Grundlagen der Datenbanksicherheit

Grundlagen der DatenbanksicherheitHeike Baumann, DBConcepts Ges.m.b.H. : 

Grundlagen der DatenbanksicherheitHeike Baumann, DBConcepts Ges.m.b.H. Business Breakfast: Mehr Sicherheit für Ihre Daten

Inhalt : 

Inhalt Einige Fakten Database Vault Virtual Private Database Label Security Secure Backup

Fakten : 

Fakten 1 % aller professionellen Hacks werden erkannt 10 % aller “Standard Hacks” kommen an die Öffentlichkeit 80 % aller Hacks kommen von Insidern 64 % der Firmen denken, dass Mitarbeiter bis zu 100% aller Sicherheitsvorfälle verantwortlich sind

Behördliche Bestimmungen : 

EuroSOX 8.EU-Richtlinie/ URÄG 2008 Datenschutzgesetz §14 Basel ll Bankwesengesetz PCIDSS Payment Card Industry Data Security Standard Behördliche Bestimmungen

Problem Administratoren : 

Problem Administratoren Admins haben meist alle Rechte in der DB ANY Privilegien  Zugriff auf alle Daten Admins können Daten verwerten/ veröffentlichen Sie sind oft Sündenbock Sie verwalten und haben Einsicht auf Daten

Lösung: Oracle Database Vault (Option) : 

Lösung: Oracle Database Vault (Option) Schutz vor/ für Administratoren Gewaltentrennung Sicherheitsadministrator Benutzerverwalter DBA  Zugriff durch ANY Privilegien wird verboten!

Oracle Database Vault : 

Oracle Database Vault SOX 404/ EuroSOX: SOD & Datenzugriff Datenschutzgesetz §14: Datenzugriff Basel 2: Einfluss auf Rating PCIDSS: Datenzugriff

Realms : 

Realms Objekte werden in geschützten Zonen (Realms) vor ANY-Zugriffen abgeschottet. Objektprivilegien bleiben bestehen Quelle: Huey, Patricia: Oracle Database Vault Administrator’s Guide, 2008, S.26

Grenzen von Privilegien und Rollen : 

Grenzen von Privilegien und Rollen Privilegien und Rollen können nur auf ganze Objekte angewendet werden Verschiedene Personen greifen oft auf selbe Tabelle zu Möglichkeit der Views für unterschiedliche Ansichten: wird schnell unübersichtlich, aufwändig, erzeugt Performanceeinbußen

Lösung: Row Level Security : 

Lösung: Row Level Security Virtual Private Database Label Security (Option) SOX 404/ EuroSOX: Datenzugriff Datenschutzgesetz §14: Datenzugriff Basel 2: Einfluss auf Rating PCIDSS: Datenzugriff Label Security: CCEAL4

Virtual Private Database : 

Virtual Private Database Serverseitige Row Level Security Es werden nur Zeilen zur Verfügung gestellt, die für den aktuellen Benutzer vorgesehen sind Quelle: Jeloka, Sumit: Oracle Label Security Administrator’s Guide, 2006, S.33

Column Level Security (ab 10.2) : 

Column Level Security (ab 10.2) Datenschutz auf Spaltenebene Schutz bezieht sich nur auf gewisse Spalten, andere Spalten können angezeigt werden Select * from …

Label Security : 

Label Security Datenschutz auf Zeilenebene Setzt auf VPD auf Bequemes Konfigurieren über den Policy Manager

Label Security : 

Label Security Jedem Datensatz und jedem Benutzer werden Sicherheitseinstufungen (Labels) zugeteilt, beim Zugriff müssen diese übereinstimmen. Angelehnt an: Jeloka, Sumit: Oracle Label Security Administrator’s Guide, 2006, S.33

Label Security vs. VPD : 

16 Label Security vs. VPD

Problem Backup : 

Problem Backup Transportabel Geht Backup Medium verloren Restore Daten können missbraucht werden  gravierende Folgen für Unternehmen

Lösung: Secure Backup : 

Lösung: Secure Backup Zentrales Backup Management für Dateisystem und Datenbank Kostengünstige Alternative zu 3rd-Party-Backup-Tools Beste Integration mit der Oracle Datenbank RMAN Schnellstes Datenbank-Backup am Markt Backup Verschlüsselung Unterstützt bei Richtlinien Datenbanken Linux, Unix Windows, Filers Dateisysteme Unterstützt gängige Tape Libraries & Laufwerke Oracle Secure Backup RMAN

Zusammenfassung : 

Zusammenfassung

Slide 20: 

Vielen Dank für Ihre Aufmerksamkeit!