oracle數(shù)據(jù)庫10g安全性概述.ppt

1、,Sudha Iyer 資深產(chǎn)品經(jīng)理 甲骨文公司,Oracle 數(shù)據(jù)庫 10g 安全性 保護應用程序安全工具,議程,全球安全的推動因素 Oracle 安全性/身份管理平臺 安全性的最佳應用 問題與解答,安全性推動因素,外包、電子商務對全球的影響,安全現(xiàn)狀 美國,90% 的被調(diào)查者*在過去十二個月中曾檢測到計算機安全侵害。 80% 的被調(diào)查者承認由于計算機安全侵害而導致經(jīng)濟損失。 可計算的損失為 455,848,000 美元 專利信息被盜損失為 170,827,000 美元 金融詐騙損失為 115,753,000 美元 74% 的被調(diào)查者稱其互聯(lián)網(wǎng)連接經(jīng)常受到攻擊 33% 的被調(diào)查者稱其內(nèi)部系統(tǒng)

2、經(jīng)常受到攻擊,*來源：2002 CSI/FBI 計算機犯罪和安全調(diào)查,歐洲的安全管理規(guī)程,皇家法令 994/1999（西班牙） 針對個人數(shù)據(jù)文件的安全性法規(guī) 歐洲隱私管理規(guī)程 關(guān)于個人身份信息的安全措施，包含對收集、使用和訪問數(shù)據(jù)的限制 歐洲電子簽名管理規(guī)程 有效電子簽名的要求 歐洲計算機犯罪條約委員會,8,亞太地區(qū)安全性準則,用于保護隱私的 OECD 準則 澳大利亞隱私法案 1988 用于保護數(shù)據(jù)的協(xié)同方案 信息隱私法規(guī) = 國家隱私法規(guī) 香港個人數(shù)據(jù)（隱私）條例 1995 日本新的隱私保護法律將于 2005 年 4 月 1 日生效,從客戶的觀點來看，,10,身份管理和安全性的商業(yè)推動因素,

3、Web 應用程序非常優(yōu)秀,開發(fā)成本較低 易于部署 可從任何位置訪問,但是,12,這些應用程序是否安全？,能否在任何地點、任何時間進行訪問？,采用新技術(shù),消失的邊界,是否符合法規(guī)？,13,基本需求,以安全的方式對數(shù)據(jù)進行智能分析 符合法規(guī) 在多個技術(shù)層中跟蹤身份 盡量減少由于數(shù)據(jù)丟失、被盜和過于暴露而帶來的風險 具備驗證及訪問管理的端到端安全性 易于使用、易于管理并且安全的終端安全性 基于標準的安全性（互操作性）,Oracle 數(shù)據(jù)庫 10g = 25 年以上的安全性領(lǐng)導地位,1977,2004,標簽安全性 + 身份管理 列安全策略 17 項安全評估 身份管理版本 細粒度審計 通用標準 (EAL

4、4) Oracle 標簽安全性 (2000) 虛擬專用數(shù)據(jù)庫 (1998) 企業(yè)用戶安全性 Oracle 互聯(lián)網(wǎng)目錄 數(shù)據(jù)庫加密 API 推出 Oracle 高級安全性 網(wǎng)絡加密、RADIUS、Kerberos、PKI 第一個橘皮書 B1 評估 (1993) 可信的 Oracle7 多級安全數(shù)據(jù)庫 (1992) 政府客戶,安全性的最佳應用,使用數(shù)據(jù)庫安全特性的策略,16,風險管理,在可負擔性、可用性和安全性之間找到一個平衡點 風險管理非常重要 通過以下方法預防風險 全局式安全分析 安式式設計 安全式編程 安全式部署,17,基本的安全性原則,了解您的用戶 最低權(quán)限原則 監(jiān)控的合法性,數(shù)據(jù),審計,

5、訪問控制,驗證,安全性的兩個方面 管理 開發(fā),安全性的管理方面,19,應用程序中的互操作性及標準,由“標識”所建立的認證 與可信身份建立信任關(guān)系 使用多種應用程序技術(shù) OCI JDBC、.NET Oracle Forms/ Oracle Reports OC4J Web 服務,平臺的安全性和身份管理,外部安全性 服務,Oracle 平臺安全性,應用程序 安全性,電子商務套件,職責、角色,協(xié)作套件,S-MIME、 相互權(quán)利,OracleAS Portal /Wireless,Roles, Privilege Groups ,Oracle Internet Directory,OracleAS 認

6、證授權(quán),目錄集成 和供應,OracleAS 一次性登錄,委托管理服務,第三方應用程序,授權(quán)、隱私、 審計,OracleAS 門戶/無線,角色、權(quán)限組,Oracle 數(shù)據(jù)庫,企業(yè)用戶、VPD、加密標簽安全性,Oracle 身份管理,Oracle 應用服務器,JAAS、 WS 安全性 Java2 許可,21,Oracle 數(shù)據(jù)庫 10g 集成身份管理功能,數(shù)據(jù)庫企業(yè)用戶安全性功能 在 Oracle 應用服務器 10g 身份管理基礎架構(gòu)中管理數(shù)據(jù)庫用戶 統(tǒng)一的用戶模型 單一應用服務器 Web 一次性登錄與數(shù)據(jù)庫口令 = 增強的安全性！ 全面集成 Oracle 標簽安全性與 Oracle 身份管理 在

7、 Oracle 應用服務器 10g 身份管理基礎架構(gòu)中管理用戶和安全檢查,22,在進行身份管理和 EUS 部署之前,DBA： 創(chuàng)建用戶名和口令 重新設置口令 管理角色 設置口令策略 將用戶名與身份相匹配,應用程序數(shù)據(jù)庫,23,在進行身份管理和 EUS 部署之后,用戶身份管理員,應用程序數(shù)據(jù)庫,Oracle身份管理,其他企業(yè)目錄 （可選）,Oracle 標簽安全性,應用程序表,敏感：ACME,敏感度標簽 敏感：ACME 敏感：WIDGET 高度敏感： ACME 一般：ACME,存儲 ID AX703 B789C JFS845 SF78SD,收入 10200.34 18020.34 15045.2

8、3 21004.45,部門 財務 工程 法律 人力資源,OK,OK,Oracle 標簽安全性身份管理集成,集中管理 Oracle 標簽安全性策略 敏感度標簽 用戶標簽授權(quán) 益處 對目錄用戶執(zhí)行標簽授權(quán) 集中執(zhí)行統(tǒng)一的策略 輔助網(wǎng)格計算 為網(wǎng)格進行安全檢查 減輕管理負擔 10g 中的新增特性,Oracle 高級安全性選項,網(wǎng)絡安全性 加密（Net8 本地、SSL、Java） 強大的認證功能 Kerberos PKI 一次性登錄（委托、PKI） Radius,PKCS#11 支持允許在智能卡或硬件上使用 Oracle 錢夾 = 10g 中的新增特性,Oracle 數(shù)據(jù)庫 10g 應用 Kerber

9、os 的企業(yè)用戶,目錄用戶使用 Kerberos 證書認證到數(shù)據(jù)庫中 益處 利用桌面登錄的端到端安全性 實質(zhì)上沒有管理成本 在異種環(huán)境中進行集中管理,28,網(wǎng)絡加密：線路中的保密,#yu1(*tp4e,- 行業(yè)標準算法 多達 256 位的 RCA RC4、AES、3DES（2 個密鑰和 3 個密鑰） - 可以方便的建立在數(shù)據(jù)庫客戶端與服務器之間 通過 FIPS 評估 防止數(shù)據(jù)更改、數(shù)據(jù)重放和中間人攻擊,%oiu*hjktyot,標準客戶端,Oracle10g 數(shù)據(jù)庫,Oracle10g AS,29,企業(yè)管理器幫助實施安全性的最佳應用,供應用戶適當?shù)脑L問權(quán)限 檢查系統(tǒng)中權(quán)限過多的帳戶 為 EM

10、用戶管理提供相關(guān)環(huán)境的鏈接 使用安全的配置 Oracle 產(chǎn)品部署在一個普通的不安全配置環(huán)境中 ， 則向客戶報警 部署安全的安裝版本、補丁 提供 Oracle 產(chǎn)品安全性補丁的快速通知 便于安全性補丁的應用,30,Oracle 數(shù)據(jù)庫 10g 審計,細粒度審計 (FGA) 增加對插入、更新和刪除操作的粒度審計支持 利用新視圖增強對審計記錄的訪問 在數(shù)據(jù)庫中提供新的單一審計視圖 Oracle9i 只支持對選擇操作的審計,在數(shù)據(jù)庫中執(zhí)行審計策略,. Where Salary 500000 AUDIT COLUMN = Salary,31,審計的最佳應用,建立正常行為和異常行為 對于高度重要的事務進

11、行 FGA 創(chuàng)建 AuditManager 角色 AUDIT ANY 權(quán)限 在 DBA_AUDIT_TRAIL 上進行選擇操作 在 AUD$ 上進行刪除操作 為 AuditManager 角色授權(quán)并停止使用 SYS！,Oracle 數(shù)據(jù)庫 10g 的應用程序安全性,33,Oracle 數(shù)據(jù)庫 10g 中的新功能,虛擬專用數(shù)據(jù)庫增強功能 升級的加密工具包 公共密鑰基礎架構(gòu)增強功能 默認的安全性 Oracle 企業(yè)管理器安全性,34,Oracle 數(shù)據(jù)庫 10g 虛擬專用數(shù)據(jù)庫,在 Oracle8i 中開始推出 數(shù)據(jù)庫強制執(zhí)行 可編程的行級安全性,VPD 策略,35,Oracle 數(shù)據(jù)庫 10g

12、虛擬專用數(shù)據(jù)庫,列相關(guān)策略 只有在訪問特定列的時候才強制執(zhí)行該策略 提高行級安全性的粒度,36,Oracle 數(shù)據(jù)庫 10g 虛擬專用數(shù)據(jù)庫,列篩選 可選的 VPD 配置返回所有行，但濾除那些不符合標準的行的列值,37,Oracle 數(shù)據(jù)庫 10g 虛擬專用數(shù)據(jù)庫,性能增強 靜態(tài)策略 動態(tài)策略 靜態(tài)策略 不變的策略有助于進行托管 動態(tài)策略 在策略返回不同的謂詞時，這是個好的選擇 每日定時執(zhí)行,38,Oracle 數(shù)據(jù)庫 10g 加密工具包,Oracle10g 具有一個簡單的加密/解密接口 DBMS_CRYPTO 程序包 DES、3DES、AES 加密 MD5 校驗和 編程密鑰管理 10g 的增

13、強用戶接口 加密 blob 數(shù)據(jù)類型 應用程序必須提供密鑰生成、管理和恢復功能 加密密鑰必須存儲在某處 可以存儲在數(shù)據(jù)庫文件中、操作系統(tǒng)中、磁盤上等等,全局應用程序環(huán)境,應用服務器,1. 用戶 A 連接,2. 應用程序確定用戶 A 為 Gold,3. 應用程序創(chuàng)建 Gold、Silver、Bronze 全局環(huán)境,4. 應用程序重新設置 client_identifier 為 Gold,5. 用戶 B 連接,6. 應用程序確定用戶 B 為 Bronze,7. 應用程序重新設置 client_identifier 為 Bronze,Oracle9i,40,安全的應用程序角色,安全的應用程序角色是指

14、由程序包所實施的角色 程序包在設置角色（SET ROLE）完成之前能夠執(zhí)行任何所需的驗證 為用戶訪問提供靈活性,Oracle Internet Directory,用戶 A,用戶 B,用戶 C,用戶 D,Oracle9i,41,代理認證,Oracle9i,1. 用戶認證到中間層,2. 中間層代理用戶（DN、證書）身份到數(shù)據(jù)庫,用戶 A,用戶 B,用戶 C,用戶 D,用戶 A,用戶 B,用戶 C,用戶 D,應用服務器,3. 數(shù)據(jù)庫檢索用戶角色，連接到應用程序模式,Oracle Internet Directory,Oracle 高級安全性選項,網(wǎng)絡安全性 加密（ Net8 本地、SSL、Java

15、 ） 強大的認證功能 Kerberos PKI 一次性登錄（委托、PKI） Radius,PKCS#11 支持允許在智能卡或硬件上使用 Oracle 錢夾 安全性模塊 = 10g 中的新增特性,Oracle 數(shù)據(jù)庫 10g 經(jīng)過 Kerberos 處理的企業(yè)用戶,目錄用戶使用 Kerberos 證書認證到數(shù)據(jù)庫 益處 利用桌面登錄的端到端安全性 實質(zhì)上沒有管理成本 在異種環(huán)境中進行集中管理,44,網(wǎng)絡加密：在線路中保密,#yu1(*tp4e,- 行業(yè)標準算法 多達 256 位的 RCA RC4、AES、3DES（2 個密鑰和 3 個密鑰） - 易于建立在數(shù)據(jù)庫客戶與服務器之間 通過 FIPS 評估 防止數(shù)據(jù)更改、數(shù)據(jù)中繼和中間人攻擊,%oiu*hjktyot,標準客戶端,Oracle10g 數(shù)據(jù)庫,Oracle10g AS,45,企業(yè)管理器幫助實現(xiàn)安全性的最佳應用,利用適當?shù)脑L問方式來供應用戶 檢查系統(tǒng)中具有過多權(quán)限的帳戶 為 EM 用戶管理提供相關(guān)環(huán)境的鏈接 使用安全的配置 如果利用普通的不安全配置來部署 Oracle 產(chǎn)品，則向客戶報警 部署安全的安裝文件、補丁 提供