Oracle XE Security. Wieviel Security bietet Oracle XE? Stefan Oehrli

Transkript

1 Oracle XE Security Wieviel Security bietet Oracle XE? Stefan BASEL BERN BRUGG BUKAREST DÜSSELDORF FRANKFURT A.M. FREIBURG I.BR. GENF HAMBURG KOPENHAGEN LAUSANNE MANNHEIM MÜNCHEN STUTTGART WIEN ZÜRICH

2 Trivadis Unsere wichtigsten Kennzahlen. Gründung: Trivadis Niederlassungen mit über 650 Mitarbeitenden. Umsatz CHF 115 Mio. (EUR 106 Mio.). Über 250 Service Level Agreements. Mehr als 4'000 Trainingsteilnehmer. Forschungs- und Entwicklungsbudget: CHF 5.0 Mio. Mehr als 1'900 Projekte pro Jahr bei über 800 Kunden. Finanziell unabhängig und nachhaltig profitabel. 2

3 Stefan Oehrli Plattform Architekt, Trainer und Partner bei Trivadis Seit 1997 in verschiedenen IT-Bereichen tätig Seit 2008 bei der Trivadis AG Mehr als 20 Jahre Erfahrung im Umgang Fokus: Daten schützen und Datenbanken sicher betreiben Security Assessments und Reviews Datenbank Sicherheitskonzepte und deren Umsetzung Oracle Backup & Recovery Konzepte und Troubleshooting Oracle Enterprise User Security, Advanced Security, Database Vault, Oracle Directory Services Co-Autor des Buches Der Oracle DBA (Hanser, BASEL BERN BRUGG BUKAREST DÜSSELDORF FRANKFURT A.M. FREIBURG I.BR. GENF HAMBURG KOPENHAGEN LAUSANNE MANNHEIM MÜNCHEN STUTTGART WIEN ZÜRICH

4 Agenda Oracle Database XE In a Nutshell Übersicht Oracle Database Security Oracle XE Security Beispiele Fehlende Security Features Support und Lizenzierung Anwendungsfälle Fazit 4

5 Oracle Database XE In a Nutshell 5

6 Oracle Database XE In a Nutshell Kostenlose Oracle-Datenbank für jedermann (gemäss Für alle die Oracle Testen wollen auf Oracle Datenbanken entwickeln Oracle Datenbanken kennen lehren oder Ausbildung wollen einfache Oracle Datenbanken in ihren Anwendungen nutzen einfacher Migrationspfad falls XE doch zu klein Z.B. in die Cloud oder on-premises Aktuellster Release und Features verfügbar d.h Einfache Installation via runinstaller oder rpm Packet Quelle: Oracle Inc. 6

7 Oracle Database XE In a Nutshell Unterstützung von Enterprise Feature Multitenant respektive Oracle Multitenant Container Datenbanken In-Memory Oracle Database In-Memory column store Partitioning für die Partitionierung der Daten Advanced Analytics mit Data Mining SQL, R, und dem Oracle Data Miner UI Advanced Security Schutz der Daten mit Transparent Data Encryption, Data Redaction und mehr Nutzbare Resourcen / System konfiguration Bis zu 12 GB an Benutzerdaten Bis zu 2 GB Datenbank-RAM Bis zu 2 CPU-Threads Bis zu 3 Pluggable-Datenbanken Limitierung auf eine Instanz pro Server, VM oder Container 7

8 Oracle Database XE In a Nutshell Oracle Express Edition (XE) auf Oracle Technology Network OTN Oracle Database XE Quick Start Dokumentation und Lizenzierung Video Tutorials Oracle Database XE Frequently Asked Questions Download URL auf OTN Oracle Database XE Community Forum 8

9 Übersicht Oracle Database Security 9

10 Maximal Data Security Architecture MDSA 10

11 MDSA Standard Security 11

12 MDSA Audit Vault and Database Firewall 12

13 MDSA Oracle Enterprise Edition (EE) 13

14 MDSA Advanced Security Option 14

15 MDSA Database Vault / Label Security 15

16 MDSA Datamasking and Subsetting 16

17 MDSA Enterprise User Security 17

18 MDSA Oracle Key Vault 18

19 MDSA Oracle Standard Edition 2 (SE2) 19

20 MDSA Oracle Express Edition (XE) 20

21 Security Features und Optionen (1) Funktion oder Option XE 11g XE 18c SE 2 EE Column-Level Encryption (ASO) Tablespace Encryption * (ASO) Oracle Advanced Security (ASO) Oracle Database Vault (DBV) Oracle Label Security (LS) Enterprise User Security (ODS) Centrally Managed Users nicht verfügbar, verfügbar, verfügbar mit zusätzlicher Option / Lizenz * Nur offline Verschlüsselung 21

22 Security Features und Optionen (2) Funktion oder Option XE 11g XE 18c SE 2 EE Fine-grained auditing Privilege Analysis Real Application Security Data Redaction (ASO) Transparent Sensitive Data Protection Virtual Private Database Keystore for Each Pluggable Database * nicht verfügbar, verfügbar, verfügbar mit zusätzlicher Option / Lizenz * nur Engineered Systems 22

23 Spezielle Features Netzwerkverschlüsselung native oder mit SSL Verfügbar in allen lizenzierten und unterstützen Oracle Versionen Funktioniert obwohl XE ja eigentlich nicht direkt Lizenziert ist SID OS_USER AUTH_TYPE NET_BANNER oracle DATABASE TCP/IP NT Protocol Adapter for Linux: Version Production 273 oracle DATABASE Encryption service for Linux: Version Production 273 oracle DATABASE AES256 Encryption service adapter for Linux: Version Production 273 oracle DATABASE Crypto-checksumming service for Linux: Version Production Starke Authentifizierung mit Kerberos oder RADIUS Verfügbar in allen lizenzierten und unterstützen Oracle Versionen Kerberos funktioniert. Sind aber nicht aller Libraries vorhanden z.b. adapters [oracle@xe bin]$ adapters No ntcontab.o! Goodbye... 23

24 Oracle XE Security Beispiele 24

25 Integration von MS Active Directory Neues Security Feature von Oracle Database Relase 18c Centrally Managed User CMU benötigt kein zusätzliches Oracle Verzeichnis ermöglicht die Verwaltung der Benutzer im direkt im MS Active Directory benötig keine zusätzliche Lizenz aber wird nur von Oracle Enterprise oder Express Edition unterstützt J wird nicht in Oracle Standard Edition unterstützt L Unterstützt gängige Authentifizierungsmethoden Password-, Kerberos- und PKI / SSL Authentifizierung Erfordert einen Passwortfilter und eine AD-Schema-Erweiterung für die Password Authentifizierung Erfordert ein AD-Service Account Perfekt für kleine und mittlere Unternehmen 25

26 Integration mit CMU 26

27 Centrally Managed User mit MS AD AD Benutzern, die über gemeinsames Schema auf die DB zugreifen Alle Benutzer verwenden das gleiche DB Schema Exklusive Zuordnung von AD Benutzern zu einem privaten Schema Benutzer hat eigenes DB Schema mit direkten Berechtigungen Benutzer kann eigene Datenbankobjekte erstellen und verwalten Zuweisen einer AD Gruppe zu einer globalen Rolle Vergabe zusätzlicher Rechte aufgrund der AD-Gruppenmitgliedschaft Administrative globale Benutzer mit Administratorrechten SYSDBA, SYSOPER, SYSDG, SYSKM oder SYSRAC Kann nicht über globale Rollen gewährt werden Kombination von CMU, Net Name Services und Directory Services ist möglich 27

28 Encrypting Sensitive Credential Data (1) Data Dictionary enthält sensible Anmeldeinformationen, z.b. Benutzername und Passwort in SYS.LINK$ SYS.SCHEDULER$_CREDENTIAL Standardmässig sind diese Informationen nur verschleiert Man findet diverse Methoden die Informationen trotzem zu bekommen Daten werden manuell ALTER DATABASE DICTIONARY verschlüsselt Für die Verschlüsselung ist eine TDE-Wallet erforderlich. Oracle Advanced Security Option ist nicht nötig, um das Data Data Dictionary zu verschlüsseln Muss als SYSKM durchgeführt werden, da SYSDBA zu wenig Rechte hat J 28

29 Encrypting Sensitive Credential Data (2) Status der Data Dictionary Verschlüsselung SQL> SELECT * FROM dictionary_credentials_encrypt; ENFORCEM DISABLED Einschalten der Data Dictionary Verschlüsselung als SYSKM SQL> conn / as syskm Connected. SQL> ALTER DATABASE DICTIONARY ENCRYPT CREDENTIALS; Database dictionary altered. 29

30 Transparent Data Encryption TDE Tablespace live / online Konvertierung f Verschlüsseln, Entschlüsseln oder Rekey bestehender Tablespaces Keine Datenreorganisation für TDE erforderlich Die TDE-Migration läuft im Hintergrund... es ist nicht "kostenlos" Möglichkeit Tablespaces zu entschlüsseln Komplette Verschlüsselung einer Datenbank inklusive internen Tablespaces SYSTEM, SYSAUX und UNDO TDE Tablespace offline Konvertierung für die Parallelisierung, etc.. DataGuard zuerst physical Standby verschlüsseln anschliessend switchover Oder sequenzielles Verschlüssen der Tablespaces DOAG Datenbank Oracle XE Security

31 Offline Verschlüsselung von Tablespaces Tablespace offline nehmen ALTER TABLESPACE users OFFLINE NORMAL; Einschalten der Verschlüsselung fürdas Tablespace USERS Angaben des Tablespace Name oder Datafile Name Bei offline Verschlüsslung wird nur der Default Algorithmus unterstützt Alternative Algorithmen sind nur bei online Verschlüsselung möglich ALTER TABLESPACE users ENCRYPTION OFFLINE ENCRYPT; ALTER DATABASE DATAFILE '/u01/oradata/tdb180s/users01tdb180s.dbf' ENCRYPT; Bring the tablespace online ALTER TABLESPACE users ONLINE; 31

32 Fehlende Security Features 32

33 Was fehlt eigentlich nichts, oder? Oracle Database Express Edition bietet fast alle Enterprise Security Features 33

34 Was fehlt 34

35 Was fehlt Generell stehen für Oracle Express Edition keine Patch s zur Verfügung Gilt auch für die vierteljährlichen Critical Patch Updates Oracle Express Edition bleibt in der Version zum Release Zeitpunkt. Aktuell Wobei OPatch sagt Zum Teil kritische Sicherheitslücken können nicht behoben werden Für Sicherheitskritische Anwendungen ist dies ein NoGo 35

36 Alternativen Patch Management Regelmässig Oracle XE aktualisieren Oracle XE sollte mit jedem Release Zyklus aktualisiert werden d.h. 19c, 20c Schutz der Datenbank von aussen Nutzen von Database Activity Monitoring und Database Firewall Tools Oracle Audit Vault and Database Firewall Imperva SecureSphare McAffee Database Activity Monitoring Tools bieten life patching und Vulnerability fixes Verhältnismässigkeit? Wenn im Unternehmen vorhanden 36

37 Was noch? Oracle Enterprise User Security und LDAP Integration Feature: Zentralle Verwaltung von Datenbank Benutzer via Oracle oder third Party Verzeichnisdienst Nutzen von Enterprise Rollen Nutzung der zentralen Namensauflösung von Datenbank Namen Alternative / Workaround: Centrally Managed Users CMU mit direkter Active Directory Integration Manuelle Verwaltung der Datenbank Namensauflösung mit Oracle Internet Directory oder OpenLDAP 37

38 Was noch? Keystore pro Pluggable Database Feature: Individuelle Keystore für jede PDB für SSL, TDE etc. Alternative / Workaround: Keinen aktuell primär ein Cloud Feature Oracle Datamasking und Subsetting Feature: Maskieren / Anonymisieren von Test Daten basierend auf Regeln und Policies Reduktion der Testdaten basieren auf Regeln Alternative / Workaround: Eigenes Skriptframework erarbeiten oder nutzen von div Produkte von Dritt Anbieter Applikationsfeature nutzen z.b. Avaloq 38

39 Support und Lizenzierung 39

40 Support und Lizenzierung Oracle Database Express Edition XE ist frei für alle d.h. keine Lizenzierung Oracle bietet keinen Support für Oracle XE via My Oracle Support Support ausschliessliche via Community Oracle Database XE Community Support Forum Es gibt keine Patch s für Oracle Database Express Edition XE Neue Releases sollten analog dem neuen Release Prozess veröffentlich werden => jährlich neuer XE Release 40

41 Issue gefunden was nun? Austausch in der Community Oracle Database XE Community Support Forum Sicherheitslücken und Schwachstellen können auch ohne Support Vertrag Oracle Direkt gemeldet werden Oracle nutz dazu folgende Kontakt Adresse Damit Oracle das Issue weiterverfolgt, werden diverse Informationen benötigt Eine vollständige Beschreibung des Problems Die Version der Oracle Datenbank XE Die Plattform, auf der die Oracle-Datenbank XE ausgeführt wurde Alle Skripte oder Beispiele, die bei der Aufdeckung des Sicherheitsproblems hilfreich sein können Adresse konnte auch bereits früher für das melden von Security Issues genutzt werden. 41

42 Anwendungsfälle 42

43 Oracle XE in Docker Lizenzierung von Oracle Datenbanken in Docker in der Regel kostspielig Limitierung der CPU Optionen etc. Oracle Datenbanken in Docker sind üblicherweise klein Pro Container eine Oracle XE Mehre Oracle XE Container auf einem Host Oracle bietet entsprechende Beispiel Build Skripte für Oracle und Docker in GitHub 43

44 Oracle Test und Training DB Test und Engineering Umgebung für komplexe Security Use Cases Engineering von Oracle Database Vault Funktionalität unabhängig ob EE oder XE Realm und Policy Engineering Prüfen der Anwendungen Generelle Schulung von Datenbank Security VPD TSDP Audit CMU etc 44

45 Embedded Oracle Datenbanken Kleiner Anwendungen basierend auf Oracle Gleicher Code, Queries etc wie auf der Grossen Small Size basierend auf Oracle Express Edition Skale up für Produktion im Enterprise Umfeld auf Oracle EE Packetierte Oracle Anwendungen Anwendung mit mbeded Oracle Datenbank 45

46 Fazit 46

47 Fazit Oracle Database Express Edition XE bietet mit wenigen Ausnahmen alle Security Features, welche man aus dem Enterprise Umfeld kennt Ideale Spiel und Trainingsumgebung mit entsprechenden Features / Optionen Oracle XE ist eine interessante Alternative, um Oracle Datenbanken in Docker zu betreiben Fehlende Updates und Security Patch stellen aus Sicht Datenbank Sicherheit grundsätzlich ein Problem Doch wird jede Oracle Enterprise Edition 4mal jährlich gepatched? 47

48 Fragen und Anworten Stefan Oehrli Solution Manager / Trivadis Partner Tel.: BASEL BERN BRUGG BUKAREST DÜSSELDORF FRANKFURT A.M. FREIBURG I.BR. GENF HAMBURG KOPENHAGEN LAUSANNE MANNHEIM MÜNCHEN STUTTGART WIEN ZÜRICH

49