据保护监控成功案例QTabledropped.,DVOcreatesarealmtosecuretheHRtables:,SQLDROPTABLEhr.bonus_it;ORA-20401:RealmViolationfordroptableonHR.BONUS_IT,SALES_DBAattemptstodroptherestoredHRtable:,1,2,3,实时访问控制基于规则的多因素授权,HR应用程序用户,FIN应用程序DBA,CONNECT,DROP,根据考虑了多因素的规则授予应用程序数据的访问权限防止应用程序绕行和即席访问保护应用程序数据免受无意伤害预防不受监视的更改需要对DBA实行强身份验证,命令规则,命令行,对象,用户,规则集的结果必须为：TRUE,Commandtype,Object,Owner,Ruleset,Commandrule,内置DatabaseVault因子可通过API扩展,职责分离DatabaseVault控制,域违规报告可证明的预防控制措施,监控,数据库活动的审计需求,关键驱动因素合规性（SOX、PCI、私密性）风险评估和补偿控制证明对合规性的控制安全性检测特权滥用关键要求从多个审计孤岛收集审计数据自动查看审计数据，并发出警报集中审计策略管理保护审计线索尽量降低对生产系统的性能影响,Oracle数据库中的审计功能强健、灵活、高精确度的审计,业界最高级别的审计功能自Oracle7开始提供的强健审计功能(1993)审计语句、权限、语句事件、失败或成功、SYS审计Oracle9i引入了细粒度审计(2001)灵活的格式，支持XML、SYSLOG、数据库表、Windows事件查看器目前，其客户遍及近乎各级市场金融医疗保健政府,Oracle数据库审计概述,语句审计有选择地审计与特定类型的数据库结构或模式对象相关的DDL/DML语句组可以为所有用户或者仅为一个选择列表指定权限审计审计需要使用系统权限的语句可以为所有用户或者仅为一个选择列表指定对象审计审计需要使用模式对象权限的所有SELECT和DML语句针对所有用户；无法针对特定用户列表设置,Oracle数据库审计概述,细粒度审计在Oracle9i中引入基于策略/条件的审计审计策略存储在数据库中，与表关联在访问表时调用策略（已测试审计条件）；可以审计在何时访问特定列,企业级审计的需求,收集审计数据存在许多不同地点的审计数据报告审计数据从分散各点的审计数据生成统一报告很困难需要为审计者定制审计报告监控审计数据需要集中化扫描的效率管理审计数据审计数据的安全性大规模审计数据的管理审计数据的归档管理审计设置需要可通过系统方便地对审计设置进行供应和监控的能力,OracleAuditVault概要Trust-but-Verify,收集并整合审计数据Oracle9iRelease2以上版本SQLServer2000and2005IBMDB28.2and9.5SybaseASE12.5and15.0简化合规性报告内建的报告定制的报告检测及预防内部威胁提早检测及警报嫌疑活动监控及检测数据变化可伸缩性和安全性强壮的Oracle数据库技术DatabaseVault,AdvancedSecurityPartitioning集中管理/供应审计设置,AuditVaultArchitectureOverview,AuditVaultAgent,AVAdmin,AVAuditor,Auditsources,AuditdataConfigurationmetrics,Administration,Reportingandalerts,AuditVaultServer,DeployingAuditVault,Source1,Agent,AuditVaultServer,Source2,DBAUD,OSAUD,REDO,DBAUD,OSAUD,REDO,Agent,Source3,DBAUD,OSAUD,REDO,Host2,Host3,Host1,AuditVault报表预置的审计评估与定制的报表,预置的报表授权用户的操作访问敏感数据角色授予DDL操作系统管理登录/注销用户定义的报表授权用户对财务数据库进行了哪些操作？用户A对多个数据库进行了哪些操作？哪些非应用程序用户访问了敏感数据？定制的报表OracleBIPublisher、ApplicationExpress或第三方工具,AuditVault警报利用警报进行早期监测,可以定义警报来监测以下情形非应用程序用户尝试查看敏感列敏感系统中的新用户敏感系统中的角色授权所有系统中的“DBA”授权应用程序用户登录失败评估接受到的审计数据后发出警报能够向电子邮件或PDA发送警报针对可疑操作产生报警报表,OracleAuditVault数据仓库可伸缩的、灵活的数据仓库,审计数据仓库可进行商业智能分析拥有报表功能AuditVault数据仓库维度时间、主机、数据源、用户、事件被证明和发布的Schema允许使用第三方报表工具性能和伸缩性内建分区可扩展到TB级可在OracleRAC上部署,OracleAuditVault安全性审计数据与实际的数据一样敏感,内建的安全性审计数据传输加密职责的分离AuditVaultAdministratorAuditVaultAuditor内置的安全选件OracleDatabaseVault防止DBA访问审计数据OracleAdvancedSecurity,OracleAuditVault仪表板,企业范围的视图关于审计事件的警报逐级细化的报表AuditVault监管,与OracleAuditVault集成应用集成的各个层次,找出业务敏感的数据库找出包含敏感的数据的数据库，为了满足合规性需要对这些数据库进行审计在应用程序下的数据库审计审计高权限的数据库活动（例如DBA登录、DDL）对敏感表实行细粒度审计(FGA)利用OS审计线索记录降低性能影响应用用户审计为应用用户定义“客户端标识符”从中间件层传递到数据库，这些“客户端标识符”均记录在审计记录中可扩展的报表根据AuditVault数据仓库生成客户报表,Oracle数据安全解决方案,OracleIDMSuite,DatabaseVaultLabelSecurityVirtualPrivateDatabase,AdvancedSecurityDataMaskingPackSecureBackup,OracleAuditAuditVaultConfigurationManagementPack,AuditVault提供了数据访问审计数据仓库,AdvancedSecurity加密与数据库连接的所有协议防止嗅探及篡改,数据私密性,审计,LabelSecurity行标签安全增强行级数据安全,AdvancedSecurity存储数据加密保护超级敏感数据,数