Oracle数据库安全及合规遵循解决方案

转化与模糊/Data Masking 变更管理 预防式防护 统一的数据库安全策略与标准 信息安全策略与标准
安全漏洞评估
主动侦测
法规遵循——PCI、SOX、HIPPA、EU
Oracle Database Security & Compliance
全面、 全面、wenku.baidu.com合的深度保护
用 户 管 理 及 认 证 控制 监控
TDE with Exadata TDE tablespace encryption with HSM TDE tablespace encryption TDE column encryption for SecureFiles TDE column encryption with HSM TDE column encryption Network encryption Strong authentication
Database Encryption Architecture
Oracle高级安全选项 高级安全选项
功能特性分布
Oracle Database 9i Release 2
Oracle Database 10g Release 2
Oracle Database 11g Release 1
Oracle Database 11g Release 2
• 内置的密钥管理
• 自动、透明 • 支持硬件安全模块( Hardware Security Module:HSM)
75000
(
• 网络加密
• SSL/TLS • Native – 无需数字证书
)
^#^*>*
Encrypted Disks, Backups, Exports
• 高强度认证
• Kerberos, PKI
17
Oracle高级安全选项 高级安全选项
数据传输、 数据传输、存储保护
• 透明数据加密 (TDE)
• • • • 无需应用调整 表空间或表字段加密 对RMAN备份或Export导出加密 加密 Oracle Securefiles (LOBS)
Strong Authentication Network Encryption
内部/外部威胁
• 大量的威胁未被发现 • 离岸/外包的系统 • 客户需要监控内部特权人员
法规要求不断增多
美国
• • • • • • • • • • 健康保险可携性及责任性法案(HIPAA) 联邦法规第21章第11部分 总统管理与预算局公告A-123 美国证交会和国防部的记录保留要求 美国爱国者法案 Gramm-Leach-Bliley法案 美国联邦量刑指南 美国反海外腐败法 关于市场工具的第52款 （加拿大）
18
Oracle高级安全选项 高级安全选项
Oracle 11g透明表空间加密 透明表空间加密
SQL Layer
• 加密所有的应用数据
• 加密所有的数据文件 • 无需单独加密表字段 • 每个表空间一个Key，Master Key保 护表空间Key（2层）
Buffer Cache
“SSN = 987-65-..”
Data Masking
13
Oracle高级安全选项 高级安全选项
安全的磁盘、磁带导出、 安全的磁盘、磁带导出、网络传输及备份
加密与屏蔽
Advanced Security
Secure Backup
Data Masking
14
Oracle高级安全选项 高级安全选项
概览
TDE Tablespace Encryption Strong Authentication Network Encryption
<Insert Picture Here>
Oracle 数据库安全及合规遵循解决方案
Oracle技术服务部 技术服务部 Advanced Customer Service 王伟民
信息爆炸式增长… 信息爆炸式增长
Growth Doubles Yearly
1,800 Exabytes
2006 2011
21
加密案例
日志文件
[root@raclinux1 oracle]# strings log004.dbf NEW YORK, DALLAS, CHICAGO, NZge BOSTON NEW YORK, DALLAS, 4li4IE CHICAGO, BOSTON, +1.] NEW YORK, DALLAS, CHICAGO, BOSTON
Top IT Security Priorities
Forrester: State Of Enterprise IT Security And Emerging Trends
Source: Forrester Research Inc. “The State Of Enterprise IT Security And Emerging Trends: 2009 To 2010,” Jan. 25th 2010
Source: IDC, 2008
Oracle Confidential
2
与信息泄密相关的事件… 与信息泄密相关的事件
Data Breach
Once exposed, the data is out there – the bell can’t be un-rung
PUBLICLY REPORTED DATA BREACHES
•
欧洲、中东和非洲
欧盟隐私法令
• 英国公司法 • 危害物质限用指令 (ROHS/WEE) 亚太地区 • 中国上市公司内部控制指引 • 企业内部控制基本规范
• J-SOX （日本）
•
CLERP 9：审计改革和公司信息披露法案（澳 大利亚） • 泰国股票交易所关于公司治理的规定 全球 • 国际会计准则 • 新巴塞尔协议（针对全球企业） • OECD公司治理原则 • 个人卡信息数据安全标准
• 数据完整性检查
• SHA-1 • 自动检测篡改、回放、丢包
23
Oracle高级安全选项 高级安全选项
网络加密： 网络加密：Wireshark监控 监控
24
Oracle Advanced Security
透明数据加密： 透明数据加密：Data Pump • Data Pump 适用于批量数据导入及导出 • 对导出数据文件进行加密
Oracle Database 9i
Oracle Audit Vault Oracle Database Vault Transparent Data Encryption (TDE) Real Time Masking Secure Config Scanning
Fine Grained Auditing
400
300
630% Increase
200
100
Total Personally Identifying Information Records Exposed (Millions)
0 2005 2006 2007 2008
Source: DataLossDB, 2009
Oracle Confidential
TDE Column Encryption
Hardware Security Module
Master Key
Oracle Wallet Encrypted Exports RMAN / TDE Fully Encrypted Database Backups to Disk
15
August 2005, Tech Choices “The Forrester Wave™: Database Encryption Solutions, Q3 2005”
Oracle Label Security Enterprise User Security Oracle8i Virtual Private Database (VPD) Database Encryption API Strong Authentication Oracle7 Native Network Encryption Database Auditing Government customer
加
、
12
Oracle Database Security
全面、 全面、综合的深度保护
监控
Configuration Management
访问控制
Audit Vault
Total Recall
Database Vault
加密与屏蔽
Label Security
Advanced Security
Secure Backup
8
企业内部控制基本规范
中国版“萨班斯法案” 中国版“萨班斯法案”
Oracle Database Security
持续创新
Oracle Database 11g
Data Masking TDE Tablespace Encryption Oracle Total Recall
Oracle Database 10g
22
Oracle高级安全选项 高级安全选项
网络加密 • 对进出Oracle数据库的SQL数据流进行加密
• • • • AES (256, 192, 128 bit keys) RSA RC4 (256, 128 bit keys) 3DES (3 and 2 key) Diffie-Hellman key exchange
UltraEdit查看数据文件（加密前） 查看数据文件（加密前） 查看数据文件
20
加密案例
基于字段的加密
加密前： 加密前：部门字段 [oracle@raclinux1 ~]$ strings test01.dbf }|{z ~b]!RACDB TEST OPERATIONS BOSTON, SALES CHICAGO, RESEARCH DALLAS, ACCOUNTING NEW YORK 加密后： 加密后：部门字段 [root@raclinux1 oracle]# strings test01.dbf }|{z ~b]!RACDB TEST :)zO NEW YORK, DALLAS, Q-D0 CHICAGO, BOSTON
• 从手动方式转变为自动化方式 • 从检测性法规遵守控制转变为预防性控制
• 自动化预防控制可降低遵守法规的成本
• 自动执行职责分离 • 自动化的证明 • 自动化的审计和报表编制
数据安全的驱动因素
合规性
• • • • • • • Sarbanes-Oxley (SOX), Euro SOX, HIPAA GLBA PCI DSS CA SB 1386 加州资料隐私法案 Basel II 欧盟新巴塞尔资本协定 企业内部控制基本规范 ……
3
Oracle Database Security
业务需求驱动力
商务竞争
安全隐患
身份失窃 内部管控
数据、业务、 数据、业务、系统等 多个层面的整合
SOX
HIPAA
PCI
法规遵循
EU Directives FDA Basel II GLBA SB1386
4
安全性管理是一种预防性控制
• 安全控制可加强对法规的遵守，以满足新 的隐私和公司治理法规（ Sarbanes-Oxley 、 HIPAA、Gramm-Leach-Bliley法案、 PCI DSS等）的要求。
expdp….
Encrypted Export file @#4f9kq90b2 3490bv@#$9vj 943)IB4390#9 0w3b0aqer9”P [32 SSN CC# DOB
Oracle Database 11g
Note: The Data Pump expdp command can accept a passphrase or use the stronger Oracle Advanced Security MasterKey to encrypt the data
• 高效
• 高性能 • 与Oracle高级压缩集成
data blocks
“*M$b@^s%&d7”
• 无需应用调整
• 支持所有数据类型 • 支持索引范围扫描(Index Range Scan)
undo blocks redo logs
temp blocks flashback logs
19
加密案例
10
企业数据库安全策略的三个基石
权责分离/Role Seperation 发现与归类 认证/Authentication
安全监控
网络与存储加密
数据库审计/Audit
授权/Authorization 访问控制/Access Control 补丁管理 安全基石
数据屏蔽
Security Monitoring