数据审计服务器

Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|甲骨文数据中心云化、性能与安全高级演示会防:如何保护您的数据Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|为什么要保护数据OracleConfidential–Internal/Restricted/HighlyRestricted2Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|一、信息安全相关的条例越来越严格猜:泄露居民身份证公民个人信息,处几日拘留和多少钱罚款第十九条国家机关或者金融、电信、交通、教育、医疗等单位的工作人员泄露在履行职责或者提供服务过程中获得的居民身份证记载的公民个人信息,构成犯罪的,依法追究刑事责任;尚不构成犯罪的,由公安机关处十日以上十五日以下拘留,并处五千元罚款,有违法所得的,没收违法所得.
单位有前款行为,构成犯罪的,依法追究刑事责任;尚不构成犯罪的,由公安机关对其直接负责的主管人员和其他直接责任人员,处十日以上十五日以下拘留,并处十万元以上五十万元以下罚款,有违法所得的,没收违法所得.
有前两款行为,对他人造成损害的,依法承担民事责任.
自2012年1月1日起施行Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|一、信息安全相关的条例越来越严格其他法规第302节,要求CEO和CFO确认财务报告的真实性和准确性,同时评估和报告内部控制的有效性第404节,要求企业评估内部控制机制的有效性,并每年向SEC提交报告.
同时该报告必须有外部核计师的核实和评估.
第802节,要求公司和核数师保留会计文件和原始文件7年以上.
Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|一、信息安全相关的条例越来越严格其他法规FISMASOX|COSOPCI-DSS|COSO|COBIT|ISO17799|ISO27001HIPAAGLBAPIPEDABaselIIEUDataDirectivesEuroSOXJSOXKSOXSAS70AUS/PROUK/PRO中国企业内部控制基本规范中国信息安全等级保护条例中国信息系统安全管理要求GB/T20269-2006香港个人资料(私隐)条例香港电子银行的监管模式指引TM-E-1SG-MASIBTRM台湾个人资料保护法Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|1.
安全2.
性能3.
高可用性二、解决信息安全问题是使用云计算必须面对的Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|7三、经济原因Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|如何保护您的数据8Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|权限分离数据分级数据加密通讯加密备份加密数据屏蔽管理员行为追踪审计用户行为追踪审计用户权限变更审计数据变更审计数据库配置变更审计存储进程变更审计敏感数据操作拦截非授权IP操作拦截非办公时间操作拦截危害操作拦截可疑操作拦截SQL注入拦截事后审计Auditing事前防范Prevent事中拦截Blocking#1:制定目标通盘考虑和设定您将来的能力9Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|#2:分析差距评估您的数据库安全程度10账户和口令控制访问和权限控制数据库安全运维行为监控和审计数据加密和脱敏Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|#3:完善数据安全管理规范共七章,三十九条总则职责划分帐户和口令控制访问和权限控制数据库安全运维数据库安全审计数据加密和脱敏11Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|职责划分–数据库管理员–安全管理员–审计员–数据库管理员不能兼并其他两值账户和口令控制–不能共享账户–可分为DBA账户、应用账户、监控账户、普通账户等–账户必须能定位到人–密码必须大小写区分–启动密码验证功能–应用账户密码必须超过12位、普通账户必须超过10位,必须定期更换口令–最好锁上SYSTEM账户–不用的账户要回收12访问和权限控制–除了应用外,不能使用应用账户直接访问数据库–数据库管理员不能访问敏感数据–规范数据库管理员访问数据库的路径–DBA账户、监控账户、普通账户多次登入失败必须锁定账户–限制本地操作系统直接登入数据库参考:数据安全规范Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|数据库安全管理–升级到原厂支持的版本–CPU必须在3-6个月里–保持数据库归档开启–定期安装补丁加密和脱敏–定义敏感数据–对磁盘数据进行加密–定期更新秘钥–通讯加密–导出到开发系统必须脱敏13行为监控和审计–必须对DBA操作进行审计–必须对登入、登出、登入失败进行审计–必须对角色权限变更进行审计–必须对存储过程变更进行审计–必须对对象权限进行评估审计–必须定期复查违反安全策略的行为–必须有独立的审计系统参考:数据安全规范Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|风险–REMOTE_OS_AUTHENT被设定为TRUE–不能控制远程登入影响–当REMOTE_OS_AUTHENT被设定为TRUE时,Oracle数据库会信任用户的电脑而不再要求用户提供密码.
这意味着只要我能在我本机上创建一个同名用户,我就能在不知道数据库用户密码的时候访问数据库14解决方案–设定REMOTE_OS_AUTHENT为FALSE–经常检查REMOTE_OS_AUTHENT的状态设定和定期检测REMOTE_OS_AUTHENTCopyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|风险–SEC_CASE_SENSITIVE_LOGON被设定为FALSE–用户可以用大写密码或小写密码登入–密码的HASH值也减少了,增加被攻破的可能影响–数据库密码不区分大小写,举例OrAcLE和oracle是相同的–密码的HASH值也减少了–增加被攻破的可能15解决方案–设定SEC_CASE_SENSITIVE_LOGON为TRUE–参考MOS115499.
1设定和定期检测SEC_CASE_SENSITIVE_LOGONCopyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|风险–大部分数据库用户的密码都不会过期(75%)–大部分数据库用户的密码过期后有7天灰色期–大部分数据库用户的密码没有要求复杂度影响–弱密码将增加数据泄密的机会16解决方案–设定PASSWORD_GRACE_TIME为0!
为什么–设定其他的密码要求–为DefaultProfile设定最高的密码要求设定和定期检测密码相关的参数,如PASSWORD_GRACE_TIMECopyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|#4:制定路线图3个月:敏感操作可审计6个月:核心数据拿不走12个月:整体安全能合规第二步第一步第三部行为监控和审计行为监控和审计数据加密和脱敏账户和口令控制行为监控和审计数据加密和脱敏账户和口令控制数据库安全运维访问和权限控制数据安全低高17Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|Oracle数据保护方案简介18Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|Oracle数据保护方案Defense-in-DepthforMaximumSecurityORACLE产品高级加密AdvancedSecurity数据脱敏和子集DataMasking&Subsetting数据库加固DatabaseVault审计和数据库防火墙AuditVaultandDatabaseFirewall数据库生命周期管理DatabaseLifecycleManagement标签安全LabelSecurity安全备份SecureBackup敏感数据"看不见"核心数据"拿不走"运维操作"能审计"19Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|Oracle数据保护方案覆盖的控制点应用服务器通讯加密用户uthenti^(备份数据加密磁盘数据加密导出数据加密灾备库开发/测试库权限分离网络审计记录本地审计记录定期报告数据脱敏配置评估实时脱敏数据分级权限评估行级访问控制SQL级访问控制命令级访问控制环境因子级访问控制Schema变更监控数据变更监控补丁20Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|Oracle数据保护方案简介ASO21Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|Oracle高级加密(AdvancedSecurity)22ProductSummary磁盘导出备份Application全部显示屏蔽显示实时数据屏蔽DataRedaction透明加密TDE加密数据CreditCard#5105-1051-0510-51004012-8888-8888-18815454-5454-5454-5454Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|透明数据加密TransparentDataEncryption(TDE)FeatureSummary对表空间或列加密防止直接访问静态数据不需要更改应用,完全透明内建"双层"密钥管理接近"零"额外负载(对SPARC和INTEL处理器)Applications加密数据ClearData23磁盘导出备份Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|TDE秘钥架构TDE自动创建和管理加密键加密主键加密"表加密键"和"表空间加密键"加密主键存放在OracleWallet或OracleKeyVaultOracleWalletOracleKeyVault表空间加密键表加密键加密主键OracleDatabaseEnterpriseEditionTDE列加密TDE表空间加密OR24Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|数据实时脱敏(12c&11.
2.
0.
4)根据用户名,IP地址,其他因子对应用高透明对应用性能影响小可使用EM进行管理RedactingSensitiveDataforApplicationsCreditCard#5105-1051-0510-51004012-8888-8888-18815454-5454-5454-5454PolicyApplication授权显示遮蔽后的显示信用卡数据身份证号码医疗数据其他Businessappsincludingdisplayscreens,reports,dashboards,panelsNewandlegacyapplications25Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|987-65-4328XXX-XX-4328脱敏规则存储数据脱敏数据10/09/1992first.
last@example.
com[hidden]@example.
com51051051051051004012888888881881全部Full部分Partial正则表达式RegExp随机Random01/01/200126Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|Oracle数据保护方案简介数据库安全健康检查27Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|Oracle数据保护方案简介数据库安全健康检查28Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|EM提供300+数据库安全标准SingleInstanceDatabase–BasicSecurityConfigurationforOracleDatabase–HighSecurityConfigurationforOracleDatabase–CertificationforOracleDatabase–ConfigurationBestPracticesforOracleDatabase–PatchableConfigurationforOracleDatabase–StorageBestPracticesforOracleDatabase–SupportPolicyforOracleDatabaseListener–BasicSecurityConfigurationforOracleListener–HighSecurityConfigurationforOracleListenerAutomaticStorageManagement–StorageBestPracticesforASM–PatchableConfigurationforASMClusterDatabase–BasicSecurityConfigurationforRACDatabase,&Instance–HighSecurityConfigurationforRACDatabase,&Instance–CertificationforRACDatabase–ConfigurationBestPracticesforRACDatabase–PatchableConfigurationforRACDatabase–StorageBestPracticesforRACDatabase–SupportPolicyforRACDatabaseExadata–ConfigurationMonitoringforExadataComputeNode,ComputeNodeNetworking,ComputeNodeTimePluggableDatabase(NEW)–StorageBestPracticesforPluggableDatabase–ConfigurationBestPracticesforPluggableDatabase–BasicSecurityConfigurationforPluggableDatabase29Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|发现和分类数据库提供数据库安全最佳实践和400+以上的安全标准扫描数据库,评估数据库安全侦测非授权的变更,对比变更补丁管理和实施数据库生成和复制DBLifecycleManagementPack定期评估发现数据库扫描、;评分、监控数据库补丁Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|EnterpriseManager定期评估数据库安全状况,提供一站式仪表盘31安全标准vs.
(#oftargets,violations,avgscore)目标vs.
(#standards,violations,avgscore)未纳入管理的目标Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|Oracle数据保护方案简介数据库加固32Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|拦截利用特权用户的攻击建立"安全域"保护Schemas或对象限制DBA访问"安全域"里的数据在打补丁时限制访问"安全域"里的数据支持多因子访问控制,包括环境因子级和命令级的访问控制支持"双人"认证强制执行权限分离,和最小权限DatabaseVault特权用户控制ProcurementHRFinanceselect*fromfinance.
customersApplicationDBAApplicationsSecurityDBADBAUnauthorizedIP,UnauthorizedTimeCopyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|打开权限监控模式报告实际的权限使用移除不必要的权限增强数据安全OracleDatabaseVault分析用户权限和角色Create…Drop…Update…DBAroleAPPADMINroleUnusedUpdateAPPADMINPrivilegeAnalysisCopyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|Oracle数据保护方案简介数据库审计和防火墙35Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|审计和数据库防火墙防火墙事件用户应用数据库防火墙AllowLogAlertSubstituteBlock数据库审计记录审计服务器报告!
告警策略审计员安全管理员操作系统、目录、档案系统、应用审计记录36Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|监控和记录数据库网络活动侦测和拦截非授权的数据库活动,包括SQL注入先进的SQL语法分析灵活的白名单/黑名单策略语句级的策略定制容易安装、部署简单网络监听、或拦截数据库活动监控和防火墙回答"何事何时何地何人,如何"的问题拦截记录通过告警替代应用白名单黑名单SQL分析安全策略用户Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|收集和分析审计纪录或事件集中的安全审计库集中的报告开箱即用和客制化的报告灵活和接近实时的告警容易安装、部署简单集中审计、报告和告警审计,报告,实时告警审计纪录和事件操作系统文件系统和目录数据库数据库防火墙客户应用策略报告告警!
SecurityAnalystAuditorSOCCopyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|Oracle数据保护书籍Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|www.
mhprofessional.
com/dbsecOraclePrivacySecurityAuditing-ArupNandaEffectiveOracleDatabaseSecuritybyDesign-DavidKnoxOracleHackersHandbook–DavidLitchfieldOracle11gAnti-HackersCookbook-AdrianNeagueHowtoSecure&AuditOracle10gand11g–RonBenSecurity,Audit&ControlFeaturesOracle数据保护书籍Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|SafeHarborStatementTheprecedingisintendedtooutlineourgeneralproductdirection.
Itisintendedforinformationpurposesonly,andmaynotbeincorporatedintoanycontract.
Itisnotacommitmenttodeliveranymaterial,code,orfunctionality,andshouldnotberelieduponinmakingpurchasingdecisions.
Thedevelopment,release,andtimingofanyfeaturesorfunctionalitydescribedforOracle'sproductsremainsatthesolediscretionofOracle.
41Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|Oracle是云计算行业的大玩家作为一家云派对的迟到者,甲骨文的发展势头确实令人印象深刻.
甲骨文表示,他们第二财季当中,来自三个不同云领域的营收总计为5亿1600万美元,较之去年同期增长了45%之多.
埃里森已经不止一次向竞争对手们发起了明确警告,尤其是Salesforce(59.
86,0.
53,0.
89%).
comInc.
(CRM)和Workday(85.
45,0.
88,1.
04%)Inc.
(WDAY)——拥有三十七年历史的软件巨头将成为一股在云市场上让他们发抖的力量.
"在下个财年当中,我们的软件即服务和平台即服务订金营收将超过10亿美元.
"埃里森表示,"让明年的局面会变得格外有趣的是,甲骨文的软件即服务和平台即服务销售总金额将和云市场领先者Salesforce.
com相当.
等着瞧吧,我们的距离在拉近.
我们正在追上他们,而且我们跑得很迅速.
"2014年9月下旬,Oracle公司在甲骨文全球大会上一举推出了百余种云计算产品.
Copyright2014,Oracleand/oritsaffiliates.
Allrightsreserved.
|Oracle是第三方云计算的主要平台支撑