Rainer Meisriemler. STCC Stuttgart Oracle Deutschland GmbH 2 / 64

Transkript

1

2 Rainer Meisriemler STCC Stuttgart Oracle Deutschland GmbH 2 / 64

3 Oracle Database Security Products User Management Oracle Identity Management Enterprise User Security Access Control Oracle Database Vault Oracle Label Security Core Platform Security Monitoring Oracle Audit Vault EM Configuration Pack Data Protection Oracle Advanced Security Oracle Secure Backup 3 / 64

4 Oracle Audit Vault - Das Data Warehouse für Audit-Daten Oracle Database Selbst erstellte Berichte Fremd- produkte Oracle App Svr 9i R2 Oracle Database 10g g R2 Audit Warehouse Vor-definierte Rollen zur Aufgabentrennung Aufgabentrennung Oracle Audit Vault Berichte Oracle Data Mining Applications Oracle Database Partitioning 10g R1 Enterprise Database Audit Settings 4 / 64

5 DAS KUNDENPROBLEM... In unzähligen Variationen Nachweisen, wer und wann auf vertrauliche Daten in unterschiedlichen Datenbanken zugegriffen hat Bei Verdacht auf Insider-Trading Bei Verdacht auf unbefugter Weitergabe vertraulicher Informationen Firmengeheimnisse Persönliche Daten z.b. aus dem medizinischen Umfeld... Und als Lösung AUDITING 5 / 64

6 Audit-Herausforderungen Format der Audit-Daten Unterschiedlichste Audit-Quellen Kein etabliertes Standardformat für Audit-Daten Datenmenge Skalierbarkeit, Hochverfügbarkeit, Verläßlichkeit Form des Archivierens Analysen und Berichte Gerichtsverwertbarkeit von Audit-Informationen Nachweis, dass gesetzliche Vorgaben eingehalten werden Sicherheit Trennung von DBA-Aufgaben und Datenzugriff Schutz vor Manipulation von Audit-Daten 6 / 64

7 Projekt Audit Vault - Ziele Herausforderungen überwinden & Einheitliche Oberfläche bieten um Audit-Verhalten aller beteiligten Systeme zentral zu steuern Eine einheitliche Schnittstelle zu allen Audit-Daten verfügbar zu haben Flexibel auf beliebige Quellsysteme anzuwenden Spezifische Möglichkeiten unterschiedlicher Quellsysteme zu nutzen Leicht umfassende Audit-Systeme aufbauen zu können 7 / 64

8 Audit Vault Dashboard 8 / 64

9 Berichte im Audit Vault 9 / 64

10 Datenquellen In Oracle Audit Vault Release 1 werden nur Oracle-Datenbanken unterstützt Oracle 9i Release 2 Oracle 10g Release 1 Oracle 10g Release 2 Audit-Daten werden erfasst Aus dem Datenbank-Audit-Trail Aus den Redo Logs 10 / 64

11 Datenquellen - Die Zukunft Audit-Daten weiterer Oracle-Produkte Audit-Daten aus Produkten von Fremdanbietern Software Development Kit (SDK), zur Speicherung von Audit-Daten in Audit Vault 11 / 64

12 Konfiguration Oracle Database Selbst erstellte Berichte Fremd- produkte Oracle App Svr 9i R2 Oracle Database 10g g R2 Audit Warehouse Vor-definierte Rollen zur Aufgabentrennung Aufgabentrennung Oracle Audit Vault Berichte Oracle Data Mining Applications Oracle Database 10g R1 Partitioning Enterprise Database Audit Settings 12 / 64

13 Oracle Database Vault & Oracle Audit Vault 13 / 64

14 14 / 64

15 Common Security Problems Ich muss SOX und PCI Konformität nachweisen. Wie kann ich verhindern, daß mein DBA sensible Daten sieht? Wie kann ich als DBA nachweisen, daß ich die Daten nicht verkauft habe? Wie verhindere ich als DBA nach einer Datenbank-Konsolidierung, daß Anwender-DBA s meine Datenbank lahmlegen? On Financial Data Tool 15 / 64

16 Was ist Oracle Database Vault? Neue Security-Option neben ASO, OLS Aufgabenverteilung und Funktionstrennung gemäß gesetzlicher Vorgaben Schutz vor der Bedrohung von Innen Anpassungsfähige Kontrolle des Zugriffs auf Daten Unterstützung bei der Konsolidierung von Datenbanken 16 / 64

17 Database Vault vs VPD und OLS VPD und OLS Schränken Zugriff auf Zeilenebene ein Kann vom sys User umgangen werden Database Vault Schränkt Zugriff auf Objekt- und Befehlsebene ein Gilt für alle Benutzer (auch SYS) 17 / 64

18 Systemvoraussetzungen BS- und SW-Voraussetzungen sind identisch mit denen einer Installation der Datenbank Version (oder ) Datenbank >= Nachträglich auf einer vorhandenen Datenbank Bei der Installation einer neuer Datenbank Oracle Label Security (OLS) installiert und konfiguriert Zusätzlicher Plattenspeicher für die Software 270 MB für die Datendateien 10 MB 18 / 64

19 Privilegierte Benutzer Bei der Installation ist mindestens der Besitzer der Database Vault-Option anzugegeben. Er / Sie erhält die Rolle DV_OWNER Verwaltet Konfiguration und Rollen Zusätzlich möglich ist die Zuweisung der Rolle DV_ACCTMGR Verwaltet alle Benutzer, auch die Nicht-DV-Benutzer Wenn kein Benutzer diese Rolle explizit erhält, wird sie automatisch dem Benutzer mit der Rolle DV_OWNER zugewiesen 19 / 64

20 Werkzeuge Oracle Database Vault Administrator Sieht aus wie der HTML-basierte Enterprise Manager Wird zukünftig in den Enterprise Manager integriert Zugriff über Browser Verwaltung und Kontrolle der Database Vault- Umgebung Erzeugen der im Lieferumfang enthaltenen Berichte PL/SQL-Packages DVSYS.DBMS_MACADM DVSYS.DBMS_MACSEC_ROLES DVSYS.DBMS_MACUTL 21 / 64

21 Database Vault Administrator (DVA) 22 / 64

22 Oracle Database Vault: Übersicht Command Rules Factors Auditing & Berichte Realms Rule Sets & Rules OLS/VPD Policy Roles 23 / 64

24 Oracle Database Vault Realms Definierte Bereiche, z.b. Schemas, auf die nur noch privilegierte Benutzer zugreifen können CREATE ANY TABLE, SELECT ANY TABLE,... nicht auf Objekte des Database Vault anwendbar Erlaubt das Einrichten von DBAs für festgelegte Bereiche, z.b. für Rechnungswesen- oder Personaldaten Authorisierung als Realm-OWNER oder -PARTICIPANT Versuchte Verstöße gegen Realms können erfaßt und gemeldet werden 25 / 64

25 Oracle Data Vault Financials OE GL HR PER BEN Other Applications OLTP OLAP Risks and Liabilities: SOX, HIPAA, SB1386 Intellectual Property 26 / 64

26 Project Data Vault Solutions DBA greift auf HR Daten zu Compliance & Schutz vor Insidern Select * from HR.emp HR führt nicht authorisierte Operation während den Geschäftszeiten druch Factors based access control DBA Create procedure 3PM Saturday HR DBA Factors HR Realm HR HR DBA greift auf Finanzdaten zu Eliminiert Security Risiken bei Server Konsolidierungen HR DBA Select * from fin.orders Fin Realm Fin 27 / 64

27 Was geht & Was nicht geht ALTER TABLE teile... DBA Realm SELECT * FROM rw.vertraege Realm Vertraege Lieferanten Auftraege Teile Positionen 28 / 64

28 Im Lieferumfang enthaltene Realms 29 / 64

30 Built-In Factors Authentication Session Client IP Database Name Method User Domain Machine Database Name Database Instance Network Protocol Database IP Enterprise Identity Proxy Enterprise Identity Language Database Hostname Date Time * Additional factors can be defined 32 / 64

31 Database Vault Rule Referencing IP Address Factor 33 / 64

32 Eigene Factors anlegen 34 / 64

34 Command Rules Steuern den Gebrauch von DML- und DDL-Kommandos Systembefehle Verwenden der Rules - und damit Verwenden der Kommandos - kann Auditiert werden Angezeigt werden Regelbasiert Auswertung der Regeln nach der Überprüfung, ob überhaupt eine Berechtigung vorliegt, in dem betroffenen Realm zu arbeiten 36 / 64

35 Mitgelieferte Command Rules 37 / 64

36 Command Rule Flexibility Alter Database Alter Database Alter Table Alter Function Audit Alter Tablespace Alter Package Body Alter Procedure Alter Profile Alter Session Alter System Alter Synonym Alter Table Alter Trigger Alter User Password Alter Tablespace Alter View Change Password Connect Comment Create Function Create Index Create Package Create Database Link Create Procedure Create Role Create Package Body Create User Create View Create Table Grant Insert Noaudit Rename Lock Table Create Tablespace Create Trigger Truncate Table Update Insert Delete Execute Select 38 / 64

37 Database Vault Command Rules 39 / 64

38 Rule Set - Auswertung Lokale Verbindung? TRUE v FALSE AND / OR Wochenende? TRUE v FALSE AND / OR AND / OR APP.STATUS-Spalte > 0? TRUE v FALSE Rule Set Ergebnis TRUE v FALSE 40 / 64

40 Spezifische Rollen in Database Vault PUBLIC DV_PUBLIC Hat EXECUTE-Rechte für einige Prozeduren DV_OWNER DV_ADMIN DV_SECANALYST GibtDV_OWNER-Rolle durch GRANT weiter Führt DVA aus zur Implementierung von Zugriffskontrollen Führt Berichte aus DV_ACCTMGR Legt Accounts an und ändert sie Gibt die RollenCONNECT und DV_ACCTMGR durch GRANT weiter DV_REALM_RESOURCE Hat begrenzte (10) CREATE- Privilegien für Objekte wie Tabellen, Prozduren, Trigger, Typen DV_REALM_OWNER Hat umfangreiche (62) ANY-Privilegien 42 / 64

42 Berichte und Monitoring 44 / 64

43 Konfiguration und Auditing 45 / 64

44 Sonstige Berichte 46 / 64

46 Weitere Informationen: Oracle Security White Papers OTN (Oracle Technology Network) Oracle Database 10g R2 Security Oracle Virtual Private Database. Oracle By Example (OTN) Restricting Data Access Using Virtual Private Database Oracle Identity Management 48 / 64

47