DB2 Version 10 Kapitel IT-Sicherheit

Transkript

1 (*) IBM DB2 for z/os DB2 Version 10 Kapitel IT-Sicherheit (06_DB2V10_itsicherheit.pptx) (*) ist eingetragenes Warenzeichen der IBM International Business Machines Inc. 1

2 DB2 Version 10 IT Sicherheit DB2 10 for z/os Im Einsatz, wo andere längst aufgeben... 2

3 Inhalte: (1) Migration: Systemprogrammierer Skip Level Migration Catalog Restructure (2) Nach Migration alle Mehr 64bit Nutzung Konsolidierung Mehr Benutzer Potential für reduzierten CPU Verbrauch (3) Qualitätssicherung DBA, Anwendungsentwickler Zugriffspfad Explain Optimizer (4) Anwendungsoptimierung DBA, Anwendungsentwickler Performance Vereinfachung LOBs (5) IT-Sicherheit DBA, Sicherheitsadministrator Admin-Rechte Auditprofile Granulare Sicht auf Daten 3

4 Inhalte: (6) DB2 10 auf Zeitreise: Sicherheitsadministrator, Anwendungsentwickler, Endbenutzer Automatische Historisierung Abbildung von Geschäftsvorfällen Zeitzonen (7) XML DBA, Anwendungsentwickler XML Validierung XML Update XML Performance (8) Utilities DBA, Systemprogrammierer Online Reorg Online Schema Backup / Recovery (9) Performance und Automation DBA, Anwendungsentwickler Index Erweiterungen Hash Access 4

5 Sicherheit & Compliance Mehr granulare administrative Berechtigungen Schutz von sensitiven Daten Priviligierte Benutzer ohne Datenzugriff Security-Administrator SECADM zur Durchführung von DB2 Berechtigungen Anwendungsentwickler benötigen keine Tabellenberechtigungen zur Zugriffspfadanalyse Integrierte Audit-Funktion System Administrator Tasks Access Security Administrator Tasks Monitor Row & column level access control Ermöglicht Maskierung von Daten Begrenzt den Datenzugriff auf einzelnen Datenzellen Temporale Daten 5

6 Security-Administration vs. System-Administration zparm: SEPARATE_SECURITY YES NO - Security-Administration ist kompatibel zu V8/V9 - SYSADM, SYSCTRL sind verantwortlich für Security-Administration - Definition eines Security-Administrators ist erforderlich - Install SECADM1/2 Auth-Id, Role - SYSADM, SYSCTRL verlieren Security-Administration ACCESSCTRL / DATAACCESS Berechtigung SECADM übernimmt Management von Sicherheitsfunktionen-/Objekten Trusted Context & Roles Neue Row & Column permission Neue AUDIT tables & policies Berechtigungsvergabe GRANT / REVOKE Neue administrative Berechtigungen SECADM hat keine Datenzugriffsberechtigung SECADM hat Zugriffsberechtigungen auf den DB2 Katalog ACCESSCTRL ermöglicht Berechtigungsvergabe GRANT / REVOKE Ohne neue Admin Berechtigungen Ohne WITH GRANT Option Katalog Zugriffsberechtigungen Auth-Id, Role DATAACCESS ermöglicht Datenzugriff Execute on Plan, Packages, procedures.. 6

7 Neue Administrative Berechtigungen - Definition zur System Administration - GRANT DBADM... ON SYSTEM TO Auth-id, Role System DBADM Management von DB Objekten ohne Sicherheitsobjekte ohne WITH GRANT Option WITH ACCESSCTRL Berechtigungsvergabe ohne Sicherheitsobjekte ohne WITH GRANT Option default WITHOUT ACCESSCTRL WITH DATAACCESS Datenzugriff Execute on Plan, Packages, procedures.. default WITHOUT DATAACCESS 7

8 Neue AUDIT Möglichkeiten Neue Audit Policy Tabelle Katalogtabelle SYSAUDITPOLICIES SECADM Security-Administrator verwaltet Audit policies ohne AUDIT table clause Wildcarding von Tabellennamen Dynamische (De)Aktivierung Auditing von Privileged Users Zugriff auf Daten SQL Aktivitäten gegen Tabellen Read & update Zugriffe Protokolliert SQL statement optional Utility Aktivitäten Grant, Revoke und Trusted Context Aktivitäten Autorisierungs-/Authentifizierungsfehler 8

9 Row & Column level access Row level security Column level security Maskierung von Spaltenwerten 9

10 Aktivierung der Row & Column Security Deaktivierung bedeutet keine Einschränkung der SQL Verarbeitung durch PERMISSION und MASK Objekte Aktivierung bedeutet Einschränkung der SQL Verarbeitung gemäß PERMISSION und MASK Definitionen Optimizer SQL rewrite 10

11 Row & Column level access - Beispiel SECADM CREATE PERMISSION AGENTUR_ROW_ACCESS ON KFZ FOR ROWS WHERE VERIFY_GROUP_FOR_USER (SESSION_USER, AG_MA ) = 1 AND AGENTUR_NR = (SELECT AGENTUR FROM AGENTUR_TB WHERE PERS_NR = SESSION_USER) ENFORCED FOR ALL ACCESS ENABLE; CREATE MASK AGENTUR_COL_MASK ON KFZ FOR COLUMN EINK RETURN CASE WHEN (VERIFY_GROUP_FOR_USER (SESSION_USER, AG_MA ) = 1) THEN CASE WHEN (EINK > ) THEN 2 WHEN (EINK > 50000) THEN 1 ELSE 0 END ELSE 0 END ENABLE; Mitarbeiter einer Vers.- Agentur (RACF group AG_MA) können auf die KFZ Verträge der zugeordneten Agentur zugreifen. Maskierung der Einkommenswerte, um eine Transparenz zu vermeiden. ALTER TABLE KFZ ACTIVATE ROW LEVEL ACCESS CONTROL ACTIVATE COLUMN LEVEL ACCESS CONTROL; 11

12 DB2 10 for z/os Im Einsatz, wo andere längst aufgeben... 12