Безопасность Oracle: базы данных и другие продукты

Подробности

Автор: Александров Попков

Опубликовано: 09 сентября 2017

Просмотров: 3688

Рейтинг:  5 / 5

Распространенное заблуждение администраторов баз данных состоит в том, что защита базы данных Oracle брандмауэром обеспечивает абсолютную неуязвимость для атак. Естественно, при этом предполагается, что угрозы для безопасности всегда являются внешними, в то время как реальные статистические данные свидетельствуют, что большинство нарушений безопасности происходит изнутри. Именно поэтому следует соблюдать “железобетонную” политику аутентификации и оправданные политики доступа к данным.

Читать блог

Подробности

Автор: Rasen Fasenger

Опубликовано: 31 августа 2017

Просмотров: 2871

Современным крупным организациям приходится управлять как внутренними, так и веб-приложениями. Управление пользователями и их полномочиями во всех этих разнообразных приложениях быстро становится административным кошмаром. Централизованные каталоги все чаще признаются наилучшим способом управления множеством систем внутри организации.

LDAP — популярный промышленный стандарт, и Oracle предлагает собственную его реализацию. Используя службу каталогов вроде LDAP, информацию, управление которой осуществляется во множестве систем и форматов, можно собрать под одним “зонтом”. С помощью службы каталогов LDAP можно заменять все файлы tnsnames.ora на клиентах и управлять подключениями, авторизацией и безопасностью. Каталог LDAP может обеспечить строгое управление политикой использования паролей, конфиденциальность и целостность данных, а также надежные протоколы аутентификации и авторизации.

Читать блог

Подробности

Автор: Александров Попков

Опубликовано: 22 августа 2017

Просмотров: 4235

Рейтинг:  5 / 5

Само по себе создание сложной системы контроля доступа с применением прав, ролей, представлений и даже детальных политик безопасности не гарантирует стопроцентной безопасности базы данных. Аудит использования базы данных позволяет убедиться, действительно ли механизмы контроля доступа работают так, как было задумано. Аудит подразумевает мониторинг и запись действий (выбранных) пользователей базы данных.

Встроенные функции аудита Oracle позволяют отслеживать изменения, выполняемые в объектах базы данных. При этом можно подвергать аудиту предоставление полномочий внутри базы данных, а также изменения, не связанные с DML и DDL, такие как события запуска и остановки. Теоретически аудит активности пользователя может приводить к отслеживанию большого объема данных, но, к счастью, Oracle предлагает множество средств управления тем, какие типы активности нужно подвергать аудиту. Аудит можно осуществлять только на уровне сеанса или на уровне всей базы данных.

Читать заметку про Аудит Oracle

Подробности

Автор: Дэн

Опубликовано: 17 апреля 2017

Просмотров: 1043

Помимо обязательного требования указывать имя пользователя и пароль для работы с интерфейсом SQL*Plus, в Oracle также предусмотрен дополнительный механизм защиты, действие которого заключается в применении специальной таблицы product_user_profile. Владеет этой таблицей пользователь System, являющийся одним из двух суперпользователей базы данных Oracle. С помощью этой таблицы такой пользователь может ограничивать доступ к командам SQL*Plus, SQL и PL/SQL.

Подробнее...

Подробности

Автор: Administrator

Опубликовано: 09 марта 2017

Просмотров: 1858

Рейтинг:  5 / 5

Для версий СУБД Oracle ниже 10g по умолчанию возможно неавторизированное подключение к службе Листенера и осуществление удаленного управления сервисом. В общем случае мы можем выполнить следующие действия:

1. получить детальную информацию об атакуемой системе:
• имена сервисов (SERVICE_NAME) и системные идентификаторы (SID);
• версию СУБД;
• пути к журналам регистрации событий;
• версию ОС, на которой установлена СУБД;
• переменные окружения (ORACLE_HOME и т.п.);
2. произвести атаку на отказ в обслуживании;
3. выполнить SQLкоманды от имени администратора БД (DBA);
4. получить удаленный доступ к системе.

   Подробнее...

Подробности

Автор: Rasen Fasenger

Опубликовано: 06 марта 2017

Просмотров: 1310

Последовательный подход к вопросу безопасности СУБД является довольно разумным и именно его я и придерживаюсь, поэтому начнем с ситуации, когда у нас нет никакой информации о системе, к которой мы пытаемся получить доступ, равно как и никаких логических прав. Единственное, за что мы можем «зацепиться» в таком случае, это открытые порты сервера, на котором функционирует СУБД. Oracle обладает как минимум одним сетевым сервисом, который обеспечивает сетевое функционирование СУБД и, как правило, всегда запущен, – это сетевая служба TNS Listener (далее – Листенер).

Подробнее...

Подробности

Автор: Ирина Светлова

Опубликовано: 10 декабря 2016

Просмотров: 1497

На какой версии базы данных Oracle сосредоточить свои усилия специалисту по безопасности Oracle? Давайте думать... СУБД Oracle, как одна из самых старых СУБД, присутствующих на рынке, имеет длинную историю, начавшуюся в 1977 году и продолжающуюся до сих пор. В 1977 году Ларри Эллисон, Боб Майнер и Эд Оутс основали компанию Software Development Laboratories (SDL), предшественницу Oracle. В 1979 году SDL сменила имя на Relational Software, Inc. (RSI) и выпустила Oracle v2.

Подробнее...

Подробности

Автор: Илья Дергунов

Опубликовано: 05 ноября 2016

Просмотров: 946

Обеспечение безопасности  всегда было ключевой задачей администратора базы данных Oracle, в последние же годы знание способов защиты базы данных и приложений приобретает все большее и большее значение. Многими элементами безопасности можно управлять непосредственно с помощью команд SQL и параметров конфигурации базы данных (например, установить пароли и определить роли и привилегии).

Подробнее...

Подробности

Автор: Александров Попков

Опубликовано: 03 ноября 2016

Просмотров: 873

Короткая заметка о внедренном SQL-коде (SQL injection), точнее о его вреде. Внедрение SQL — это брешь в системе безопасности Oracle, которая возникает, когда разработчик принимает данные, введенные конечным пользователем, объединяет их с запросом, затем компилирует и выполняет получившийся запрос. На самом деле разработчик принимает от конечного пользователя фрагменты SQL-кода, компилирует их и выполняет.

Подробнее...