Sensitive Daten in der Oracle Datenbank

Sensitive Daten in der Oracle Datenbank
DSAT und mehr
DOAG Regio München 2018
Ulrike Schwinn
E-mail: ulrike.schwinn@oracle.com
Oracle Deutschland B.V. & Co KG

Copyright © 2018, Oracle and/or its affiliates. All rights reserved.
Agenda
Database Security Assessment Tool
Sensitive Spalten ermitteln - weitere Möglichkeit
1
2

• Überprüfung der Datenbanksicherheit
– Datenbank-Konfiguration
– Risiken durch privilegierte Benutzer
– Sensible Daten
• Ergebnis: Sicherheits-Empfehlungen
– Zusammenfassung und detaillierte Berichte
– Priorisierte Empfehlungen
Datenbank
gehärtet?
Benutzer?
Berechtigungen?
Sensitive Daten?
Database Security Assessment Tool (kurz DBSAT)

• Ist ein eigenständiges Kommandozeilen-Tool
• Sammelt relevante Konfigurationsinformationen und bewertet aktuellen
Sicherheitsstatus
• Gibt Empfehlungen zur Minderung von identifizierten Risiken
• Seit Ende Januar in Version 2.0.1
• Für On-Premise und Cloud Installationen der Version 10g, 11g, 12c, 18c
• Download über My Oracle Support Document 2138254.1

DBSAT: Neue Funktionen in 2.0.1
• Ermittlung von sensitiven Daten
– Beispiele für PII: Gesundheitsdaten, Finanzdaten, Mitarbeiter-Daten
einschließlich GDPR (Religion, politische Zugehörigkeit, Gewerkschaftszugehörigkeit,
Strafrecht usw.)
– Sensible Daten-Typen und Kategorien sind anpassbar
• Identifizierung von Risiken durch fehlerhafte Datenbankkonfigurationen
und Betriebssystem-Implementierungen
– Zuordnung zu GDPR und CIS bezogenen Empfehlungen

Was überprüft DBSAT?
• Benutzerkonten, Berechtigungen und Rollen
• Berechtigungssteuerung
• Datenverschlüsselung
• Zugriffssteuerung
• Audit-Richtlinien
• Datenbank-Konfiguration
• Listener-Konfiguration
• Datei-Berechtigungen
• Sensitive Daten

Übersicht
• Collector
– führt SQL Abfragen (auf DD) und OS Kommandos aus
– schreibt gesammelte Daten in Datei
• Reporter
– analysiert die gesammelten Daten
– generiert einen DBSAT Report in HTML, Excel, JSON
und Text Format
• Discoverer
– führt SQL Abfragen (auf DD) aus und sammelt Daten
basierend auf Konfig-Files
– generiert einen “Sensitive Data” Report in HTML und
CSV Format

Installation und erste Schritte
• Download und entpacken
• Separater User mit folgenden
Privilegien (optional)
create user dbs1 identified by dbs1;
grant create session to dbs1;
grant select_catalog_role to dbs1;
grant select on sys.registry$history to dbs1;
grant select on sys.dba_users_with_defpwd to dbs1;
grant select on audsys.aud$unified to dbs1;
grant audit_viewer to dbs1;
grant capture_admin to dbs1;
grant DV_SECANALYST to dbs1;

Beispiel 1: Fehlkonfigurationen finden
DBSAT Collector und Reporter
Datenbankverbindung
JSON-Datei mit
Ergebnissen
Starten des
Collectors
(Sammeln)
Starten des
Reporters
(Analyse)
Ergebnis-Bericht
Berichtserstellung
Ausgabedatei ist verschlüsselt

Collector
Konfigurationsdaten sammeln
• Aufruf über ./dbsat <db_connection> <ausgabedatei>
– Beispiel:./dbsat dbs1@pdb122 collect1
– Ergebnis als JSON Datei in collect1.zip (Passwort geschützt)

Reporter
• Voraussetzungen
– Python Version >= 2.6
– zip/unzip in /usr/bin
– JSON Datei Passwort
• Aufruf über ./dbsat report <ausgabedatei>
– Beispiel: ./dbsat report collect1
• Ergebnisse in collect1_report.zip
– Enthält Dateien im Format txt, json, xlxs, html
– Passwort geschützt
Report erstellen

Reporter: Übersicht

Verwendete Sicherheits-Features (Basic Information)
Privilegierte Benutzer?
Datenverschlüsselung?
Fine-Grained Access Control?
Überwachung?
Benutzerauthentifizierung?

Beispiel Security Findings
Finding
Tags-Übersicht
CIS/GDPR
Umfangreiche
Begründungen
und Hinweise
CIS Mapping &
GDPR Empfehlung
Diverse Status: Evaluate, Advisory, Pass,
Low Risk, Medium Risk, High Risk
Finding ID

XLS & Text Format
Real Application Security Yes
Label Security Yes
Transparent Sensitive Data Protection Yes
AUDITING
Traditional Audit Yes
Fine Grained Audit Yes
Unified Audit Yes
USER AUTHENTICATION
External Authentication Yes
Global Authentication Yes
•Patch Check *
Status: Severe Risk
Summary:
Latest Oracle Database PSU not found.
Details:
No patches have been applied.
•Remarks:
It is vital to keep the database software up-to-date with security
fixes as they are released. Oracle issues Patch Set Updates (PSU) and
Critical Patch Updates (CPU) on a regular quarterly schedule. These
updates should be applied as soon as they are available.
### User Accounts ###
Note: Predefined Oracle accounts which are locked are not included in
this report. To include all user accounts, run the report with the –a
option.
* User Accounts *
User Name Status Profile Default Tablespace Predefined
------------------ ---------------- ---------- ------------------ ----------
ABHIK OPEN DEFAULT SYSTEM No
ADAMS OPEN DEFAULT SYSTEM Yes
ANITA OPEN DEFAULT SYSTEM No
ANTHONY OPEN DEFAULT SYSTEM No
APP1_DATA OPEN DEFAULT SYSAUX No
BIZAPP OPEN DEFAULT SYSTEM No
BIZAPP_PROXY OPEN DEFAULT SYSTEM No
BLAKE OPEN DEFAULT SYSTEM Yes
CLARK OPEN DEFAULT SYSTEM Yes
CTXSYS OPEN DEFAULT SYSTEM Yes

JSON Format
• Für 3rd Party Tools oder eigenen Report innerhalb der Datenbank
• Beispielspeicherung in der Datenbank
– Tabelle für JSON Dateien
create table dbsat_result
(docname varchar2(32), doc clob check (doc is json));
– Laden der JSON Datei(en)
insert into dbsat_result values ('collect1_report.json',
bfilename('DBSAT_DIR','collect1_report.json'))

JSON Format
select severity , title, remarks
from dbsat_result
,JSON_TABLE(doc, '$[*].items[*]'
columns
TYPE VARCHAR2(32) PATH '$.type',
SEVERITY NUMBER PATH '$.severity',
TITLE VARCHAR2(128) PATH '$.title',
REMARKS VARCHAR2(4000)PATH '$.remarks' )
where TYPE = 'finding' order by docname, severity
Report in der Datenbank

JSON Format - Ausgabe
SEVERITY TITLE REMARKS
---------- -------------------------------------------------- ------------------------------------------------------------
5 Directory Objects Directory objects allow access to the server's file system f
rom PL/SQL code within the database. Access to files that ar
e used by the database kernel itself should not be permitted,
as this may alter the operation of the database and bypass
its access controls.
5 Users with Default Passwords Default account passwords for predefined Oracle accounts are
well known. Open accounts with default passwords provide a
trivial means of entry for attackers, but well-known passwor
ds should be changed for locked accounts as well.

Beispiel 2: Sensible Daten finden
DBSAT Discoverer
Datenbankverbindung
Sensitive Kategorie
Risiko-Level
Ausschlusslisten
Einstellung
der DBSAT
Konfiguration
Suchmuster
vorgeben
Discovery
durchführen
Ergebnis-
Bericht
analysieren
Out-of-the-box
Sensitive Typen
und Kategorien
oder eigener
#U.S. Social Security Number (US SSN)
[SOCIAL_SECURITY_NUMBER]
COL_NAME_PATTERN = SOC.*SEC|^SSN$|NATIONAL.*ID|SSID
COL_COMMENT_PATTERN = Social Security Number
SENSITIVE_CATEGORY = PII – IDs

Konfiguration I dbsat.config
• /Discover/conf/sample_dbsat.config kopieren und Zugriffsrechte erteilen
• Konfiguration durchführen
– Connection: Host, Port, Service
DB_HOSTNAME = bumuxxxxx.de.oracle.com
DB_PORT = 1521
DB_SERVICE_NAME = db122
– Pattern Datei(en):SENSITIVE_PATTERN_FILES = sensitive_en.ini, sensitive_de.in
– Schemas: SCHEMAS_SCOPE = ALL
– Exclusion Liste: EXCLUSION_LIST_FILE =
– Minimale Anzahl Zeilen: Minrows=1

Konfiguration II dbsat.config
– Kategorien [Sensitive Categories]
PII = High Risk
PII - Address = High Risk
PII - IDs = High Risk
PII - IT Data = High Risk
PII-Linked = Medium Risk
PII-Linked - Birth Details = Medium Risk
Job Data = Medium Risk
Financial Data - PCI = High Risk
Financial Data - Banking = Medium Risk
Health Data = Medium Risk

Konfiguration und Ausführung
• Sensitive Informationen/Pattern in /Discover/conf/sensitive_en.ini
– Reguläre Ausdrücke für Spaltennamen wie z.B.
[FULL_NAME]
COL_NAME_PATTERN = ^(PERSON|FULL).*NAME$
COL_COMMENT_PATTERN = (Full|Person).*Name
SENSITIVE_CATEGORY = PII
• Ausführung: ./dbsat discover –c <konfig datei> <ausgabe>
– Beispiel: ./dbsat discover -c dbsat.config ausgabe
– Ergebnis (csv, html) in ausgabe_report.zip

Beispiel: Discovery Datei für Deutsch
[DE_FULL_NAME]
COL_NAME_PATTERN = ^VOLLST.*NAME$
COL_COMMENT_PATTERN = Vollst(ä|ae)ndiger Name
SENSITIVE_CATEGORY = PII
[DE_FIRST_NAME]^M
COL_NAME_PATTERN = (^VOR|^RUF)NAME$^M
COL_COMMENT_PATTERN = Vorname|Rufname^M
SENSITIVE_CATEGORY = PII^M

Discovery: Ergebnisbericht

Pro Kategorie
z.B. PII

Schema Sicht
Überblick der Spalten mit sensiblen Daten

• Nutzen:
– Sensible Daten in der Datenbank finden
– Identifizierung von Risiken durch Fehlkonfigurationen
– Datenbankbenutzer und deren Berechtigungen hinterfragen
• Informationen:
– http://www.oracle.com/technetwork/database/security/dbsat/overview/index.html
– https://blogs.oracle.com/coretec/security-13 (Kategorie Security)
– Youtube (Features des Monats)
https://www.youtube.com/watch?v=q8vCRk_cgUU&list=PLHA__TOeNI7PYtnDhAy186sI-C3LjjrZX

Weitere Möglichkeit: Oracle Masking und Subsetting
• Funktionen:
– Automatisches Auffinden oder manuelle Definition von sensitive Spalten
– Berücksichtigung von Parent/Child Beziehungen
– Zusätzlich Data Masking und Subsetting
• Voraussetzung:
– Erfordert Enterprise Manager Infrastruktur
– Oracle Data Masking and Subsetting Pack
– Hinweis: Cloud Pricing: Enterprise Edition includes the Oracle Database Enterprise
Edition, Data Masking and Subsetting Pack, Diagnostics and Tuning Packs, and Real
Application Testing (https://cloud.oracle.com/en_US/database/pricing)

Application Data Model: Eigenschaften
• Einheitliches Repository zur
Beschreibung von Schema-Objekten
• Enthält ein oder mehrere Schemas
• Kann sensitive Daten definieren
• Basis und Voraussetzung für Test Data
Management Operationen
• Erschließt Datenbeziehungen und
Charakteristiken für Data Subsetting,
Masking usw.
• Kann exportiert und importiert werden
Employees
Job History
Regions
Countries
Locations
Departments
Jobs
region_id
job_id
country_id
locn_id
dept_id
mgr_id

Beispiel für Automatisches Data Discovery (ADM)

31
Sensitive Spalte
über Muster
• Definiere sensitiven
Spaltentyp über
reguläre Ausdrücke
• Spezieller Discovery
Job scannt die
Datenbank um
sensitive Spalten zu
finden
Import über
Masking Templates
• Importiere Masking
Templates für Oracle
Applications wie
EBS, PeopleSoft etc
• Sensitive Spalten
werden automatisch
markiert
Lege manuell Spalte
als sensitiv fest
• Direktes Hinzufügen
von sensitiven
Spalten
Sensitive Spalten auffinden

Sensitive Spalten im ADM

Discovery Job im ADM

Sensitive Spaltentypen

Informationen
• White Paper
– http://www.oracle.com/us/products/database/data-masking-best-practices-161213.pdf
• Postings auf http://blogs.oracle.com/coretec
– Anonymisierung von Daten in der Oracle Datenbank: wie funktioniert das?
• https://blogs.oracle.com/coretec/anonymisierung-von-daten-in-der-oracle-datenbank%3a-wie-funktioniert-das
• Handbuch Data Masking and Subsetting
– http://docs.oracle.com/database/122/DMKSB/toc.htm

Sensitive Daten in der Oracle Datenbank

Recomendados

Recomendados

Mais conteúdo relacionado

Semelhante a Sensitive Daten in der Oracle Datenbank

Semelhante a Sensitive Daten in der Oracle Datenbank (20)

Mais de Ulrike Schwinn

Mais de Ulrike Schwinn (10)

Sensitive Daten in der Oracle Datenbank

Notas do Editor