oracle数据库10g安全性概述.ppt

1、,Sudha Iyer 资深产品经理 甲骨文公司,Oracle 数据库 10g 安全性 保护应用程序安全工具,议程,全球安全的推动因素 Oracle 安全性/身份管理平台 安全性的最佳应用 问题与解答,安全性推动因素,外包、电子商务对全球的影响,安全现状 美国,90% 的被调查者*在过去十二个月中曾检测到计算机安全侵害。 80% 的被调查者承认由于计算机安全侵害而导致经济损失。 可计算的损失为 455,848,000 美元 专利信息被盗损失为 170,827,000 美元 金融诈骗损失为 115,753,000 美元 74% 的被调查者称其互联网连接经常受到攻击 33% 的被调查者称其内部系统

2、经常受到攻击,*来源：2002 CSI/FBI 计算机犯罪和安全调查,欧洲的安全管理规程,皇家法令 994/1999（西班牙） 针对个人数据文件的安全性法规 欧洲隐私管理规程 关于个人身份信息的安全措施，包含对收集、使用和访问数据的限制 欧洲电子签名管理规程 有效电子签名的要求 欧洲计算机犯罪条约委员会,8,亚太地区安全性准则,用于保护隐私的 OECD 准则 澳大利亚隐私法案 1988 用于保护数据的协同方案 信息隐私法规 = 国家隐私法规 香港个人数据（隐私）条例 1995 日本新的隐私保护法律将于 2005 年 4 月 1 日生效,从客户的观点来看，,10,身份管理和安全性的商业推动因素,

3、Web 应用程序非常优秀,开发成本较低 易于部署 可从任何位置访问,但是,12,这些应用程序是否安全？,能否在任何地点、任何时间进行访问？,采用新技术,消失的边界,是否符合法规？,13,基本需求,以安全的方式对数据进行智能分析 符合法规 在多个技术层中跟踪身份 尽量减少由于数据丢失、被盗和过于暴露而带来的风险 具备验证及访问管理的端到端安全性 易于使用、易于管理并且安全的终端安全性 基于标准的安全性（互操作性）,Oracle 数据库 10g = 25 年以上的安全性领导地位,1977,2004,标签安全性 + 身份管理 列安全策略 17 项安全评估 身份管理版本 细粒度审计 通用标准 (EAL

4、4) Oracle 标签安全性 (2000) 虚拟专用数据库 (1998) 企业用户安全性 Oracle 互联网目录 数据库加密 API 推出 Oracle 高级安全性 网络加密、RADIUS、Kerberos、PKI 第一个橘皮书 B1 评估 (1993) 可信的 Oracle7 多级安全数据库 (1992) 政府客户,安全性的最佳应用,使用数据库安全特性的策略,16,风险管理,在可负担性、可用性和安全性之间找到一个平衡点 风险管理非常重要 通过以下方法预防风险 全局式安全分析 安式式设计 安全式编程 安全式部署,17,基本的安全性原则,了解您的用户 最低权限原则 监控的合法性,数据,审计,

5、访问控制,验证,安全性的两个方面 管理 开发,安全性的管理方面,19,应用程序中的互操作性及标准,由“标识”所建立的认证 与可信身份建立信任关系 使用多种应用程序技术 OCI JDBC、.NET Oracle Forms/ Oracle Reports OC4J Web 服务,平台的安全性和身份管理,外部安全性 服务,Oracle 平台安全性,应用程序 安全性,电子商务套件,职责、角色,协作套件,S-MIME、 相互权利,OracleAS Portal /Wireless,Roles, Privilege Groups ,Oracle Internet Directory,OracleAS 认

6、证授权,目录集成 和供应,OracleAS 一次性登录,委托管理服务,第三方应用程序,授权、隐私、 审计,OracleAS 门户/无线,角色、权限组,Oracle 数据库,企业用户、VPD、加密标签安全性,Oracle 身份管理,Oracle 应用服务器,JAAS、 WS 安全性 Java2 许可,21,Oracle 数据库 10g 集成身份管理功能,数据库企业用户安全性功能 在 Oracle 应用服务器 10g 身份管理基础架构中管理数据库用户 统一的用户模型 单一应用服务器 Web 一次性登录与数据库口令 = 增强的安全性！ 全面集成 Oracle 标签安全性与 Oracle 身份管理 在

7、 Oracle 应用服务器 10g 身份管理基础架构中管理用户和安全检查,22,在进行身份管理和 EUS 部署之前,DBA： 创建用户名和口令 重新设置口令 管理角色 设置口令策略 将用户名与身份相匹配,应用程序数据库,23,在进行身份管理和 EUS 部署之后,用户身份管理员,应用程序数据库,Oracle身份管理,其他企业目录 （可选）,Oracle 标签安全性,应用程序表,敏感：ACME,敏感度标签 敏感：ACME 敏感：WIDGET 高度敏感： ACME 一般：ACME,存储 ID AX703 B789C JFS845 SF78SD,收入 10200.34 18020.34 15045.2

8、3 21004.45,部门 财务 工程 法律 人力资源,OK,OK,Oracle 标签安全性身份管理集成,集中管理 Oracle 标签安全性策略 敏感度标签 用户标签授权 益处 对目录用户执行标签授权 集中执行统一的策略 辅助网格计算 为网格进行安全检查 减轻管理负担 10g 中的新增特性,Oracle 高级安全性选项,网络安全性 加密（Net8 本地、SSL、Java） 强大的认证功能 Kerberos PKI 一次性登录（委托、PKI） Radius,PKCS#11 支持允许在智能卡或硬件上使用 Oracle 钱夹 = 10g 中的新增特性,Oracle 数据库 10g 应用 Kerber

9、os 的企业用户,目录用户使用 Kerberos 证书认证到数据库中 益处 利用桌面登录的端到端安全性 实质上没有管理成本 在异种环境中进行集中管理,28,网络加密：线路中的保密,#yu1(*tp4e,- 行业标准算法 多达 256 位的 RCA RC4、AES、3DES（2 个密钥和 3 个密钥） - 可以方便的建立在数据库客户端与服务器之间 通过 FIPS 评估 防止数据更改、数据重放和中间人攻击,%oiu*hjktyot,标准客户端,Oracle10g 数据库,Oracle10g AS,29,企业管理器帮助实施安全性的最佳应用,供应用户适当的访问权限 检查系统中权限过多的帐户 为 EM

10、用户管理提供相关环境的链接 使用安全的配置 Oracle 产品部署在一个普通的不安全配置环境中 ， 则向客户报警 部署安全的安装版本、补丁 提供 Oracle 产品安全性补丁的快速通知 便于安全性补丁的应用,30,Oracle 数据库 10g 审计,细粒度审计 (FGA) 增加对插入、更新和删除操作的粒度审计支持 利用新视图增强对审计记录的访问 在数据库中提供新的单一审计视图 Oracle9i 只支持对选择操作的审计,在数据库中执行审计策略,. Where Salary 500000 AUDIT COLUMN = Salary,31,审计的最佳应用,建立正常行为和异常行为 对于高度重要的事务进

11、行 FGA 创建 AuditManager 角色 AUDIT ANY 权限 在 DBA_AUDIT_TRAIL 上进行选择操作 在 AUD$ 上进行删除操作 为 AuditManager 角色授权并停止使用 SYS！,Oracle 数据库 10g 的应用程序安全性,33,Oracle 数据库 10g 中的新功能,虚拟专用数据库增强功能 升级的加密工具包 公共密钥基础架构增强功能 默认的安全性 Oracle 企业管理器安全性,34,Oracle 数据库 10g 虚拟专用数据库,在 Oracle8i 中开始推出 数据库强制执行 可编程的行级安全性,VPD 策略,35,Oracle 数据库 10g

12、虚拟专用数据库,列相关策略 只有在访问特定列的时候才强制执行该策略 提高行级安全性的粒度,36,Oracle 数据库 10g 虚拟专用数据库,列筛选 可选的 VPD 配置返回所有行，但滤除那些不符合标准的行的列值,37,Oracle 数据库 10g 虚拟专用数据库,性能增强 静态策略 动态策略 静态策略 不变的策略有助于进行托管 动态策略 在策略返回不同的谓词时，这是个好的选择 每日定时执行,38,Oracle 数据库 10g 加密工具包,Oracle10g 具有一个简单的加密/解密接口 DBMS_CRYPTO 程序包 DES、3DES、AES 加密 MD5 校验和 编程密钥管理 10g 的增

13、强用户接口 加密 blob 数据类型 应用程序必须提供密钥生成、管理和恢复功能 加密密钥必须存储在某处 可以存储在数据库文件中、操作系统中、磁盘上等等,全局应用程序环境,应用服务器,1. 用户 A 连接,2. 应用程序确定用户 A 为 Gold,3. 应用程序创建 Gold、Silver、Bronze 全局环境,4. 应用程序重新设置 client_identifier 为 Gold,5. 用户 B 连接,6. 应用程序确定用户 B 为 Bronze,7. 应用程序重新设置 client_identifier 为 Bronze,Oracle9i,40,安全的应用程序角色,安全的应用程序角色是指

14、由程序包所实施的角色 程序包在设置角色（SET ROLE）完成之前能够执行任何所需的验证 为用户访问提供灵活性,Oracle Internet Directory,用户 A,用户 B,用户 C,用户 D,Oracle9i,41,代理认证,Oracle9i,1. 用户认证到中间层,2. 中间层代理用户（DN、证书）身份到数据库,用户 A,用户 B,用户 C,用户 D,用户 A,用户 B,用户 C,用户 D,应用服务器,3. 数据库检索用户角色，连接到应用程序模式,Oracle Internet Directory,Oracle 高级安全性选项,网络安全性 加密（ Net8 本地、SSL、Java

15、 ） 强大的认证功能 Kerberos PKI 一次性登录（委托、PKI） Radius,PKCS#11 支持允许在智能卡或硬件上使用 Oracle 钱夹 安全性模块 = 10g 中的新增特性,Oracle 数据库 10g 经过 Kerberos 处理的企业用户,目录用户使用 Kerberos 证书认证到数据库 益处 利用桌面登录的端到端安全性 实质上没有管理成本 在异种环境中进行集中管理,44,网络加密：在线路中保密,#yu1(*tp4e,- 行业标准算法 多达 256 位的 RCA RC4、AES、3DES（2 个密钥和 3 个密钥） - 易于建立在数据库客户与服务器之间 通过 FIPS 评估 防止数据更改、数据中继和中间人攻击,%oiu*hjktyot,标准客户端,Oracle10g 数据库,Oracle10g AS,45,企业管理器帮助实现安全性的最佳应用,利用适当的访问方式来供应用户 检查系统中具有过多权限的帐户 为 EM 用户管理提供相关环境的链接 使用安全的配置 如果利用普通的不安全配置来部署 Oracle 产品，则向客户报警 部署安全的安装文件、补丁 提供