Oracle安全技术概述.ppt

Oracle数据安全整体解决方案 徐懿资深解决方案专家 内部威胁 隐私 合规性 议程 安全的业务驱动因素数据安全解决方案用户管理访问控制数据保护监控成功案例Q A 大部分信息泄漏源自内部很大比例的内部威胁没有被察觉对内部人员 DBA没有监控手段IT服务外包日益增多 企业并购或机构合并日益集中的数据中心多个系统整合成一个系统一个应用外包商同时为多个客户服务 例如呼叫中心 内部威胁 IT整合 数据安全的业务驱动 萨班斯法案 SOX 企业内部控制基础规范 中国版SOX 支付卡行业规范 PCI 个人信息保护法即将发布IT治理 COBIT ITIL职责分离 风险评估和监控 法规遵循 4 安全现状安全产品应用 主机 应用 网络 物理环境 数据 数据库 1 容灾 2 防火墙 IDS VPN HTTPS 3 CA HTTPS USER PASSWORD 4 操作系统安全USER PASSWORD 5 数据库访问安全USER PASSWORD Oracle数据安全解决方案 Oracle数据安全体系结构 访问控制 更强的 透明的访问控制需求 关键驱动因素限制特权用户对数据的完全访问管理员开发人员 QA应用程序用户轻松实现基于环境的访问控制用户参数网络参数数据库参数关键要求适用于现有的应用程序支持自定义策略难以规避性能影响最小 OracleDatabaseVault合规性和内部威胁 控制特权用户限制DBA访问应用程序数据提供职责分离数据库和信息整合安全性实施数据访问安全性策略控制访问数据的对象 时间 地点和方式根据IP地址 时间 作者 来制定决策在Oracle10gR2 11g和Oracle9 2 0 8中提供在PeopleSoft EBS Siebel等应用系统中得到认证 防止特权用户访问其无权访问的应用程序数据安全地将应用程序数据整合至一个数据库中实施预防控制措施职责分离最低权限 特权用户控制使用保护域 DBA HR应用系统DBA SELECT FROMHR EMP FIN应用系统DBA 使用了域的影响 针对对象的授权 不会受到域的影响 例如 SELECTONHR EMPLOYEESEXECUTEONHR GIVE RAISE当然 使用系统权限访问被域保护的对象 会受到影响 例如 SELECTANYTABLEEXECUTEANYPROCEDURECREATETABLE 域的属性 当定义一个域时 需要指定以下属性 域名称与描述 状态 Enabled或Disabled审计选项域保护的对象 用户对象类型对象名称授权 被授权用户授权类型 participant或owner授权的规则集 可选 域的使用案例 HRschema SALES DBAcandropanHRtablebecausehehastheDBArole SQL CONNECTsales dba passwordSQL DROPTABLEhr bonus it Tabledropped DVOcreatesarealmtosecuretheHRtables SQL DROPTABLEhr bonus it ORA 20401 RealmViolationfordroptableonHR BONUS IT SALES DBAattemptstodroptherestoredHRtable 1 2 3 实时访问控制基于规则的多因素授权 HR应用程序用户 FIN应用程序DBA CONNECT DROP 根据考虑了多因素的规则授予应用程序数据的访问权限防止应用程序绕行和即席访问保护应用程序数据免受无意伤害预防不受监视的更改需要对DBA实行强身份验证 命令规则 命令行 对象 用户 规则集的结果必须为 TRUE Commandtype Object Owner Ruleset Commandrule 内置DatabaseVault因子可通过API扩展 职责分离DatabaseVault控制 域违规报告可证明的预防控制措施 监控 数据库活动的审计需求 关键驱动因素合规性 SOX PCI 私密性 风险评估和补偿控制证明对合规性的控制安全性检测特权滥用关键要求从多个审计孤岛收集审计数据自动查看审计数据 并发出警报集中审计策略管理保护审计线索尽量降低对生产系统的性能影响 Oracle数据库中的审计功能强健 灵活 高精确度的审计 业界最高级别的审计功能自Oracle7开始提供的强健审计功能 1993 审计语句 权限 语句事件 失败或成功 SYS审计Oracle9i引入了细粒度审计 2001 灵活的格式 支持XML SYSLOG 数据库表 Windows事件查看器目前 其客户遍及近乎各级市场金融医疗保健政府 Oracle数据库审计概述 语句审计有选择地审计与特定类型的数据库结构或模式对象相关的DDL DML语句组可以为所有用户或者仅为一个选择列表指定权限审计审计需要使用系统权限的语句可以为所有用户或者仅为一个选择列表指定对象审计审计需要使用模式对象权限的所有SELECT和DML语句针对所有用户 无法针对特定用户列表设置 Oracle数据库审计概述 细粒度审计在Oracle9i中引入基于策略 条件的审计审计策略存储在数据库中 与表关联在访问表时调用策略 已测试审计条件 可以审计在何时访问特定列 企业级审计的需求 收集审计数据存在许多不同地点的审计数据报告审计数据从分散各点的审计数据生成统一报告很困难需要为审计者定制审计报告监控审计数据需要集中化扫描的效率管理审计数据审计数据的安全性大规模审计数据的管理审计数据的归档管理审计设置需要可通过系统方便地对审计设置进行供应和监控的能力 OracleAuditVault概要Trust but Verify 收集并整合审计数据Oracle9iRelease2以上版本SQLServer2000and2005IBMDB28 2and9 5SybaseASE12 5and15 0简化合规性报告内建的报告定制的报告检测及预防内部威胁提早检测及警报嫌疑活动监控及检测数据变化可伸缩性和安全性强壮的Oracle数据库技术DatabaseVault AdvancedSecurityPartitioning集中管理 供应审计设置 AuditVaultArchitectureOverview AuditVaultAgent AVAdmin AVAuditor Auditsources AuditdataConfigurationmetrics Administration Reportingandalerts AuditVaultServer DeployingAuditVault Source1 Agent AuditVaultServer Source2 DBAUD OSAUD REDO DBAUD OSAUD REDO Agent Source3 DBAUD OSAUD REDO Host2 Host3 Host1 AuditVault报表预置的审计评估与定制的报表 预置的报表授权用户的操作访问敏感数据角色授予DDL操作系统管理登录 注销用户定义的报表授权用户对财务数据库进行了哪些操作 用户 A 对多个数据库进行了哪些操作 哪些非应用程序用户访问了敏感数据 定制的报表OracleBIPublisher ApplicationExpress或第三方工具 AuditVault警报利用警报进行早期监测 可以定义警报来监测以下情形非应用程序用户尝试查看敏感列敏感系统中的新用户敏感系统中的角色授权所有系统中的 DBA 授权应用程序用户登录失败 评估接受到的审计数据后发出警报能够向电子邮件或PDA发送警报针对可疑操作产生报警报表 OracleAuditVault数据仓库可伸缩的 灵活的数据仓库 审计数据仓库可进行商业智能分析拥有报表功能AuditVault数据仓库维度时间 主机 数据源 用户 事件 被证明和发布的Schema允许使用第三方报表工具性能和伸缩性内建分区可扩展到TB级可在OracleRAC上部署 OracleAuditVault安全性审计数据与实际的数据一样敏感 内建的安全性审计数据传输加密职责的分离AuditVaultAdministratorAuditVaultAuditor内置的安全选件OracleDatabaseVault防止DBA访问审计数据OracleAdvancedSecurity OracleAuditVault仪表板 企业范围的视图关于审计事件的警报逐级细化的报表AuditVault监管 与OracleAuditVault集成应用集成的各个层次 找出业务敏感的数据库找出包含敏感的数据的数据库 为了满足合规性需要对这些数据库进行审计在应用程序下的数据库审计审计高权限的数据库活动 例如DBA登录 DDL 对敏感表实行细粒度审计 FGA 利用OS审计线索记录降低性能影响应用用户审计为应用用户定义 客户端标识符 从中间件层传递到数据库 这些 客户端标识符 均记录在审计记录中可扩展的报表根据AuditVault数据仓库生成客户报表 Oracle数据安全解决方案 OracleIDMSuite DatabaseVaultLabelSecurityVirtualPrivateDatabase AdvancedSecurityDataMaskingPackSecureBackup OracleAuditAuditVaultConfigurationManagementPack AuditVault提供了数据访问审计数据仓库 AdvancedSecurity加密与数据库连接的所有协议 防止嗅探及篡改 数据私密性 审计 Lab