oracle數(shù)據(jù)庫10g安全性概述.ppt

1、,Sudha Iyer 資深產(chǎn)品經(jīng)理 甲骨文公司,Oracle 數(shù)據(jù)庫 10g 安全性 保護(hù)應(yīng)用程序安全工具,議程,全球安全的推動因素 Oracle 安全性/身份管理平臺 安全性的最佳應(yīng)用 問題與解答,安全性推動因素,外包、電子商務(wù)對全球的影響,安全現(xiàn)狀 美國,90% 的被調(diào)查者*在過去十二個月中曾檢測到計算機(jī)安全侵害。 80% 的被調(diào)查者承認(rèn)由于計算機(jī)安全侵害而導(dǎo)致經(jīng)濟(jì)損失。 可計算的損失為 455,848,000 美元 專利信息被盜損失為 170,827,000 美元 金融詐騙損失為 115,753,000 美元 74% 的被調(diào)查者稱其互聯(lián)網(wǎng)連接經(jīng)常受到攻擊 33% 的被調(diào)查者稱其內(nèi)部系統(tǒng)

2、經(jīng)常受到攻擊,*來源：2002 CSI/FBI 計算機(jī)犯罪和安全調(diào)查,歐洲的安全管理規(guī)程,皇家法令 994/1999（西班牙） 針對個人數(shù)據(jù)文件的安全性法規(guī) 歐洲隱私管理規(guī)程 關(guān)于個人身份信息的安全措施，包含對收集、使用和訪問數(shù)據(jù)的限制 歐洲電子簽名管理規(guī)程 有效電子簽名的要求 歐洲計算機(jī)犯罪條約委員會,8,亞太地區(qū)安全性準(zhǔn)則,用于保護(hù)隱私的 OECD 準(zhǔn)則 澳大利亞隱私法案 1988 用于保護(hù)數(shù)據(jù)的協(xié)同方案 信息隱私法規(guī) = 國家隱私法規(guī) 香港個人數(shù)據(jù)（隱私）條例 1995 日本新的隱私保護(hù)法律將于 2005 年 4 月 1 日生效,從客戶的觀點(diǎn)來看，,10,身份管理和安全性的商業(yè)推動因素,

3、Web 應(yīng)用程序非常優(yōu)秀,開發(fā)成本較低 易于部署 可從任何位置訪問,但是,12,這些應(yīng)用程序是否安全？,能否在任何地點(diǎn)、任何時間進(jìn)行訪問？,采用新技術(shù),消失的邊界,是否符合法規(guī)？,13,基本需求,以安全的方式對數(shù)據(jù)進(jìn)行智能分析 符合法規(guī) 在多個技術(shù)層中跟蹤身份 盡量減少由于數(shù)據(jù)丟失、被盜和過于暴露而帶來的風(fēng)險 具備驗證及訪問管理的端到端安全性 易于使用、易于管理并且安全的終端安全性 基于標(biāo)準(zhǔn)的安全性（互操作性）,Oracle 數(shù)據(jù)庫 10g = 25 年以上的安全性領(lǐng)導(dǎo)地位,1977,2004,標(biāo)簽安全性 + 身份管理 列安全策略 17 項安全評估 身份管理版本 細(xì)粒度審計 通用標(biāo)準(zhǔn) (EAL

4、4) Oracle 標(biāo)簽安全性 (2000) 虛擬專用數(shù)據(jù)庫 (1998) 企業(yè)用戶安全性 Oracle 互聯(lián)網(wǎng)目錄 數(shù)據(jù)庫加密 API 推出 Oracle 高級安全性 網(wǎng)絡(luò)加密、RADIUS、Kerberos、PKI 第一個橘皮書 B1 評估 (1993) 可信的 Oracle7 多級安全數(shù)據(jù)庫 (1992) 政府客戶,安全性的最佳應(yīng)用,使用數(shù)據(jù)庫安全特性的策略,16,風(fēng)險管理,在可負(fù)擔(dān)性、可用性和安全性之間找到一個平衡點(diǎn) 風(fēng)險管理非常重要 通過以下方法預(yù)防風(fēng)險 全局式安全分析 安式式設(shè)計 安全式編程 安全式部署,17,基本的安全性原則,了解您的用戶 最低權(quán)限原則 監(jiān)控的合法性,數(shù)據(jù),審計,

5、訪問控制,驗證,安全性的兩個方面 管理 開發(fā),安全性的管理方面,19,應(yīng)用程序中的互操作性及標(biāo)準(zhǔn),由“標(biāo)識”所建立的認(rèn)證 與可信身份建立信任關(guān)系 使用多種應(yīng)用程序技術(shù) OCI JDBC、.NET Oracle Forms/ Oracle Reports OC4J Web 服務(wù),平臺的安全性和身份管理,外部安全性 服務(wù),Oracle 平臺安全性,應(yīng)用程序 安全性,電子商務(wù)套件,職責(zé)、角色,協(xié)作套件,S-MIME、 相互權(quán)利,OracleAS Portal /Wireless,Roles, Privilege Groups ,Oracle Internet Directory,OracleAS 認(rèn)

6、證授權(quán),目錄集成 和供應(yīng),OracleAS 一次性登錄,委托管理服務(wù),第三方應(yīng)用程序,授權(quán)、隱私、 審計,OracleAS 門戶/無線,角色、權(quán)限組,Oracle 數(shù)據(jù)庫,企業(yè)用戶、VPD、加密標(biāo)簽安全性,Oracle 身份管理,Oracle 應(yīng)用服務(wù)器,JAAS、 WS 安全性 Java2 許可,21,Oracle 數(shù)據(jù)庫 10g 集成身份管理功能,數(shù)據(jù)庫企業(yè)用戶安全性功能 在 Oracle 應(yīng)用服務(wù)器 10g 身份管理基礎(chǔ)架構(gòu)中管理數(shù)據(jù)庫用戶 統(tǒng)一的用戶模型 單一應(yīng)用服務(wù)器 Web 一次性登錄與數(shù)據(jù)庫口令 = 增強(qiáng)的安全性！ 全面集成 Oracle 標(biāo)簽安全性與 Oracle 身份管理 在

7、 Oracle 應(yīng)用服務(wù)器 10g 身份管理基礎(chǔ)架構(gòu)中管理用戶和安全檢查,22,在進(jìn)行身份管理和 EUS 部署之前,DBA： 創(chuàng)建用戶名和口令 重新設(shè)置口令 管理角色 設(shè)置口令策略 將用戶名與身份相匹配,應(yīng)用程序數(shù)據(jù)庫,23,在進(jìn)行身份管理和 EUS 部署之后,用戶身份管理員,應(yīng)用程序數(shù)據(jù)庫,Oracle身份管理,其他企業(yè)目錄 （可選）,Oracle 標(biāo)簽安全性,應(yīng)用程序表,敏感：ACME,敏感度標(biāo)簽 敏感：ACME 敏感：WIDGET 高度敏感： ACME 一般：ACME,存儲 ID AX703 B789C JFS845 SF78SD,收入 10200.34 18020.34 15045.2

8、3 21004.45,部門 財務(wù) 工程 法律 人力資源,OK,OK,Oracle 標(biāo)簽安全性身份管理集成,集中管理 Oracle 標(biāo)簽安全性策略 敏感度標(biāo)簽 用戶標(biāo)簽授權(quán) 益處 對目錄用戶執(zhí)行標(biāo)簽授權(quán) 集中執(zhí)行統(tǒng)一的策略 輔助網(wǎng)格計算 為網(wǎng)格進(jìn)行安全檢查 減輕管理負(fù)擔(dān) 10g 中的新增特性,Oracle 高級安全性選項,網(wǎng)絡(luò)安全性 加密（Net8 本地、SSL、Java） 強(qiáng)大的認(rèn)證功能 Kerberos PKI 一次性登錄（委托、PKI） Radius,PKCS#11 支持允許在智能卡或硬件上使用 Oracle 錢夾 = 10g 中的新增特性,Oracle 數(shù)據(jù)庫 10g 應(yīng)用 Kerber

9、os 的企業(yè)用戶,目錄用戶使用 Kerberos 證書認(rèn)證到數(shù)據(jù)庫中 益處 利用桌面登錄的端到端安全性 實質(zhì)上沒有管理成本 在異種環(huán)境中進(jìn)行集中管理,28,網(wǎng)絡(luò)加密：線路中的保密,#yu1(*tp4e,- 行業(yè)標(biāo)準(zhǔn)算法 多達(dá) 256 位的 RCA RC4、AES、3DES（2 個密鑰和 3 個密鑰） - 可以方便的建立在數(shù)據(jù)庫客戶端與服務(wù)器之間 通過 FIPS 評估 防止數(shù)據(jù)更改、數(shù)據(jù)重放和中間人攻擊,%oiu*hjktyot,標(biāo)準(zhǔn)客戶端,Oracle10g 數(shù)據(jù)庫,Oracle10g AS,29,企業(yè)管理器幫助實施安全性的最佳應(yīng)用,供應(yīng)用戶適當(dāng)?shù)脑L問權(quán)限 檢查系統(tǒng)中權(quán)限過多的帳戶 為 EM

10、用戶管理提供相關(guān)環(huán)境的鏈接 使用安全的配置 Oracle 產(chǎn)品部署在一個普通的不安全配置環(huán)境中 ， 則向客戶報警 部署安全的安裝版本、補(bǔ)丁 提供 Oracle 產(chǎn)品安全性補(bǔ)丁的快速通知 便于安全性補(bǔ)丁的應(yīng)用,30,Oracle 數(shù)據(jù)庫 10g 審計,細(xì)粒度審計 (FGA) 增加對插入、更新和刪除操作的粒度審計支持 利用新視圖增強(qiáng)對審計記錄的訪問 在數(shù)據(jù)庫中提供新的單一審計視圖 Oracle9i 只支持對選擇操作的審計,在數(shù)據(jù)庫中執(zhí)行審計策略,. Where Salary 500000 AUDIT COLUMN = Salary,31,審計的最佳應(yīng)用,建立正常行為和異常行為 對于高度重要的事務(wù)進(jìn)

11、行 FGA 創(chuàng)建 AuditManager 角色 AUDIT ANY 權(quán)限 在 DBA_AUDIT_TRAIL 上進(jìn)行選擇操作 在 AUD$ 上進(jìn)行刪除操作 為 AuditManager 角色授權(quán)并停止使用 SYS！,Oracle 數(shù)據(jù)庫 10g 的應(yīng)用程序安全性,33,Oracle 數(shù)據(jù)庫 10g 中的新功能,虛擬專用數(shù)據(jù)庫增強(qiáng)功能 升級的加密工具包 公共密鑰基礎(chǔ)架構(gòu)增強(qiáng)功能 默認(rèn)的安全性 Oracle 企業(yè)管理器安全性,34,Oracle 數(shù)據(jù)庫 10g 虛擬專用數(shù)據(jù)庫,在 Oracle8i 中開始推出 數(shù)據(jù)庫強(qiáng)制執(zhí)行 可編程的行級安全性,VPD 策略,35,Oracle 數(shù)據(jù)庫 10g

12、虛擬專用數(shù)據(jù)庫,列相關(guān)策略 只有在訪問特定列的時候才強(qiáng)制執(zhí)行該策略 提高行級安全性的粒度,36,Oracle 數(shù)據(jù)庫 10g 虛擬專用數(shù)據(jù)庫,列篩選 可選的 VPD 配置返回所有行，但濾除那些不符合標(biāo)準(zhǔn)的行的列值,37,Oracle 數(shù)據(jù)庫 10g 虛擬專用數(shù)據(jù)庫,性能增強(qiáng) 靜態(tài)策略 動態(tài)策略 靜態(tài)策略 不變的策略有助于進(jìn)行托管 動態(tài)策略 在策略返回不同的謂詞時，這是個好的選擇 每日定時執(zhí)行,38,Oracle 數(shù)據(jù)庫 10g 加密工具包,Oracle10g 具有一個簡單的加密/解密接口 DBMS_CRYPTO 程序包 DES、3DES、AES 加密 MD5 校驗和 編程密鑰管理 10g 的增

13、強(qiáng)用戶接口 加密 blob 數(shù)據(jù)類型 應(yīng)用程序必須提供密鑰生成、管理和恢復(fù)功能 加密密鑰必須存儲在某處 可以存儲在數(shù)據(jù)庫文件中、操作系統(tǒng)中、磁盤上等等,全局應(yīng)用程序環(huán)境,應(yīng)用服務(wù)器,1. 用戶 A 連接,2. 應(yīng)用程序確定用戶 A 為 Gold,3. 應(yīng)用程序創(chuàng)建 Gold、Silver、Bronze 全局環(huán)境,4. 應(yīng)用程序重新設(shè)置 client_identifier 為 Gold,5. 用戶 B 連接,6. 應(yīng)用程序確定用戶 B 為 Bronze,7. 應(yīng)用程序重新設(shè)置 client_identifier 為 Bronze,Oracle9i,40,安全的應(yīng)用程序角色,安全的應(yīng)用程序角色是指

14、由程序包所實施的角色 程序包在設(shè)置角色（SET ROLE）完成之前能夠執(zhí)行任何所需的驗證 為用戶訪問提供靈活性,Oracle Internet Directory,用戶 A,用戶 B,用戶 C,用戶 D,Oracle9i,41,代理認(rèn)證,Oracle9i,1. 用戶認(rèn)證到中間層,2. 中間層代理用戶（DN、證書）身份到數(shù)據(jù)庫,用戶 A,用戶 B,用戶 C,用戶 D,用戶 A,用戶 B,用戶 C,用戶 D,應(yīng)用服務(wù)器,3. 數(shù)據(jù)庫檢索用戶角色，連接到應(yīng)用程序模式,Oracle Internet Directory,Oracle 高級安全性選項,網(wǎng)絡(luò)安全性 加密（ Net8 本地、SSL、Java

15、 ） 強(qiáng)大的認(rèn)證功能 Kerberos PKI 一次性登錄（委托、PKI） Radius,PKCS#11 支持允許在智能卡或硬件上使用 Oracle 錢夾 安全性模塊 = 10g 中的新增特性,Oracle 數(shù)據(jù)庫 10g 經(jīng)過 Kerberos 處理的企業(yè)用戶,目錄用戶使用 Kerberos 證書認(rèn)證到數(shù)據(jù)庫 益處 利用桌面登錄的端到端安全性 實質(zhì)上沒有管理成本 在異種環(huán)境中進(jìn)行集中管理,44,網(wǎng)絡(luò)加密：在線路中保密,#yu1(*tp4e,- 行業(yè)標(biāo)準(zhǔn)算法 多達(dá) 256 位的 RCA RC4、AES、3DES（2 個密鑰和 3 個密鑰） - 易于建立在數(shù)據(jù)庫客戶與服務(wù)器之間 通過 FIPS 評估 防止數(shù)據(jù)更改、數(shù)據(jù)中繼和中間人攻擊,%oiu*hjktyot,標(biāo)準(zhǔn)客戶端,Oracle10g 數(shù)據(jù)庫,Oracle10g AS,45,企業(yè)管理器幫助實現(xiàn)安全性的最佳應(yīng)用,利用適當(dāng)?shù)脑L問方式來供應(yīng)用戶 檢查系統(tǒng)中具有過多權(quán)限的帳戶 為 EM 用戶管理提供相關(guān)環(huán)境的鏈接 使用安全的配置 如果利用普通的不安全配置來部署 Oracle 產(chǎn)品，則向客戶報警 部署安全的安裝文件、補(bǔ)丁 提供