Praxisbericht: Database Vault in der Personalabteilung. Volker Mach, Senior Systemberater, MT AG

Transkript

1 Praxisbericht: Database Vault in der Personalabteilung Volker Mach, Senior Systemberater, MT AG

2 MT AG managing technology Key-facts: 1994: Gründung als MT Software GmbH 2000: Umwandlung zur MT AG, Aktienkapital: 1,5 Mio. Anteile: In der Hand von Management und Aufsichtsrat Zurzeit: ca. 145 Festangestellte ca. 60 freie Mitarbeiter Die Die MT MT AG AG ist ist langjähriger IT-Beratungspartner von von Großunternehmen und und Mittelstand. Sie Sie steht steht für für Technologie-Know-how und und praxisnahe, effiziente IT-Dienstleistung: von von Strategie Strategie und und Beratung Beratung über über Entwicklung und und Integration Integration bis bis hin hin zu zu Wartung Wartung und und Administration von von IT-Infrastrukturen.

3 Übersicht Anfrage der Personalabteilung Anforderungen der Personalabteilungen Auszug internationale Bestimmungen Was ist Database Vault? Was kommt mit der Installation von Database Vault? Wie wird Database Vault verwaltet? Wie erstelle ich Realms und Rule Sets? Wie kann man die Sicherheit noch erhöhen? Erfahrungen während der Implementation Fragen und Antworten Database Vault in der Personalabteilung 3

4 Anfrage der Personalabteilung Dialog Personalabteilung Systemadministration PA: Könnt ihr die Personaldaten lesen oder ändern? SA: Theoretisch: JA PA: Gibt es Möglichkeiten, dies zu unterbinden? SA: Oracle Database Vault PA: Was kann Oracle Database Vault und ist das nun sicher? Database Vault in der Personalabteilung 4

5 Anforderungen der Personalabteilungen Gesetzliche Anforderungen EU Privacy Directives BSI Basel II PCIDSS J-SOX (Asien) Firmeninterne Anforderungen Sicherheitsbestimmungen Datenschutz Schutz vor Industriespionage Database Vault in der Personalabteilung 5

6 Internationale gesetzliche Bestimmungen Database Vault in der Personalabteilung 6

7 Was ist Database Vault? Database Vault ist eine Datenbank Option, die Sie einsetzen können um: Datenzugriff durch den DBA zu vermeiden Strukturänderungen zu verhindern Kontrollen zur Umsetzung des Zugangs durch dynamische und flexible Sicherheit gesetzliche Bestimmungen einzuhalten interne Kontrollen durchzuführen Database Vault in der Personalabteilung 7

8 Mindestanforderung für Database Vault Oracle Database 9i ( ) Enterprise Edition Solaris Operating System (SPARC) (32-bit) Solaris Operating System (SPARC) (64-bit) Linux x86-64 AIX 5L Based Systems (64-Bit) HP-UX PA-RISC (64-Bit) Oracle Database 10g Release 2 ( ) Enterprise Edition Windows (32-bit) Linux x86 Linux Itanium Linux x86-64 Solaris Operating System (SPARC) (64-bit) Windows Itanium Windows (x64) Für 11g noch nicht zertifiziert Lizenzierung: Named-User: 296,00 /zzgl. MwSt CPU Lizenz: ,00 /zzgl. MwSt HP-UX PA-RISC (64-Bit) AIX 5L Based Systems (64-Bit) HP-UX Itanium Database Vault in der Personalabteilung 8

9 Was kommt mit der Installation von Database Vault? Folgende Realms (Bereiche) werden bei der Installation schon erzeugt Oracle Database Vault - DV Schemas : DVSYS, DVF und LBACSYS Database Vault Account Management - Usermanagement und Erstellung von Profilen Oracle Data Dictionary - SYSMAN, SYSTEM,SYS,MDSYS usw. Neue Rollen DV_OWNER DV Owner Role DV_ADMIN DV Konfigurations Manager DV_SECANALYST DV Security Analyst DV_ACCTMGR DV Account Manager Database Vault in der Personalabteilung 9

10 Wie wird Database Vault verwaltet? Database Vault in der Personalabteilung 10

11 Übersicht Database Vault in der Personalabteilung 11

12 Erstellen eines Realms Database Vault in der Personalabteilung 12

13 Erstellen eines Realms Database Vault in der Personalabteilung 13

14 Erstellen eines Realms (2) Database Vault in der Personalabteilung 14

15 Erstellen eines Realms (3) Database Vault in der Personalabteilung 15

16 Erstellen eines Realms (4) Database Vault in der Personalabteilung 16

17 Erstellen eines Realms (5) Database Vault in der Personalabteilung 17

18 Audit des Realms Database Vault in der Personalabteilung 18

19 Audit des Realms (2) Database Vault in der Personalabteilung 19

20 Audit des Realms (3) Database Vault in der Personalabteilung 20

21 Erstellen eines Rule Sets Database Vault in der Personalabteilung 21

22 Erstellen eines Rule Sets (2) Database Vault in der Personalabteilung 22

23 Erstellen eines Rule Sets (3) Database Vault in der Personalabteilung 23

24 Erstellen eines Rule Sets (4) Database Vault in der Personalabteilung 24

25 Erstellen eines Rule Sets (5) Database Vault in der Personalabteilung 25

26 Erstellen eines Rule Sets (6) Database Vault in der Personalabteilung 26

27 Erstellen eines Rule Sets (7) Database Vault in der Personalabteilung 27

28 Erstellen eines Rule Sets (8) Database Vault in der Personalabteilung 28

29 Einer Command Rule ein Rule Set zuweisen Database Vault in der Personalabteilung 29

30 Einer Command Rule ein Rule Set zuweisen (2) Database Vault in der Personalabteilung 30

31 Einer Command Rule ein Rule Set zuweisen (3) Database Vault in der Personalabteilung 31

32 Command Rule Audit Database Vault in der Personalabteilung 32

33 Wie kann man die Sicherheit zusätzlich erhöhen? Einsatz von Transparent Data Encryption um auch den Zugriff durch Verschlüsselung auf die Datendateien zu erschweren Nutzen von Oracle Label Security Oracle Label Security ist eine Virtual Private Database-(VPD)Anwendung Oracle Label Security bietet out-of-the-box VPD Funktionalität Programmierung ist nicht notwendig Oracle Policy Manager (GUI) zur Administration von Labels und Authorisierung Database Vault in der Personalabteilung 33

34 Die erste Hürde $. Oraenv ORACLE_SID=dbva sqlplus / as sysdba SQL*Plus: Release Production on Mon 23 14:31: Copyright 1982, 2006, Oracle. All Rights Reserved. Error: ORA-01031: insufficient privileges Enter username: Ich kann mich nicht mehr als SYSDBA anmelden!! Starten und Stoppen der Datenbank nur als SYSOPER Database Vault in der Personalabteilung 34

35 Erfahrungen während der Implementierungsphase Scheitert ein SELECT auf einen geschützten Bereich durch SYS? Bei den Testumstellungen wurde festgestellt, dass Database Vault nicht auf Objekte wirkt, deren Namen in Hochkommata stehen, d.h. wurde eine Tabelle mit dem Befehl CREATE TABLE SALARIES in dem per Realm geschützten Bereich erstellt, so lieferte ein SELECT auf die Tabelle als SYS einen Fehler. Wurde die Tabelle dagegen per CREATE TABLE SALARIES erstellt, so war ein SELECT als SYS erfolgreich. Im konkreten Fall wurden als Workaround die Hochkommata aus den Create- Skripten herausgenommen. Dies wurde mit dem CPU 2007 Oktober behoben - Metalink Note: Database Vault in der Personalabteilung 35

36 Backup der Datenbank mit RMAN Was ändert sich mit Database Vault? Login als SYSDBA nötig - lt. White Paper sollte man 2 Passwordfiles anlegen $orapw file=orapw<sid>.sysdba_closed password=<enter sys password here> nosysdba=y $orapw file=orapw<sid>.sysdba_open password=<enter sys password here> nosysdba=n $cp p orapw<sid>.sysdba_open orapw<sid> Das switchen des Passwordfiles sollte nach jedem Backup erfolgen! Oracle empfiehlt, das Backup über den bekannten Enterprise Manager vorzunehmen oder die Dateiberechtigungen der eigenen Backup Scripte zu verschärfen: z.b. $chmod 700 rman_scripts Database Vault in der Personalabteilung 36

37 Probleme beim Erstellen von Trigger Minimale Änderungen am Trigger-Quellcode verursachen beim Kompilieren mögliche Fehler Bekannter Bug : Unpublished bug which is still worked on by Development. ORA-47999: compiling a trigger after Database Vault installation Database Vault in der Personalabteilung 37

38 Workaround für Trigger Note Den Schemanamen als Präfix vor den Tabellennamen setzen z.b. AFTER INSERT OR UPDATE OF update_date ON schema_name.tbs_status Eine andere, etwas unkonventionelle Methode wäre, sich als DV_OWNER anzumelden und folgenden Trigger zu disablen alter trigger dvsys.dv_before_ddl_trg disable Nun kann man den Trigger in gewohnter Art und Weise erstellen Database Vault in der Personalabteilung 38

39 Fazit Database Vault hilft durch eine einfache administrative Oberfläche bei der Umsetzung der internen und externen Sicherheitsbestimmungen Database Vault zeigt durch sein Reportwesen die Sicherheitslücken in der Datenbank auf Kann als Sicherungsnachweis gegen Datenspionage wirken Database Vault bietet dem DBA Selbstschutz, da ein Zugriff auf Anwendungsdaten durch Database Vault technologisch ausgeschlossen wird Database Vault ist das einzige Tool, das diese Anforderungen für Oracle Datenbanken erfüllt Getrennte Sicherheit von Betriebssystem und Datenbank notwendig Zusätzlicher administrativer Aufwand für Database Vault Database Vault in der Personalabteilung 39

40 Fragen und Antworten Volker Mach, Senior Systemberater MT AG Balcke-Dürr-Allee Ratingen Tel Fax volker.mach@mt-ag.com

41 Vielen Dank für Ihre Aufmerksamkeit! Volker Mach, Senior Systemberater MT AG Balcke-Dürr-Allee Ratingen Tel Fax volker.mach@mt-ag.com

42 Vorträge der MT AG DOAG 2007 Wann Thema Referent MT AG Di., ETL Monitoring & Tuning durch Auswertung der OWB Laufzeit- Metadaten Lutz Bauer Di., Erfahrungsbericht Einführung ARIS beim Kaufhof Hildgund von Alten- Krämer Mi., :00 11:45h Mi., :00 12:45h Do., :00 11:45h Do., :00 12:45h Oracle Warehouse Builder: Automatisierung von Designschritten bei der Bayer HealthCare AG So profitieren Unternehmen von Oracle Web-Center Suite: Wie sich Web 2.0-Features bewähren Praxisbericht: Database Vault in der Personalabteilung Beschleunigte Oracle-ADF-Entwicklung von Rich Client-Anwendungen im Bankenwesen Lutz Bauer Niels de Bruijn Detlef Müller/Oracle Volker Mach Tobias Otto Do., :00 13:45h Do., :00 14:45h Standby Risikominimierung bei der Migration von Datenbank und Application Server nach 10gR2 Best Practices: Entwicklung komplexer APEX-Applikationen Best Practices im Business-Reporting: So kombiniert man Hyperion Intelligence mit dem OWB Dr. Peter Alteheld Niels de Bruijn, Anja Wiegele Jens Wiesner Database Vault in der Personalabteilung 42