數(shù)據(jù)庫的安全性與合規(guī)性縱深防御

數(shù)據(jù)庫的平安性與合規(guī)性的“縱深防御〞裘海生

SeniorSalesConsultantAgenda數(shù)據(jù)庫平安的業(yè)務(wù)驅(qū)動因素Oracle的數(shù)據(jù)平安性的開展加密與數(shù)據(jù)屏蔽的產(chǎn)品訪問控制層面的產(chǎn)品監(jiān)控層面的產(chǎn)品結(jié)合平安審計(jì)產(chǎn)品的案例Q&A數(shù)據(jù)庫平安的業(yè)務(wù)驅(qū)動因素Oracle的數(shù)據(jù)平安性的開展加密與數(shù)據(jù)屏蔽的產(chǎn)品訪問控制層面的產(chǎn)品監(jiān)控層面的產(chǎn)品結(jié)合平安審計(jì)產(chǎn)品的案例Q&AOracle數(shù)據(jù)庫平安性

業(yè)務(wù)驅(qū)動因素?cái)?shù)據(jù)合并全球化權(quán)力外包合規(guī)性要求SOXFDABaselIIEU

DirectivesHIPAAGLBASB1386PCI安全威脅內(nèi)部威脅工業(yè)間諜身份盜竊DBA

SMITH17170SCOTT14220KING18031543..534..533..SMITH17170SCOTT14220KING18031536..535..534..

selectSINfromuser_clients;altertable….對不同敏感度的數(shù)據(jù)進(jìn)行分類管理存放在數(shù)據(jù)庫中需要保護(hù)的數(shù)據(jù)網(wǎng)絡(luò)中需要保護(hù)的敏感數(shù)據(jù)保護(hù)備份到碰帶中數(shù)據(jù)以防止磁帶的丟失或失竊強(qiáng)化對擁有超級權(quán)限用戶的控制安全、集中化的審計(jì)并加以分析管理大量的數(shù)據(jù)庫高度機(jī)密機(jī)密的公共中間層selectSINfromuser_clients;534123321…523123321Oracle數(shù)據(jù)庫平安性

信息平安的挑戰(zhàn)Agenda數(shù)據(jù)庫平安的業(yè)務(wù)驅(qū)動因素Oracle的數(shù)據(jù)平安性的開展加密與數(shù)據(jù)屏蔽的產(chǎn)品訪問控制層面的產(chǎn)品監(jiān)控層面的產(chǎn)品結(jié)合平安審計(jì)產(chǎn)品的案例Q&A數(shù)據(jù)屏蔽TDE表加密OracleTotalRecallOracleAuditVaultOracleDatabaseVault透明數(shù)據(jù)加密〔TDE〕實(shí)時屏蔽平安配置掃描細(xì)粒度審計(jì)OracleLabelSecurity企業(yè)用戶平安性 虛擬專用數(shù)據(jù)庫〔VPD〕數(shù)據(jù)庫加密API強(qiáng)身份驗(yàn)證自帶網(wǎng)絡(luò)加密數(shù)據(jù)庫審計(jì)政府客戶Oracle數(shù)據(jù)庫平安性持續(xù)創(chuàng)新Oracle7Oracle8iOracle數(shù)據(jù)庫9iOracle數(shù)據(jù)庫10gOracle數(shù)據(jù)庫11gOracle數(shù)據(jù)庫平安性

為實(shí)現(xiàn)平安性與合規(guī)性的“縱深防御〞DatabaseVault標(biāo)簽平安性訪問控制配置管理AuditVaultTotalRecall監(jiān)視數(shù)據(jù)屏蔽高級平安性平安備份加密與屏蔽Agenda數(shù)據(jù)庫平安的業(yè)務(wù)驅(qū)動因素Oracle的數(shù)據(jù)平安性的開展加密與數(shù)據(jù)屏蔽的產(chǎn)品訪問控制層面的產(chǎn)品監(jiān)控層面的產(chǎn)品結(jié)合平安審計(jì)產(chǎn)品的案例Q&A寫入磁盤的數(shù)據(jù)被透明的加密通過SQL接口透明的解碼TDE透明數(shù)據(jù)加密Oracle高級平安選件ASO透明加密和強(qiáng)認(rèn)證通過RMAN能夠加密整個備份輸出到磁盤透明網(wǎng)絡(luò)加密強(qiáng)認(rèn)證(PKI,Kerberos)Oracle高級平安選件ASO

表空間加密TablespaceEncryption加密所有應(yīng)用數(shù)據(jù)加密整個數(shù)據(jù)庫文件不用擔(dān)憂需要逐列的加密高效高性能與Oracle數(shù)據(jù)的壓縮集成應(yīng)用無需改變支持所有的數(shù)據(jù)類型索引范圍掃描SQLLayerdatablocks“*M$b@^s%&d7〞undoblockstempblocksflashbacklogsredologsBufferCache“SSN=987-65-..〞Oracle高級平安選件ASO

網(wǎng)絡(luò)、磁盤和磁帶中的數(shù)據(jù)都得到保護(hù)透明數(shù)據(jù)加密(TDE)應(yīng)用不必變化表空間和列加密加密的備份(RMAN)加密的數(shù)據(jù)泵輸出加密OracleSecurefiles(LOBS)內(nèi)置的密鑰管理透明，自動硬件平安模塊(HSM)網(wǎng)絡(luò)加密SSL/TLS本地的–無認(rèn)證要求強(qiáng)認(rèn)證Kerberos,PKI^#^*>*75000加密輸出到磁盤的備份網(wǎng)絡(luò)加密)(強(qiáng)認(rèn)證透明數(shù)據(jù)加密

TDE

總結(jié)不必改變現(xiàn)在應(yīng)用無觸發(fā)器，無視圖最小化的性能影響內(nèi)置的密鑰管理無額外的加密和密鑰管理的開銷；只需關(guān)注業(yè)務(wù)邏輯簡單的

altertable語句OracleE-BusinessSuite和SAP支持TDE透明數(shù)據(jù)加密TDE

列加密的布署方法

TransparentDataEncryptionFiveeasysteps:

IdentifycolumnsholdingsensitivedataDoesTDEsupportthedatatypeofthecolumn?ColumnisnotpartofaForeignKey?SetupandinitializetheMasterKeyEncryptexistingandnewdata識別包含敏感數(shù)據(jù)的表

CreditCards,SSN…確認(rèn)TDE支持的數(shù)據(jù)類型?TDEsupportsmostallcommonlyuseddatatypes

確認(rèn)列不是外鍵的一局部?SimpleDataDictionaryQuery加密已存在的數(shù)據(jù)或新數(shù)據(jù)

SQL*DeveloperGUIorCommandlineDDL,AlterTable…..1234理解Oracle平安備份OSB

在分布式環(huán)境中多平臺的統(tǒng)一備份管理完整的磁帶數(shù)據(jù)保護(hù)：Unix/Linux/Windows/NASfilesystemsOracleDatabase:Oracle9i

至OracleDatabase11g平安的跨域通信對分布的備份環(huán)境管理效勞器提供的集中化的管理支持超過200種SCSI和SAN環(huán)境下可動態(tài)共態(tài)共享驅(qū)動器的磁帶設(shè)備Oracle平安備份SecureBackup集成的磁帶備份管理OracleSecureBackup集中的磁帶備份管理文件系統(tǒng)數(shù)據(jù)UNIXLinuxWindowsNAS磁帶OracleDatabases與RMAN的集成被保護(hù)的備份數(shù)據(jù)庫和文件系統(tǒng)的備份加密自動的密鑰管理高性能無須備份〔讀〕已提交的undo高級的介質(zhì)管理在多地點(diǎn)間轉(zhuǎn)移時提供了循環(huán)保護(hù)基于策略的磁帶備份數(shù)據(jù)屏蔽(DataMasking)是什么？定義將客戶數(shù)據(jù)、財(cái)務(wù)數(shù)據(jù)或公司保密數(shù)據(jù)匿名化來創(chuàng)立可以使用的新數(shù)據(jù)。這些數(shù)據(jù)保存了原來數(shù)據(jù)的屬性，如寬度、類型及格式。原因當(dāng)開發(fā)人員或離岸外包供給商在測試環(huán)境中使用保密數(shù)據(jù)時對這些數(shù)據(jù)進(jìn)行保護(hù)當(dāng)與第三方共享客戶數(shù)據(jù)時不披露個人身份信息LAST_NAMESSNSALARYAGUILAR203-33-323440,000BENSON323-22-294360,000D’SOUZA989-22-240380,000FIORANO093-44-382345,000LAST_NAMESSNSALARYANSKEKSL111—23-111140,000BKJHHEIEDK111-34-134560,000KDDEHLHESA111-97-274980,000FPENZXIEK111-49-384945,000主要特性屏蔽主鍵時自動進(jìn)行數(shù)據(jù)庫引用完整性檢查隱式—在數(shù)據(jù)庫中執(zhí)行顯式—在應(yīng)用程序中執(zhí)行數(shù)據(jù)屏蔽格式庫屏蔽前查看例如數(shù)據(jù)應(yīng)用程序屏蔽模板一次定義，屢次執(zhí)行企業(yè)管理器

數(shù)據(jù)屏蔽包生產(chǎn)預(yù)備屏蔽測試測試克隆克隆Agenda數(shù)據(jù)庫平安的業(yè)務(wù)驅(qū)動因素Oracle的數(shù)據(jù)平安性的開展加密與數(shù)據(jù)屏蔽的產(chǎn)品訪問控制層面的產(chǎn)品監(jiān)控層面的產(chǎn)品結(jié)合平安審計(jì)產(chǎn)品的案例Q&AOracle數(shù)據(jù)庫保護(hù)DatabaseVault

減少內(nèi)部威脅，加強(qiáng)合規(guī)性控制授權(quán)用戶限制DBA訪問應(yīng)用程序數(shù)據(jù)實(shí)現(xiàn)職責(zé)別離保障數(shù)據(jù)庫整合的平安性實(shí)施數(shù)據(jù)訪問平安策略控制進(jìn)行數(shù)據(jù)訪問的人員、時間、地點(diǎn)和方式基于IP地址、時間、驗(yàn)證等確定支持Oracle9iR2以上版本ReportsRealmsMulti-FactorAuthorizationSeparationofDutyCommandRulesOracle數(shù)據(jù)庫保護(hù)DatabaseVault

特權(quán)用戶的控制DatabaseDBA瀏覽HR信息

合規(guī)和對內(nèi)部人員的控制HR系統(tǒng)使用人員訪問FIN數(shù)據(jù)從效勞整合的層面杜絕風(fēng)險

DBAHRAppSELECT*FROMHR.EMP

HR

HRRealm

FIN

FINRealmFINAppOracleDatabaseVault

內(nèi)置因子用戶因子NameAuthenticationtypeSessionUserProxyEnterpriseIdentity網(wǎng)絡(luò)因子MachinenameClientIPNetworkProtocols擴(kuò)展Definecustomfactors數(shù)據(jù)庫因子DatabaseIPDatabaseInstanceDatabaseHostnameDatabaseSID運(yùn)行時因子LanguageDateTimeOracle標(biāo)簽平安性LabelSecurity

基于標(biāo)簽的訪問控制機(jī)密數(shù)據(jù)高敏感數(shù)據(jù)敏感數(shù)據(jù)基于標(biāo)簽授權(quán)的用戶可訪問敏感數(shù)據(jù)可訪問高敏感數(shù)據(jù)保護(hù)敏感數(shù)據(jù)給表中的行分配數(shù)據(jù)標(biāo)簽給應(yīng)用的用戶分配用戶標(biāo)簽使用內(nèi)置的算法實(shí)現(xiàn)對表的透明訪問控制靈活性和用戶化基于策略的架構(gòu)增強(qiáng)的選件權(quán)限可信任的存儲過程完整的

APIAgenda數(shù)據(jù)庫平安的業(yè)務(wù)驅(qū)動因素Oracle的數(shù)據(jù)平安性的開展加密與數(shù)據(jù)屏蔽的產(chǎn)品訪問控制層面的產(chǎn)品監(jiān)控層面的產(chǎn)品結(jié)合平安審計(jì)產(chǎn)品的案例Q&A數(shù)據(jù)庫平安性評估自動化數(shù)據(jù)庫參數(shù)數(shù)據(jù)庫配置文件數(shù)據(jù)庫訪問數(shù)據(jù)庫文件權(quán)限安裝之后的檢查跟蹤數(shù)據(jù)庫間的“配置偏差〞持續(xù)的合規(guī)可見性合規(guī)性分?jǐn)?shù)〔0-100%〕違規(guī)通知跟蹤一定時間段的合規(guī)性進(jìn)展映射到COBIT、CIS和Oracle的最正確實(shí)踐現(xiàn)成的最正確實(shí)踐250多個策略支持Oracle8i及更高版本企業(yè)管理器配置包

平安配置掃描主機(jī)檢測開放的端口檢測不平安的效勞確保NTFS文件系統(tǒng)類型(Windows)應(yīng)用效勞器HTTPD具有最低權(quán)限使用HTTP/S應(yīng)當(dāng)啟用Apache日志記錄禁用演示應(yīng)用程序禁用默認(rèn)的標(biāo)題頁面禁用對未使用目錄的訪問禁用目錄索引禁止對某些程序包的訪問禁用DAD所有者未使用的程序包移除未使用的DAD配置支持復(fù)雜的口令數(shù)據(jù)庫效勞啟用監(jiān)聽器日志記錄口令保護(hù)監(jiān)聽器不接受默認(rèn)的監(jiān)聽器名稱確保監(jiān)聽器日志文件有效且為Oracle所有確保監(jiān)聽器主機(jī)名與IP對應(yīng)數(shù)據(jù)庫文件權(quán)限Init.ora應(yīng)具有受限的文件權(quán)限$OH/bin中的文件應(yīng)歸Oracle所有數(shù)據(jù)文件應(yīng)歸Oracle所有數(shù)據(jù)庫配置文件/配置默認(rèn)口令不允許固定用戶鏈接訪問對象不允許默認(rèn)表空間設(shè)置為SYSTEM設(shè)置password_grace_time限制或禁止對DBMS_LOB的訪問設(shè)置password_reuse_max防止使用utl_file_dir參數(shù)企業(yè)管理器配置包

250多條內(nèi)置策略規(guī)那么OracleTotalRecall

實(shí)時的數(shù)據(jù)庫歸檔好處：歷史數(shù)據(jù)的合規(guī)性和證據(jù)分析透明的跟蹤變化審計(jì)的補(bǔ)充–誰vs.什么使用“ASOF〞flashbackSQL很容易的訪問歷史數(shù)據(jù)使用壓縮的形式最小化所需空間防止篡改select*fromproduct_informationASOFTIMESTAMP'02-MAY-0512.00AM‘whereproduct_id=3060AuditVault集中的數(shù)據(jù)庫審計(jì)保護(hù)

誰、何時、何地、做過何事以及如何做提供數(shù)據(jù)按方案使用的保證證明并記錄用戶的活動制止用戶不恰當(dāng)?shù)男袨榘l(fā)現(xiàn)異常行為和非法闖入盡早發(fā)現(xiàn)可疑的行為審計(jì)關(guān)鍵事件訪問和修改敏感數(shù)據(jù)修改數(shù)據(jù)庫結(jié)構(gòu)授權(quán)用戶的活動帳戶/角色的管理Oracle數(shù)據(jù)庫10gR2監(jiān)視策略報表平安性O(shè)racle數(shù)據(jù)庫11gR1Oracle數(shù)據(jù)庫10gR1Oracle數(shù)據(jù)庫9iR2其他數(shù)據(jù)源、

數(shù)據(jù)庫Oracle數(shù)據(jù)庫中的審計(jì)

強(qiáng)健的、靈活的、高忠實(shí)度的審計(jì)行業(yè)中最為先進(jìn)的語句–對schema對象的DDL/DML審計(jì)權(quán)限–審計(jì)使用系統(tǒng)權(quán)限的語句指