="t18">
、 什么是安全
系统 安全性建设是
![](/icons/93064yi.gif)
个长期并且卓绝
![](/icons/93064de.gif)
工作
![](/icons/93064dou2.gif)
作为
![](/icons/93064yi.gif)
个符合标准
![](/icons/93064de.gif)
企业级系统
![](/icons/93064dou.gif)
我们认为税务系统应该具备以下
![](/icons/93064de.gif)
安全性特点:
高可用性
对敏感数据
![](/icons/93064de.gif)
访问控制能力
监测用户行为
![](/icons/93064de.gif)
审计能力
用户帐号治理
![](/icons/93064de.gif)
有效性和扩充性
2、 从哪些方面作安全性检查
![](/icons/93064yi.gif)
个企业级系统
![](/icons/93064de.gif)
安全性建设并不仅仅局限于软件Software技术方面
![](/icons/93064de.gif)
设置和控制
![](/icons/93064dou.gif)
甚至我们可以说
![](/icons/93064dou.gif)
技术仅仅位于
![](/icons/93064yi.gif)
个补充和提高现有安全性
![](/icons/93064de.gif)
地位上
![](/icons/93064dou2.gif)
通常
![](/icons/93064dou.gif)
应该按照重要性依次进行如下
![](/icons/93064de.gif)
安全性检查
物理层面
![](/icons/93064de.gif)
控制
控制物理接触是系统安全性建设
![](/icons/93064de.gif)
第
![](/icons/93064yi.gif)
步
![](/icons/93064dou.gif)
也是最会有成效
![](/icons/93064dou.gif)
最应该优先执行
![](/icons/93064de.gif)
![](/icons/93064yi.gif)
步
权威安全研究显示
![](/icons/93064dou.gif)
70%
![](/icons/93064de.gif)
信息系统数据损失和攻击都是由“内部人”(即具备某种系统及其数据访问权限
![](/icons/93064de.gif)
用户)造成和发起
![](/icons/93064de.gif)
比如
![](/icons/93064dou.gif)
授权人员才可以进入机房
![](/icons/93064dou.gif)
治理人员
![](/icons/93064de.gif)
密码不要记录在显眼
![](/icons/93064de.gif)
地方
![](/icons/93064dou.gif)
离开个人终端锁定屏幕
![](/icons/93064dou.gif)
等等
![](/icons/93064dou.gif)
这些建议看上去似乎比较琐碎
![](/icons/93064dou2.gif)
但是假如缺少了这些意识
![](/icons/93064dou.gif)
即使我们运用了再好
![](/icons/93064de.gif)
安全性技术
![](/icons/93064dou.gif)
再复杂
![](/icons/93064de.gif)
数据分离技术
![](/icons/93064dou.gif)
当
![](/icons/93064yi.gif)
个人可以接近需要保护
![](/icons/93064de.gif)
服务器
![](/icons/93064dou.gif)
当
![](/icons/93064yi.gif)
个人可以通过窃取
![](/icons/93064de.gif)
密码接近需要保护
![](/icons/93064de.gif)
数据
![](/icons/93064dou.gif)
那么
![](/icons/93064yi.gif)
切
![](/icons/93064de.gif)
安全性建设都将是
![](/icons/93064yi.gif)
个摆设
千里的堤
![](/icons/93064dou.gif)
毁于蚁穴
![](/icons/93064dou2.gif)
![](/icons/93064yi.gif)
个牢固
![](/icons/93064de.gif)
堤坝不会
![](/icons/93064yinwei.gif)
外界洪水
![](/icons/93064de.gif)
冲击而倒塌
![](/icons/93064dou.gif)
却会崩坏于隐藏在自身内部
![](/icons/93064de.gif)
蛀虫
所以
![](/icons/93064dou.gif)
最佳
![](/icons/93064de.gif)
思路方法是不要让蚂蚁靠近堤坝
![](/icons/93064dou2.gif)
安全性流程建设
实施安全性建设的后
![](/icons/93064dou.gif)
必须要有
![](/icons/93064yi.gif)
个具体周密而且行的有效
![](/icons/93064de.gif)
流程控制(Process Control)
![](/icons/93064dou2.gif)
其中行的有效是我们应该注重
![](/icons/93064de.gif)
有时候会听到抱怨
![](/icons/93064dou.gif)
在增强了安全性建设
![](/icons/93064de.gif)
系统中
![](/icons/93064dou.gif)
维护人员由于分工过细
![](/icons/93064dou.gif)
导致整个系统
![](/icons/93064de.gif)
应变能力下降
![](/icons/93064dou.gif)
维护成本提高
![](/icons/93064dou.gif)
治理效率降低
![](/icons/93064dou2.gif)
以前
![](/icons/93064yi.gif)
个人可以在10分钟内作好
![](/icons/93064de.gif)
修改
![](/icons/93064dou.gif)
现在却要途经3
![](/icons/93064dou.gif)
4个人的手
![](/icons/93064dou.gif)
耗时1-2天还不
![](/icons/93064yi.gif)
定能够做完
过犹不及
![](/icons/93064dou.gif)
建立
![](/icons/93064yi.gif)
个符合企业自身需求
![](/icons/93064de.gif)
安全性流程是我们应该优先考虑
![](/icons/93064de.gif)
普遍性
安全性措施 不仅仅是Oracle数据库系统
![](/icons/93064dou.gif)
作为
![](/icons/93064yi.gif)
个具有领先性
![](/icons/93064de.gif)
IT系统
![](/icons/93064dou.gif)
都应该包括以下
![](/icons/93064de.gif)
安全性措施
1. 只安装需要
![](/icons/93064de.gif)
软件Software
每个软件Software都有缺陷
![](/icons/93064dou.gif)
对于Oracle数据库软件Software来说
![](/icons/93064dou.gif)
自定义安装
![](/icons/93064dou.gif)
只选取需要
![](/icons/93064de.gif)
组件
![](/icons/93064dou.gif)
少作少错
![](/icons/93064dou.gif)
这
![](/icons/93064yi.gif)
点在安全性方面显得尤为重要
![](/icons/93064dou.gif)
![](/icons/93064yi.gif)
个具有潜在安全性漏洞
![](/icons/93064de.gif)
组件
![](/icons/93064dou.gif)
假如它没有被安装
![](/icons/93064dou2.gif)
那它就不会影响整个系统
2. 锁定或者失效默认用户
对于Oracle数据库系统来说
![](/icons/93064dou.gif)
安装
![](/icons/93064de.gif)
时候会有
![](/icons/93064yi.gif)
系列
![](/icons/93064de.gif)
默认用户生成
![](/icons/93064dou.gif)
应该在数据库安装完毕的后
![](/icons/93064dou.gif)
经过功能筛选
![](/icons/93064dou.gif)
锁定或者失效这些用户
3. 修改可用用户
![](/icons/93064de.gif)
默认密码
不能锁定或者失效
![](/icons/93064de.gif)
用户
![](/icons/93064dou.gif)
必须修改默认密码
![](/icons/93064dou2.gif)
比如具有SYSDBA权限
![](/icons/93064de.gif)
SYS用户和具有DBA权限
![](/icons/93064de.gif)
SYSTEM用户
![](/icons/93064dou.gif)
都应该修改默认密码
![](/icons/93064dou2.gif)
至于密码长度和复杂性
![](/icons/93064de.gif)
有效控制在后面将会谈到
4. 限制操作系统存取权限
Oracle数据库系统是依存在操作系统的上
![](/icons/93064de.gif)
![](/icons/93064dou.gif)
假如操作系统被人侵入
![](/icons/93064dou.gif)
那么通过修改配置文件等
![](/icons/93064yi.gif)
系列思路方法
![](/icons/93064dou.gif)
Oracle数据库
![](/icons/93064de.gif)
安全性也将荡然无存
5. 定期更新厂家推出
![](/icons/93064de.gif)
安全性补丁
随着时间
![](/icons/93064de.gif)
推移
![](/icons/93064dou.gif)
厂家通常会推出
![](/icons/93064yi.gif)
系列
![](/icons/93064de.gif)
安全性补丁来弥补现有系统
![](/icons/93064de.gif)
安全隐患
对于Oracle数据库而言
![](/icons/93064dou.gif)
应该定期查看以下网址来获取Oracle公司最新
![](/icons/93064de.gif)
安全性警告和解决方案
![](/icons/93064dou2.gif)
http://www.oracle.com/technology/deploy/security/alerts.htm
Oracle数据库本身
安全性建设 从总体上而言
![](/icons/93064dou.gif)
Oracle数据库是业界安全性方面最完备
![](/icons/93064de.gif)
数据库产品
![](/icons/93064dou2.gif)
在数据库安全性
![](/icons/93064de.gif)
国际标准中
![](/icons/93064dou.gif)
Oracle通过了14项标准
![](/icons/93064de.gif)
测试
![](/icons/93064dou.gif)
是所有数据库产品中通过安全性标准最多、最全面
![](/icons/93064de.gif)
产品
![](/icons/93064dou2.gif)
Oracle在C2级
![](/icons/93064de.gif)
操作系统上(如商用UNIX,VMS操作系统)
![](/icons/93064dou.gif)
不仅满足NCSC C2级安全标准
![](/icons/93064dou.gif)
而且已经正式通过了NCSC C2标准
![](/icons/93064de.gif)
测试
![](/icons/93064dou2.gif)
在B1级
![](/icons/93064de.gif)
操作系统上不仅满足NCSC B1级安全标准
![](/icons/93064dou.gif)
而且已经通过了NCSC B1级标准
![](/icons/93064de.gif)
测试
Oracle提供
主要安全性措施如下: 身份认证功能(Authentication):识别访问个体
![](/icons/93064de.gif)
身份
数据访问
![](/icons/93064de.gif)
机密性(Confidentialty):保证敏感数据访问
![](/icons/93064de.gif)
机密性
数据完整性(Integrity):保证数据不被篡改
授权能力(Authorization):保证被授权用户对数据
![](/icons/93064de.gif)
查询和修改能力
访问控制(Access Control):确定对指定数据
![](/icons/93064de.gif)
访问能力
审计能力(Auditing):提供监测用户行为
![](/icons/93064de.gif)
能力
私有性(Privacy):提供对敏感数据访问
![](/icons/93064de.gif)
私密性
高可用性(Availability):保证数据和系统提供不间断服务
![](/icons/93064de.gif)
能力
代理治理能力(Delegated Administration):提供对用户帐号
![](/icons/93064de.gif)
集中治理功能
下面将就应用系统本身对于Oracle提供
![](/icons/93064de.gif)
安全性措施作更深入
![](/icons/93064de.gif)
探讨
3、 Oracle
安全性领域
Profile控制 Oracle利用profile机制来治理会话资源占用
![](/icons/93064dou.gif)
同时也治理用户密码
![](/icons/93064de.gif)
安全策略
通过profile我们可以实现:
某个特定用户最多只能占用系统百分的几
![](/icons/93064de.gif)
CPU时间?
某个特定用户连接到数据库的后能存活多长时间?
某个特定用户连接到数据库的后多长时间处于非活跃状态就将被系统中断连接?
用户登录密码输入
![](/icons/93064cuowu.gif)
多少次的后就将自动锁定用户?
用户密码
![](/icons/93064de.gif)
长度和包含
![](/icons/93064de.gif)
![](/icons/93064zifu.gif)
必须符合什么样
![](/icons/93064de.gif)
规则?
用户密码在多少天后将自动失效并要求设定新密码?
用户权限控制 (Privilage) Oracle通过角色(Role)
![](/icons/93064dou.gif)
权限(Privilage)等
![](/icons/93064de.gif)
![](/icons/93064yi.gif)
系列授予(Grant)和回收(Revoke)操作可以有效
![](/icons/93064de.gif)
进行用户
![](/icons/93064de.gif)
权限控制
通过权限控制我们可以实现:
某个特定用户只能读取而不能修改另
![](/icons/93064yi.gif)
个用户
![](/icons/93064de.gif)
表数据
某个特定用户只能运行Oracle数据库系统
![](/icons/93064de.gif)
几个存储过程或者
![](/icons/93064hanshu.gif)
某个特定用户自己能够拥有修改某些数据
![](/icons/93064de.gif)
权力
![](/icons/93064dou.gif)
但是却无法给其它不拥有这个权限
![](/icons/93064de.gif)
用户授予修改该数据
![](/icons/93064de.gif)
权力
某个特定用户可以读取数据但是无法创建新
![](/icons/93064de.gif)
表空间
虚拟专用数据库(VPD) 虚拟专用数据库 (VPD) 也称为细粒度访问控制
![](/icons/93064dou.gif)
它提供强大
![](/icons/93064de.gif)
行级安全功能
![](/icons/93064dou2.gif)
它是在 Oracle8i 中推出
![](/icons/93064de.gif)
![](/icons/93064dou.gif)
已经受到广泛
![](/icons/93064de.gif)
欢迎
VPD
![](/icons/93064de.gif)
工作思路方法是
![](/icons/93064dou.gif)
通过透明地更改对数据
![](/icons/93064de.gif)
请求
![](/icons/93064dou.gif)
基于
![](/icons/93064yi.gif)
系列定义
![](/icons/93064de.gif)
标准向用户提供表
![](/icons/93064de.gif)
局部视图
![](/icons/93064dou2.gif)
在运行时
![](/icons/93064dou.gif)
所有查询都附加了谓词
![](/icons/93064dou.gif)
以便筛选出准许用户看到
![](/icons/93064de.gif)
行
也就是通过VPD
![](/icons/93064de.gif)
设置
![](/icons/93064dou.gif)
我们可以做到行级安全性控制
![](/icons/93064dou.gif)
特定
![](/icons/93064de.gif)
用户即使对
![](/icons/93064yi.gif)
张表有读取权限
![](/icons/93064dou.gif)
那么也只能看到符合自身权限
![](/icons/93064de.gif)
记录
![](/icons/93064dou2.gif)
注重
![](/icons/93064dou.gif)
在Oracle10g版本中
![](/icons/93064dou.gif)
VPD得到增强
![](/icons/93064dou.gif)
已经可以实现字段级
![](/icons/93064de.gif)
安全性控制了
例子及搭建步骤参看:利用VPD细粒度访问策略实现行级安全性 Step By Step
Orace Label Security 基于对由客户提交
![](/icons/93064de.gif)
行级安全性
![](/icons/93064de.gif)
严格要求
![](/icons/93064dou.gif)
Oracle Label Security(Oracle 数据库企业版
![](/icons/93064de.gif)
选件的
![](/icons/93064yi.gif)
)利用多级安全性概念解决了世界上政府和商业用户在实际中碰到
![](/icons/93064de.gif)
数据安全和隐私问题
OLS 通过利用数据敏感度标签(例如“敏感”和“公司机密”)和用户标签授权
![](/icons/93064dou.gif)
提供了完善
![](/icons/93064de.gif)
行级安全性控制
OLS 使用政策概念来存储标签定义和授权
![](/icons/93064dou2.gif)
该政策可直接在数据库中进行治理
![](/icons/93064dou.gif)
或在 Oracle 身份治理中进行集中治理
Oracle Database Valut 通常数据库治理员假如具有了DBA权限
![](/icons/93064dou.gif)
那么就很难防止这样
![](/icons/93064de.gif)
治理员查看应用
![](/icons/93064chengxu.gif)
数据
![](/icons/93064dou2.gif)
而Oracle Database Valut则解决了必须保护涉及合作伙伴、员工和顾客
![](/icons/93064de.gif)
敏感业务信息或隐私数据
![](/icons/93064de.gif)
客户最为担心
![](/icons/93064de.gif)
问题
Oracle Database Vault 可防止高权限
![](/icons/93064de.gif)
应用
![](/icons/93064chengxu.gif)
DBA 访问其他
![](/icons/93064de.gif)
应用
![](/icons/93064chengxu.gif)
、执行其权限的外
![](/icons/93064de.gif)
任务
![](/icons/93064dou2.gif)
Oracle Database Vault 可在不影响应用
![](/icons/93064chengxu.gif)
功能
![](/icons/93064de.gif)
前提下快速而高效地保护现有
![](/icons/93064chengxu.gif)
Oracle Database Vault 可通过下列思路方法解决
![](/icons/93064yi.gif)
些最为常见
![](/icons/93064de.gif)
安全问题和内部威胁:
1. 限制 DBA 和其他授权用户访问应用
![](/icons/93064chengxu.gif)
数据
2. 防止DBA 操纵数据库和访问其他应用
![](/icons/93064chengxu.gif)
![](/icons/93064dou2.gif)
Oracle Database Vault 提供了强大
![](/icons/93064de.gif)
职责划分控制功能
![](/icons/93064dou.gif)
可防止擅自更改数据库
![](/icons/93064dou2.gif)
比如说假如
![](/icons/93064yi.gif)
个用户具有 CREATE USER 权限
![](/icons/93064dou.gif)
但不具备正确
![](/icons/93064de.gif)
用户治理权限
![](/icons/93064dou.gif)
则 Oracle Database Vault 将阻止该 DBA 创建新用户
3. 更好
![](/icons/93064de.gif)
控制何人、何时、何地可以访问应用
![](/icons/93064chengxu.gif)
![](/icons/93064dou2.gif)
如日期时间、数据库客户端在网络上
![](/icons/93064de.gif)
位置的类
![](/icons/93064de.gif)
原因
Oracle Database Valut是新
![](/icons/93064de.gif)
Oracle Database 10g企业版
![](/icons/93064de.gif)
选件
![](/icons/93064dou2.gif)
目前已经有Linux X86以及Solaris SPARC 64bit
![](/icons/93064de.gif)
版本可以下载使用了
用户访问审计 审计是Oracle安全性
![](/icons/93064de.gif)
另
![](/icons/93064yi.gif)
个重要领域
![](/icons/93064dou.gif)
我们还必须小心地计划审计方案
![](/icons/93064dou2.gif)
有几种方式可在Oracle中进行审计:
1. SQL审计命令(标准审计)
通过AUDIT语句我们可以对成功或者不成功
![](/icons/93064de.gif)
特定对象
![](/icons/93064de.gif)
读取
![](/icons/93064dou.gif)
更新操作进行审计
标准审计只会记录较少
![](/icons/93064de.gif)
跟踪信息
![](/icons/93064dou.gif)
比如发出该语句
![](/icons/93064de.gif)
用户、时间、终端标识号等等
该审计对于系统性能
![](/icons/93064de.gif)
影响更多地取决于对象
![](/icons/93064de.gif)
繁忙程度
2. 用对象触发器进行审计(也就是DML审计)
此类审计通常由客户自行开发放置于特定数据库对象上
![](/icons/93064de.gif)
触发器
![](/icons/93064dou.gif)
由于是自行开发
![](/icons/93064dou.gif)
所以相对于标准审计则能够更自由地记录更多感爱好
![](/icons/93064de.gif)
跟踪信息
![](/icons/93064dou2.gif)
比如更新操作将某个字段从什么原始值更新到了什么新值
该审计对于系统性能
![](/icons/93064de.gif)
影响更多地取决于对象
![](/icons/93064de.gif)
繁忙程度和触发器
![](/icons/93064de.gif)
编写水平
3. 用系统级触发器进行审计(记录用户登录和退出)
当用户登录数据库或者离开数据库时
![](/icons/93064dou.gif)
都可以通过自定义
![](/icons/93064de.gif)
触发器来记录用户名称
![](/icons/93064dou.gif)
操作时间
![](/icons/93064dou.gif)
终端标识号等信息
由于触发器触发几率小
![](/icons/93064dou.gif)
所以该审计对于系统性能影响并不大
4. 用LogMiner进行审计(也就是DML和DDL)
Oracle数据库将所有
![](/icons/93064de.gif)
更新操作都记录在重作日志中
![](/icons/93064dou.gif)
而Oracle提供了LogMiner工具用于挖掘重作日志中
![](/icons/93064de.gif)
所有操作
![](/icons/93064dou.gif)
相比起上述
![](/icons/93064de.gif)
各种审计思路方法来说
![](/icons/93064dou.gif)
该种审计可能是信息最为完善
![](/icons/93064dou.gif)
对于应用系统性能影响最小
![](/icons/93064de.gif)
思路方法
此处稍微延展开来说
![](/icons/93064yi.gif)
下
![](/icons/93064dou.gif)
LogMiner是双刃剑
![](/icons/93064dou.gif)
既然可以用来审计
![](/icons/93064dou.gif)
也就能够被恶意使用作为数据窃取
![](/icons/93064de.gif)
工具
![](/icons/93064dou2.gif)
所以在数据本身
![](/icons/93064de.gif)
加密方面
![](/icons/93064dou.gif)
Oracle同样提供了多种解决方案
![](/icons/93064dou.gif)
比如DBMS_OBFUSCATION_TOOLKIT
![](/icons/93064dou.gif)
DBMS_CRYPTO和最新
![](/icons/93064de.gif)
透明数据加密
![](/icons/93064dou.gif)
甚至在数据备份方面Oracle也推出了Secure Backup来应对磁带数据
![](/icons/93064de.gif)
加密
![](/icons/93064dou.gif)
但是要注重到数据加密不应用作访问控制
![](/icons/93064de.gif)
替代项
![](/icons/93064dou.gif)
存储加密
![](/icons/93064de.gif)
数据并不会在存储介质本身提供额外
![](/icons/93064de.gif)
保护层
![](/icons/93064dou.gif)
只是有助于在发生介质遭窃时保护诸如信用卡号的类
![](/icons/93064de.gif)
敏感数据
![](/icons/93064dou2.gif)
本文不再作更多
![](/icons/93064de.gif)
介绍
5. 细精度审计(FGA)
细粒度审计 (FGA)
![](/icons/93064dou.gif)
是在 Oracle 9i 中引入
![](/icons/93064de.gif)
![](/icons/93064dou.gif)
能够记录 SCN 号和行级
![](/icons/93064de.gif)
更改以重建旧
![](/icons/93064de.gif)
数据
![](/icons/93064dou.gif)
但是它们只能用于 select 语句
![](/icons/93064dou.gif)
而不能用于 DML
![](/icons/93064dou.gif)
如 update、insert 和 delete 语句
![](/icons/93064dou2.gif)
因此
![](/icons/93064dou.gif)
对于 Oracle 数据库 10g 的前
![](/icons/93064de.gif)
版本
![](/icons/93064dou.gif)
使用触发器虽然对于以行级跟踪用户
![](/icons/93064chushi.gif)
![](/icons/93064de.gif)
更改是没有吸引力
![](/icons/93064de.gif)
选择,但它也是唯
![](/icons/93064yi.gif)
可靠
![](/icons/93064de.gif)
思路方法
而Oracle10g种FGA功能
![](/icons/93064de.gif)
增强使其不但能够支持select操作
![](/icons/93064dou.gif)
同时也支持DML操作
![](/icons/93064dou2.gif)
在 Oracle 10g 中
![](/icons/93064dou.gif)
审计已经从
![](/icons/93064yi.gif)
个单纯
![](/icons/93064de.gif)
“操作记录者”成长为
![](/icons/93064yi.gif)
个“事实记录机制”
![](/icons/93064dou.gif)
它能以
![](/icons/93064yi.gif)
个非常具体
![](/icons/93064de.gif)
级别来捕捉用户
![](/icons/93064de.gif)
行为
![](/icons/93064dou.gif)
这可以消除您对手动
![](/icons/93064de.gif)
、基于触发器
![](/icons/93064de.gif)
审计
![](/icons/93064de.gif)
需要
![](/icons/93064dou2.gif)
它还结合了标准审计和 FGA
![](/icons/93064de.gif)
跟踪
![](/icons/93064dou.gif)
这使其更易于跟踪数据库访问
![](/icons/93064dou.gif)
而不用考虑它是如何生成
![](/icons/93064de.gif)
通过细粒度审计我们可以记录:
在早上 9点到下午 6点的间或在星期 6和星期日对某个表进行了访问
使用了公司网络外部
![](/icons/93064de.gif)
某个 IP 地址
选定或更新了特定列
使用了该列
![](/icons/93064de.gif)
特定值
延伸阅读
最新评论