<Insert Picture Here>

Transkrypt

1

2 <Insert Picture Here> Nowoczesna i niezawodna infrastruktura informatyczna. Połączenie technologii, kompetencji i doświadczenia w świetle polityki Governance, Risk and Compliance Piotr Kołodziej, Marek Martofel Oracle Polska

3 Agenda Czym jest bezpieczeństwo bazy danych? Poufność baz danych Metody podziału kompetencji w zarządzaniu bazą danych Metody szyfrowania poufnych informacji w bazie danych Metody audytu operacji w bazach danych

4 <Insert Picture Here> Czym jest bezpieczeństwo baz danych

5 Bezpieczeństwo bazy danych co to oznacza? Wiarygodność instytucji wymaga wiarygodności wykonywanych operacji Normy prawne, postrzeganie przez klientów SOX, Basel II itd. Podstawowe aspekty Prawidłowe rezultaty Poufność danych Możliwość wykonania operacji na czas

6 Zagrożenia dla ciągłości i prawidłowości przetwarzania Problemy w środowisku teleinformatycznym Infrastruktura IT (sprzęt, oprogramowanie) Mechanizmy komunikacyjne (sieć itd.) Czynniki ludzkie Błędy w obsłudze Celowe ataki Czynniki pozaorganizacyjne Pożary, powodzie, trzęsienia ziemi, szkody górnicze... Ataki terrorystyczne, militarne

7 Zapewnienie ciągłości i wiarygodności przetwarzania Infrastruktura Konfiguracje wysoko dostępne (najlepsze praktyki - MAA) Rozwiązania B&R, DR Kontrola dostępu + audyt Polityka organizacji Bezpieczeństwo jest praktyką! Niezależne ewaluacje polityki bezpieczeństwa oraz sposobu jej realizacji Procedury i praktyka Środowiska testowe!

8 <Insert Picture Here> Poufność baz danych

9 Na początek krótkie fakty 87 % włamań do baz danych miało miejsce poprzez luki systemu operacyjnego 80 % wszystkich włamań dokonały osoby pracujące w organizacji 1 % w pełni profesjonalnych włamań zostało zauważonych 10 % standardowych metod włamań zostało upublicznionych

10 Quality Tendencje w przestępczości komputerowej Computer Criminality Hacking Tools Know How Enlightenment success Time

11 Metody ataków na systemy Active Hack Passive Hack Over 80% of all hacks are done from internal Internal Hack Technical Hack External Hack Nontechnical Hack At the moment one of the dangerous and effectives method in the scene

12 Metody ataków na bazy danych Technical Hack Active Hack Passive Hack Internal Hack External Hack Denail of Service / DDoS Session Hijacking Network Sniffing (username/login) Application Reverse Engineering Cryptobreaks / Brute Force Attacks Cross Side Scripting Nontechnical Hack Active Hack Social Engeneering.....

13 I proza życia Przywileje wymagane przez aplikacje GRANT... TO PUBLIC? Użytkownik aplikacji klient-serwer może wykonać operacje w bazie danych za pomocą innych narzędzi?

14 Ewolucja mechanizmów bezpieczeństwa bazy Oracle Database Vault TDE Crypto EM Config Scan Cmd Line Proxy Crypto API Label / LBAC EUS Password Secure Config Secure DB Roles FGA SELECT OLS/IDM EUS Kerberos FGA DML External Passwd EUS PKI DB Auditing Triggers Stored Procs Proxy Auth VPD Strong Auth Network Crypto MLS Oracle7 Oracle8i Oracle9i Oracle10gR2 Oracle10g

15 <Insert Picture Here> Podział kompetencji w zarządzaniu bazą danych

16

17 If You don t trust Your admin, just shoot him OR choose 2-key solution

18 Problem organizacyjny Zapobieganie zagrożeniom wewnętrznym wymaga wymuszenia reguł bezpieczeństwa dostępu do danych typu: KTO, JAKIE DANE, KIEDY, SKĄD (W JAKI SPOSÓB)? Konsolidacja systemów może prowadzić do powstania wielu nad - uprzywilejowanych użytkowników baz danych (DBA) Normy prawne wymagają silnej kontroli dostępu oraz rozdziału ról w zarządzaniu (Sarbanes-Oxley, Basel II)

19 Oracle Database Vault Zgodność z regulacjami + redukcja ryzyka wewnętrznego Ograniczenie DBA (i nie tylko DBA) dostępu do danych Zgodność z regulacjami Kontrola uprzywilejowanych użytkowników Rozdzielenie ról Wymuszanie reguł kontroli dostępu do danych Reguły są aplikowane do instrukcji SQL Reports Audit Realms Command Rules Multi-Factor Authorization Separation of Duty

20 Oracle Database Vault dziel i rządź DBA próbuje odczytać dane HR Naruszenie wewnętrznych regulacji DBA select * from HR.emp HR DBA próbuje odczytać dane finansowe Eliminacja zagrożeń wynikających z konsolidacji HR DBA FIN DBA HR HR HR Realm Fin Fin Fin Realm Reguły mogą być zastosowane do istniejących rozwiązań bez większych konsekwencji dla wydajności

21 Oracle Database Vault inne zastosowania DBA usiłuje zdalnie zmienić parametry systemu alter system. Reguła oparta o IP blokuje operacje DBA HR DBA wykonuje zmianę niedozwoloną w czasie produkcji Reguła oparta o datę / czas blokuje operację create procedure HR DBA 3pm Monday FIN DBA HR HR HR Realm Fin Fin Fin Realm

22 Oracle Database Vault - raportowanie

23 Komponenty Oracle Data Vault Data Vault Realms Data Vault Command Rules Data Vault Roles OLS/VPD Policy Data Vault Auditing Data Vault Rule Sets and Rules Data Vault Factors

24 Database Vault kontrolowane komendy SQL Alter Database Alter Database Alter Table Alter Function Audit Alter Tablespace Alter Package Body Alter Procedure Alter Profile Alter Session Alter System Alter Synonym Alter Table Alter Trigger Alter User Password Alter Tablespace Alter View Change Password Connect Comment Create Function Create Index Create Package Create Database Link Create Procedure Create Role Create Package Body Create User Create View Create Table Grant Insert Noaudit Rename Lock Table Create Tablespace Create Trigger Truncate Table Update Insert Delete Execute Select

25 <Insert Picture Here> Metody szyfrowania poufnych informacji w bazie danych

26 Utrata danych nie pozostaje niezauważona... General Electric, Sep. 06: lost laptop Chase Card Systems, Sep. 06: tape thrown in trash Wells Fargo, Sep. 06: stolen laptop CA Dept. of Mental Health, Aug. 06: missing tape Sovereign Bank, Aug. 06: stolen laptop Chevron, Aug. 06: stolen laptop US Dept. of Transportation, Aug. 06: stolen laptop Cablevision, Jul. 06: lost tape US Dept. of Veterans Affairs, Jun. 06: lost computer Nelnet Inc./UPS, Jul. 06: lost tape

27 Przyczynek do szyfrowania danych Zabezpieczenie nośników danych Taśmy (Backup) Dyski Itd... Storage Admin ma taki sam dostęp do danych jak root czy DBA... Uciążliwe procedury przechowywania, transportu, niszczenia taśm/dysków

28 Metody szyfrowania danych Dostępność DBMS_CRYPTO Od Oracle 8 Transparent Data Encryption 10gR2 i 11g Zarządzanie kluczami Wspierane typy danych Przezroczystość dla aplikacji Dostępność Manual RAW NIE EE/SE Automatic Większość typów prostych TAK Advanced Security Option

29 TDE proces szyfrowania Klucz główny w portfelu PKCS#12 Klucze kolumnowe zaszyfrowane kluczem głównym Security DBA otwiera portfel zawierający klucz główny Kolumny zaszyfrowane kluczami kolumnowymi

30 Proste zarządzanie Utworzenie klucza głównego i otworzenie portfela ALTER SYSTEM SET ENCRYPTION KEY IDENTIFIED BY r0mip3zop ; ALTER SYSTEM SET ENCRYPTION WALLET OPEN IDENTIFIED BY r0mip3zop ; Specyfikacja kolumn do szyfrowania CREATE TABLE securetab (SSN NUMBER ENCRYPT); ALTER TABLE customer MODIFY (SSN ENCRYPT);

31 Wspierane algorytmy i metody Szyfrowanie AES (128, 192, 256) Triple DES (168) Salt dodanie czynnika losowego SHA1 Cipher Block Chaining (CBC)

32 TDE - integracja Wsparcie dla: Wszystkie komendy SQL (zwłaszcza SELECT, DML) Skalarne typy danych Dostęp indeksowy przy warunków równości OCI Direct Path Load Datapump, import/export Physical Standby Database Brak wsparcia dla Foreign Key Constraints Range Scan Indexes Abstract data types LOBs data types

33 TDE separacja ról Bez dostępu do portfela DBA startuje bazę danych Security DBA otwiera portfel Zawierający klucz główny

34 <Insert Picture Here> Audyt operacji w bazie danych

35 Oracle Database Audit Elastyczność i drobnoziarnistość Obowiązkowe wpisy Critical events including startup and shutdown SYS Auditing SYSDBA and SYSOPER actions Standard Auditing Statements (DML, DDL) Privileges, Objects, Users Failure or Success Fine Grained Auditing (FGA) Based on any condition Event handler for notification Audit storage: Database, OS files Who Database username, OS username, clientid, userguid Where Userhost, terminal#, process#, ecid When Timestamp, System Change Number(SCN), logofftime What DML, DDL SQL-Text SQL-Bind

36 Oracle Audit Vault Skonsolidowane rozwiązanie do audytu operacji Wyspecjalizowana hurtownia Wsparcie dla wielu źródeł Monitor Report Alert Dostarczone SDK Oparcie o Database Vault w celu zabezpieczenia danych audytowych Secure Audit Warehouse Separacja ról / zdefiniowane role Reguły audytu / zarządzanie konfiguracją Prezentacja danych / raporty Oracle Database Apache Logs EBS, Siebel, Peoplesoft, SAP Operating Systems Non- Oracle DB

37 Architektura Audit Vault Audit Settings Management Real-time Alert Processing Audit Dashboard & Reports Extensible Warehouse Database Vault Partitioning Secure Transport Secure Transport Audit Agents Management Audit Collectors Streams, AUD$, OS File Management Applications, Appserver, Apache Collector Management Audit Collectors Custom Collectors Audit Collector C and Java SDK Audit Sources 10gR1 10gR2 9iR2 App. Server 3 rd party Sources

38 Hurtownia Audit Vault Automatyczne zasilanie hurtowni Wbudowane rozwiązania Wymiary: Czas, źródło informacji, użytkownik, obiekt, typ zdarzenia, element infrastruktury Pozostałe dane stanowią miary Narzędzia raportowania

39 Audit Vault Dashboard

40 ... Dziękujemy za uwagę...

41 The preceding is intended to outline our general product direction. It is intended for information purposes only, and may not be incorporated into any contract. It is not a commitment to deliver any material, code, or functionality, and should not be relied upon in making purchasing decisions. The development, release, and timing of any features or functionality described for Oracle s products remains at the sole discretion of Oracle.

42

43