完整数据安全方案.pptx

说到保护IT资产安全,各种方案应有尽有
6
网络加密
VPN
网络访问控制
身份识别
防火墙
入侵检测
数据遮蔽
Web防火墙
入侵防护
防病毒
网络访问控制
防间谍软件
网络防火墙
入侵检测
行为审计
权限管理
设备控制
数据库防火墙
维基解密
安全也是云计算中的主要问题
随着数据库规模变大,数据库成为企业信息资产的同时,也被越来越多的不良之徒所觊觎
数据被违规访问、删、改、复制和缺乏审计的安全问题,已经成为IT系统最大的威胁
根据IOUG 和Verizon Business的最新市场调查,2010年全球造成严重后果的IT安全事件中92%是针对数据库的侵入,89%的黑客采用了SQL注入技术,84%的外部攻击利用了管理不善的数据库用户权限
数据库安全造成的IT系统损失是100%的
什么IT信息安全的最大威胁?
被侵犯数据的主要来源:
92% 的记录源自被侵入的数据库服务器
2010 数据侵犯调查报告
普遍缺乏对核心数据实施保护
2010 IOUG 数据安全报告
仅 28%
在所有数据库中统一加密 PII
66%
不确定 web 应用程序是否受到 SQL 注入攻击
63%
未使用 3 个月内发布的安全补丁
48%
没有意识到所有数据库包含敏感数据
44%
认为数据库用户可以直接访问数据
70%
使用自带审计功能,只有 25% 使用了自动监视
仅 24%
能够“防止”DBA 读取或篡改敏感数据
68%
无法检测数据库用户是否在滥用权限
正在监视敏感数据的读/写
不到 30%
Oracle数据安全方案在整个安全体系中的位置
管理安全
安全政策安全组织风险评估安全流程安全审计/绩效
应用安全
权限管理身份认证密钥管理内存管理
网络安全
访问控制入侵检测网络连通性/可用性
系统安全
灾难恢复系统冗余线程管理
物理安全
办公场地环境安全与监控人员出入管理
核心数据安全
针对核心敏感数据的
操作和访问
核心数据
数据安全漏洞挖掘
数据访问控制
和操作保护
数据操作审计
和事后追溯
复杂业务系统的安全方案越发困难
解决方案:完全数据安全体系架构
设置安全的密码
集中式用户管理
强认证
代理认证
安全的基本配置
加强对特权用户的控制
控制谁、什么时间、什么地点、如何(3W1H)访问了数据库、数据和应用系统
行级别和列级别的多角度安全控制
对数据进行分类管理
数据加密
网络加密
对外发数据进行数据屏蔽
加密导出的数据
对备份数据进行加密
启动数据审计
细粒度的审计
对审计数据进行集中管理、生成报表和监控
定时进行安全配置扫描
用户管理访问控制数据保护监控
。。。
。。。
业务系统访问
各业务部门维护人员
信息技术部门维护人员
应用开发商维护人员
系统用户
中间件服务器
AS/Web
数据库服务器
磁盘系统
Data Warehouse
威胁数据安全手段方式示意图
Backup
客户端的S
QL恶意注入
网络传输过程中的SQL替换
应用层的
程序预埋
数据库层面的
合法和非法操作
数据库内的存储过程预埋
测试过程获得
敏感数据
备份过程中的敏感数据获得
日常工作和维护过程的敏感数据修改和获得