Встроенные средства защиты Oracle9i: новые возможностии опыт применения

сентябрь 2002
© «Инфосистемы Джет»
Oracle9i
БД должна обеспечивать:
Хранение, извлечение данных
Возможность гибкого
управления данными
БД должна не дать их украсть !

сентябрь 2002
© «Инфосистемы Джет»
Основные компоненты обеспечения безопасности
Виртуальные частные базы данных
(Virtual Private Database, VPD)
Метки безопасности
(Oracle Label Security)
Защита выделенных данных
(Selective data encryption)
Расширенный аудит
(Extensive auditing)

сентябрь 2002
© «Инфосистемы Джет»
Виртуальная частная база данных
Пользователи видят только те данные,
к которым они имеют доступ,
вне зависимости от того средства,
с помощью которого они обращаются
к базе данных
(sqlplus, Oracle forms,
MS Office - via odbc )
Функции управления доступом
выполняет сам сервер на основе
заданных для него правил вычисления фильтра
Select * from emp
Select * from emp where dept_no =
Sys_context (‘emp’, ‘dept_no’)

сентябрь 2002
© «Инфосистемы Джет»
Метки безопасности
Классификационные метки:
уровень конфиденциальности (иерархический)
категория, разделение внутри
одного уровня (не иерархическая)
группа, принадлежность данных (иерархическая)
Управление доступом на основе меток:
пользователей
данных

сентябрь 2002
© «Инфосистемы Джет»
Метки безопасности
Таблица данных
Метка пользователя:
Конфиденциально : проект 1:бухгалтерия
Уровень конфиденциальности Нет
Конфиденциально:проект 1
Строго конфиденциально:проект1,проект2
Конфиденциально:проект1:отдел кадров
Код
AX703
B789C
JFS845
SF78SD
Отдел
Финансовый
Технический
Юридический
Отдел кадров
OK
OK
Oracle9i
Release 2
OLS

сентябрь 2002
© «Инфосистемы Джет»
Защита выделенных данных
Предоставляет разработчикам пакет DBMS_OBFUSCATION_TOOLKIT для шифрования данных
DES, Triple DES (112- and 168-bit keys)
MD5 (криптографическая контрольная сумма)
Advanced Encryption Standard (AES):
симметричный блочный алгоритм
длина блока 128 бит
длина ключа 128 (3.4 x 1038 ), 192 (6.2 x 1057)
и 256 бит (1.1 x 1077)
Подробнее об AES: http://csrc.nist.gov/encryption/aes/aesfact.html

сентябрь 2002
© «Инфосистемы Джет»
Расширенный аудит
AUDIT_SYS_OPERATIONS = TRUE
Доступ к конкретным объектам схемы
Контроль использования привилегий
Контроль использования операторов SQL
Создание политики аудита для таблиц
и представлений
предикаты
столбец аудита
пакет PL/SQL DBMS_FGA
Аудит административных
пользователей

сентябрь 2002
© «Инфосистемы Джет»
Особенности национальной защиты
Были сертифицированы:
Встроенные средства защиты
Oracle Server и Oracle Workgroup Server 7.3.4
по 3 классу защиты от НСД
Встроенные элементы защиты информации
Oracle Server 8.0.3 по классу 1В для АС

сентябрь 2002
© «Инфосистемы Джет»
Возможные проблемы безопасности
Использование для получения НСД
к данным уязвимостей и ошибок,
имеющихся в самом ПО Oracle
Наличие уязвимостей в настройках ОС,
связанных с безопасностью
Некорректное использование межсетевого
экрана, наличие «дыр» в настройках
Использование паролей по умолчанию,
которые «забыли» сменить
Использование административных ошибок

сентябрь 2002
© «Инфосистемы Джет»
10 советов по безопасности
Установка только необходимых компонентов
Блокировка «пользователей по умолчанию» (Default User Accounts)
Смена паролей пользователей по умолчанию
(Default User Passwords)
Защита системного словаря
(Data Dictionary)
Применение принципа минимизации привилегий

сентябрь 2002
© «Инфосистемы Джет»
Усиление контроля доступа:
ограничение количества пользователей ОС
правильная аутенфикация клиентов
Ограничение доступа по сети:
защита Oracle Server с помощью межсетевого экрана
запрет удаленного конфигурирования Oracle Listener
шифрование сетевого трафика
проверка сетевых настроек ОС
Своевременная установка всех обновлений
и патчей (Security Patches)
Оповещение разработчиков об обнаруженных уязвимостях
10 советов по безопасности

сентябрь 2002
© «Инфосистемы Джет»
Новые компоненты Oracle9i
Кластеры (Сlusters)
Объединение кэшей (Cache Fusion)
Сохранение Данных (Data Guard)
Ретроспективный Запрос (Flashback Query)
Единая аутенфикация (Single Sign-On)
Расширенные Средства Безопасности
(Advanced Security Option)
Виртуальная Частная База Данных
(Virtual Private Database)
Детализированный Аудит (Fine-Grained Auditing)
Интернет-директория (Oracle Internet Directory)

Спасибо за внимание!
Дмитрий Волков
[e-mail]
Все материалы доступны по адресу
http://dsvolk.msk.ru/oracle/security

сентябрь 2002
© «Инфосистемы Джет»
Oracle9i – неуязвимый
Can’t break It. Can’t break.