Das ist alles nur gecloudt Sicherheit in den roten Wolken

Transkript

1 Das ist alles nur gecloudt Sicherheit in den roten Wolken Katharina Büchse

2 Passende Zuhörer cloud expert (PaaS) database security expert

3 Zahlen und Fakten Robotron Datenbank-Software GmbH Gründungsjahr 1990 Geschäftsform GmbH (9 Gesellschafter) Mitarbeiterzahl 394 (Stand 10/2016) Stammkapital Umsatz 2015 Umsatz ,4 Mio. EUR 32,8 Mio. EUR 36,8 Mio. EUR Hauptsitz Oracle-Partner ISO 9001 zertifiziert Schulungs- und Kongresszentrum

4 Das Leistungsangebot von Robotron methodische und technologische Kompetenzen umfangreiches Fachwissen in den branchentypischen Prozessen

5 Meine Wenigkeit Diplom-Mathematikerin Systemberaterin im Oracle-Support bei der Robotron Datenbank-Software GmbH seit Januar 2016 Themengebiete: Oracle Cloud Services (PaaS) Hochverfügbarkeit

6 Gliederung Meine persönliche Cloud-Security-Geschichte Oracle-Security-Crashkurs für die Cloud Security für Sparfüchse Performance-Editions mit Vault: Von Database bis Key Zusammenfassung

7 Meine persönliche Cloud-Security-Geschichte

8 Digital Transformation IT Summit April 2016 / Oracle Cloud Now

9 Larry Ellison zum Thema Oracle Key Vault Oracle, nobody at Oracle, not our DBAs, not our engineers, not the head of engineering can read our customers' data in the cloud. Only your people can read the data in the cloud.

10 DOAG Security-Expertenseminar, März 2017

11 Sicherheitsstufen alle Leute mit Köpfchen Oracle Besitzer (NSA, Oracle)

12 Sicherheitsstufen Zugriff als sysdba für Cloud Tooling alle Leute mit Köpfchen Oracle Besitzer (NSA, Oracle)

13 Oracle-Security-Crashkurs für die Cloud

14 Evaluate, prevent, detect

15 Was bedeutet Verschlüsselung bei Oracle? TDE Transparent Data Encryption Verschlüsselung der Daten auf Platte Test: strings <Pfad>/<Name des Datafiles> wer über die DB auf die Daten zugreift, merkt davon nichts! Daten auch für die Anwendung verschlüsseln : Masking and Subsetting (Testdaten anonymisieren) Data Redaction (Dynamic Masking)

16 Vault wie Gruft: Gut abgesichert Oracle Database Vault: Gewaltentrennung ( Schützt die DB vorm DBA! ) Schutzzonen (realms), Regeln, Oracle Key Vault zentrale Schlüsselverwaltung und noch viel mehr

17 Auditing Vertrauen ist gut, Kontrolle ist besser Benutzeraktivitäten protokollieren, um verdächtige Vorfälle erkennen zu können 12c: Unified Auditing Database Vault Reports und in 11g? standardmäßiges DB-Auditing wertebasiertes Auditing (Audit-Trigger)

18 Security für Sparfüchse

19 Was kostet die Welt? Database as a Service, 1 OCPU, pro Monat, General Purpose, in Dollar Standard Edition Enterprise Edition EE High Performance EE Extreme Performance metered non-metered Database Backup Cloud Service: 33 $ pro TB pro Monat (non-metered) Stand:

20 Public Cloud Funktionsweise myhomedb RMAN Bkp

21 Backup-Backrezept Voraussetzung: Replication Policy ist festgelegt Oracle Database Cloud Backup Module installieren Verschlüsselung aktivieren: im einfachsten Fall: SET ENCRYPTION ON IDENTIFIED BY <password> ONLY; RMAN anwerfen alle Leute mit Köpfchen Oracle Besitzer (NSA, Oracle)

22 Verschlüsselungsmöglichkeiten Transparent Encryption of Backups Password Encryption of Backups Dual Mode Encryption of Backups

23 Tablespace-Verschlüsselung in der Standard Edition kein TDE: vorhandene Tablespaces nicht verschlüsselt können auch nicht nachverschlüsselt werden Parameter encrypt_new_tablespaces steht auf CLOUD_ONLY neu angelegte Tablespaces sind verschlüsselt SQL> create tablespace my_new_tablespace; Tablespace created. SQL> select tablespace_name, encrypted from dba_tablespaces order by 1; TABLESPACE_NAME ENC EXAMPLE NO MY_NEW_TABLESPACE YES SYSAUX NO SYSTEM NO TEMP NO UNDOTBS1 NO USERS NO alle Leute mit Köpfchen Oracle Besitzer (NSA, Oracle)

24 Kleine Handgriffe in Richtung sicherer für alle Editionen Schlüsselpaar offline erstellen Key passphrase festlegen Listener-Port 1521 x

25 Ports: Zwischen schwarz und weiß default-regel für Listener-Port für alle aus dem Internet Auswahl zwischen enable und disable alle Leute mit Köpfchen Oracle Besitzer (NSA, Oracle)

26 Ports: Zwischen schwarz und weiß gibt s auch noch grau Port nur für festgelegte IPs öffnen eigene Security Rule anlegen anzugeben: Erklärung Beispiel Security Application welche Ports möchte ich zulassen? 1526 Source wer darf zugreifen? (Security IP List) <meine persönliche IP> Destination worauf darf zugegriffen werden? ora_db

27 Welche IPs möchte ich zulassen?

28 Über welchen Port dürfen die zugreifen?

29 Eigene Regel erstellen

30 Performance-Editions mit Vault: Von Database bis Key

31 Mit Cloud-Performance kommt auch Advanced Security (TDE, Redaction) Label Security Database Vault (inkl. Privilege Analysis) Data Masking and Subsetting Pack Database Licensing Information: database/121/dblic/edit ions.htm#dblic109 alle Leute mit Köpfchen Oracle Besitzer (NSA, Oracle)

32 Wenn Database Vault in den performanten DB-Service einzieht default-mäßig installiert, aber nicht aktiviert: SELECT * FROM V$OPTION WHERE PARAMETER = 'Oracle Database Vault'; PARAMETER VALUE CON_ID Oracle Database Vault FALSE 0 Multitenant-Umgebung 12.2: Registrierung erst im Container, dann PDB, sonst ORA-47503: Database Vault is not enabled on CDB$ROOT

33 Fast wie zuhause!

34 Key Vault Installation nicht kleckern, sondern klotzen möglichst eigener physischer Server Disk: Minimum 500 GB hard disk zu öffnende Ports: 22, 161, 443, 5696 (Hochverfügbarkeitskonfiguration: 1522, 7443)

35 Wie der Endpoint in die Cloud kommt

36 zu beachten kann nicht auf ODA oder Exadata installiert werden Schlüssel werden auf den Endpoints standardmäßig 5min lang im Cache gehalten

37 Zusammenfassung

38 Vorhandene Möglichkeiten vs. wirkliche Nutzung Unmengen von Möglichkeiten zur Absicherung vorhanden Sicherheit ist aufwendig: unverschlossene Haustüren Post-its mit Passwörtern viel schwerwiegender als mögliche Oracle- Hintertüren

39 Katharina Büchse Systemberaterin (Oracle-Support) Telefon: Fragen?