Oracle Database 10g Release 2 Database Vault. Ein Oracle White Paper April 2006

Oracle Database 10g Release 2 Database Vault Ein Oracle White Paper April 2006

Oracle Database 10g Release 2 Database Vault EINFÜHRUNG Ein präziser und zeitgerechter Zugriff auf Informationen, das Einhalten gesetzlicher und sonstiger Vorgaben, erfolgreiches Bestehen interner und externer Überprüfungen und Audits, der Schutz von datenschutzrelevanten Informationen, Sicherung von Anwendungen und Datenbanken das sind nur einige der Anforderungen, denen sich das heutige IT-Management gegenübersieht. Bei den traditionellen Sicherheitsmaßnahmen verließ man sich darauf, dass die Anwendung Zugriffskontrollen für ihre User durchführte, dass der Datenbankadministrator die Verfügbarkeit von Datenbanken und Anwendungen gewährleistete und dass Netzwerkrouter und Firewalls den Zugriff auf Datenbanken und Anwendungen einschränkten. Zwar sind Probleme wie die Bedrohung von Innen nichts Neues, doch das Missbrauchspotenzial ist auf Grund der Menge der schutzwürdigen Informationen und der Bereitschaft krimineller Organisationen und Einzeltäter, für solche Informationen zu zahlen, noch nie höher gewesen als heute. Die Art und das Ausmaß der Gefährdung von Informationen erfordern heute technisch ausgereiftere Mechanismen innerhalb der Datenbank. Sicherheitstechnologien sind jedoch nur dann effizient, wenn sie automatisiert werden können, transparent sind, flexibel und anpassungsfähig präventiv schützen und durch Audits und Berichte überprüfbar sind. Database Vault erfüllt diese wichtigsten Sicherheitsanforderungen und bietet Automatisierung, Transparenz sowie präventiven und nachvollziehbaren Datenschutz mit einer innovativen Sicherheitsmethode, die dem Schließfach einer Bank nachempfunden ist. Oracle Database 10g Release 2 - Database Vault Seite 2

Abbildung 1.0 Oracle Database 10g Release 2 - Database Vault Mit Hilfe von Realms vereinfacht Database Vault den Schutz der vorhandenen Anwendungen und verhindert den Zugriff auf Anwendungsdaten durch den DBA oder andere hochprivilegierte User innerhalb der Datenbank. Oracle Database Vault führt Berechtigungsprüfungen über zahlreiche Faktoren und eine Rules Engine ein, um Datenbanken und Anwendungen noch besser zu schützen. Faktorenprüfungen und Regeln dienen dabei als zusätzliche Ergänzung der bereits vorhandenen Zugriffsberechtigungen auf Anwendungsdaten. Oracle Database Vault erzwingt dieaufgabenverteilung und Funktionstrennung. Diese sind entscheidende Voraussetzungen, wenn Anwendungen und Datenbanken zusammengefasst werden. Database Vault stellt sicher, dass privilegierte DBAs ausschließlich die Datenbank verwalten, jedoch keinen Zugriff auf die Anwendungsdaten erhalten. Schließlich bietet Oracle Database Vault Audit- Möglichkeiten und ein umfassendes Set an Out-of-the-box-Sicherheitsberichten, mit denen die Einhaltung gesetzlicher und sonstiger Vorschriften auch für interne und externe Prüfungen und Audits nachweisbar wird. VERHINDERN DES DBA-ZUGRIFFS AUF ANWENDUNGEN Datenbankadministratoren spielen eine wichtige Rolle bei der Verwaltung von Datenbanken. Das Sicherstellen der Performance, der ständigen Verfügbarkeit und das Backup/Recovery gehören zu ihren beruflichen Aufgaben. Auf Grund dieser Verpflichtungen gehört die Tätigkeit eines DBA zu den vertrauenswürdigsten in einem Unternehmen. Gleichwohl sollte der DBA nicht auf Anwendungsdaten zugreifen müssen, die sich innerhalb der Datenbank befinden. Dieselbe Regel sollte für hochprivilegierte User gelten, etwa für die Eigentümer von Anwendungen. Diese hochprivilegierten User sollten ihre Rechte nicht dazu verwenden dürfen, auf Anwendungsdaten außerhalb ihrer eigenen Anwendung zuzugreifen. Database Vault Realms verhindern, dass DBAs, Eigentümer von Anwendungen und andere Oracle Database 10g Release 2 - Database Vault Seite 3

privilegierte User Daten außerhalb ihres Aufgabenbereichs einsehen können. Gleichzeitig gestatten Database Vault Realms dem DBA und dem Eigentümer der Anwendung, weiter in ihrem Aufgabenbereich zu arbeiten. Realms können einen Schutzmantel um spezifische Verzeichnisse oder um eine ganze Anwendung legen. Realms verhindern so, dass sogar höchstprivilegierte User einschließlich DBA, SYSOPER und SYSDBA auf Anwendungsdaten zugreifen. Abbildung 1.1 Schutz einer Anwendung durch ein Database Vault Realm Oracle Database 10g Release 2 - Database Vault Seite 4

SICHERUNG KONSOLIDIERTER DATENBANKEN UND ANWENDUNGEN Die Konsolidierung von Datenbanken führt zu enormen Kosteneinsparungen und präziseren Geschäftsinformationen. Sie kann auch zur Folge haben, dass wesentlich mehr DBAs und andere hochprivilegierte User auf einer einzelnen Datenbank arbeiten. Database Vault Realms enthalten zusätzliche Sicherheitskontrollen, mit denen ein unberechtigter Datenzugriff durch DBAs oder andere privilegierte User in einer konsolidierten Datenbank verhindert werden kann. Mit Database Vault Realms können die Vorteile der Datenbankkonsolidierung ohne Sicherheitsrisiko erreicht werden. Abbildung 1.2 zeigt, wie ein Realm um die Personal-Anwendung verhindert, dass der DBA Personal-Daten einsehen kann, und wie ein Realm verhindert, dass der Eigentümer der Personal-Anwendung Daten einer Finanzanwendung einsehen kann. Abbildung 1.2 Datenbankkonsolidierung und Database Vault Realms Oracle Database 10g Release 2 - Database Vault Seite 2

SCHUTZ VOR DER BEDROHUNG VON INNEN Seit Jahren gelten Würmer, Viren und externe Hacker als die größte Bedrohung für Computersysteme. Dabei wird oft übersehen, dass jemand, dem Vertrauen entgegengebracht wird und der Sonderrechte oder besondere Zugriffsmöglichkeiten genießt, Daten stehlen oder verändern könnte. Database Vault schützt mit Hilfe von Realms, Faktoren und Befehlsregeln vor kriminellen Mitarbeitern im eigenen Unternehmen. Gemeinsam gewährleisten diese Mechanismen höchste Sicherheit und helfen, den Zugriff auf Datenbanken, Anwendungen und schutzwürdige Informationen zu sichern. Regeln und Faktoren lassen sich so miteinander verknüpfen, dass sie die Bedingungen kontrollieren, unter denen Befehle in den Datenbanken ausgeführt werden dürfen. Regeln und Faktoren können so kombiniert werden, dass sie den Zugriff auf Daten kontrollieren, die von einem Realm geschützt werden. Beispielsweise können Regeln und Faktoren, etwa IP-Adresse, Tageszeit und Programmname, so kombiniert werden, dass der Zugriff innerhalb festgelegter Betriebszeiten auf diejenigen Verbindungen begrenzt wird, die aus dem Middle-Tier stammen. Hierdurch kann ein unberechtigter Zugriff auf Anwendung und Datenbank durch unberechtigte Anwendungen verhindert werden. Abbildung 1.3 zeigt ein Beispiel für die Zugriffsbeschränkung auf einen spezifischen Middle-Tier unter festgelegten zeitlichen Bedingungen. Abbildung 1.3 Database Vault Faktoren und Regeln Database Vault Faktoren Database Vault enthält eine Reihe von vorinstallierten Faktoren, die mit anderen Faktoren für den Zugriff auf Datenbanken, realmgeschützte Anwendungen und Befehle innerhalb der Datenbank kombiniert werden können. Tabelle 1.0 unten zeigt eine Auswahl der in Database Vault vorinstallierten Faktoren. Mit Hilfe der administrativen, browserbasierten oder kommandozeilenorientierten Schnittstellen können individuelle Faktoren festgelegt werden. Abbildung 1.4 unten zeigt die Oracle Database 10g Release 2 - Database Vault Seite 2

graphische administrative Schnittstelle von Database Vault zur Festlegung individueller Faktoren. Tabelle 1.0 Database Vault Faktoren Abbildung 1.4 Database Vault Individuelle Erstellung von Faktoren Oracle Database 10g Release 2 - Database Vault Seite 3

. Database Vault Befehlsregeln Regeln und Faktoren können mit Dutzenden von Befehlen innerhalb der Datenbank verknüpft werden. Mit Regeln können strengere interne Kontrollen innerhalb der Datenbank realisiert und den Betriebsrichtlinien entsprechend angepasst werden. Beispielsweise kann eine Regel erstellt werden, um die Ausführung des Befehls ALTER SYSTEM auf eine spezifische IP-Adresse und einen spezifischen Hostnamen zu beschränken. Tabelle 1.1 zeigt einen Überblick über die Datenbankbefehle, die mit Hilfe der administrativen Schnittstellen von Database Vault mit Regeln verknüpft werden können. Tabelle 1.1 Database Vault Datenbankbefehle, die mit Regeln verknüpft werden können EINHALTEN VON VORSCHRIFTEN Einer der wichtigsten Nebeneffekte, die die Erfüllung gesetzlicher Vorschriften mit sich bringt, ist ein gesteigertes Sicherheitsbewusstsein. Das Augenmerk der IT- Abteilung lag bisher auf hoher Verfügbarkeit und Performance. Durch das verstärkte Augenmerk auf Einhaltung gesetzlicher und sonstiger Vorgaben muss jeder einen Schritt zurücktreten und IT-Infrastruktur, Datenbanken und Anwendungen aus dem Blickwinkel der Sicherheit betrachten. Die üblichen Fragestellungen lauten dabei: Wer hat Zugriff auf die Informationen? Wo werden schutzwürdige Informationen gespeichert? Vorschriften wie Sarbanes-Oxley (SOX), der Healthcare Insurance Portability and Accountability Act (HIPAA), Basel II, das japanische Datenschutzgesetz und die EU-Datenschutzrichtlinie über elektronische Kommunikation haben gemeinsame Aspekte wie etwa interne Oracle Database 10g Release 2 - Database Vault Seite 4

Kontrollen, Aufgabenverteilung und Trennung von Funktionen sowie Zugriffskontrollen. Während der Großteil der vorgeschriebenen Änderungen verfahrenstechnischer Natur ist, könnte der restliche Teil Technologieinvestitionen erforderlich machen. Eine häufige Sicherheitsanforderung sind erhöhte interne Kontrollen. In welchem Maße Database Vault einem Unternehmen bei der Erfüllung von Vorschriften helfen kann, ist je nach Richtlinie unterschiedlich. Generell sind Realms, Aufgabenteilung und Funktionstrennung, Befehlsregeln und Faktoren in Database Vault geeignet, das Gesamtrisiko im Hinblick auf die jeweils geltenden Vorschriften zu verringern. Tabelle 1.2 Gesetzliche Richtlinien und mögliche Gefährdungen AUFGABENVERTEILUNG UND FUNKTIONSTRENNUNG Aus Sicherheitsgründen wird die Verwaltung des Database Vault von der laufenden Oracle DBA-Tätigkeit getrennt. Die Database Vault-Informationen werden von einem Realm geschützt. So wird verhindert, dass der DBA die Realm-Definitionen, Faktoren und Befehlsregeln zu verändern versucht, die innerhalb des Database Vault festgelegt wurden. Durch diese Architektur der Aufgabenverteilung und Funktionstrennung werden vorschriftsmäßig notwendige interne Kontrollen realisiert. Um die Sicherheit innerhalb der Datenbank noch weiter zu erhöhen, platziert Database Vault zusätzliche Realms um schutzwürdige Objekte des Data Dictionary von SYS und Oracle Label Security. Zu den von Database Vault geschützten Objekten gehören Rollen wie DBA, IMP_FULL_DATABASE und EXP_FULL_DATABASE. Database Vault Realms verhindern, dass die Rolle DBA mit GRANT vergeben wird, nachdem Database Vault installiert wurde. Zusätzlich überträgt Database Vault ausschließlich der Person, die für die Benutzerverwaltung zuständig ist und die dazu die Rolle DV_ACCTMGR erhalten Oracle Database 10g Release 2 - Database Vault Seite 5

hat, das Recht, neue Datenbankbenutzer anzulegen. Diese Regelung gilt auch dann, wenn es Benutzer gibt, die das Recht haben, mit CREATE USER neue Benutzer anzulegen. Mit anderen Worten: Selbst dann, wenn jemand mit CREATE USER- Recht versucht, einen neuen Datenbankbenutzer anzulegen, blockiert Database Vault die Aktion. Bei der Installation legt Database Vault ein Realm für das Oracle Data Dictionary und ein weiteres für das Benutzermanagement an und gewährleistet so die Funktionstrennung und Aufgabenverteilung. Darüber hinaus können Befehlsregeln und Faktoren eingesetzt werden, um Database Vault individuell an die eigenen Gegebenheiten anzupassen und um Bedingungen festzulegen, unter denen spezifische Datenbankbefehle ausgeführt werden können. Tabelle 1.1 oben führt einige Befehle auf, für die Regeln und Faktoren kombiniert werden können, um sie an die eigenen Bedürfnisse anzupassen. Abbildung 1.5 unten zeigt die standardmäßig installierten Database Vault Realms. Abbildung 1.5 Database Vault Standardmäßig installierte Realms Oracle Database 10g Release 2 - Database Vault Seite 6

VORINSTALLIERTE BERICHTE Database Vault bietet über drei Dutzend sicherheitsbezogene, im Lieferumfang enthaltene Berichte. Zu den Berichten gehört z.b. ein Bericht über versuchte Verstöße gegen aktive Realms. So erstellt Database Vault schon bei dem Versuch eines DBAs, an Daten aus einer realmgeschützten Tabelle mit Benutzerdaten zu gelangen, ein Audit-Protokoll in einer besonders geschützten Tabelle innerhalb von Database Vault. Abbildung 1.6 Database Vault Berichte INTEGRATION MIT DER OPTION ORACLE ADVANCED SECURITY Oracle Database Vault kann mit Features der Option Oracle Advanced Security wie transparente Datenverschlüsselung, Netzwerkverschlüsselung und sichere Authentifizierung kombiniert werden. Mit Hilfe der transparenten Datenverschlüsselung können spezifische schutzwürdige Daten transparent verschlüsselt werden, ohne dabei das vorhandene Anwendungs-SQL zu verändern. Zusätzlich können Datenbank-Backups mit Hilfe von Oracle RMAN vollständig auf der Sicherungsplatte verschlüsselt werden. Hierdurch wird ein hoher Schutz bei Mediendiebstahl gewährleistet. Die Netzwerkverschlüsselung mittels Standard- Algorithmen wie dem Advanced Encryption Standard von Oracle Advanced Security schützt vor der Bedrohung des Network Sniffing. Für eine noch höhere Sicherheit kann die sichere Authentifizierung von Oracle Advanced Security anstelle der Usernamen- und Passwort-Authentifizierung verwendet werden. Oracle Database 10g Release 2 - Database Vault Seite 2

ADMINISTRATIVE SCHNITTSTELLE Oracle Database Vault besitzt eine administrative Schnittstelle auf Basis der Oracle Enterprise Manager-Normen. Mit Hilfe dieser Schnittstelle können Realms, Befehlsregeln, Faktoren, Regelgruppen, Berichte und Integration in andere Sicherheitsprodukte wie Oracle Label Security gesteuert werden. Abbildung 1.7 Database Vault Administrationsschnittstelle INTEGRATION IN DIE OPTION ORACLE LABEL SECURITY Database Vault ist so in Oracle Label Security integriert, dass einzelnen Faktoren Sicherheits-Labels wie GEHEIM oder VERTRAULICH zugewiesen werden können. Mit diesem leistungsstarken Feature können Unternehmen ihre auf unterschiedlichen Faktoren beruhenden Berechtigungsprüfungen noch erweitern. Angenommen, ein in Database Vault verwendeter Faktor ist die IP-Adresse. Mit Hilfe der administrativen Schnittstelle von Database Vault kann der IP-Adresse ein Sicherheits-Label zugewiesen werden. Wenn eine Verbindung mit der Oracle Datenbank hergestellt wird, bewertet Database Vault das der verbindenden IP- Adresse zugewiesene Sicherheits-Label und vergleicht es mit dem Berechtigungsstatus, der dem User zugewiesen wurde, der sich mit der Datenbank verbindet. Während dieses Vergleichs fordert Database Vault Oracle Label Security dazu auf, den aktuellen Berechtigungsstatus des verbindenden Users so abzusenken, dass er dem Sicherheits-Label für die IP-Adresse der eingehenden Verbindung entspricht oder dieses nicht übersteigt. Oracle Database 10g Release 2 - Database Vault Seite 3

Abbildung 1.8 Database Vault Integration in Oracle Label Security SCHLUSSBEMERKUNG Seit mehr als 25 Jahren ist Oracle führend im Bereich Datenbanksicherheit. Database Vault setzt diese Tradition fort, indem es die Sicherheitsfeatures der Oracle Datenbank um Realms, Befehlsregeln und Berechtigungsprüfungen auf der Basis unterschiedlichster Faktoren sowie Aufgabenverteilung und Funktionstrennung ergänzt. Mit Hilfe von Realms wird dem DBA und anderen privilegierten Datenbank-Usern der Zugriff auf Anwendungsdaten ganz einfach vorenthalten. Mit Berechtigungsprüfungen auf der Basis unterschiedlichster Faktoren kann der Zugriff auf Anwendungen, Datenbanken und spezifische Datenbankoperationen auf Grundlage von Variablen wie Tageszeit, IP-Adresse und Hostname streng kontrolliert werden. Durch die Berichtsfähigkeit von Database Vault erhalten Prüfer und Auditoren einfachen Zugriff auf die Sicherheits- und Audit-Informationen von Database Vault. Database Vault erzwingt die Aufgabenverteilung und Funktionstrennung, indem es die laufende Oracle DBA- Tätigkeit von der Verwaltung der Database Vault-Sicherheit trennt. Database Vault unterstützt die Erfüllung technischer Sicherheitsanforderungen in Bezug auf interne Kontrollen und Betriebsrisiken in Vorschriften wie Sarbanes-Oxley und der EU- Datenschutzrichtlinie über elektronische Kommunikation.. Database Vault gewährleistet hervorragende Sicherheit für konsolidierte Anwendungen und Datenbanken, bei denen mehrere DBAs und hochprivilegierte User innerhalb derselben Datenbank koexistieren können. Kurz gesagt: Database Vault liefert Automatisierung, Transparenz, präventiven Schutz und ermöglicht das Erkennen von Verstößen gegen Richtlinien. Damit unterstützt Database Vault Schlüsselaspekte der aktuellen strengen Sicherheitsanforderungen. Oracle Database 10g Release 2 - Database Vault Seite 4

Oracle Database 10g Release 2 Database Vault April 2006 Author: Paul Needham Oracle Corporation World Headquarters 500 Oracle Parkway Redwood Shores, CA 94065 U.S.A. Internationale Anfragen: Telefon: +1.650.506.7000 Fax: +1.650.506.7200 oracle.com Copyright Copyright 2006, Oracle. Alle Rechte vorbehalten. Dieses Dokument dient nur zu Informationszwecken, sein Inhalt kann ohne vorherige Ankündigung geändert werden. Für dieses Dokument wird keine Fehlerfreiheit garantiert, und es unterliegt keinen anderen mündlichen oder gesetzlichen Gewährleistungen oder Bedingungen, einschließlich gesetzlicher Gewährleistungen und Bedingungen bezüglich der allgemeinen Gebrauchstauglichkeit oder Tauglichkeit für einen bestimmten Zweck. Wir lehnen insbesondere jegliche Haftung im Hinblick auf dieses Dokument ab, und durch dieses Dokument ergeben sich weder direkt noch indirekt vertragliche Verpflichtungen. Dieses Dokument darf ohne unsere schriftliche Erlaubnis weder elektronisch noch mechanisch in jeglicher Form oder mit jeglichen Mitteln zu jeglichem Zweck reproduziert oder übermittelt werden. Oracle, JD Edwards, PeopleSoft und Retek sind eingetragene Marken der Oracle Corporation und/oder ihrer angeschlossenen Unternehmen. Andere Namen sind Marke ihrer entsprechenden Eigentümer.