Oracle Security Workshop

Friday, 22.06.2007 – Dejan

Nedavno (13.06.2007. godine) sam bio na jednom Oracle seminaru o sigurnosti, na kojem su prezentovane neke op┼ítepoznate ─Źinjenice o sigurnosnim prijetnjama i zatim rje┼íenja, koja nudi Oracle na polju sigurnosti baza podataka.

Neki od statisti─Źkih┬ápodataka su:
87% upada u bazu se odvija tako ┼íto “bad guys” prvo “hackuju” operativni sistem (Windows npr.), pa tek onda bazu
80% svih napada na bazu dolazi od samih zaposlenika firme, tzv. “insajdera
– samo 1% profesionalnih upada u bazu bude otkriven
10% svih hackova bivaju javno objavljeni

Tako─Ĺe ─çu navesti neke od rje┼íenja, koja Oracle nudi kao odgovor na potencijalne sigurnosne prijetnje:
Oracle Database Vault
Oracle Audit Vault
Oracle Virtual Private Database (VPD)
Oracle Label Security
Transparent Data Encryption
Oracle Advanced Security
Single-Sign-On
Identity & Access Management

Tokom seminara su na prakti─Źnim primjerima prvo pokazani Oracle Database Vault i Oracle Audit Vault, kada recimo korisnik SYS (da, taj super-extra-turbo-ultra-mega-giga-mighty-DBA-baja je ostao bez jaja) nema pristup zabranjenim podacima (u ovom primjeru se radilo o brojevima kreditnih kartica). Potom je prikazana enkripcija podataka, tako da samo onaj ko ima klju─Ź za dekripciju, mo┼że do─çi do pravih podataka.

Prezentovano je jo┼í mnogo toga, a izme─Ĺu ostalog SSO (Single-Sign-On), DBMS_CRYPTO, DBMS_OBFUSCATION_TOOLKIT, sigurnosne role u aplikaciji (DVSYS.DBMS_MACSEC_ROLES.SET_ROLE), FGA (Fine Grained Auditing) i td.

Moje subjektivno-objektivno mišljenje je da su od gorenavedenih mnoge stvari korisne i da će naći primjenu kod mnogih korisnika, a Oracle ima prednost pogotovo što nijedan drugi RDBMS ne nudi ove mogućnosti u sklopu samog RDBMS-a.
Me─Ĺutim, velika mana su pla─çanje dodatnih licenci za kori┼ítenje tih komponenti, kao i potreba za vi┼íe RAM-a i vi┼íe procesora, ┼íto je “neslu┼żbeno” potvrdio i jedan od predava─Źa na seminaru. Na sve to dolaze i uve─çani tro┼íkovi za ljudske resurse (obu─Źavanje, dodatne radne obaveze), pa ─çe biti klasi─Źno – koliko para, toliko muzike.

Oracle security workshop - madjionicarNakon silnog tehni─Źkog teoretisanja, organizatori su nas┬ápo─Źastili iznena─Ĺenjem – ma─Ĺioni─Źarem.
Prvo smo se svi┬ápogledali onako u smislu “┼áta ─çe ovdje ma─Ĺioni─Źar!?“, ali nas je lik odu┼íevio ve─ç nakon par minuta. Izvanredni trikovi sa kartama, nov─Źi─çima i konopcom (tj. komadom u┼żeta) popra─çeni┬áduhovitom pri─Źom, razdragali su i najokorjelije geekove. ­čÖé ─îak je dobio ja─Źi aplauz, nego svi Oracle predava─Źi zajedno.

Za kraj, evo jedna slika na kojoj pijem kafu i jedem izvanredan “brownie” tokom pauze.
Oracle security workshop - Dejan

Post a Comment