<Insert Picture Here> Nowoczesna i niezawodna infrastruktura informatyczna. Połączenie technologii, kompetencji i doświadczenia w świetle polityki Governance, Risk and Compliance Piotr Kołodziej, Marek Martofel Oracle Polska
Agenda Czym jest bezpieczeństwo bazy danych? Poufność baz danych Metody podziału kompetencji w zarządzaniu bazą danych Metody szyfrowania poufnych informacji w bazie danych Metody audytu operacji w bazach danych
<Insert Picture Here> Czym jest bezpieczeństwo baz danych
Bezpieczeństwo bazy danych co to oznacza? Wiarygodność instytucji wymaga wiarygodności wykonywanych operacji Normy prawne, postrzeganie przez klientów SOX, Basel II itd. Podstawowe aspekty Prawidłowe rezultaty Poufność danych Możliwość wykonania operacji na czas
Zagrożenia dla ciągłości i prawidłowości przetwarzania Problemy w środowisku teleinformatycznym Infrastruktura IT (sprzęt, oprogramowanie) Mechanizmy komunikacyjne (sieć itd.) Czynniki ludzkie Błędy w obsłudze Celowe ataki Czynniki pozaorganizacyjne Pożary, powodzie, trzęsienia ziemi, szkody górnicze... Ataki terrorystyczne, militarne
Zapewnienie ciągłości i wiarygodności przetwarzania Infrastruktura Konfiguracje wysoko dostępne (najlepsze praktyki - MAA) Rozwiązania B&R, DR Kontrola dostępu + audyt Polityka organizacji Bezpieczeństwo jest praktyką! Niezależne ewaluacje polityki bezpieczeństwa oraz sposobu jej realizacji Procedury i praktyka Środowiska testowe!
<Insert Picture Here> Poufność baz danych
Na początek krótkie fakty 87 % włamań do baz danych miało miejsce poprzez luki systemu operacyjnego 80 % wszystkich włamań dokonały osoby pracujące w organizacji 1 % w pełni profesjonalnych włamań zostało zauważonych 10 % standardowych metod włamań zostało upublicznionych
Quality Tendencje w przestępczości komputerowej Computer Criminality Hacking Tools Know How 1980 1990 2000 2006 Enlightenment success Time
Metody ataków na systemy Active Hack Passive Hack Over 80% of all hacks are done from internal Internal Hack Technical Hack External Hack Nontechnical Hack At the moment one of the dangerous and effectives method in the scene
Metody ataków na bazy danych Technical Hack Active Hack Passive Hack Internal Hack External Hack Denail of Service / DDoS Session Hijacking Network Sniffing (username/login) Application Reverse Engineering Cryptobreaks / Brute Force Attacks Cross Side Scripting Nontechnical Hack Active Hack Social Engeneering.....
I proza życia Przywileje wymagane przez aplikacje GRANT... TO PUBLIC? Użytkownik aplikacji klient-serwer może wykonać operacje w bazie danych za pomocą innych narzędzi?
Ewolucja mechanizmów bezpieczeństwa bazy Oracle Database Vault TDE Crypto EM Config Scan Cmd Line Proxy Crypto API Label / LBAC EUS Password Secure Config Secure DB Roles FGA SELECT OLS/IDM EUS Kerberos FGA DML External Passwd EUS PKI DB Auditing Triggers Stored Procs Proxy Auth VPD Strong Auth Network Crypto MLS Oracle7 Oracle8i Oracle9i Oracle10gR2 Oracle10g
<Insert Picture Here> Podział kompetencji w zarządzaniu bazą danych
If You don t trust Your admin, just shoot him OR choose 2-key solution
Problem organizacyjny Zapobieganie zagrożeniom wewnętrznym wymaga wymuszenia reguł bezpieczeństwa dostępu do danych typu: KTO, JAKIE DANE, KIEDY, SKĄD (W JAKI SPOSÓB)? Konsolidacja systemów może prowadzić do powstania wielu nad - uprzywilejowanych użytkowników baz danych (DBA) Normy prawne wymagają silnej kontroli dostępu oraz rozdziału ról w zarządzaniu (Sarbanes-Oxley, Basel II)
Oracle Database Vault Zgodność z regulacjami + redukcja ryzyka wewnętrznego Ograniczenie DBA (i nie tylko DBA) dostępu do danych Zgodność z regulacjami Kontrola uprzywilejowanych użytkowników Rozdzielenie ról Wymuszanie reguł kontroli dostępu do danych Reguły są aplikowane do instrukcji SQL Reports Audit Realms Command Rules Multi-Factor Authorization Separation of Duty
Oracle Database Vault dziel i rządź DBA próbuje odczytać dane HR Naruszenie wewnętrznych regulacji DBA select * from HR.emp HR DBA próbuje odczytać dane finansowe Eliminacja zagrożeń wynikających z konsolidacji HR DBA FIN DBA HR HR HR Realm Fin Fin Fin Realm Reguły mogą być zastosowane do istniejących rozwiązań bez większych konsekwencji dla wydajności
Oracle Database Vault inne zastosowania DBA usiłuje zdalnie zmienić parametry systemu alter system. Reguła oparta o IP blokuje operacje DBA HR DBA wykonuje zmianę niedozwoloną w czasie produkcji Reguła oparta o datę / czas blokuje operację create procedure HR DBA 3pm Monday FIN DBA HR HR HR Realm Fin Fin Fin Realm
Oracle Database Vault - raportowanie
Komponenty Oracle Data Vault Data Vault Realms Data Vault Command Rules Data Vault Roles OLS/VPD Policy Data Vault Auditing Data Vault Rule Sets and Rules Data Vault Factors
Database Vault kontrolowane komendy SQL Alter Database Alter Database Alter Table Alter Function Audit Alter Tablespace Alter Package Body Alter Procedure Alter Profile Alter Session Alter System Alter Synonym Alter Table Alter Trigger Alter User Password Alter Tablespace Alter View Change Password Connect Comment Create Function Create Index Create Package Create Database Link Create Procedure Create Role Create Package Body Create User Create View Create Table Grant Insert Noaudit Rename Lock Table Create Tablespace Create Trigger Truncate Table Update Insert Delete Execute Select
<Insert Picture Here> Metody szyfrowania poufnych informacji w bazie danych
Utrata danych nie pozostaje niezauważona... General Electric, Sep. 06: lost laptop Chase Card Systems, Sep. 06: tape thrown in trash Wells Fargo, Sep. 06: stolen laptop CA Dept. of Mental Health, Aug. 06: missing tape Sovereign Bank, Aug. 06: stolen laptop Chevron, Aug. 06: stolen laptop US Dept. of Transportation, Aug. 06: stolen laptop Cablevision, Jul. 06: lost tape US Dept. of Veterans Affairs, Jun. 06: lost computer Nelnet Inc./UPS, Jul. 06: lost tape
Przyczynek do szyfrowania danych Zabezpieczenie nośników danych Taśmy (Backup) Dyski Itd... Storage Admin ma taki sam dostęp do danych jak root czy DBA... Uciążliwe procedury przechowywania, transportu, niszczenia taśm/dysków
Metody szyfrowania danych Dostępność DBMS_CRYPTO Od Oracle 8 Transparent Data Encryption 10gR2 i 11g Zarządzanie kluczami Wspierane typy danych Przezroczystość dla aplikacji Dostępność Manual RAW NIE EE/SE Automatic Większość typów prostych TAK Advanced Security Option
TDE proces szyfrowania Klucz główny w portfelu PKCS#12 Klucze kolumnowe zaszyfrowane kluczem głównym Security DBA otwiera portfel zawierający klucz główny Kolumny zaszyfrowane kluczami kolumnowymi
Proste zarządzanie Utworzenie klucza głównego i otworzenie portfela ALTER SYSTEM SET ENCRYPTION KEY IDENTIFIED BY r0mip3zop ; ALTER SYSTEM SET ENCRYPTION WALLET OPEN IDENTIFIED BY r0mip3zop ; Specyfikacja kolumn do szyfrowania CREATE TABLE securetab (SSN NUMBER ENCRYPT); ALTER TABLE customer MODIFY (SSN ENCRYPT);
Wspierane algorytmy i metody Szyfrowanie AES (128, 192, 256) Triple DES (168) Salt dodanie czynnika losowego SHA1 Cipher Block Chaining (CBC)
TDE - integracja Wsparcie dla: Wszystkie komendy SQL (zwłaszcza SELECT, DML) Skalarne typy danych Dostęp indeksowy przy warunków równości OCI Direct Path Load Datapump, import/export Physical Standby Database Brak wsparcia dla Foreign Key Constraints Range Scan Indexes Abstract data types LOBs data types
TDE separacja ról Bez dostępu do portfela DBA startuje bazę danych Security DBA otwiera portfel Zawierający klucz główny
<Insert Picture Here> Audyt operacji w bazie danych
Oracle Database Audit Elastyczność i drobnoziarnistość Obowiązkowe wpisy Critical events including startup and shutdown SYS Auditing SYSDBA and SYSOPER actions Standard Auditing Statements (DML, DDL) Privileges, Objects, Users Failure or Success Fine Grained Auditing (FGA) Based on any condition Event handler for notification Audit storage: Database, OS files Who Database username, OS username, clientid, userguid Where Userhost, terminal#, process#, ecid When Timestamp, System Change Number(SCN), logofftime What DML, DDL SQL-Text SQL-Bind
Oracle Audit Vault Skonsolidowane rozwiązanie do audytu operacji Wyspecjalizowana hurtownia Wsparcie dla wielu źródeł Monitor Report Alert Dostarczone SDK Oparcie o Database Vault w celu zabezpieczenia danych audytowych Secure Audit Warehouse Separacja ról / zdefiniowane role Reguły audytu / zarządzanie konfiguracją Prezentacja danych / raporty Oracle Database Apache Logs EBS, Siebel, Peoplesoft, SAP Operating Systems Non- Oracle DB
Architektura Audit Vault Audit Settings Management Real-time Alert Processing Audit Dashboard & Reports Extensible Warehouse Database Vault Partitioning Secure Transport Secure Transport Audit Agents Management Audit Collectors Streams, AUD$, OS File Management Applications, Appserver, Apache Collector Management Audit Collectors Custom Collectors Audit Collector C and Java SDK Audit Sources 10gR1 10gR2 9iR2 App. Server 3 rd party Sources
Hurtownia Audit Vault Automatyczne zasilanie hurtowni Wbudowane rozwiązania Wymiary: Czas, źródło informacji, użytkownik, obiekt, typ zdarzenia, element infrastruktury Pozostałe dane stanowią miary Narzędzia raportowania
Audit Vault Dashboard
... Dziękujemy za uwagę...
The preceding is intended to outline our general product direction. It is intended for information purposes only, and may not be incorporated into any contract. It is not a commitment to deliver any material, code, or functionality, and should not be relied upon in making purchasing decisions. The development, release, and timing of any features or functionality described for Oracle s products remains at the sole discretion of Oracle.