Sichere Oracle-Datenbanken

Transkript

1 Sichere Oracle-Datenbanken In der Cloud... Stefan BASEL BERN BRUGG DÜSSELDORF FRANKFURT A.M. FREIBURG I.BR. GENF HAMBURG KOPENHAGEN LAUSANNE MÜNCHEN STUTTGART WIEN ZÜRICH

2 Unser Unternehmen. Trivadis ist führend bei der IT-Beratung, der Systemintegration, dem Solution Engineering und der Erbringung von IT-Services mit Fokussierung auf - und -Technologien in der Schweiz, Deutschland, Österreich und Dänemark. Trivadis erbringt ihre Leistungen aus den strategischen Geschäftsfeldern: B E T R I E B Trivadis Services übernimmt den korrespondierenden Betrieb Ihrer IT Systeme

3 Mit über 600 IT- und Fachexperten bei Ihnen vor Ort. KOPENHAGEN HAMBURG 14 Trivadis Niederlassungen mit über 600 Mitarbeitenden. Über 200 Service Level Agreements. Mehr als 4'000 Trainingsteilnehmer. DÜSSELDORF Forschungs- und Entwicklungsbudget: CHF 5.0 Mio. / EUR 4.0 Mio. FRANKFURT Finanziell unabhängig und nachhaltig profitabel. GENF BASEL BERN LAUSANNE FREIBURG BRUGG ZÜRICH STUTTGART MÜNCHEN WIEN Erfahrung aus mehr als 1'900 Projekten pro Jahr bei über 800 Kunden

4 Technik allein bringt Sie nicht weiter. Man muss wissen, wie man sie richtig nutzt

5 Stefan Oehrli Solution Manager BDS SEC Seit 1997 IT-Bereich tätig Seit 2008 bei der Trivadis AG Seit 2010 Disziplin Manager SEC INFR Seit 2014 Solution Manager BDS Security IT Erfahrung DB Administration und DB Security Lösungen Administration komplexer, heterogenen Umgebungen Datenbank Teamleiter Spezialgebiet Datenbank Sicherheit Security und Betrieb Security Konzepte Security Reviews Oracle Backup & Recovery Skills Backup & Recovery Oracle Advanced Security Oracle AVDF und DB Vault Oracle Directory Services Team / Projekt Management

6 Agenda 1. Einleitung 2. Identity und Access Management 3. Verschlüsselung und Key Management 4. Anonymisierung und Subsetting 5. Datenbank Audit und Security Monitoring 6. Maximum Data Security Architecture 7. Alternativen 8. Trivadis Lösungen 9. Fazit

7 Einleitung

8 Warum IT-Sicherheit? Schutz des Unternehmens und dessen Business Finanzieller Schaden Image Verlust Wettbewerbsfähigkeit Strafrechtliche Folgen Existenzbedrohung Schutz der Mitarbeiter, Kunden und anderen Personen Privatsphäre Erwerbstätigkeit Verfolgung Strafrechtliche Folgen

9 Spezialfall Cloud Systeme sind nicht im Haus Wie war das mit Outsourcing? Wem Vertraue ich mehr... meinen Mitarbeiter? meinem Service Provider? meinem Cloud Provider? Die Cloud verändert die Angriffsfläche Security zwingend Teil des Konzeptes Nachrichtendienste, Spionage, Hacker

10 Angriffsvektoren Web / Applikation / DB Server Schwachstellen Authentifizierung Autorisierung Interne / Externe Clients Infiziert (Malware) Eingenommen (Hacked / Botnet) Netzwerk / Server / Storage / Cloud Abhören Modifizieren Mitarbeiter Spionage Unwissenheit

11 Übersicht der Top 10 Gefahren 1. Exzessive und nicht benötigte Userberechtigungen 2. Missbrauch von Rechten 3. Input Injection / SQL Injection 4. Malware 5. Schwaches Audit 6. Offenlegung / Zugang zum Speichermedium 7. Schwachstellen und Fehlkonfiguration 8. Nicht überwachte sensitive Daten 9. Denial of Service 10. Unzureichendes Sicherheitsfachwissen / Schulung

12 Risikoanalyse und Klassifizierung Gefahren und Risiken für ein bestimmtes Umfeld müssen Bekannt sein Besitzer der Daten bzw. der Applikation muss die Sensitivität seiner Daten definieren......uns somit die Konsequenzen für deren Schutz Das ist nicht immer ganz einfach, da jeder davon ausgeht, seine Daten sind die wichtigsten, kritischsten,... Korrekte und angepasste Risikoanalyse?

13 Risikoanalyse und Klassifizierung Einteilung der Daten(-banken) in Sicherheitsklassen Öffentlich Daten sind z.b. im Internet sichtbar dürfen dort aber sicherlich nicht manipuliert werden Intern Daten dürfen von allen Mitarbeitern gesehen werden Vertraulich Daten dürfen nur von einem definierten Kreis von Mitarbeitern gesehen werden Geheim Wenn diese Daten verloren gehen, ist die Existenz der Firma gefährdet

14 Identity und Access Management

15 Basis Schutz und Authentifizierung Basis Schutz der Datenbank Authentifizierung, Kerberos, SSL Autorisierung, Rollen Konzepte Auditing, Basis Überwachung Datenbank Härtung Infrastruktur Komponenten komplett in der Cloud Active Directory, Unified Directory Integration mit Cloud Services Integration mit On-Premise Services

16 Autorisierung Rollen und Privilegien Konzept Rollentrennung, Benutzer, Operator, Administratoren Cloud Admin hat grundsätzlich Zugriff Via Oracle User auch auf verschlüsselte Daten Lösungsansätze Daten bereits in der Applikation oder in einer Security Appliance verschlüsseln Einsatz von Oracle Database Vault

17 Trennung der Verantwortlichkeiten Direkte / Transparente Trennung mit Database Vault Option und Teil der Oracle Binaries Beeinflusst den effektiven Zugriff auf die Daten im Oracle Kernel Umfangreiche Konfiguration Im Prinzip Transparent

18 Oracle Identity Cloud Services Identity und Access Management in der Cloud Single Sign On Integration mit On-Premise AD/OAM Identity Federation Service uva Zur Zeit noch keine Cloud basierten Directory Services für Datenbanken Aufbau eines eigenen Directory Service OUD mit Replikation zu On-Premise

19 Verschlüsselung und Key Management

20 Transport Verschlüsselung Netzwerk oder Transport Verschlüsselung als state of the Art Verbindung On-Premise Cloud via VPN Zugriff auf Cloud Serives Geschütz durch Firewall SSH Tunneling für Administrationsarbeiten SQL Net Verschlüsselung für DB Zugriff Admin, User Applikation Native Oracle Network Encryption Secure Socket Layers SSL Bedingt Zertifikat Verwaltung Benutzer Netzwerk Datenbank

21 Verschlüsselung Transparent Data Encryption mit Bordmittel Oracle Advanced Security Aus File / Tablespace Ebene oder auf Spalten Ebene Möglich Zwingend Verwendung dediziertes Hardware Security Module (HSM) sichere Aufbewahrung der Zertifikaten und Wallets SafeNet Luna Oracle Key Vault ncipher

22 TDE New Features TDE Tablespace live Umwandlung Verschlüsseln, Entschlüsseln oder Rekey eines existierenden Tablespaces Keine Data Reorganisation nötig um TDE auszurollen TDE Migration läuft im Hintergrund Ok es ist nicht gratis Entschlüsseln eines Tablespaces Verschlüsseln der ganzen Datenbank inklusive internen Tablespaces SYSTEM, SYSAUX und UNDO TDE Tablespace Offline Umwandlung zum Parallelisieren, Optimieren, etc.. DataGuard Verschlüsseln der Standby und anschliessend Switchover Oder schrittweise verschlüsseln einzelner Tablespace

23 Confidentiality of data TDE Neuer Initialisierungsparameter ENCRYPT_NEW_TABLESPACES Neue Tablespaces werden mit AES128 (nicht konfigurierbar) Entspricht Oracle s Cloud Databases are always encrypted TDE Encryption Wallet muss konfiguriert und offen sein Mögliche Werte: CLOUD_ONLY Nur Tablespaces in der Cloud sind verschlüsselt ALWAYS Alle neuen Tablespaces sind verschlüsselt DDL Verschlüsselung nur durch DDL Statement

24 ENCRYPT_NEW_TABLESPACES Automatische Verschlüsselung von Cloud Tablespaces Das Oracle DBaaS Cloud Tooling erstellt einen Masterkey und legt diesen Key im Wallet ab Für Standard Edition oder Enterprise Edition ~]$ sqlplus / as sysdba SQL*Plus: Release Production on Tue Sep 13 21:38: Copyright (c) 1982, 2014, Oracle. All rights reserved. Connected to: Oracle Database 12c Standard Edition Release bit Production SQL> show parameter encrypt NAME TYPE VALUE encrypt_new_tablespaces string CLOUD_ONLY

25 Keystore Es wird ein Local auto-login Software Keystore angelegt Die Verwaltung wird mit dem Oracle Cloud Tool dbaascli gemacht DBAAS>tde rotate masterkey Executing command tde rotate masterkey Enter keystore password: Successfully rotated TDE masterkey Problem Wenn das Wallet in der Cloud bleibt ist die Verschlüsselung Obsolete Lösung Hardware Security Module on Premise

26 Key Management

27 Backup Execution

28 Key Management Schlüssel Zwingend On-Premise Oracle Key Vault ist das HSM Produkt von Oracle Ablage von Wallets, Keystores, Zertifikaten und JavaKeystores Software Appliance

29 Anonymisierung und Subsetting

30 Anonymisierung und Subsetting Trotz geeigneter Sicherheitsmassnahmen (Härtung, Verschlüsselung, Autorisierung und Authentifizierung) können nicht alle Daten 1:1 in die Cloud Mögliche Lösung: Anonymisieren der Daten Ablage von Test und Entwicklungsdatenbanken in der Cloud Vorteile von Cloud Services Optimal Nutzen ohne Sicherheitseinschränkungen Oracle Data Masking und Subsetting Daten werden anonymisiert Keine speziellen Zugriffsrechte benötigt Ursprüngliche Daten können nicht rekonstruiert werden Reduzieren der Test Daten möglich

31 Oracle Data Masking und Subsetting Verbreitung von sensitiven Daten

32 Data Masking Ziele und Herausforderungen Ziele Sensitive Daten werden durch fiktive Daten vor der Verbreitung ersetzt Herausfiltern relevanter Daten. (Brauche ich die ganze DB???) Streichen nicht relevanter Daten Einhalten von Compliance Richtlinien Herausforderungen Finden von sensitiven Daten Erhalten der Datenintegrität. (Fremdschlüssel usw.) Vorteile Einhaltung rechtlicher Vorschriften und Schutz der vertraulichen Daten Zentrale Definition von Formatmasken, Datenreduktion, Separation of duties

33 Data Masking Application Data Modeling Enterprise -> Quality Management -> Application Data Modeling

34 Datenbank Audit und Security Monitoring

35 Datenbank Audit und Database Firewall Zentrales Sammeln der Audit Informationen in AVDF On-Premise Installation des Audit Agents in der Cloud SQL Traffic von/in die Cloud über Database Firwall Überwachen Block / Substitute von Kritischen Statements

36 Enterprise Manager Cloud Control Oracle Database Service Virtual Images können mit einem Hybrid Cloud Agent an die lokale Oracle Enterprise Manager 12c / 13c Installation angebunden werden Unterstützte Funktionen Automatisches Deployment von Agents DBaaS und Java PaaS Monitoring Incident Management Configuration Management Cloning On-Premise / Oracle Cloud

37 Anbindung Cloud / On-Premise Datacenter Die Kommunikation erfolgt via SSH / SSH-Tunnel Ein EMCTL Dispatcher leitet die On-Premise Kommunikation an den Hybrid Cloud Agent weiter Der gleiche EMCTL Dispatcher nimmt Anfragen vom Hybrid Cloud Agent entgegen und leitet diese an das On-Premise System weiter Dazu wird ein Hybrid Cloud Gateway Proxy konfiguriert Mindestanforderung: EM12cR5 der EM13cR

38 Kommunikationsweg Hybrid Cloud Agent Hybrid Cloud Gateway (On-Premise Agent) Hybrid Cloud Agent Enterprise Manager OMS Hybrid Cloud Agent Hybrid Cloud Gateway (On-Premise Agent)

39 Maximum Data Security Architecture

40 Maximum Data Security Architecture (MDSA)

41 Alternativen

42 Alternativen Daten Anonymisiert in der Cloud Oracle Data Masking und Subsetting oder Drittanbieter Nur für Test- und Entwicklungsdaten Verschlüsselung innerhalb der Applikation Datenbank kenn die effektiven Daten nicht Einschränkungen im DB Model (-) und Key Management (-) Trennung der Verantwortlichkeiten (+) Verschlüsselung mit einer Security Appliance Datenbank kenn die effektiven Daten nicht

43 Trivadis Lösungen

44 Cloud Readiness Assessment Umfassende Analyse Ihrer Oracle Infrastruktur im Hinblick auf eine Cloud basierte Infrastruktur Transparenz bezüglich Kosten und Nutzen Fundierte Beurteilung der Machbarkeit und der Risiken Praktische Roadmap für Ihr CloudTransformations-Vorhaben Schnelle und risikolose Cloud-Adaption

45 Cloud Backup Optimization Cloud Readiness Assessment... Cloud-optimiertes Datenbank-Backup Standort-redundantes Backup in der Cloud Datenverlust-Risiko reduziert Zuverlässig, skalier fähig, kosteneffizient... Cloud-basierte Restore/Recover Test-Datenbank Ready-on-Demand Restore/Recover-Testumgebung in der Cloud Sicherheitsgewinn durch zuverlässige Backup-Validierung Einfach, schnell und kosteneffizient Cloud-optimierte... Disaster Recovery-Datenbank Cold-, Hot-, oder Active-Standby-Datenbank in der Cloud Alternative für physische Disaster-Site Zuverlässig, flexibel und kosteneffizient

46 Cloud Governance Assessment Grundlage für die Nutzung und Integration von Cloud Services Belastbare Grundlage Konkrete Massnahmen zur Umsetzung Identifikation der notwendigen Rollen & Skills Verbindliche Policy im Umgang mit Cloud Services und Cloud Providern

47 Fazit Cloud Umgebungen stellen bekannte aber auch neue Herausforderungen an die Datenbank Sicherheit Sicherheit ist ganzheitlich an vielen Stellen zu betrachten Es braucht ein einheitliches Sicherheitskonzept Trivadis unterstützt Sie gern

48 DOAG 2016 Stand: 3ter Stock direkt an der Rolltreppe Know how, T-Shirts, Gewinnspiel und Trivadis Power to go Wir freuen uns wenn Sie vorbei schauen Weil Sie mit Trivadis immer gewinnen!

49 Stefan Oehrli Solution Manager / Trivadis Partner Tel.: stefan.oehrli@trivadis.com BASEL BERN BRUGG DÜSSELDORF FRANKFURT A.M. FREIBURG I.BR. GENF HAMBURG KOPENHAGEN LAUSANNE MÜNCHEN STUTTGART WIEN ZÜRICH