komplexní přístup k bezpečnosti - oracle...the following is intended to outline our general...
Post on 30-Sep-2020
1 Views
Preview:
TRANSCRIPT
Komplexní přístup k bezpečnosti
Aleš Novák
Bratislava
The following is intended to outline our general product direction. It is intended for information purposes only, and may not be incorporated into any contract. It is not a commitment to deliver any material, code, or functionality, and should not be relied upon in making purchasing decisions. The development, release, and timing of any features or functionality described for Oracle’s products remains at the sole discretion of Oracle.
<Insert Picture Here>
Agenda
• Úvod
• Novinky
• Služby
• Produkty
• Vybrané požadavky zákazníků
• Audit, Propagace identity
Komplexní bezpečnost
Identity
Management
Databázová
bezpečnost
Bezpečná
infrastruktura
• User Provisioning & správa rolí
• Identity and Access Governance
• Správa přístupů
• Adresářové služby
• Šifrování a maskování
• Kontrola privilegovaných uživatelů
• Více faktorová autentizace
• Audit, monitorování aktivit
• Zabezpečení konfigurací
• CPU, ASICs
• Operační systémy
• Virtualizace a hypervisory
• Ukládání dat, sítě
• Oracle Insight
• Cca 5 man days
• Discovery workshop
• Boj proti společnému nepříteli
• Finanční ředitel
Kde začít?
Oracle Enterprise Gateway
Problém a požadavky na řešení
• Zabezpečení webových služeb
• SOA infrastruktura se řeší za pomoci webových služeb
• Zabezpečení přístupu k webovým službám
• Zaměření na DMZ (první linie obrany)
• Optimalizace web service volání (XML akcelerace)
• Standardy pro WS
• Transportní a message level
• Detekce nekalých aktivit
• Podpora různých klientů
• Browser, aplikace
Oracle – hloubková obrana
Web
Service
Web Service
Client
Web Client
(Browser)
Web Service
Client
Web Service
Client
Web Service
Client
Web
Service
Oracle
Enterprise
Gateway
Company’s
DMZ
HTTP GET/POST
REST
XML
SOAP
JMS
OSB With
OWSM
Extension
OWSM
Agent
OWSM
Agent
Internet
First Line Of
Defense
Web Services
Virtualization
Last-Mile
Security
Company’s
“Green Zone”
Představení Oracle Enterprise Gateway Highlights
• První linie obrany
• XML firewalling
• Transport a message security
• Zrychlené / akcelerované zpracování XML
• Governance
První linie obrany XML Firewalling
• XML content útoky • Kontrola formátování XML; kontrola velikosti
XML; XPath a XQuery injection; SQL
injection; XML encapsulation; XML viruses
• Skenování odchozích zpráv na citlivé
informace
• Detekce XML bomb
• Útoky na XML schema a DTD • Schema a DTD validace
• Kryptografické útoky • Public Keys
• Message replay
• Útoky na SOAP • Filtrování SOAP operací
• Filtrování SOAP attachments (např. viry)
• Communication attacks • HTTP header and query string analysis
• Filtrování IP adres
• Traffic throttling - DoS
První linie obrany Transport and Message Security
• Podpora pro standardní formáty zpráv:
• Plain XML (POX), SOAP, REST, Ajax, JSON
• Podpora pro bezpečnostní standardy
• SSL
• WS-Security (SOAP security extension)
• WS-Policy (Oracle Fusion Middleware’s policy model)
• WS-I BSP (interoperability)
• FIPS (Federal)
• Industry-standard security tokens
• SAML, Kerberos, X.509
• Industry-standard transport protocols
• HTTP, JMS, IBM WebSphere MQ, FTP, Tibco, SMTP
Akcelerace zpracování XML
• Process offloading
• Offload prostředků na aplikačních serverech
• XML akcelerace
• Patentovaný acceleration engine
• Rychlá XML validace
• Rychlé zpracování XML query a transformací
Governance
• Governance v nasazení SOA
• Přístup na služby
• Použití služeb
• Dostupnost
• Uzavřený cyklus • Komunikace s Oracle Service Registry
• Publikování metrik do Oracle Enterprise Manageru
OEG shrnutí
• Známe mnoho komplexních útoků na XML a webové
služby
• Obrana vlastními silami je složitá
• Připraveno pro cloud – čistě SW, funguje v rámci
všech běžných VM
• Přidaná hodnota
• Bezpečnost rychle
• Governance
Bezpečnost a Cloud
Oracle Fusion Financial Management
General Ledger Accounts Payable
Payments & Collections
Asset Management
Accounts Receivable
Cash & Expense Management
Common Modules KPIs, Dashboards, & Extensibility FW
Oracle Fusion Human Capital Management
Oracle Fusion Supply Chain Management
Product Master Data Management
Distributed Order Orchestration
Inventory Management
Global Order Promising
Cost Management Shipping & Receiving
KPIs, Dashboards, & Extensibility FW
Oracle Fusion Project Portfolio Management
Project Costing Project Billing
Project Control
Project Performance
Reporting
Project Integration Gateway
Project Contracts
KPIs, Dashboards, & Extensibility FW
Oracle Fusion CRM
Customer Master Sales Marketing
Incentive Compensation
Mobile & Outlook Integration
Territory & Quota Mgmt
KPIs, Dashboards, & Extensibility FW
Financial Compliance
Issue & Risk Manager
Access Controls Transaction
Controls Configuration
Controls
KPIs, Dashboards, &
Extensibility FW
Oracle Fusion GRC
Fusion Applications Complete, Modular Suite of Applications
Global Human Resources
Workforce Lifecycle
Management Benefits
Compensation Management
Talent Review Performance
& Goal Mgmt
Global Payroll
Network @ Work KPIs,
Dashboards, & Extensibility
Oracle Fusion Procurement
Purchasing Self-service Procurement
Sourcing
Supplier Portal Spend &
Performance Analysis
KPIs, Dashboards, & Extensibility FW
Procurement Contracts
Oracle Fusion Financial Management
General Ledger Accounts Payable
Payments & Collections
Asset Management
Accounts Receivable
Cash & Expense Management
Common Modules KPIs, Dashboards, & Extensibility FW
Oracle Fusion Human Capital Management
Oracle Fusion Supply Chain Management
Product Master Data Management
Distributed Order Orchestration
Inventory Management
Global Order Promising
Cost Management Shipping & Receiving
KPIs, Dashboards, & Extensibility FW
Oracle Fusion Project Portfolio Management
Project Costing Project Billing
Project Control
Project Performance
Reporting
Project Integration Gateway
Project Contracts
KPIs, Dashboards, & Extensibility FW
Financial Compliance
Issue & Risk Manager
Access Controls Transaction
Controls Configuration
Controls
KPIs, Dashboards, &
Extensibility FW
Oracle Fusion GRC
Fusion Applications Complete, Modular Suite of Applications
Global Human Resources
Workforce Lifecycle
Management Benefits
Compensation Management
Talent Review Performance
& Goal Mgmt
Global Payroll
Network @ Work KPIs,
Dashboards, & Extensibility
Oracle Fusion Procurement
Purchasing Self-service Procurement
Sourcing
Supplier Portal Spend &
Performance Analysis
KPIs, Dashboards, & Extensibility FW
Procurement Contracts
! Cloud umožňuje vývojářům se znovu zamyslet nad bezpečností –
identita a kontext je bod kontroly, který poskytuje celkový pohled a
redukuje fragmentaci mezi aplikacemi.
Komplexní pohled na bezpečnost
• Centrální řízení – centrální vynucení, řízení
autentizace, autorizace, auditu centralizovaně
• Konzistentní bezpečnostní politiky –
Autorizační politiky jsou externí, mimo aplikaci a
použitelné přes všechny aplikace.
• Automatizace životního cyklu – správa
uživatelských účtů, CRUD, by se neměly řešit v
aplikaci
• Automatizace User Provisioning
• Vytvoření, změna, smazání identity
• Virtualizace identit
• Správa osiřelých účtů
• Řízeno workflow
• Flexibilní procesy
• Schvalování
• Řízeno politikami
• Politiky hesel
• Podpora pro Role Based Access Control
Smazání
Změna
Vytvoření
Platform Security: User Provisioning Service
• Autentizace a standardy
• Zjednodušuje integraci
• Federovaný sign - on
• Samoobslužná správa hesel
• Password reset
• Změny hesel
• Vynucení politik silných hesel
• Vícefaktorová autentizace
• Identity proofing
• Shoda s předpisy
Password
Management
Sign-on
Policy
Platform Security: Přihlašování
• Standardy
• XACML
• NIST
• ABAC a RBAC
• Separation of Duties
• Prebetivní a detektivní
• Funkční a datová bezpečnost
• Integrace s ADF
• Snižuje náklady na vývoj
• Snižuje složitost
Policy
Enforcement
SOD
Roles
Platform Security: Deklarativní bezpečnost Externí autorizace
• Zabezpečuje uživatelské informace
• Ochrana privátních uživatelských dat
• Externalizace identit
• Jednotný pohled na uživatele
• Jeden účet pro více aplikací
• Zjednodušuje audit
• Jeden bod pro ukončení přístupů
• Jeden bod pro audit
Virtualized
Identity
Privacy
Data
Platform Security: Identity Provider Service
Vybrané požadavky zákazníků
Audit přístupů k citlivým údajům
• DB Audit log – HR je aplikační účet
• Propagace identity v rámci IT • Desktop, middleware, service bus, middleware, ERP, DB
SQL> select username, client_id, sql_text from dba_audit_trail; USERNAME CLIENT_ID SQL_TEXT ------------------------- ---------------------- -------------------- HR select * from employees
SQL> select username, client_id, sql_text from dba_audit_trail; USERNAME CLIENT_ID SQL_TEXT ------------------------- ---------------------- -------------------- HR anovak select * from employees
Logika Prezentace
Application
Client
Browser
Klienti
Data
Legacy App
Mainframes
Databases
Identity/
Policy
Procesy
Portal
WSRP
WSRP
Process Web
Services
Web
Services
Data
Adapter
Data
Web
App
Process Web
Services
Mobile
Web
Services
Aplik
ační ú
čty
Aplik
ační ú
čty
Aplik
ační ú
čty
Přenos identity přes vrstvy
Logika Prezentace
Application
Client
Browser
Klienti
Data
Legacy App
Mainframes
Databases
Identity/
Policy
Procesy
Portal
WSRP
WSRP
Process Web
Services
Web
Services
Data
Adapter
Data
Web
App
Process Web
Services
Mobile
Web
Services
Aplik
ační ú
čty
Aplik
ační ú
čty
Aplik
ační ú
čty
Cache zde?
Audit zde
?
Logika Prezentace
Application
Client
Browser
Klienti
Data
Legacy App
Mainframes
Databases
Identity/
Policy
Procesy
Portal
WSRP
WSRP
Process Web
Services
Web
Services
Data
Adapter
Data
Web
App
Process Web
Services
Mobile
Web
Services
Získání informací o identitě
Hesla, OTP, NTLM, Kerberos, certifikáty, SecurID
Výsledkem je session nebo i Single Sign On cookie
Access Management, adresářové služby
Logika Prezentace
Application
Client
Browser
Klienti
Data
Legacy App
Mainframes
Databases
Identity/
Policy
Procesy
Portal
WSRP
WSRP
Process Web
Services
Web
Services
Data
Adapter
Data
Web
App
Process Web
Services
Mobile
Web
Services
Typicky mám session nebo SSO cookie
Transformace na SAML token – Secure Token Service
WebLogic SAML Credential Mapper
Logika Prezentace
Application
Client
Browser
Klienti
Data
Legacy App
Mainframes
Databases
Identity/
Policy
Procesy
Portal
WSRP
WSRP
Process Web
Services
Web
Services
Data
Adapter
Data
Web
App
Process Web
Services
Mobile
Web
Services
SAML token, Username token
WebLogic SAML Asserter
Oracle Enterprise Gateway
Logika Prezentace
Application
Client
Browser
Klienti
Data
Databases
Procesy
Portal
WSRP
WSRP
Process Web
Services
Web
Services
Web
App
Process Web
Services
Mobile
Web
Services
Proxy autentizace
Client Identifier
Data
Databases
Když to nejde...
Klienti
SAP klient
Omezení přístupů
DB Vault, Advanced Security
SAP
Závěr
• Skoro 30 produktů na bezpečnost + HW + OS
• Od aplikací po pásky
• Kde začít s bezpečností?
• Privátní show
• Insight, discovery workshop
• Školení
• Oracle
• Služby, workshopy, doporučení, studie
• Expert Services nebo ACS – audit databáze
top related