Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,Click to edit Master title style,数据库的平安性与合规性的“纵深防御,裘海生,Senior Sales Consultant,Agenda,数据库平安的业务驱动因素,Oracle 的数据平安性的开展,加密与数据屏蔽的产品,访问控制层面的产品,监控层面的产品,结合平安审计产品的案例,Q&A,数据库平安的业务驱动因素,Oracle 的数据平安性的开展,加密与数据屏蔽的产品,访问控制层面的产品,监控层面的产品,结合平安审计产品的案例,Q&A,Oracle 数据库平安性 业务驱动因素,数据合并,全球化,权力外包,合规性要求,SOX,FDA,Basel II,EU Directives,HIPAA,GLBA,SB1386,PCI,安全威胁,内部威胁,工业间谍,身份盗窃,DBA,SMITH,17170,SCOTT,14220,KING,18031,543.,534.,533.,SMITH,17170,SCOTT,14220,KING,18031,536.,535.,534.,select SIN from user_clients;,alter table.,对不同敏感度的数据进行分类管理,存放在数据库中,需要保护的数据,网络中需要,保护的敏感数据,保护备份到碰带中数据,以防止磁带的丢失,或失窃,强化对拥有超级权限,用户的控制,安全、集中化的审计,并加以分析,管理大量,的数据库,高度机密,机密的,公共,中间层,select SIN from user_clients;,534 123 321 523 123 321,Oracle 数据库平安性 信息平安的挑战,Agenda,数据库平安的业务驱动因素,Oracle 的数据平安性的开展,加密与数据屏蔽的产品,访问控制层面的产品,监控层面的产品,结合平安审计产品的案例,Q&A,数据屏蔽,TDE 表加密,Oracle Total Recall,Oracle Audit Vault,Oracle Database Vault,透明数据加密TDE,实时屏蔽,平安配置扫描,细粒度审计,Oracle Label Security,企业用户平安性,虚拟专用数据库VPD,数据库加密 API,强身份验证,自带网络加密,数据库审计,政府客户,Oracle 数据库平安性,持续创新,Oracle7,Oracle8i,Oracle,数据库,9i,Oracle,数据库,10g,Oracle,数据库,11g,Oracle 数据库平安性为实现平安性与合规性的“纵深防御,Database,Vault,标签,平安性,访问控制,配置管理,Audit,Vault,Total,Recall,监视,数据屏蔽,高级平安性,平安,备份,加密与屏蔽,Agenda,数据库平安的业务驱动因素,Oracle 的数据平安性的开展,加密与数据屏蔽的产品,访问控制层面的产品,监控层面的产品,结合平安审计产品的案例,Q&A,写入,磁盘的,数据被透明,的加密,通过,SQL,接口,透明的解码,TDE,透明数据,加密,Oracle 高级平安选件ASO,透明加密和强认证,通过,RMAN,能够,加密整个备份,输出到磁盘,透明网络加密,强认证,(PKI,Kerberos),Oracle 高级平安选件ASO 表空间加密Tablespace Encryption,加密所有应用数据,加密整个数据库文件,不用担忧需要逐列的加密,高效,高性能,与Oracle 数据的压缩集成,应用无需改变,支持所有的数据类型,索引范围扫描,SQL Layer,data blocks,“*M$bs%&d7,undo blocks,temp blocks,flashback logs,redo logs,Buffer Cache,“SSN=987-65-.,Oracle 高级平安选件ASO网络、磁盘和磁带中的数据都得到保护,透明数据加密(TDE),应用不必变化,表空间和列加密,加密的备份(RMAN)加密的数据泵输出,加密Oracle Securefiles(LOBS),内置的密钥管理,透明，自动,硬件平安模块(HSM),网络加密,SSL/TLS,本地的 无认证要求,强认证,Kerberos,PKI,#*,75000,加密输出到磁盘的备份,网络加密,),(,强认证,透明数据加密,TDE,总结,不必改变现在应用,无触发器，无视图,最小化的性能影响,内置的密钥管理,无额外的加密和密钥管理的开销；只需关注业务逻辑,简单的,alter table,语句,Oracle E-Business Suite,和,SAP,支持,TDE,透明数据加密,TDE,列加密的布署方法,Transparent Data Encryption,Five easy steps:,Identify columns holding sensitive data,Does TDE support the datatype of the column?,Column is not part of a Foreign Key?,Setup and initialize the Master Key,Encrypt existing and new data,识别包含敏感数据的表,Credit Cards,SSN,确认,TDE,支持的数据类型,?,TDE supports most all commonly used datatypes,确认列不是外键的一局部?,Simple Data Dictionary Query,加密已存在的数据或新数据,SQL*Developer GUI or Command line DDL,Alter Table.,1,2,3,4,理解 Oracle 平安备份OSB,在分布式环境中多平台的,统一备份管理,完整的磁带数据保护,：,Unix/Linux/Windows/NAS file systems,Oracle Database:Oracle9,i,至,Oracle Database 11,g,平安的跨域通信,对分布的备份环境管理效劳器提供的集中化的管理,支持超过 200 种SCSI 和 SAN 环境下可动态共,态共享驱动器的磁带设备,Oracle 平安备份Secure Backup 集成的磁带备份管理,Oracle Secure Backup,集中的磁带备份管理,文件系统数据,UNIX,Linux,Windows,NAS,磁带,Oracle Databases,与,RMAN,的集成,被保护的备份,数据库和文件系统的备份加密,自动的密钥管理,高性能,无须备份读已提交的undo,高级的介质管理,在多地点间转移时提供了循环保护,基于策略的磁带备份,数据屏蔽,(Data Masking),是什么？,定义,将客户数据、财务数据或公司保密数据匿名化来创立可以使用的新数据。这些数据保存了原来数据的属性，如宽度、类型及格式。,原因,当开发人员或离岸外包供给商在测试环境中使用保密数据时对这些数据进行保护,当与第三方共享客户数据时不披露个人身份信息,LAST_NAME,SSN,SALARY,AGUILAR,203-33-3234,40,000,BENSON,323-22-2943,60,000,DSOUZA,989-22-2403,80,000,FIORANO,093-44-3823,45,000,LAST_NAME,SSN,SALARY,ANSKEKSL,11123-1111,40,000,BKJHHEIEDK,111-34-1345,60,000,KDDEHLHESA,111-97-2749,80,000,FPENZXIEK,111-49-3849,45,000,主要特性,屏蔽主键时自动进行数据库引用完整性检查,隐式 在数据库中执行,显式 在应用程序中执行,数据屏蔽格式库,屏蔽前查看例如数据,应用程序屏蔽模板,一次定义，屡次执行,企业管理器数据屏蔽包,生产,预备,屏蔽,测试,测试,克隆,克隆,Agenda,数据库平安的业务驱动因素,Oracle 的数据平安性的开展,加密与数据屏蔽的产品,访问控制层面的产品,监控层面的产品,结合平安审计产品的案例,Q&A,Oracle,数据库保护,Database Vault,减少内部威胁，加强合规性,控制授权用户,限制DBA 访问应用程序数据,实现职责别离,保障数据库整合的平安性,实施数据访问平安策略,控制进行数据访问的人员、时间、地点和方式,基于IP 地址、时间、验证等确定,支持Oracle9iR2 以上版本,Reports,Realms,Multi-Factor,Authorization,Separation,of Duty,Command,Rules,Oracle,数据库保护,Database Vault,特权用户的控制,Database DBA,浏览,HR,信息,合规和对内部人员的控制,HR,系统使用人员访问,FIN,数据,从效劳整合的层面杜绝风险,DBA,HR App,SELECT*FROM HR.EMP,HR,HR Realm,FIN,FIN Realm,FIN App,Oracle Database Vault,内置因子,用户因子,Name,Authentication type,Session User,Proxy Enterprise Identity,网络因子,Machine name,Client IP,Network Protocols,扩展,Define custom factors,数据库因子,Database IP,Database Instance,Database Hostname,Database SID,运行时因子,Language,Date,Time,Oracle 标签平安性Label Security基于标签的访问控制,机密数据,高敏感数据,敏感数据,基于标签授权的用户,可访问敏感数据,可访问高敏感数据,保护敏感数据,给表中的行分配数据标签,给应用的用户分配用户标签,使用内置的算法实现对表的透明访问控制,灵活性和用户化,基于策略的架构,增强的选件,权限,可信任的存储过程,完整的,API,Agenda,数据库平安的业务驱动因素,Oracle 的数据平安性的开展,加密与数据屏蔽的产品,访问控制层面的产品,监控层面的产品,结合平安审计产品的案例,Q&A,数据库平安性评估自动化,数据库参数,数据库配置文件,数据库访问,数据库文件权限,安装之后的检查,跟踪数据库间的“配置偏差,持续的合规可见性,合规性分数0-100%,违规通知,跟踪一定时间段的合规性进展,映射到 COBIT、CIS 和 Oracle 的最正确实践,现成的最正确实践,250 多个策略,支持 Oracle 8i 及更高版本,企业管理器配置包平安配置扫描,主机,检测开放的端口,检测不平安的效劳,确保 NTFS 文件系统类型(Windows),应用效劳器,HTTPD 具有最低权限,使用 HTTP/S,应当启用 Apache 日志记录,禁用演示应用程序,禁用默认的标题页面,禁用对未使用目录的访问,禁用目录索引,禁止对某些程序包的访问,禁用 DAD 所有者未使用的程序包,移除未使用的 DAD 配置,支持复杂的口令,数据库效劳,启用监听器日志记录,口令保护监听器,不接受默认的监听器名称,确保监听器日志文件有效且为 Oracle 所有,确保监听器主机名与 IP 对应,数据库文件权限,Init.ora 应具有受限的文件权限,$OH/bin 中的文件应归 Oracle 所有,数据文件应归 Oracle 所有,数据库配置文件/配置,默认口令,不允许固定用户链接访问对象,不允许默认表空间设置为 SYSTEM,设置 password_grace_time,限制或禁止对 DBMS_LOB 的访问,设置 passw