Oracle安全技术概述

Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,Click to edit Master title style,Oracle数据安全,整体解决方案,徐懿,资深解决方案专家,内部威胁,隐私,合规性,议程,安全的业务驱动因素,数据安全解决方案,用户管理,访问控制,数据保护,监控,成功案例,Q&A,大部分信息泄漏源自内部,很大比例的内部威胁没有被察觉,对内部人员,/DBA,没有监控手段,IT,服务外包日益增多,企业并购或机构合并,日益集中的数据中心,多个系统整合成一个系统,一个应用外包商同时为多个客户服务（例如呼叫中心）,内部威胁,IT,整合,数据安全的业务驱动,萨班斯法案,(SOX),企业内部控制基础规范,(,中国版,SOX),支付卡行业规范,(PCI),个人信息保护法即将发布,IT,治理, COBIT, ITIL,职责分离,风险评估和监控,法规遵循,4,安全现状,安全产品应用,主机,应用,网络,物理,环境,数据,数据库,1,、容灾,2,、防火墙、,IDS,、,VPN,、,HTTPS,3,、,CA,、,HTTPS,、,USER /PASSWORD,4,、操作系统安全,USER/PASSWORD,5,、数据库访问安全,USER/PASSWORD,?,Oracle,数据安全解决方案,Oracle,数据安全体系结构,设置安全的密码,集中式用户管理,强认证,代理认证,安全的基本配置,加强对特权用户的控制,控制谁、什么时间、什么地点、如何（,3W1H,）访问了数据库、数据和应用系统,行级别和列级别的多角度安全控制,对数据进行分类管理,数据加密,网络加密,对外发数据进行数据屏蔽,加密导出的数据,对备份数据进行加密,启动数据审计,细粒度的审计,对审计数据进行集中管理、生成报表和监控,定时进行安全配置扫描,用户管理 访问控制 数据保护 监控,访问控制,更强的、透明的访问控制需求,关键驱动因素,限制特权用户对数据的完全访问,管理员,开发人员,/QA,应用程序用户,轻松实现基于环境的访问控制,用户参数,网络参数,数据库参数,关键要求,适用于现有的应用程序,支持自定义策略,难以规避,性能影响最小,访问控制,Oracle Database Vault,合规性和内部威胁,控制特权用户,限制,DBA,访问应用程序数据,提供职责分离,数据库和信息整合安全性,实施数据访问安全性策略,控制访问数据的对象、时间、地点和方式,根据,IP,地址、时间、作者,来制定决策,在,Oracle 10g R2 / 11g,和,Oracle,9.2.0.8,中提供,在,PeopleSoft,、,EBS,、,Siebel,等应用系统中得到认证,报表,保护领域,多因素,授权,职责,分离,命令,规则,访问控制,防止特权用户访问其无权访问的应用程序数据,安全地将应用程序数据整合至一个数据库中,实施预防控制措施,职责分离,最低权限,特权用户控制,使用保护域,DBA,HR,应用系统,DBA,SELECT * FROM HR.EMP,FIN,应用系统,DBA,HR,HR,域,FIN,FIN,域,使用了域的影响,针对对象的授权，不会受到域的影响，例如：,SELECT ON HR.EMPLOYEES,EXECUTE ON HR.GIVE_RAISE,当然，使用系统权限访问被域保护的对象，会受到影响，例如：,SELECT ANY TABLE,EXECUTE ANY PROCEDURE,CREATE TABLE,域的属性,当定义一个域时，需要指定以下属性：,域名称与描述；,状态：,Enabled,或,Disabled,审计选项,域保护的对象：,用户,对象类型,对象名称,授权：,被授权用户,授权类型：,participant,或,owner,授权的规则集,(,可选,),域的使用案例,HR,schema,SALES_DBA,can drop an,HR,table,because he has the,DBA,role:,SQL CONNECT sales_dba/password,SQL DROP TABLE hr.bonus_it;,Table dropped.,DVO,creates a realm to secure the,HR,tables:,SQL DROP TABLE hr.bonus_it;,ORA-20401: Realm Violation for drop table on HR.BONUS_IT,SALES_DBA,attempts to drop the restored,HR,table:,1,2,3,实时访问控制,基于规则的多因素授权,HR,应用程序用户,FIN,应用程序,DBA,HR,FIN,CONNECT,DROP,根据考虑了多因素的规则授予应用程序数据的访问权限,防止应用程序绕行和即席访问,保护应用程序数据免受无意伤害,预防不受监视的更改,需要对,DBA,实行强身份验证,命令规则,命令行,对象,用户,规则集的结果必须为：,TRUE,Command type,Object,Owner,Rule set,Command rule,内置,Database Vault,因子,可通过,API,扩展,内置因素,用户,网络,数据库,运行时,名称,计算机名称,数据库,IP,地址,语言,身份验证,类型,客户端,IP,地址,数据库,SID,日期,会话用户,网络协议,数据库实例,时间,代理企业身份,网络,IP,地址,数据库主机名,星期几,职责分离,Database Vault,控制,安全管理员,帐户管理员,应用管理员,数据库管理员,扩展的（如：测试人员）,域违规报告,可证明的预防控制措施,内置审计和报告功能,域违规报告,权限报告，如“,谁担任着,DBA,角色？,”,共有,20,多种报告,易于设置和管理,Web,界面,API,监控,数据库活动的审计需求,关键驱动因素,合规性（,SOX,、,PCI,、私密性,）,风险评估和补偿控制,证明对合规性的控制,安全性,检测特权滥用,关键要求,从多个审计孤岛收集审计数据,自动查看审计数据，并发出警报,集中审计策略管理,保护审计线索,尽量降低对生产系统的性能影响,监控,Oracle,数据库中的审计功能,强健、灵活、高精确度的审计,业界最高级别的审计功能,自,Oracle 7,开始提供的强健审计功能,(1993),审计语句、权限、语句事件、失败或成功、,SYS,审计,Oracle9i,引入了细粒度审计,(2001),灵活的格式，支持,XML,、,SYSLOG,、数据库表、,Windows,事件查看器,目前，其客户遍及近乎各级市场,金融,医疗保健,政府,监控,Oracle,数据库审计,概述,语句审计,有选择地审计与特定类型的数据库结构或模式对象相关的,DDL/DML,语句组,可以为所有用户或者仅为一个选择列表指定,权限审计,审计需要使用系统权限的语句,可以为所有用户或者仅为一个选择列表指定,对象审计,审计需要使用模式对象权限的所有,SELECT,和,DML,语句,针对所有用户；无法针对特定用户列表设置,监控,Oracle,数据库审计,概述,细粒度审计,在,Oracle9i,中引入,基于策略,/,条件的审计,审计策略存储在数据库中，与表关联,在访问表时调用策略（已测试审计条件）；可以审计在何时访问特定列,生成审计记录,在数据库中实施审计策略,.,Where Salary 500000,AUDIT COLUMN = Salary,Select name, salary,from emp,where.,监控,企业级审计的需求,收集审计数据,存在许多不同地点的审计数据,报告审计数据,从分散各点的审计数据生成统一报告很困难,需要为审计者定制审计报告,监控审计数据,需要集中化扫描的效率,管理审计数据,审计数据的安全性,大规模审计数据的管理,审计数据的归档,管理审计设置,需要可通过系统方便地对审计设置进行供应和监控的能力,Oracle Audit Vault,概要,Trust-but-Verify,收集并整合审计数据,Oracle 9i Release 2,以上版本,SQL Server 2000 and 2005,IBM DB2 8.2 and 9.5,Sybase ASE 12.5 and 15.0,简化合规性报告,内建的报告,定制的报告,检测及预防内部威胁,提早检测及警报嫌疑活动,监控及检测数据变化,可伸缩性和安全性,强壮的,Oracle,数据库技术,Database Vault, Advanced Security,Partitioning,集中管理/供应审计设置,10,gR2,10,gR1,Oracle 9iR2,其他数据库,监控,策略,报表,安全,Audit Vault Architecture Overview,Management and Monitoring,Audit Settings Management,Audit Data Collection,Data Warehouse Reports Alerts,Security Infrastructure,Collectors,REDO, DBAUD, OSAUD,Audit Vault Agent,AV Admin,AV Auditor,Audit sources,Audit data,Configuration metrics,Administration,Reporting and alerts,Audit Vault Server,Deploying Audit Vault,Source 1,Agent,Audit Vault Server,Source 2,DBAUD,OSAUD,REDO,DBAUD,OSAUD,REDO,Agent,Source 3,DBAUD,OSAUD,REDO,Host 2,Host 3,Host 1,Audit Vault,报表,预置的审计评估与定制的报表,预置的报表,授权用户的操作,访问敏感数据,角色授予,DDL,操作,系统管理,登录,/,注销,用户定义的报表,授权用户对财务数据库进行了哪些操作？,用户,A,对多个数据库进行了哪些操作？,哪些非应用程序用户访问了敏感数据？,定制的报表,Oracle BI Publisher,、,Application Express,或第三,方工具,FINANCE DB,FINANCE DB,FINANCE DB,FINANCE DB,FINANCE DB,FINANCE DB,FINANCE DB,FINANCE DB,FINANCE DB,FINANCE DB,FINANCE DB,HR DB,CUSTOMER DB,HR DB,Audit Vault,警报,利用警报进行早期监测,可以定义警报来监测以下情形,非应用程序用户尝试查看敏感列,敏感系统中的新用户,敏感系统中的角色授权,所有系统中的,“,DBA”,授权,应用程序用户登录失败,评估接受到的审计数据后发出警报,能够向电子邮件或,PDA,发送警报,针对可疑操作产生报警报表,Oracle Audit Vault,数据仓库,可伸缩的、灵活的数据仓库,审计数据仓库,可进行商业智能分析,拥有报表功能,Audit Vault,数据仓库维度,时间、主机、数据源、用户、事件,被证明和发布的,Schema,允许使用第三方报表工具,性能和伸缩性,内建分区,可扩展到,TB,级,可在,Oracle RAC,上部署,Oracle Audit Vault,安全性,审计数据与实际的数据一样敏感,内建的安全性,审计数据传输加密,职责的分离,Audit Vault Administrator,Audit Vault Auditor,内置的安全选件,Oracle Database Vault,防止,DBA,访问审计数据,Oracle Advanced Security,Oracle Audit Vault,仪表板,企业范围的视图,关于审计事件的警报,逐级细化的报表,Audit Vault,监管,与,Oracle Audit Vault,集成,应用集成的各个层次,找出业务敏感的数据库,找出包含敏感的数据的数据库，为了满足合规性需要对这些数据库进行审计,在应用程序下的数据库审计,审计高权限的数据库活动（例如,DBA,登录、,DDL,）,对敏感表实行细粒度审计,(FGA),利用,OS,审计线索记录降低性能影响,应用用户审计,为应用用户定义“客户端标识符”,从中间件层传递到数据库，这些“客户端标识符”均记录在审计记录中,可扩展的报表,根据,Audit Vault,数据仓库生成客户报表,Oracle,数据安全解决方案,选择安全的密码,集中式用户管理,强认证,代理认证,安全的基本配置,加强对特权用户的控制,控制谁、什么时间、什么地点、如何（,3W1H,）访问了数据库、数据和应用系统,行级别和列级别的多角度安全控制,对数据进行分类管理,数据加密,网络加密,对外发数据进行数据屏蔽,加密导出的数据,对备份数据进行加密,启动数据审计,细粒度的审计,对审计数据进行集中管理、生成报表和监控,定时进行安全配置扫描,用户管理 访问控制 数据保护 监控,Oracle IDM,Suite,Database Vault,Label Security,Virtual Private Database,Advanced Security,Data Masking Pack,Secure Backup,Oracle Audit,Audit Vault,Configuration Management Pack,Audit Vault,提供了数据访问审计数据仓库,Advanced Security,加密与数据库连接的所有协议,防止嗅探及篡改,加密,数据私密性,审计,Label Security,行标签安全,增强行级数据安全,Advanced Security,存储数据加密,保护超级敏感数据,数据安全,网络安全,嗅探,篡改,Database Vault,保护敏感信息免遭内部威胁,内部风险控制,备份,Secure Backup,数据加密功能的磁带备份管理软件,遮蔽,Data Masking Pack,保护敏感的生产数据,安全漏洞扫描,Configuration Management Pack,扫描数据库的安全漏洞和关键补丁,A,Q,&,