Oracle Security. Seminarunterlage. Version vom

Transkript

1 Seminarunterlage Version: Version vom 6. März 2014

2 Dieses Dokument wird durch die veröffentlicht.. Alle Rechte vorbehalten. Alle Produkt- und Dienstleistungs-Bezeichnungen sind Warenzeichen oder eingetragene Warenzeichen der jeweiligen Firmen und beziehen sich auf Eintragungen in den USA oder USA-Warenzeichen. Weitere Logos und Produkt- oder Handelsnamen sind eingetragene Warenzeichen oder Warenzeichen der jeweiligen Unternehmen. Kein Teil dieser Dokumentation darf ohne vorherige schriftliche Genehmigung der weitergegeben oder benutzt werden. Die besitzt folgende Geschäftsstellen Adressen der Westernmauer D Paderborn Tel.: (+49) / An der alten Ziegelei 5 D Münster Tel.: (+49) / Marlene-Dietrich-Str. 5 D Neu-Ulm Tel.: (+49) / Kreuzberger Ring 13 D Wiesbaden Tel.: (+49) / Wikingerstraße D Köln Tel.: (+49) / Internet: [email protected] Seite 2 Version: 12.03

3 Inhaltsverzeichnis 1 Sicherheit für Benutzer und Passwörter Benutzerverwaltung Der CREATE USER Befehl Der ALTER USER Befehl Account Locking / Expiration Der DROP USER Befehl Last Login Information ab 12c Limitierung von Ressourcen über Profile Der CREATE PROFILE Befehl Aktivierung von Profilen zur Limitierung von Ressourcen Passwortschutz und -verwaltung Historie Passwortverwaltung über Profile Änderungen am Standard Benutzerprofil Passwort-Verifizierungsfunktion utlpwdmg.sql Verbesserte Passwort-Verifizierungsfunktion Neuerungen in 12c Case-Sensitive Passwörter Passwort Versionen Datenbank-Links und Case-Sensitivität Password Hashing Prüfung auf Standardkennwörter Automatisch generierte Benutzer Gruppen von Standardbenutzern Administrative Benutzer Benutzer für ORACLE-Optionen Applikatorische Benutzer Was ist zu tun? Zusammenfassung Übungen Lösungen Authentifizierung Einleitung Anmeldeprozess (O3/O5 LOGON) von Oracle Ablauf des O5LOGON Anmeldeprozesses Delayed Failed Logins Security Settings in Oracle 11g Externe Benutzer Authentifizierung durch das Betriebssystem Passwortdateien für Datenbankadministratoren Verwaltung der Passwortdatei Case-sensitive Passwortdatei in 11g SYSASM Privileg in 11g Separation of Duty for Database Administration in 12c Secure External Password Store Hinweise und Befehle zur Verwaltung SYSDBA Strong Authentication in 11g Anwendungsbenutzer eindeutig identifizieren Client Identifier Proxy-Authentifizierung Übungen Lösungen Autorisierung Konzept Privilegien Version: Seite 3

4 3.2.1 Der GRANT Befehl für Systemprivilegien Der GRANT Befehl für Objektprivilegien Der REVOKE Befehl System-Privilegien Eingeschränkte Leseberechtigungen aus das DD Rollenkonzept Der CREATE ROLE Befehl Der DROP ROLE Befehl Default Roles Der SET ROLE Befehl Secure Application Roles Vordefinierte Rollen Resource Role Default Privileges in 12c Code-Based Security Access Control Listen (ACLs) Kontrolle der Netzwerkzugriffe aus der Datenbank Access Control Listen (ACLs) in Oracle 11g Implementierung Access Control Listen (ACLs) in Oracle 11g Anwendung Database Vault Einschränkung von Privilegien Aufgabenverteilung und Funktionstrennung Übungen Lösungen FGAC VPD Einleitung in FGAC Ausgangslage Standardsicherheit bei ORACLE: Auf Objektebene Beispiel Ausgangslage Lösung 1: Views Lösung 2: Dynamische Views Lösung 3: Dynamische Views mit Zugriffstabelle Problem beim Arbeiten mit Views Vorteile von Fine Grained Access Control Begriffsklärung: FGA FGAC? Arbeiten mit FGAC FGAC: Arbeiten mit Dynamischen Prädikaten DBMS_RLS So arbeitet FGAC add_policy Funktion Environment Variable Transiente View Beispiel: Einfache Policy erzeugen Ideen der Zugriffssteuerung Nötige Zugriffsrechte DBMS_RLS administrative Schnittstelle für Policies Kontext Typen eines Kontextes Erstellen eines Kontextes Neuerungen unter ORACLE 10g VPD Neuerungen in 12c Oracle Label Security Übungen Lösungen Data Redaction und Data Sensitive Transparent Protection (TSDP) Data Redaction Begriffsklärung Methoden EXEMPT Redaction Policy Seite 4 Version: 12.03

5 5.1.4 Prozeduren Einschränkungen add_policy Update_full_redaction_values Alter_policy Random Redaction Regexp Redaction Data Redaction Views Schnittstellen / Abgrenzung Data Sensitive Transparent Protection (TSDP) Vorgehensweise Erstellen Sensitive Type / Definition der sensitiven Spalten Policy erstellen Verknüpfung und Aktivierung Auditing FGA Überblick Mandatory Auditing Mandatory Auditing UNIX Mandatory Auditing Microsoft SYS Auditing Standard Auditing Aktivierung Möglichkeiten Beispiele Statement Auditing Beispiele Einschränkungen Enhanced Default Security Settings in Oracle 11g Auditing auf Session- und Statement-Ebene (ab 11g R2) Views Auditing über OS/syslog Applikatorisches (Value-based) Auditing Fine-Grained Auditing (FGA) Erstellen einer FGA Policy Auswirkung der FGA Policy FGA Data Dictionary Views Audit auf Spalten und mit inhaltlichen Beziehungen Das Audit fokussieren: Audit Columns Das Audit weiter fokussieren: Audit Conditions FGA Policies verwalten Reichweite der FGA Policy FGA Policy und Views FGA Policy wirkt auch bei Abfragen über Views Eine FGA Policy speziell für eine View erstellen Zusammenspiel von FGA Policies Weitere mögliche Anwendungen Audit-Daten verwalten: Package DBMS_AUDIT_MGMT Unified Auditing Überblick Aktivierung Funktionsumfang Ablageort und Zugriff Separation of Duty für Audit Administratoren Schreib-Modus Beispiele Auditing Data Pump Löschen von Audit Einträgen Oracle Audit Vault Überblick und Funktionsumfang Anforderungen Architektur und Komponenten Version: Seite 5

6 Installation und Konfiguration Definition des Auditing Audit Vault Services Alerts Reports Schutz der Audit-Daten Übungen Lösungen Datenspeicherung und -sicherung: Verschlüsselung Datenverschlüsselung in der DB DBMS_OBFUSCATION_TOOLKIT Grundlagen Beispiel Zeichenkettenlänge DBMS_CRYPTO Grundlagen Einsatz der Verschlüsselung Einschränkungen bei der Datenverschlüsselung Schlüsselmanagement Erweiterungen in 12c Secure Hash Algorhithm dbms_crypto Hashfunktionen Beispiel Transparente Datenverschlüsselung (TDE) < 12c Aufsetzen eines Wallet Verschlüsselung von Tabellenspalten Verschlüsselung von indizierten und FK-Spalten Salt-Prinzip Verschlüsselung von Tablespaces Auswirkungen der Verschlüsselung auf die Performance und Speicher Wallet Management Oracle Wallet Manager (OWM) Auto-Login Wallet Local Auto-Login Wallet (ab 11g R2) TDE und Hardware Security Module (HSM) HSM-basierte TDE implementieren Securefile LOBs Transparente Datenverschlüsselung ab 12c Überblick neue Funktionalitäten Rechteverwaltung Keystore Typen Einrichtung von Keystores Generierung und Öffnen von Keystores Öffnen des erzeugten Keystores Setzen und Zurücksetzen des Master Keys Views Keystore Management Passwortwechsel Backup Zusammenführung Schließen Verschieben Management von Schlüsseln Anlegen eines Schlüssels Aktivierung eines Schlüssels Attribute Export des Schlüssels Import des Schlüssels Verschlüsselung von Export-Daten mit Data Pump Seite 6 Version: 12.03

7 7.6.1 Data Pump und Transparente Datenverschlüsselung (10gR2) Data Pump Encryption in Oracle 11g Verschlüsselte Backups mit RMAN Arten der Backupverschlüsselung Transparenter Modus Passwort-Modus Dualer Modus Konfiguration von verschlüsselten Backups Backup und Recovery mit verschlüsselten Backups Übungen Lösungen Oracle Net Listener Angriffspunkte Listener Password Standard-Ports Connection Manager Überblick Multiplexing Protocol Switch Zugangskontrolle Architektur Regelwerk Grundlagen Beispiele Absicherung Advanced Security Option Überblick Leistungsmerkmale Vor- und Nachteile Integrität Überblick Aktivierung Parameter CRYPTO_SEED Parameter CRYPTO_CHECKSUM Beispielkonfiguration Verschlüsselung Diffie Hellmann Algorithmus Parameter Algorithmen SSL-basierte Authentifizierung Grundlagen Vor- und Nachteile SSL und Oracle Aufbau einer SSL-Verbindung in der Oracle Umgebung Konfiguration Wallet erstellen Digitales Zertifikat Zertifikate einfügen SSL Listener Konfiguration Konfiguration des Clients Fazit Oracle Net Logging und Tracing Oracle Net Logging de-/aktivieren Oracle Net Tracing de-/aktivieren Oracle Net Logging und Tracing im ADR (11g) Sicherheitslücken Database Links Version: Seite 7

8 9.1.1 Grundlagen Konzept Infos init.ora Parameter O7_DICTIONARY_ACCESSIBILITY REMOTE_OS_AUTHENT SQL92_SECURITY UTL_FILE_DIR Oracle Directories EXECUTE Privileg auf Verzeichnisobjekte Export-Files glogin.sql Verify Function SQL Injection Definition SQL Injection Wertübergabe Strategien zur Vermeidung Bind Variablen Übergabewerte prüfen Fine Grained Access Control (FGAC) nutzen Einsatz des Packages DBMS_ASSERT Trigger Trigger Allgemein Fehlermanagement Security LogMiner Einleitung Zugriff auf das Data Dictionary Security Critical Patch Updates Übungen Lösungen Data Masking Was ist Data Masking? Warum Data Masking? Anforderungen Vorgehen Verfügbarkeit mit Data Pump Verfügbarkeit mit Oracle EM Database Masking and Subsetting Übungen Lösungen Anhang A Anhang B Autorisierung: Database Vault Seite 8 Version: 12.03