Page 1

云计算安全解决方案

Michael Guo feng.guo@oracle.com Principal Sales Consultant Oracle China Systems LOB


议题

• • • • •

数据保护面临的挑战 云环境中的身份安全 云环境中的访问安全 云环境中的数据安全 Q&A

2


数据保护面临的挑战

ORACLE CONFIDENTIAL

3


传统环境中很容易失去对敏感数据的跟踪 • 各应用程序专用硬件和软件的孤岛

• 组织通常不确定哪些孤岛包含敏感数 据 • 保护所有孤岛的成本过高、过于复杂 • 组织通常仅保护共享的资源 - 网络 • 数据和数据库基础架构易受网络边界 内部的攻击

4


数据和数据库易受攻击 2010 IOUG 数据安全报告

28%

统一加密所有数据库中的敏感 数据

数据可被任何具有数据库文件或存储访问权 限的系统用户或管理员读取/篡改

24%

可防止特权数据库用户读取/ 修改文件

数据可被 DBA 或任何具有特权数据库用户 凭证的用户访问

44% 68%

允许数据库用户直接访问数据

用户可绕过应用程序安全性策略,直接读取 或修改数据库中的数据

无法检测数据库用户是否在滥 用权限

数据库用户可以执行无法检测到的未经授权 的活动

66%

不确定应用程序是否受到 SQL 注入攻击

侵入应用程序的黑客可操纵数据

48%

将敏感的生产数据复制到非生 产环境中

开发人员、测试人员等可访问这些数据

5


超过9亿条(92%)侵犯记录来自受攻击的数据库服务器

48% 涉及特权滥用 40% 来自黑客攻击

38% 28% 15%

2010 数据侵犯调查报告

利用了恶意软件 利用了社交战术 涉及物理攻击 6


云计算环境允许有效保护敏感数据 • 云是标准化计算资源的共享池

• Oracle 数据库云服务器是预先集 成、高度优化的数据库云平台, 可最大化 ROI • 所有数据现在都在数据库云中管 理 — 保护数据库云绝非可选可不 选的措施! • 保护数据库云能为所有数据提供 高效、一致的保护 • 数据库云支持以更低的成本和复 杂性提供更高的安全性

7


安全性--阻碍采用云计算的最大障碍

74% 74% 的调查对象 认为云安全性问 题“非常重要” 信息来源:IDC

8


云计算环境的掌控能力 供应商依赖、集成和互操作性挑战 由云客户 构建

由云客户 构建

由云客户 构建

由云客户 构建

控制 由云提供 由云提供

+

由云提供 由云提供

企业

基础架构

(ITaaS)

(IaaS) 例如,Amazon EC2

平台

应用程序

(PaaS) (SaaS) 例如,Google 应用引擎 例如,Oracle On Demand

云计算可加速应用程序的采用,但会造成缺少控制


Oracle云平台安全管理

第三方应用程序

应用程序

云管理

Oracle 管理软件

Oracle Enterprise Manager

ISV 应用程序

应用程序 性能管理

平台即服务 集成: SOA Suite

流程管理: BPM Suite

安全性: 身份管理

用户交互:

生命周期管理

WebCenter

应用网格:WebLogic Server、Coherence、Tuxedo、JRockit 数据库网格:Oracle 数据库、RAC、ASM、分区、 IMDB Cache、Active Data Guard、Database Security

配置管理

应用程序 质量管理

基础架构即服务 Oracle操作系统: Solaris Oracle Oracle Enterprise LinuxLinux Oracle VM for SPARC (LDom) Solaris Containers

Ops Center

Oracle VM for x86 服务器 存 储

物理与虚拟 系统管理


云环境中的身份安全

ORACLE CONFIDENTIAL


现在IT应用中用户管理面临的挑战 应用,全球化和法规,将使其更复杂


系统如何标识你的身份? 法规遵循非常耗时!


Oracle云平台的身份管理

Oracle应用

第三方和客户应用

云服务供应商

Web Services

申请安全服务

授权

联邦认证

认证

审计

身份管理

角色管理

目录服务

身份存储, 凭据存储, 策略存储供应

Access Management

© 2011 Oracle Corporation

Identity Administration

Directory Services


身份认证即服务 面向服务安全性的基础

Oracle Platform Security Services

身份验证

授权

角色和权限

审计

目录服务

用户供应

策略存储

会话数据管理

基于标准的接口 Oracle 身份管理 身份存储、凭证存储和策略存储提供商

访问管理

身份管理

• 声明式安全框架优化了应用程序生命周期支持

• 基于标准、可热插拔的身份管理系统 • 面向 Oracle 融合中间件和融合应用程序的安全性平台

© 2011 Oracle Corporation

目录服务


Oracle 身份管理提供面向服务的安全性 Oracle 融合应 用程序

合作伙伴 应用程序

第 3 方应 用程序

定制应用 程序

用户供应服务

角色管理服务

身份验证 服务

授权

身份数据 服务

联合和信任 服务

服务

Oracle IDM 或内 部 IDM 提供程序

SaaS 应 用程序

云 IdM 服务提供程序

• 革命性的架构框架,利用 SOA 和应用框架 • 在一致、可重用的面向服务模型中交付安全性功能

• 允许企业推出自己的身份服务提供程序以外,利用第3方和基于云的身份服务提供程序 • 促进松散耦合,确保业务解决方案的长期生存能力和异构性

© 2011 Oracle Corporation


应用程序的授权外部化 应用程序的分布式细粒度安全性实施

应用程序所有者

应用程序所有者

• 构建应用程序

利用 OPSS API,将 授权控制从应用程序 外部化到 XACML 之中

应用程序

Oracle WebCenter

Oracle BPM Suite

Oracle SOA Suite

共享服务

部署应用程序

IT

Oracle 身份管理 策略 身份验证 服务

用户供应服务

授权服务

角色管理服务

• 通过 OES 管理 UI,跨所有 应用程序集中实施策略

目录服务

联合服务

• 无需修改任何代码,仅修改策略 就可应对不断发展的安全要求

门户用户 基于 Oracle WebLogic Suite 的应用网格

© 2011 Oracle Corporation

细粒度授权策略实施


简化传输和自助服务请求

© 2011 Oracle Corporation


Oracle身份管理套件

Provisioning & Identity Administration

基于角色的用户身份供给 密码管理 自助服务请求 用户审批

Identity Analytics 报告 证明 分析

Access Management

Directory Services

认证,单点登录 欺骗防护 授权,权利管理 Web services安全

LDAP 存储

虚拟身份访问

信息权限管理

Platform Security Services 开发人员身份服务


自助式供应 基于策略的身份供给 Oracle Identity Manager

新的

自助

承包商

注册

批准 内部 应用程序

身份 存储

用户

访问

分组

策略

工作流

连接器

云 应用程序

SPML

新的 员工

HRMS

协调 引擎


自动取消供应 撤销内部 应用程序 手动任务

Oracle Identity Manager

身份 存储 离职的 员工

HRMS

协调 引擎

供应 工作流

连接器

撤销 SaaS 应用程序


用户身份管理流程 Oracle HTTP Server

部署的 应用程序

OAM Webgate agent

本地 用户存储

认证访问

终端用户 认证判断

WebLogic Server

LDAP认证

用户认证 Optional with OAM

Flexibility to use other LDAP servers for Authentication Decisions

Oracle Access Manager

用户信息

Oracle Internet Directory

用户信息同步 Directory Integration Platform or Oracle Identity Manager

企业用户信息

Enterprise User Store


身份管理应用成功案例


云环境中的访问安全

ORACLE CONFIDENTIAL


保护数据库云 纵深防御  防止非数据库用户访问数据库  加强数据库用户身份保证  控制对数据库内数据的访问  审计数据库活动 数据

 监视数据库流量,防止威胁抵达数据库  确保数据库生产环境安全,避免偏差  从非生产环境中删除敏感数据

25


数据库深度保护 云数据库的逐层防护 加密和屏蔽 • Oracle Advanced Security • Oracle Secure Backup • Oracle Data Masking

访问控制

数据库深度保护

• Oracle Database Vault • Oracle Label Security

审计和监测 • Oracle Audit Vault 加密和屏蔽 访问控制 审计和监视 阻止和记录

• Oracle Configuration Management • Oracle Total Recall

阻止和记录 • Oracle数据库防火墙


Oracle Advanced Security 防止未授权用户访问数据 磁盘

备份

应用程序

导出

场外 设施

• 对静止的应用程序数据进行完全加密,以防止 IT 人员或操作系统用户直接访 问存储在数据库文件中、磁带上、导出文件等中的数据

• 无需更改应用程序即可对应用程序数据实现高效加密 • 使用 HSM/KMS 既可实现针对 SoD 的内置双层密钥管理又支持集中密钥管理 • 数据库用户的强身份验证实现了更安全的身份保证

© 2011 Oracle Corporation

27


Oracle Database Vault 在数据库内部实施安全策略 安全 DBA 采购

应用程序

应用程序 DBA

HR

财务 select * from finance.customers

DBA

• 自动的、可自定义的 DBA 职责分离及受保护的领域 • 使用规则和因素管理人员、地点、时间和方式 • 对特权数据库用户执行最小权限 • 防止应用程序绕行、实施企业数据治理 • 安全地整合应用程序数据或支持多承租方数据管理 © 2011 Oracle Corporation

28


Oracle Audit Vault 实时审计数据库活动 !

HR 数据

CRM 数据

ERP 数据

审计 数据

数据库

警报 内置 报表 定制 报表 策略

审计人员

• 将数据库审计线索整合到安全集中的信息库中 • 检测并警告可疑活动,包括特权用户 • 适用于 SOX、PCI 和其他法规的现成的合规性报告

• 例如,特权用户审计、权限、失败的登录、受管制数据更改 • 使用报告生成、通知、证明、存档等简化了审计 © 2011 Oracle Corporation

29


Audit Vault用户的分工

不能修改代理、收集器的 配置。

监视、检查、报警、报表 (AV_AUDITOR)

完全不能访问 Audit Vault日志

审计报告 的生成

Database 管理者 数据库的起动・停止 备份・恢复等 仅做数据库管理工作

告警条件 的设置

Audit Vault Server 审计日志 仓库

对审计源数据库 的设计规则设置

Audit Vault 审计员

使用举例、 Audit Vault管理员由IT部门人员担任 Audit Vault审计员由安全部门人员担任 必须这样适当分开由不同人担任

不能浏览审计日志的内容

代理、 收集器的配置

代理、 收集器的管理

管理 (AV_Admin)

数据仓库Schema 的ETL

Audit Vault 管理员 30


Oracle Total Recall 跟踪对敏感数据的更改 select salary from emp AS OF TIMESTAMP '02-MAY-09 12.00 AM‘ where emp.title = ‘admin’

• 透明地跟踪应用程序数据随时间的更改 • 数据库中高效、抗干扰的归档存储 • 使用 SQL 实时访问应用程序的历史数据 • 简化的突发事件取证和恢复

© 2011 Oracle Corporation

31


Oracle Database Firewall核心功能 允许

日志记录 警报 替换

应用程序

阻止

警报

内置 报告

自定义 报告

数据库

策略

• 监视有威险性的数据库操作,并且在其到达数据库之前阻止它们 • 监控数据库活动,防止未授权的数据库访问、SQL 注入、权限或角色升级, 以及对敏感数据的非法访问等 • 跟踪任何更改,并审计数据库活动 • 方便的基于白名单和黑名单的安全管理策略 • 通过高度精确的 SQL 语法智能分析,避免代价高昂的误报 • 支持对所有主流的数据库,提供了内置的130多个智能报告

© 2011 Oracle Corporation

32


Oracle Database Firewall 快速和灵活的部署 应用服务器 数据库 防火墙

并联

用户

路由器

数据库服务器 串联

基于主机的代理

• 串联:所有数据库流量都经过 Oracle Database Firewall • 并联/被动:数据库防火墙连接到 SPAN 端口或 TAP • 可选的基于主机的远程或本地监视器 • 可将网络流量从数据库主机发送到数据库防火墙 • 可将非网络数据库活动发送到数据库防火墙,以识别本地控制台或远程会话的未 授权使用

© 2011 Oracle Corporation

33


Oracle Configuration Management 保护您的数据库环境 监视

发现 资产 管理

分类 策略 管理

评估

确定优先级 漏洞 管理

修复

配置 管理 与审计

监视 分析 分析

• 发现数据库并将其分类到策略组 • 依据 400 多个最佳实践和行业标准以及自定义的企业专用配置策略对数据库进行 扫描 • 检测进而防止未授权的数据库配置更改 • 更改管理信息板与合规性报告

© 2011 Oracle Corporation

34


Oracle Data Masking 对数据进行不可逆的去身份化后再用于非生产环境 生产环境

非生产环境

LAST_NAME

SSN

SALARY

LAST_NAME

SSN

SALARY

AGUILAR

203-33-3234

40,000

ANSKEKSL

111—23-1111

60,000

BENSON

323-22-2943

60,000

BKJHHEIEDK

222-34-1345

40,000

数据永不离开数据库

• 使应用程序数据安全地使用于非生产环境

• 防止应用程序开发人员和测试人员看到生产数据 • 用于数据屏蔽自动化的可扩展模板库和策略 • 自动保留引用完整性,以便应用程序能够继续正常运行

© 2011 Oracle Corporation

35


Oracle Database Security Big Picture

Audit consolidation

Allow

Sensitive Procurement

Log Alert Substitute

Applications

HR Confidential Rebates Public

Unauthorized Local Activity DB Consolidation Security Local DBA Privilege Mis-Use

Block

Network SQL Monitoring and Blocking

Encrypted Database

Encrypted Encrypted Backups Exports

Data Masking


SPARC T-series Enterprise Server Weblogic高性能的安全服务器

© 2011 Oracle Corporation

37


Sun Crypto Accelerator 6000 PCIe Card Oracle Advanced Security Transparent Data Encryption

• 基于硬件安全模块(HSM)的主密钥管理(master encryption key) Centralized key store for securing the master key used to encrypt and decrypt the keys performing actual data encryption: - 加密/解密 Tablespace keys & Table keys - 加密/解密 Oracle Data Pump utility - 加密/解密 Oracle Recovery Manager (RMAN) Master key backup and recovery FIPS-140-2 Level 3 compliance • SSL加速 Offloads computationally intensive public-key cryptographic operations © 2011 Oracle Corporation

38


Oracle 数据库纵深防御 云数据库安全解决方案总结

• Oracle Advanced Security • Oracle Identity Management • Oracle Database Vault

• Oracle Label Security 数据

• Oracle Audit Vault • Oracle Total Recall • Oracle Database Firewall • Oracle Configuration Management • Oracle Data Masking

全面 – 透明 – 易于部署 – 成熟! © 2011 Oracle Corporation

39


云环境中的数据安全

© 2011 Oracle Corporation ORACLE CONFIDENTIAL

40


Š 2011 Oracle Corporation

41


Oracle Maximum Availability Architecture Secure Database Cloud Production Primary RAC

Node 1

Node 2

Redo logs transport

Node 3

Node 1

Dataguard Standby RAC

Node 2

Node 3

Log merge

Cache Fusion

Cache Fusion

sql apply

redo logs 1 redo logs 2 redo logs 3

Š 2011 Oracle Corporation

redo apply

Standby physical logical redo logs standby database standby database

42


基于存储镜像的数据保护 Significant Network Overhead Production DBMS

Standby Files Network I/O

Control Files Online Logs

Control Files Online Logs

Archive Logs

Archive Logs

fil

Updates

fil

Flashback Logs

Flashback Logs

Data Files

Data Files

SYSTEM USER TEMP UNDO

SYSTEM USER TEMP UNDO

Also: database block corruptions propagated to target

© 2011 Oracle Corporation

43


基于Data Guard的数据保护 Database & Network Optimized Transport & Apply Production DBMS Control Files Online Logs

fil

Archive Logs

Updates

Flashback Logs Data Files

Standby DBMS Oracle apply Network I/O

Oracle validation

7X less volume* 27X fewer network I/Os*

SYSTEM USER TEMP UNDO

Also: standby database protected from primary database corruptions 44


整体容灾架构 增强云安全 Primary Site (A)

Secondary Site (B) Webhost1a

Webhost1b

Apphost1a

Apphost1b

Apphost2a

Apphost2b

ZFS Storage Replication of Binaries, Configuration Data, Metadata

DBhost1

DBhost2

Oracle Data Guard

• 保护整个业务流程 • 通过复制在数据库以外的数据来完善Data Guard环境 • 协同的切换/切回ZFS存储和Data Guard • 更多的向导、解决方案: http://www.oracle.com/goto/zfs-middleware © 2011 Oracle Corporation

45


异构数据平台容灾方案 Oracle GoldenGate Databases Oracle GoldenGate Capture:  Oracle  DB2  Microsoft SQL Server  Sybase ASE  Teradata  Enscribe  SQL/MP  SQL/MX  MySQL  JMS message queues

Oracle GoldenGate Delivery:  All listed above, plus: TimesTen  Netezza, Greenplum, and HP Neoview  ETL products

© 2011 Oracle Corporation

O/S and Platforms Linux Sun Solaris Windows 2000, 2003, XP HP NonStop

HP-UX HP OpenVMS IBM AIX IBM z Series zLinux

46


Oracle GoldenGate Architecture Capture: 实时读取交易日志,捕获数据变化并可实现过滤 队列文件: 暂存数据文件 Pump: 分发数据,路由到多个目的数据库 路由传送: 数据经过压缩和加密后传送到目的地。 Delivery: 执行所需的数据变化,将数据变 化然后提交到目的库。

Read/Write Workload

Read/Write Workload

Pump Capture

LAN / WAN / Internet (TCP/IP)

Source Trail

Target Trail

Delivery

Pump Source Database(s)

Delivery

Target Trail

双向复制

Source Trail

Capture

Target Database(s)


强大的混合高可用能力 Integrated HA, DR and Active-Active Replication

RAC

Active Data Guard

- Scalability - Server HA

- DR & Data Protection - Real-time Query

Primary Database

Golden Gate

Standby Database

- Information Distribution - Heterogeneous

Bi-directional Replication

© 2011 Oracle Corporation

Subsetting

MySQL

48


极限速度

Disk to Disk to Tape 数据安全 Exadata X2 Database Machine

Exadata X2 Database Machine

Sun StorageTek Library System

DataGuard

GoldenGate

RMAN

Disk Backup

Tape Backup Fibre Channel

Infiniband Sun ZFS Storage Appliance Oracle RMAN Target

© 2011 Oracle Corporation

Admin Server Media Server with NetBackup, Networker, Oracle Secure Backup, Storage Archive Manager

49


后续步骤…… • 尽快开始保护敏感数据和数据库基础 架构! • 数据库云支持以更低的成本和复杂性 提供更高的安全性 • 着手将您现有 IT 基础架构发展为私 有云 • 安全的 Oracle 数据库云服务器提供 您所需要的安全数据库云构建块

• 保护您的数据库将允许您在风险更低 的情况下外包/利用公有云

© 2011 Oracle Corporation

50


Questions

Š 2011 Oracle Corporation

51


Thank you

© 2011 Oracle Corporation ORACLE CONFIDENTIAL

52

Sc oracle云计算安全解决方案 v2  
Read more
Read more
Similar to
Popular now
Just for you