甲骨文“Oracle全面数据库安全解决方案”交流会

 

　　4月11日，甲骨文于北京召开“Oracle全面数据库安全解决方案”，在此次媒体交流会上，甲骨文大中华区技术战略部数据库增值解决方案总监冯葵表示：作为全球领先的完整IT解决方案和企业软件和硬件供应商，甲骨文公司一直为企业提供业界最先进的技术保护数据库中的数据，并在30多年数据库安全的全球实践中，探索出一种先进的数据库纵深防御体系。

 

　　此数据库纵深防御体系，分为对企业核心数据库从阻止与记录、审计与监测、访问控制到加密与屏蔽的四层防护壁垒。它们的具体解释是：监视威胁并在其到达数据库之前进行阻止；跟踪更改并审计数据库活动；控制对数据库中数据的访问；防止非数据库用户访问数据库；从非生产数据库中删除敏感数据。

 

　　这涉及了大量的数据安全产品，如阻止和记录层的Oracle数据库防火墙，监视和审计层的Oracle配置管理、Oracle Audit Vault、Oracle Total Recall，访问控制层的Oracle Database Vault、Oracle Label Security，加密和屏蔽层的Oracle高级安全性、Oracle安全备份、Oracle数据屏蔽等。

 

　　第一层防护壁垒--阻止与记录

 

　　最新发布的Oracle数据库防火墙（Oracle Database Firewall）是Oracle数据库纵深防御体系的第一道防线，拥有主动和被动安全模型。通过为任何应用程序自动生成白名单和黑名单提供灵活的SQL级实施选项，Oracle数据库防火墙可以实现监视数据库活动和防止未授权的数据库访问、SQL 注入、权限或角色升级、对敏感数据的非法访问等，其可伸缩的体系结构可以适应各种部署模式，从而使客户在网络上部署该防火墙时能更快速、更灵活。Oracle数据库防火墙对于SQL注入有SQL精细分析引擎，SQL访问压力非常大，Oracle SQL分析引擎可以快速进行分析，识别出有害信息。Oracle数据库防火墙还可以进行数据库优化，改善用户体验。

 

　　Oracle数据库防火墙有串联和并联两种部署方式，冯葵表示，部署方式的选择应取决于产品的应用背景。建议最开始可以部署成审计（旁路、并行）模式，因为这种模式的安装非常简单，两小时内就可以部署完成。部署完成后可以帮用户进行评估，相当于帮用户做健康检查，当发现有很严重的威胁时，可以再转换成管理（串联）模式。通过评估发现目前的场景必须转换为管理模式，而管理模式也包含了审计的功能，既可以满足日常的需求，又能达到管理的目的。

 

　　Oracle数据库防火墙引入了对MySQL企业版的支持，并进一步完善了诸多数据库产品的支持，包括早前宣布的Oracle数据库11g及其较早版本、面向Linux、Unix、Windows的IBM DB2数据库、Microsoft SQL Server数据库、Sybase Adaptive Server Enterprise数据库服务器（ASE）以及Sybase SQL Anywhere数据库。

 

　　为了增强报告功能，Oracle数据库防火墙将日志数据整合到报告数据库中，并引入了新的报告基础设施，以运行和修改现有报告设计。该新版Oracle数据库防火墙提供了130多个可修改、可自定义的内置报告，并引入了10种新的开箱即用式报告，如用于数据库查证和审计的授权报告、数据库活动和授权用户报告，以进一步帮助企业遵守隐私保护规定和相关法规，例如HIPAA、支付卡行业（PCI）数据安全标准（DSS）以及萨班斯法案（SOX）。

 

　　第二层防护壁垒--监测与审计

 

　　在纵深防御体系的监测和审计部分，Oracle配置管理（Oracle Configuration Management）可通过发现数据库并将其分类到策略组，然后依据400多个最佳实践和行业标准以及自定义的企业专用配置策略对数据库进行扫描，检测进而防止未授权的数据库配置更改，并更改管理信息板与合规性报告，从而实现从资产管理、策略管理、漏洞管理到配置管理与审计、分析与解析的企业数据库环境的全程保护。

 

　　Oracle Total Recall （Oracle全面回忆） 产品可通过数据库中高效、抗干扰的归档存储确保完整、安全地保留和管理所有历史数据，还能透明地跟踪对敏感数据的更改，使用 SQL实时访问历史数据，并可实现简化的突发事件取证和错误修正。冯葵表示，全面恢复是一个比较有效的方案，可以做到快速的恢复，部署的时候，首先要做系统的评估。一是评估需要快照的数据，另外是对系统的性能和开销进行评估。与客户进行访谈确定恢复周期，类似于灾备恢复。

 

　　Oracle Audit Vault能够从Oracle数据库以及其他数据库中 （包括SQL Server、IBM DB2、Sybase ASE） 收集审计数据，并整合到一个安全、可伸缩、高可用的信息库中，检测并警告包括特权用户在内的可疑活动。它通过预置报告或自定义报告对审计数据进行保护、分析和报告，对数据库审计设置或策略进行集中式管理以简化审计工作，从而帮助企业通过整合、管理、监控以及报告审计数据，全面了解企业数据访问情况。

 

　　第三层防护壁垒--访问控制

 

　　在访问控制层，Oracle Database Vault可安全地整合应用程序数据或支持多承租方数据管理，强化了数据库中的内部控制，在数据库中预先定义了三个不同的责任，即账户管理、安全管理和资源管理。其可扩展性允许企业根据自己的业务需求自定义职责划分，还通过多因素授权扩展了访问控制机制。通过控制访问数据的对象、时间、地点和方式，企业可将对数据库的访问限制到特定的子网或应用系统。

 

　　甲骨文还提供了Oracle Label Security（Oracle标签安全性）来支持访问控制，可根据业务需求对用户和数据进行分类，在数据库中实施不同级别的访问控制，例如利用Oracle Identity Management Suite对用户进行分类，通过Oracle Label Security在数据表中分行加入标签，从而使不同的人员在访问同一张表时，将会能看到不同的信息。

 

　　第四层防护壁垒--加密与屏蔽

 

　　至于加密和屏蔽层，Oracle Advanced Security（Oracle高级安全性）无需更改应用程序，即可对静止的应用程序数据完全加密，防止IT人员或操作系统用户直接访问存储在数据库文件中、磁带上、导出的数据和其他数据，同时提供集中的密钥生命周期管理。而Oracle Secure Backup （Oracle安全备份） 能提供最快且安全的 Oracle数据库备份，还可以利用低成本的云计算存储，通过综合管理有效降低成本并简化备份与恢复的复杂性。Oracle Data Masking （Oracle数据屏蔽） 则可对数据进行不可逆的去身份化后，再用于非生产环境，同时自动保留引用完整性，以便应用程序能够继续正常运行。

 

　　全面的Oracle数据库安全解决方案支持多维度、分步骤实施MSA数据的合规安全，可以根据需求部署数据库，并重点实施集中审计和权限管理，且安装部署方便，无需修改应用。其中，配置管理、透明加密与数据脱敏等技术更具有成本低，部署简单，快速有效的优势。Oracle数据库安全解决方案还能帮助企业通过升级数据库到Oracle数据库11g，获得压缩提速和全面恢复的多重收益。

 

　　冯葵还指出：Oracle现在的发展战略是：整合、完整、开放。他最后总结表示：“基于Oracle数据库安全解决方案的四层纵深防御体系，从访问对象和数据两方面进行了全面的主动防御，有效保护了企业数据安全，满足了日益严格的企业IT合规性管理需求，帮助企业节省金钱和时间；通过Oracle数据库安全解决方案，企业在数据加密和屏蔽的基础上，可实现严密的数据访问控制，并实时监控和审计整个数据库活动、精确阻断和记录非法操作，从而完成立体化的数据保护。”