Inhaltsverzeichnis. Oracle Security in der Praxis

Transkript

1 Inhaltsverzeichnis zu Oracle Security in der Praxis von Carsten Mützlitz ISBN (Buch): ISBN (E-Book): Weitere Informationen und Bestellungen unter sowie im Buchhandel Carl Hanser Verlag München

2 Inhalt 1 Vorbemerkung Einführung Grundlagen zur IT-Sicherheit bei Datenbanken Die vier Grundbedrohungen Bedrohungs- und Risikoanalyse Ausflug in den Gesetzesdschungel Gesetzliche Anforderung an das Vorhandensein eines Sicherheitskonzepts Haftung von IT-Mitarbeitern Bundesdatenschutzgesetz Gesetz zur Bekämpfung der Wirtschaftskriminalität Sicherheitszonen einer Oracle-Datenbank Lösungen für eine höhere DB-Sicherheit (Best Practices) Passwortmanagement Kurzer Ausflug: Kerberos und Enterprise User Security Feature-Umfang neue und nicht mehr vorhandene Features Mindestsicherheit implementieren (Härtung) Rollenmanagement Sicheres Datenbank-Link-Konzept Schutz von Anwendungen Datenschutz implementieren Ressourcenmanagement Zwecktrennung in der Datenbank Protokollierung Prozesse zum Erhalt des guten Sicherheitszustands Health Checks Einführung in das Patching

3 VI Inhalt 4.14 Neuerungen in der Oracle-Datenbank 12c Benutzer- und Passwortmanagement Rollenmanagement und Zugriffskontrolle Neues oder altes Audit-Konzept (Unified Auditing) SoD in Datenbank (SYSBACKUP, SYSDG, SYSKM, SYS) Privileganalyse ( Least Privilege -Konzept) Transparent Sensitive Data Protection (TSDP) Data Redaction Real Application Security Neuerung bestehender Security-Features Interessante Konzepte Nicht mehr unterstützte Features der 12c-Datenbank Sicherheit einer Oracle-Datenbank prüfen Datenbankkonfiguration Abfrage 1001: erste Datenbankinformationen Abfrage : Datenbankinformationen zu 12c (Container) Abfrage 1002: Datenbankversion Abfrage 1003: genutzte Datenbankoptionen Abfrage : benutzte Optionen und Funktionen der Datenbank Abfrage : Enterprise Manager Informationen Abfrage 1006: Advanced Security Option (ASO) im Einsatz Abfrage 1007: Security-Parameter in init.ora Abfrage : Show Hidden init.ora-parameter Abfrage 1008: UTL_FILE_DIR und DIRECTORIES Abfrage 1009: OPEN_LINK und Anzahl der Datenbank-Links Abfrage 1010: SQL-Tuning Abfrage 1011: Status der Controlfiles Abfrage 1012: Redo Logs Abfrage 1013: Archive Logs Abfrage 1014: Tablespace-Informationen Abfrage 1015: Tablespace-Extents Abfrage 1016: Tablespace-Contents Abfrage : Temporary-Tablespace-Information Abfrage 1021: Datendateiinformationen Abfrage 1022: Objekte im SYSTEM-Tablespace Abfrage 1023: mögliche Benutzer mit falschem Default-Tablespace Abfrage 1024: SYSAUX-Tablespace Abfrage 1025: öffentliche Abhängigkeiten in Objekten Abfrage 1026: Synonyme auf Objekte in entfernten D atenbanken Abfrage 1027: Kommentare aus der Historie Abfrage 1028: Oracle-Standard-Schemata Abfrage 1029: manuelle Prüfung auf Default-Passwörter Abfrage 1030: Prüfung auf Default-Passwörter mittels View Abfrage : User- und Passwort-Hashes

4 Inhalt Abfrage 1031: Passwortdatei Abfrage 1032: Profile anzeigen Abfrage 1033: Einstellungen der sicherheitsrelevanten Profile Abfrage 1034: Passwort-Verify-Funktion Abfrage 1035: Datenbank-Links Abfrage 1036: mögliche Privilegien der entfernten DB-Benutzer aus den Datenbank-Links Abfrage 1037: Wallets Abfrage 1038: Wallet-Zugriffssteuerungsliste (ACL) Abfrage 1039: spezielle Trigger (Logon, Startup) Abfrage 1040: Information-Lifecycle-Management (12c) Abfrage 1041: Zugriffssteuerungslisten (ACL) für Network P ackages (HOST) Abfrage 1042: Zugriffssteuerungslisten für Network Packages (XML) Abfrage 1043: vollständige Informationen zur XML-Datenbank Abfrage 1044: Zugriffssteuerung auf Dateien im B etriebssystem Abfrage 1045: APEX-Gateway-Konfiguration Abfrage 1046: SQL*Net-Konfiguration Abfrage 1047: installierte Komponenten Abfrage 1048: Patches Datenbanküberwachung (Auditing) Abfrage 2001: AUDIT-init.ora-Parameter Abfrage 2002: Welche Systemprivilegien werden protokolliert? Abfrage 2003: Welche Systemprivilegien werden nicht p rotokolliert? Abfrage 2004: protokollierte Systemprivilegien im System Abfrage 2005: Überwachung von Objektprivilegien Abfrage 2006: 100 Audit-Datensätze von Heute Abfrage 2007: 100 FGA-Audit-Datensätze von Heute Abfrage 2008: überwachte Systemprivilegien Abfrage 2009: komplette Audit-Policy überwachter S ystemprivilegien Abfrage : Unified Audit-Policies (12c) Abfrage : Audit-Fehlerprüfung gemäß Oracle-Empfehlung Abfrage 2013: Wer verfügt über Audit-Systemprivilegien? Abfrage 2014: Shared Database Logons Abfrage 2015: Detailinformationen zu den Shared Database Logons (nur Heute) Abfrage 2016: verwaiste Benutzer (letzte Anmeldung > 90 Tage) Abfrage 2017: Database Control Logins Abfrage 2018: fehlerhafte Logins = Bruteforce-Attacken Abfrage 2019: aktuelle Sessions Abfrage 2020: Prüfung auf alte EM-9i-Sessions Abfrage 2021: Übersicht der Datenbankbenutzer Abfrage 2022: Übersicht der Datenbankbenutzer per Status Abfrage 2023: Übersicht der Datenbankbenutzer per Profil Abfrage 2024: Datenbankbenutzer sortiert nach Sperrdatum VII

5 VIII Inhalt Abfrage 2025: Datenbankbenutzer sortiert nach Ablaufdatum Abfrage 2026: alle Nicht-Oracle-Standarddatenbankbenutzer Abfrage 2027: Nutzer in der Passwortdatei Abfrage 2028: Übersicht der Benutzer und deren Profil Abfrage 2029: unsichtbare Benutzer Abfrage 2030: Rootkits Abfrage 2031: unsichtbare Rollen Abfrage 2032: aktivierte Funktionen und Optionen Abfrage 2033: alle nicht registrierten Schemata anzeigen Abfrage 2034: alle ausgeschalteten Trigger anzeigen Abfrage 2035: alle ausgeschalteten Constraints anzeigen Abfrage 2036: alle Benutzer, die Objekte verwalten Abfrage 2037: alle Benutzer, die keine Objekte verwalten (ohne Objekte) Abfrage 2038: Diagnoseinformationen Abfrage 2039: Unified Audit Application Context Attributes Abfrage 2040: Audit-Policies für Real Application Security Abfrage 2041: aktivierte Audit-Policies für Real Application S ecurity Abfrage 2042: Audit-Einträge für Real Application Security Datenbankverfügbarkeit Abfrage 3001: init.ora-parameter Abfrage 3002: Control-Dateien Abfrage 3003: Log-Dateien Abfrage 3004: fragmentierte Objekte Abfrage 3005: Objekte mit möglichen Extent-Problemen Abfrage 3006: ungültige Objekte Abfrage 3007: Fast Recovery Area Abfrage 3008: verwaltete Dateien in der Fast Recovery Area Abfrage 3009: Übersicht zu RECYLCEBIN Abfrage 3010: wiederhergestellte Objekte in der Datenbank Abfrage 3011: RMAN-Konfiguration Abfrage 3012: Übersicht des RMAN-Status der letzten 7 Tage Abfrage 3013: Übersicht verfügbarer Backups Abfrage 3014: korrupte Datenbackups Abfrage 3015: korrupte Datenblöcke Abfrage 3016: aktuelle Sessions mit hoher CPU-Belastung Abfrage 3017: aktuelle Sessions mit hohen Wartezeiten Abfrage 3018: aktuelle Sessions mit hohen Datenbankzeiten Abfrage 3019: ASM-Attribute Abfrage 3020: ASM-Dateien Abfrage 3021: Data Guard-Statusinformationen Abfrage 3022: Informationen zu Instance Caging und zum Ressourcen-Manager Abfrage 3023: Ressourcen-Manager-Informationen pro Container

6 Inhalt Abfrage 3024: zusätzliche Ressourcen-Manager-Informationen pro Container Abfrage 3025: Informationen zu Inkompatibilitäten Abfrage 3026: nicht genutzte Indizes Abfrage 3027: Liste der letzten Änderungen an den Objekten Abfrage 3028: zeitlich beschränkte Historie von Alerts Alert.log prüfen Datenbank-Zugriffskontrolle Abfrage 4001: Übersicht aller Benutzer (Schema) in der D atenbank Abfrage : Übersicht aller COMMON- und LOCAL-Benutzer (Schema) in der Datenbank 12c Abfrage : Zugriff auf Container Abfrage 4002: Übersicht aller Datenbankadministratoren Abfrage 4003: Übersicht aller SYSDBAs Abfrage 4004: Übersicht ROLES/USERS mit Audit-Privilegien Abfrage 4005: zusammenfassende Zählung der Berechtigungen auf das Data Dictionary Abfrage 4006: Übersicht der Rollen und Benutzer mit Z ugriffsrechten auf SYS-Objekte Abfrage 4007: Übersicht der Rollen in der Datenbank Abfrage 4008: Übersicht der Nicht-Standardrollen Abfrage 4009: Übersicht zu Rollen mit erhöhtem Schutz Abfrage 4010: Übersicht zu Datenbank-Accounts, die Rollen anlegen Abfrage 4011: Übersicht der Datenbank-Accounts und deren Rollenberechtigungen Abfrage 4012: Übersicht zu Datenbank-Links und möglicher Berechtigungen in Remote-Datenbanken Abfrage 4013: Anzahl der SYSTEM-Privilegien verschiedener Benutzer Abfrage 4014: Rolle-an-Rolle-Hierarchie Abfrage 4015: Übersicht aller Systemprivilegien an Rollen und User Abfrage 4016: Übersicht aller Benutzer und Rollen mit ANY-Privilegien Abfrage 4017: Übersicht aller Benutzer und Rollen mit EDITION-Privilegien Abfrage 4018: Übersicht aller Benutzer und Rollen mit POWER-Privilegien Abfrage 4019: Übersicht aller Benutzer und Rollen mit Account-Management-Privilegien Abfrage 4020: Übersicht aller Benutzer und Rollen mit ALTER SESSION Abfrage 4021: Übersicht aller Benutzer und Rollen mit ALTER SYSTEM Abfrage 4022: Übersicht aller Benutzer und Rollen, die die RLS umgehen können IX

7 X Inhalt Abfrage 4023: Übersicht aller Benutzer und Rollen mit UNLIMITED TABLESPACES Abfrage 4024: Detailübersicht aller Benutzer mit Tablespace-Quota Abfrage 4025: Übersicht aller Benutzer/Rollen mit S tandardrollen (CONNECT, RESOURCE) Abfrage 4026: Übersicht aller Benutzer/Rollen mit EXP/IMP_FULL_DB Abfrage 4027: Übersicht aller Benutzer und Rollen, die gefährliche Rollen besitzen Abfrage 4028: Übersicht der Zugriffe auf Network-Packages Abfrage 4029: Übersicht der Abhängigkeiten auf Network-Packages Abfrage 4030: ACL-Übersicht auf Network-Packages Abfrage 4031: Übersicht der Berechtigungen auf XML-Datenbank-ACL Abfrage 4032: Übersicht aller Dateien der XML-DB-ACL Abfrage 4033: Übersicht aller EXECUTE-Berechtigungen auf Nicht-Standard-User Abfrage 4034: Übersicht aller Objektprivilegien in der D atenbank (ohne PUBLIC) Abfrage 4035: Übersicht aller Objektprivilegien in der D atenbank (Special Grants) Abfrage 4036: Übersicht aller PUBLIC-Objekt- und S ystemprivilegien in der Datenbank Abfrage 4037: Übersicht der VPD-Policies Abfrage 4038: Übersicht aller Datenbank-CONTEXTs Abfrage 4039: Übersicht der Proxies Abfrage 4040: Übersicht der Java-Permission Abfrage 4041: Übersicht zu Directories und deren Zugriffsberechtigungen Abfrage 4042: an PL/SQL gegrantete Rollen Abfrage 4043: Credentials für externe Prozeduraufrufe Abfrage 4044: Liste nicht vorhandener Digest Verifiers (Upgrade XMLDB) Abfrage 4045: Übersicht zu Transparent Sensitive Data Protection (TSDP) Abfrage 4046: Data Redaction-Policies Abfrage 4047: Privileganalyse Abfrage 4048: Invoker-Rechte für Views und PL/SQL Zusätzliche Untersuchungen Abfrage 5001: Übersicht verschlüsselter Tablespaces Abfrage 5002: Übersicht verschlüsselter Spalten Abfrage 5003: Übersicht der Data Labels Abfrage 5004: Übersicht von Objekten mit speziellen D atentypen Abfrage 5005: Übersicht aller Libraries Abfrage 5006: gefilterte Übersicht aller Libraries

8 Inhalt Abfrage 5007: Übersicht aller Fehler (RMAN) Abfrage 5008: Übersicht aller eingespielten Patchsets Abfrage 5009: Übersicht aller eingespielten Patches Abfrage 5010: Übersicht der Database Vault-Sicherheitszonen Abfrage 5011: Übersicht der Scheduler-Jobs innerhalb der letzten 24 Stunden Abfrage 5012: Übersicht aller Scheduler-Programme Abfrage 5013: Übersicht aller Scheduler-Credentials Abfrage 5014: Java-Übersicht Prüfung auf mögliche bekannte Schwachstellen Abfrage 6001: Schwachstelle SCN-Headroom Abfrage 6002: CVE : Get SYSDBA Rights Datenbanksicherheitsprüfung durchführen Ausführung einer automatischen Sicherheitsprüfung unter Windows Ausführung einer automatischen Sicherheitsprüfung unter UNIX Vereinfachte Auswertung der Zugriffskontrolle durch SQL Oracle Software Appliance als Auswertungssystem nutzen Daten der untersuchten Datenbank laden Evaluierungsdashboard Manuelle Auswertungsmöglichkeiten Sicherheitszustand bewerten Einzelne Untersuchungen bewerten Bewertung nach CVSS Toolbasierte Datenbanksicherheitsprüfung Anhang: Fragenkatalog Businessbeitrag der IT-Abteilung Welche Konzepte existieren und sind implementiert? Welche Daten befinden sich in der zu untersuchenden Datenbank? Wie sehen die Architektur und das Deployment aus? Wie installieren Sie Datenbanken? Wer greift auf die Datenbank zu? Welches Patching-Konzept wird verfolgt? Wie wird die Datenbank bzw. das System überwacht? Ist die Integrität der Datenbank und des Systems sichergestellt? Wo steht der Datenbankserver? Kann die Integrität der Daten sichergestellt werden? Was tut der Betreiber für eine sichere Konfiguration? Index XI