сентябрь 2002 Встроенные средства защиты Oracle9i: новые возможности и опыт применения Дмитрий Волков «Инфосистемы Джет»

сентябрь 2002© «Инфосистемы Джет» Oracle9i БД должна обеспечивать: Хранение, извлечение данныхХранение, извлечение данных Возможность гибкого управления даннымиВозможность гибкого управления данными БД должна не дать их украсть !

сентябрь 2002© «Инфосистемы Джет» Основные компоненты обеспечения безопасности Виртуальные частные базы данных (Virtual Private Database, VPD) Метки безопасности (Oracle Label Security) Защита выделенных данных (Selective data encryption) Расширенный аудит (Extensive auditing)

сентябрь 2002© «Инфосистемы Джет» Виртуальная частная база данных Пользователи видят только те данные, к которым они имеют доступ, вне зависимости от того средства, с помощью которого они обращаются к базе данных (sqlplus, Oracle forms, MS Office - via odbc ) Функции управления доступом выполняет сам сервер на основе заданных для него правил вычисления фильтра Select * from emp Select * from emp where dept_no = Sys_context (emp, dept_no)

сентябрь 2002© «Инфосистемы Джет» Метки безопасности Классификационные метки:Классификационные метки: уровень конфиденциальности (иерархический) категория, разделение внутри одного уровня (не иерархическая) группа, принадлежность данных (иерархическая) Управление доступом на основе меток:Управление доступом на основе меток: пользователей данных

сентябрь 2002© «Инфосистемы Джет» Метки безопасности Таблица данных Метка пользователя: Конфиденциально : проект 1:бухгалтерия Уровень конфиденциальности Нет Конфиденциально:проект 1 Строго конфиденциально:проект1,проект2 Конфиденциально:проект1:отдел кадров Код AX703 B789C JFS845 SF78SD Отдел Финансовый Технический Юридический Отдел кадров OK Oracle9i Release 2 OLS

сентябрь 2002© «Инфосистемы Джет» Защита выделенных данных Предоставляет разработчикам пакет для шифрования данныхПредоставляет разработчикам пакет DBMS_OBFUSCATION_TOOLKIT для шифрования данных DES, Triple DES (112- and 168-bit keys) MD5 (криптографическая контрольная сумма) Advanced Encryption Standard (AES): Advanced Encryption Standard (AES): симметричный блочный алгоритм длина блока 128 бит длина ключа 128 (3.4 x ), 192 (6.2 x ) и 256 бит (1.1 x ) Подробнее об AES:

сентябрь 2002© «Инфосистемы Джет» Расширенный аудит CONNECT AS SYSDBA Запись в журнал аудита ОС Oracle9i Release 2 AUDIT_SYS_OPERATIONS = TRUE Доступ к конкретным объектам схемыДоступ к конкретным объектам схемы Контроль использования привилегийКонтроль использования привилегий Контроль использования операторов SQLКонтроль использования операторов SQL Создание политики аудита для таблиц и представленийСоздание политики аудита для таблиц и представлений предикаты столбец аудита пакет PL/SQL DBMS_FGA Аудит административных пользователейАудит административных пользователей

сентябрь 2002© «Инфосистемы Джет» Особенности национальной защиты Были сертифицированы: Встроенные средства защиты Oracle Server и Oracle Workgroup Server по 3 классу защиты от НСД Встроенные элементы защиты информации Oracle Server по классу 1В для АС

сентябрь 2002© «Инфосистемы Джет» Возможные проблемы безопасности Использование для получения НСД к данным уязвимостей и ошибок, имеющихся в самом ПО Oracle Наличие уязвимостей в настройках ОС, связанных с безопасностью Некорректное использование межсетевого экрана, наличие «дыр» в настройках Использование паролей по умолчанию, которые «забыли» сменить Использование административных ошибок

сентябрь 2002© «Инфосистемы Джет» 10 советов по безопасности 1. 1.Установка только необходимых компонентов 2. 2.Блокировка «пользователей по умолчанию» (Default User Accounts) 3. 3.Смена паролей пользователей по умолчанию (Default User Passwords) 4. 4.Защита системного словаря (Data Dictionary) 5. 5.Применение принципа минимизации привилегий

сентябрь 2002© «Инфосистемы Джет» 6.Усиление контроля доступа: ограничение количества пользователей ОС правильная аутенфикация клиентов 7.Ограничение доступа по сети: защита Oracle Server с помощью межсетевого экрана запрет удаленного конфигурирования Oracle Listener шифрование сетевого трафика проверка сетевых настроек ОС 8.Своевременная установка всех обновлений и патчей (Security Patches) 9.Оповещение разработчиков об обнаруженных уязвимостях 10 советов по безопасности

сентябрь 2002© «Инфосистемы Джет» Новые компоненты Oracle9i Кластеры (Сlusters) Объединение кэшей (Cache Fusion) Сохранение Данных (Data Guard) Ретроспективный Запрос (Flashback Query) Единая аутенфикация (Single Sign-On) Расширенные Средства Безопасности (Advanced Security Option) Виртуальная Частная База Данных (Virtual Private Database) Детализированный Аудит (Fine-Grained Auditing) Интернет-директория (Oracle Internet Directory)

сентябрь 2002 Спасибо за внимание! Дмитрий Волков Дмитрий Волков Все материалы доступны по адресу

сентябрь 2002© «Инфосистемы Джет» Oracle9i – неуязвимый Cant break It. Cant break.

сентябрь 2002© «Инфосистемы Джет» Что такое неуязвимый и почему отказы аппаратных средств ошибки в программном обеспечении ошибки персонала стихийные бедствия запланированные перерывы (outage) на обслуживание Основные причины остановки системы: Oracle выпустил множество компонент для устранения возможных причин