ORACLE数据库安全控制技术白皮书

1、ORACLE 数据表ORACLE 数据库安全控制技术白皮书ORACLE DATABASE VAULT主要特性和优势提供预防性控制，防止特权用户和DBA 访问数据库中的敏感数据在数据库内实施操作控制，锁定配置， 防止审计问题在维护期间密封高敏感应用程序对象，并应对网络威胁增强对整合、云环境和外包的安全性控制，帮助企业遵守各个国家/地区的法规使用权限分析来识别用过和未用过的权限和角色适用于融合管理软件、E-BusinessSuite、PeopleSoft、Siebel 和 SAP 等企业应用程序的应用程序特定保护策略Oracle Database Vault 提供了强大的安全控制功能，有助于保护应

2、用程序数据免受未授权的访问，并协助遵守隐私和法规要求。安全控制功能可用于阻止特权帐户访问应用程序数据，并利用多因素授权控制数据库中的敏感操作。通过权限和角色分析可以增强现有应用程序的安全性。Oracle Database Vault 以透明的方式对现有数据库环境进行保护，因而用户不必再费时费力地更改应用程序。对特权帐户的控制特权数据库帐户是访问数据库中敏感应用程序数据的最常用的途径之一。尽管其广泛且不受限制的访问权限有利于数据库维护，但这样的访问权限也可能成为一个攻击点，被用来访问大量数据。围绕在应用程序模式、敏感表和存储过程周围的 Oracle Database Vault 领域可对这种情况

3、进行控制，防止黑客和内部人员利用特权帐户访问敏感应用程序数据。图 1. Oracle Database Vault 域阻止特权帐户的访问对数据库配置的控制对数据库权利进行未授权的更改是比较常见的审计问题之一，包括授予 DBA 角色以及新建帐户和数据库对象。防止对生产环境进行未授权的更改不仅对安全性很重要， 也关乎合规性，因为这样的更改可能降低安全性，为黑客大开方便之门，违反隐私及合规性要求。Oracle Database Vault SQL 命令控制允许客户控制数据库内的操作，包含的命令有 create table、truncate table 和 create user 等。IP 地址、身份

4、验证方法和程序名等各种现成的因素都可以帮助实施多因素授权，以阻止利用盗取的密码进行攻击。这些控制可防止意外的配置变更，防止黑客和恶意内部人员篡改应用程序。Oracle Database 12c 中包含的 Oracle Database Vault 引入了新的强制域 控制，允许客户封锁对应用程序对象的访问，即使访问者是拥有直接对象访问权限的人员（包括对象所有者），也是如此。当支持人员必须以应用程序所有者身份直接访问应用程序模式时，这一特性很有用。强制域可在运行时启用，用于应对网络威胁，阻止所有的访问，直到完成对该威胁的分析。相关产品Oracle Database 12c 纵深防御安全性解决方案：

5、Oracle Advanced SecurityOracle Data MaskingOracle Label SecurityOracle Audit Vault and Database Firewall对整合与云环境的控制整合与云环境可降低成本，但也可能把大量敏感应用程序数据暴露给那些并不真正需要了解的人。来自某个国家/地区的数据可能会托管在完全不同的国家/地区，但对该数据的访问必须受数据所属国家/地区的法规的限制。Oracle Database Vault 的控制功能通过防止数据库管理员访问应用程序数据来为这些环境提供更高的安全性。此外， 控制功能还可用来帮助阻止应用程序绕行，并强制使

6、用从应用程序层到应用程序数据的可靠路径。Oracle Database Vault 为安全管理、帐户管理和日常数据库管理活动提供了三种不同的开箱即用的职责分离控制方法。Oracle Database Vault 职责分离控制方法可以进行定制，这样一来，资源有限的组织就可以将多个 Oracle Database Vault 职责分配给同一个管理员。Oracle Database Vault 可与 Oracle Multitenant 一同使用，为整合提供更高的安全性。它可以防止特权用户在可拔插数据库 (PDB) 内和在各 PDB 之间进行访问，也可以防止普通特权用户访问容器数据库。为用户和应用程

7、序提供的运行时权限分析Oracle Database 12c 中包含的 Oracle Database Vault 引入了一个新特性，名为权限分析，可通过识别运行时所使用的实际权限和角色来提高应用程序的安全性。之后其他未使用的角色和权限可由安全管理员进行审计或撤销，以减少受攻击面，并实施最小权限模型。权限分析也可用于管理员，帮助限制授予他们的角色和权限，使其履行自己的职责。企业应用程序保护策略特定于应用程序的 Oracle Database Vault 保护策略可用于主要的企业应用程序，包括Oracle 融合管理软件、Oracle E-Business Suit 、Oracle PeopleSoft 、Oracle Siebel 、Oracle Financial Services (i-Flex)、Oracle Primavera、SAP 和 Infosys Finacle。可管理性Oracle Database 12c 中包含的 Oracle Database Vault 是默认的预先安装组件，可轻