Sc oracle云计算安全解决方案 v2 by Michael

云计算安全解决方案

Michael Guo feng.guo@oracle.com Principal Sales Consultant Oracle China Systems LOB

议题

• • • • •

数据保护面临的挑战云环境中的身份安全云环境中的访问安全云环境中的数据安全 Q&A

数据保护面临的挑战

ORACLE CONFIDENTIAL

传统环境中很容易失去对敏感数据的跟踪 • 各应用程序专用硬件和软件的孤岛

• 组织通常不确定哪些孤岛包含敏感数据 • 保护所有孤岛的成本过高、过于复杂 • 组织通常仅保护共享的资源 - 网络 • 数据和数据库基础架构易受网络边界内部的攻击

数据和数据库易受攻击 2010 IOUG 数据安全报告

28%

统一加密所有数据库中的敏感数据

数据可被任何具有数据库文件或存储访问权限的系统用户或管理员读取/篡改

24%

可防止特权数据库用户读取/ 修改文件

数据可被 DBA 或任何具有特权数据库用户凭证的用户访问

44% 68%

允许数据库用户直接访问数据

用户可绕过应用程序安全性策略，直接读取或修改数据库中的数据

无法检测数据库用户是否在滥用权限

数据库用户可以执行无法检测到的未经授权的活动

66%

不确定应用程序是否受到 SQL 注入攻击

侵入应用程序的黑客可操纵数据

48%

将敏感的生产数据复制到非生产环境中

开发人员、测试人员等可访问这些数据

超过9亿条(92%)侵犯记录来自受攻击的数据库服务器

48% 涉及特权滥用 40% 来自黑客攻击

38% 28% 15%

2010 数据侵犯调查报告

利用了恶意软件利用了社交战术涉及物理攻击 6

云计算环境允许有效保护敏感数据 • 云是标准化计算资源的共享池

• Oracle 数据库云服务器是预先集成、高度优化的数据库云平台，可最大化 ROI • 所有数据现在都在数据库云中管理 — 保护数据库云绝非可选可不选的措施！ • 保护数据库云能为所有数据提供高效、一致的保护 • 数据库云支持以更低的成本和复杂性提供更高的安全性

安全性--阻碍采用云计算的最大障碍

74% 74% 的调查对象认为云安全性问题“非常重要” 信息来源：IDC

云计算环境的掌控能力供应商依赖、集成和互操作性挑战由云客户构建

由云客户构建

控制由云提供由云提供

由云提供由云提供

企业

基础架构

(ITaaS)

(IaaS) 例如，Amazon EC2

平台

应用程序

(PaaS) (SaaS) 例如，Google 应用引擎例如，Oracle On Demand

云计算可加速应用程序的采用，但会造成缺少控制

Oracle云平台安全管理

第三方应用程序

应用程序

云管理

Oracle 管理软件

Oracle Enterprise Manager

ISV 应用程序

应用程序性能管理

平台即服务集成： SOA Suite

流程管理： BPM Suite

安全性：身份管理

用户交互：

生命周期管理

WebCenter

应用网格：WebLogic Server、Coherence、Tuxedo、JRockit 数据库网格：Oracle 数据库、RAC、ASM、分区、 IMDB Cache、Active Data Guard、Database Security

配置管理

应用程序质量管理

基础架构即服务 Oracle操作系统： Solaris Oracle Oracle Enterprise LinuxLinux Oracle VM for SPARC (LDom) Solaris Containers

Ops Center

Oracle VM for x86 服务器存储

物理与虚拟系统管理

云环境中的身份安全

ORACLE CONFIDENTIAL

现在IT应用中用户管理面临的挑战应用,全球化和法规，将使其更复杂

系统如何标识你的身份? 法规遵循非常耗时!

Oracle云平台的身份管理

Oracle应用

第三方和客户应用

云服务供应商

Web Services

申请安全服务

授权

联邦认证

认证

审计

身份管理

角色管理

目录服务

身份存储, 凭据存储, 策略存储供应

Access Management

Identity Administration

Directory Services

身份认证即服务面向服务安全性的基础

Oracle Platform Security Services

身份验证

授权

角色和权限

审计

目录服务

用户供应

策略存储

会话数据管理

基于标准的接口 Oracle 身份管理身份存储、凭证存储和策略存储提供商

访问管理

身份管理

• 声明式安全框架优化了应用程序生命周期支持

• 基于标准、可热插拔的身份管理系统 • 面向 Oracle 融合中间件和融合应用程序的安全性平台

目录服务

Oracle 身份管理提供面向服务的安全性 Oracle 融合应用程序

合作伙伴应用程序

第 3 方应用程序

定制应用程序

用户供应服务

角色管理服务

身份验证服务

授权

身份数据服务

联合和信任服务

服务

Oracle IDM 或内部 IDM 提供程序

SaaS 应用程序

云 IdM 服务提供程序

• 革命性的架构框架，利用 SOA 和应用框架 • 在一致、可重用的面向服务模型中交付安全性功能

• 允许企业推出自己的身份服务提供程序以外，利用第3方和基于云的身份服务提供程序 • 促进松散耦合，确保业务解决方案的长期生存能力和异构性

应用程序的授权外部化应用程序的分布式细粒度安全性实施

应用程序所有者

• 构建应用程序

利用 OPSS API，将授权控制从应用程序外部化到 XACML 之中

应用程序

Oracle WebCenter

Oracle BPM Suite

Oracle SOA Suite

共享服务

部署应用程序

Oracle 身份管理策略身份验证服务

用户供应服务

授权服务

角色管理服务

• 通过 OES 管理 UI，跨所有应用程序集中实施策略

目录服务

联合服务

• 无需修改任何代码，仅修改策略就可应对不断发展的安全要求

门户用户基于 Oracle WebLogic Suite 的应用网格

细粒度授权策略实施

简化传输和自助服务请求

Oracle身份管理套件

Provisioning & Identity Administration

基于角色的用户身份供给密码管理自助服务请求用户审批

Identity Analytics 报告证明分析

Access Management

Directory Services

认证，单点登录欺骗防护授权，权利管理 Web services安全

LDAP 存储

虚拟身份访问

信息权限管理

Platform Security Services 开发人员身份服务

自助式供应基于策略的身份供给 Oracle Identity Manager

新的

自助

承包商

批准内部应用程序

身份存储

用户

访问

分组

策略

工作流

连接器

云应用程序

SPML

新的员工

HRMS

协调引擎

自动取消供应撤销内部应用程序手动任务

Oracle Identity Manager

身份存储离职的员工

HRMS

协调引擎

供应工作流

连接器

撤销 SaaS 应用程序

用户身份管理流程 Oracle HTTP Server

部署的应用程序

OAM Webgate agent

本地用户存储

认证访问

终端用户认证判断

WebLogic Server

LDAP认证

用户认证 Optional with OAM

Flexibility to use other LDAP servers for Authentication Decisions

Oracle Access Manager

用户信息

Oracle Internet Directory

用户信息同步 Directory Integration Platform or Oracle Identity Manager

企业用户信息

Enterprise User Store

身份管理应用成功案例

云环境中的访问安全

ORACLE CONFIDENTIAL

保护数据库云纵深防御  防止非数据库用户访问数据库  加强数据库用户身份保证  控制对数据库内数据的访问  审计数据库活动数据

 监视数据库流量，防止威胁抵达数据库  确保数据库生产环境安全，避免偏差  从非生产环境中删除敏感数据

数据库深度保护云数据库的逐层防护加密和屏蔽 • Oracle Advanced Security • Oracle Secure Backup • Oracle Data Masking

访问控制

数据库深度保护

• Oracle Database Vault • Oracle Label Security

审计和监测 • Oracle Audit Vault 加密和屏蔽访问控制审计和监视阻止和记录

• Oracle Configuration Management • Oracle Total Recall

阻止和记录 • Oracle数据库防火墙

Oracle Advanced Security 防止未授权用户访问数据磁盘

备份

应用程序

导出

场外设施

• 对静止的应用程序数据进行完全加密，以防止 IT 人员或操作系统用户直接访问存储在数据库文件中、磁带上、导出文件等中的数据

• 无需更改应用程序即可对应用程序数据实现高效加密 • 使用 HSM/KMS 既可实现针对 SoD 的内置双层密钥管理又支持集中密钥管理 • 数据库用户的强身份验证实现了更安全的身份保证

Oracle Database Vault 在数据库内部实施安全策略安全 DBA 采购

应用程序

应用程序 DBA

财务 select * from finance.customers

DBA

Oracle Audit Vault 实时审计数据库活动 !

HR 数据

CRM 数据

ERP 数据

审计数据

数据库

警报内置报表定制报表策略

审计人员

• 将数据库审计线索整合到安全集中的信息库中 • 检测并警告可疑活动，包括特权用户 • 适用于 SOX、PCI 和其他法规的现成的合规性报告

Audit Vault用户的分工

不能修改代理、收集器的配置。

监视、检查、报警、报表 (AV_AUDITOR)

完全不能访问 Audit Vault日志

审计报告的生成

Database 管理者数据库的起动・停止备份・恢复等仅做数据库管理工作

告警条件的设置

Audit Vault Server 审计日志仓库

对审计源数据库的设计规则设置

Audit Vault 审计员

使用举例、 Audit Vault管理员由IT部门人员担任 Audit Vault审计员由安全部门人员担任必须这样适当分开由不同人担任

不能浏览审计日志的内容

代理、收集器的配置

代理、收集器的管理

管理 (AV_Admin)

数据仓库Schema 的ETL

Audit Vault 管理员 30

Oracle Total Recall 跟踪对敏感数据的更改 select salary from emp AS OF TIMESTAMP '02-MAY-09 12.00 AM‘ where emp.title = ‘admin’

• 透明地跟踪应用程序数据随时间的更改 • 数据库中高效、抗干扰的归档存储 • 使用 SQL 实时访问应用程序的历史数据 • 简化的突发事件取证和恢复

Oracle Database Firewall核心功能允许

日志记录警报替换

应用程序

阻止

警报

内置报告

自定义报告

数据库

策略

• 监视有威险性的数据库操作，并且在其到达数据库之前阻止它们 • 监控数据库活动，防止未授权的数据库访问、SQL 注入、权限或角色升级，以及对敏感数据的非法访问等 • 跟踪任何更改，并审计数据库活动 • 方便的基于白名单和黑名单的安全管理策略 • 通过高度精确的 SQL 语法智能分析，避免代价高昂的误报 • 支持对所有主流的数据库，提供了内置的130多个智能报告

Oracle Database Firewall 快速和灵活的部署应用服务器数据库防火墙

并联

用户

路由器

数据库服务器串联

基于主机的代理

• 串联：所有数据库流量都经过 Oracle Database Firewall • 并联/被动：数据库防火墙连接到 SPAN 端口或 TAP • 可选的基于主机的远程或本地监视器 • 可将网络流量从数据库主机发送到数据库防火墙 • 可将非网络数据库活动发送到数据库防火墙，以识别本地控制台或远程会话的未授权使用

Oracle Configuration Management 保护您的数据库环境监视

发现资产管理

分类策略管理

评估

确定优先级漏洞管理

修复

配置管理与审计

监视分析分析

• 发现数据库并将其分类到策略组 • 依据 400 多个最佳实践和行业标准以及自定义的企业专用配置策略对数据库进行扫描 • 检测进而防止未授权的数据库配置更改 • 更改管理信息板与合规性报告

Oracle Data Masking 对数据进行不可逆的去身份化后再用于非生产环境生产环境

非生产环境

LAST_NAME

SSN

SALARY

LAST_NAME

SSN

SALARY

AGUILAR

203-33-3234

40,000

ANSKEKSL

111—23-1111

60,000

BENSON

323-22-2943

60,000

BKJHHEIEDK

222-34-1345

40,000

数据永不离开数据库

• 使应用程序数据安全地使用于非生产环境

• 防止应用程序开发人员和测试人员看到生产数据 • 用于数据屏蔽自动化的可扩展模板库和策略 • 自动保留引用完整性，以便应用程序能够继续正常运行

Oracle Database Security Big Picture

Audit consolidation

Allow

Sensitive Procurement

Log Alert Substitute

Applications

HR Confidential Rebates Public

Unauthorized Local Activity DB Consolidation Security Local DBA Privilege Mis-Use

Block

Network SQL Monitoring and Blocking

Encrypted Database

Encrypted Encrypted Backups Exports

Data Masking

SPARC T-series Enterprise Server Weblogic高性能的安全服务器

Sun Crypto Accelerator 6000 PCIe Card Oracle Advanced Security Transparent Data Encryption

• 基于硬件安全模块(HSM)的主密钥管理(master encryption key) Centralized key store for securing the master key used to encrypt and decrypt the keys performing actual data encryption: - 加密/解密 Tablespace keys & Table keys - 加密/解密 Oracle Data Pump utility - 加密/解密 Oracle Recovery Manager (RMAN) Master key backup and recovery FIPS-140-2 Level 3 compliance • SSL加速 Offloads computationally intensive public-key cryptographic operations © 2011 Oracle Corporation

Oracle 数据库纵深防御云数据库安全解决方案总结

• Oracle Advanced Security • Oracle Identity Management • Oracle Database Vault

• Oracle Label Security 数据

• Oracle Audit Vault • Oracle Total Recall • Oracle Database Firewall • Oracle Configuration Management • Oracle Data Masking

云环境中的数据安全

ÂŠ 2011 Oracle Corporation

Oracle Maximum Availability Architecture Secure Database Cloud Production Primary RAC

Node 1

Node 2

Redo logs transport

Node 3

Node 1

Dataguard Standby RAC

Node 2

Node 3

Log merge

Cache Fusion

sql apply

redo logs 1 redo logs 2 redo logs 3

ÂŠ 2011 Oracle Corporation

redo apply

Standby physical logical redo logs standby database standby database

基于存储镜像的数据保护 Significant Network Overhead Production DBMS

Standby Files Network I/O

Control Files Online Logs

Archive Logs

fil

Updates

fil

Flashback Logs

Data Files

SYSTEM USER TEMP UNDO

Also: database block corruptions propagated to target

基于Data Guard的数据保护 Database & Network Optimized Transport & Apply Production DBMS Control Files Online Logs

fil

Archive Logs

Updates

Flashback Logs Data Files

Standby DBMS Oracle apply Network I/O

Oracle validation

7X less volume* 27X fewer network I/Os*

SYSTEM USER TEMP UNDO

Also: standby database protected from primary database corruptions 44

整体容灾架构增强云安全 Primary Site (A)

Secondary Site (B) Webhost1a

Webhost1b

Apphost1a

Apphost1b

Apphost2a

Apphost2b

ZFS Storage Replication of Binaries, Configuration Data, Metadata

DBhost1

DBhost2

Oracle Data Guard

异构数据平台容灾方案 Oracle GoldenGate Databases Oracle GoldenGate Capture:  Oracle  DB2  Microsoft SQL Server  Sybase ASE  Teradata  Enscribe  SQL/MP  SQL/MX  MySQL  JMS message queues

Oracle GoldenGate Delivery:  All listed above, plus: TimesTen  Netezza, Greenplum, and HP Neoview  ETL products

O/S and Platforms Linux Sun Solaris Windows 2000, 2003, XP HP NonStop

HP-UX HP OpenVMS IBM AIX IBM z Series zLinux

Oracle GoldenGate Architecture Capture: 实时读取交易日志，捕获数据变化并可实现过滤队列文件: 暂存数据文件 Pump: 分发数据，路由到多个目的数据库路由传送: 数据经过压缩和加密后传送到目的地。 Delivery: 执行所需的数据变化，将数据变化然后提交到目的库。

Read/Write Workload

Pump Capture

LAN / WAN / Internet (TCP/IP)

Source Trail

Target Trail

Delivery

Pump Source Database(s)

Delivery

Target Trail

双向复制

Source Trail

Capture

Target Database(s)

强大的混合高可用能力 Integrated HA, DR and Active-Active Replication

RAC

Active Data Guard

- Scalability - Server HA

- DR & Data Protection - Real-time Query

Primary Database

Golden Gate

Standby Database

- Information Distribution - Heterogeneous

Bi-directional Replication

Subsetting

MySQL

极限速度

Disk to Disk to Tape 数据安全 Exadata X2 Database Machine

Exadata X2 Database Machine

Sun StorageTek Library System

DataGuard

GoldenGate

RMAN

Disk Backup

Tape Backup Fibre Channel

Infiniband Sun ZFS Storage Appliance Oracle RMAN Target

Admin Server Media Server with NetBackup, Networker, Oracle Secure Backup, Storage Archive Manager

后续步骤…… • 尽快开始保护敏感数据和数据库基础架构！ • 数据库云支持以更低的成本和复杂性提供更高的安全性 • 着手将您现有 IT 基础架构发展为私有云 • 安全的 Oracle 数据库云服务器提供您所需要的安全数据库云构建块

• 保护您的数据库将允许您在风险更低的情况下外包/利用公有云

Questions

ÂŠ 2011 Oracle Corporation

Thank you