OracleDB审计技术分析.docx

 HYPERLINK /rlhua/article/detailsOracle DB审计  分类：  HYPERLINK /rlhua/article/category/1701305 Oracle 11g ws1 2013-10-04 22:21 388人阅读  HYPERLINK /rlhua/article/details\l comments 评论(0)  HYPERLINK javascript:void(0); \o 收藏 收藏  HYPERLINK /rlhua/article/details\l report \o 举报 举报 ? 说明DBA 负责的安全和审计工作 ? 启用标准数据库审计 ? 指定审计选项 ? 复查审计信息 ? 维护审计线索 责任分离 ? 具有DBA 权限的用户必须是可信任的。 – 滥用信任 – 用审计线索保护受信任位置 ? 必须共同分担DBA 责任。 ? 绝对不要共享帐户。 ? DBA 和系统管理员必须由不同的人员担任。 ? 分离操作员与DBA 的责任。 以下是满足责任分离的主要要求。 DBA 必须是可信任的：很难限制某个DBA 去做什么。为了完成工作，DBA 需要很高的权限。DBA 是受信任的职位，因此必须接受全面检查。即使是受信任的DBA 也必须承担责任。 考虑以下因素： ? 滥用信任：DBA 可能会滥用DBA_USERS视图中的加密密码。 ? 用审计线索保护受信任位置：谨慎实施审计且遵守准则之后，审计线索会指出特定人员没有违反规程，也没有破坏性行为。 如果有恶意用户试图让人怀疑受信任的用户，设计良好的审计线索可捕获该行为。 Oracle Database Vault：在下面的情况下，可以使用Oracle Database Vault 选件：数据库必须强制执行责任分离，或者不允许DBA 查看某些或所有数据库方案中的数据。 数据库安全性 安全的系统可确保所包含数据的机密性。有以下几方面的安全性功能： ? 限制对数据和服务的访问 ? 验证用户 ? 监视可疑活动 数据库安全性 Oracle Database 11g提供了业界最佳的安全系统框架。但是，要让这个框架起作用，数据库管理员必须遵循最佳实践并持续监视数据库活动。 限制对数据和服务的访问 不是所有用户都应对所有数据具有访问权。根据数据库中存储的内容，可按业务需要、客户期望以及日益增加的法律限制条款来强制实施有限制的访问。必须保护信用卡信息、医疗保健数据、身份识别信息等，使之免受未授权访问的侵害。Oracle DB 通过提供细粒度的授权控制来限制数据库访问。限制访问必须包括应用最少权限原则。 验证用户 为了强制对敏感数据实施访问控制，系统必须首先知道是谁尝试访问数据。如果验证机制有漏洞，就会导致所有其它安全预防措施变得无用。 最基本的用户验证方式是要求用户提供知道的验证信息，如口令。如果可以保证口令遵循简单规则，就可极大地增强系统的安全性。 比较严格的验证方法包括要求用户提供掌握的某些验证信息，如令牌或公共密钥基础结构(PKI) 证书。 更严格的验证方法是，通过诸如指纹、虹膜、骨组织模式等唯一生物学特征来识别用户。 Oracle DB 支持通过高级安全选件来使用高级验证技术（如基于令牌、生物学和证书的身份识别技术）。 为了防止有人钻验证漏洞，必须锁定当前未使用的用户帐户。 监视可疑活动 即使经过授权和验证的用户有时也会钻系统漏洞。为了查到信息失窃的原因，第一步就是要找出不寻常的数据库活动，如某个雇员突然开始查询大量的信用卡信息、研究结果或其它敏感信息。为了跟踪用户活动和确定可疑活动的变化趋向，Oracle DB 提供了很多审计 工具。 监视合规性 监视或审计是安全过程不可缺少的一部分。 请复查下列各项： ? 强制性审计 ? 标准数据库审计 ? 基于值审计 ? 细粒度审计(FGA) ? SYSDBA（和SYSOPER）审计 监视合规性 审计意味着捕获并存储系统上所发生情况的信息，这会增加系统必须执行的工作量。 审计必须有重点，以便只捕获有意义的事件。如果审计重点设置适当，则会最大程度地减少对系统性能的影响。 如果审计重点设置不当，则会对系统性能产生明显的影响。 ? 强制性审计：不管其它审计选项或参数如何设置，所有Oracle DB 都会审计特定的操作。由于数据库需要记录诸如授权用户连接等数据库活动，所以存在强制性审计日志。 ? 标准数据库审计：通过使用AUDIT_TRAIL初始化参数在系统级别启用。启用审计之后，选择要审计的对象和权限，并使用AUDIT命令设置审计属性。 ? 基于值审计：扩展了标准数据库审计的功能，不仅会捕获发生的审计事件，还会捕获插入