甲骨文为企业数据库提供四层安全防护壁垒

ZDNet至顶网软件频道消息 甲骨文大中华区技术战略部数据库增值解决方案总监冯葵在“Oracle全面数据库安全解决方案”媒体沟通会上介绍了基于Oracle全面数据库安全解决方案的纵深防御体系——对企业核心数据库从阻止与记录、审计与监测、访问控制到加密与屏蔽的四层防护壁垒。四层防护壁垒囊括了一系列Oracle数据库安全产品，如阻止和记录层的Oracle数据库防火墙，监视和审计层的Oracle配置管理、Oracle Audit Vault、Oracle Total Recall，访问控制层的Oracle Database Vault、Oracle Label Security，加密和屏蔽层的Oracle高级安全性、Oracle安全备份、Oracle数据屏蔽等。

甲骨文大中华区技术战略部数据库增值解决方案总监冯葵

甲骨文针对企业用户的数据库特殊应用需求提供了多样化的Oracle数据库选件，以完善和增强数据库的功能，为Oracle数据库和非Oracle数据库提供了强大的安全支撑。冯葵指出，Oracle现在的发展战略是：整合、完整、开放。Oracle越来越多的产品能够提供第三方的支持，而Oracle数据库防火墙恰恰是这样产品的代表，第一、Oracle数据库防火墙是跨平台的，第二、Oracle数据库防火墙能够实现向后支持，对不同的版本都能够支持。

CIO的首要任务之一：数据安全与合规管理

根据IOUG的数据安全报告和Verizon Business的数据侵犯调查报告，2010年全球造成严重后果的IT安全事件中92%的数据泄密是针对数据库的侵入，89%的数据泄密是由于黑客采用了SQL注入技术，84%的外部侵入利用了管理不善的数据库用户权限，而且数据库安全问题造成的IT系统损失是100%的，从而导致了企业的形象、信用、营业收入的降低以及客户的流失，甚至被行业淘汰。

当今IT安全建设的重点已经从传统的网络安全、系统安全、应用安全等领域，转向了如何加强IT系统核心的数据库安全防范。企业越来越关心如何才能更有效地保护数据库不受侵害，做到敏感数据“看不见”、核心数据“拿不走”、运维操作“能审计”、非法访问的监控与审计，以及如何轻松达到《信息安全等级保护条例》的信息安全合规要求、满足中国SOX《企业内部控制基本规范》的规定，同时对现有生产系统不产生任何性能影响。

冯葵指出，云计算的共享特性带来了权限的困扰，为数据安全带来了新的挑战。云计算时代的数据库管理员（DBA）更需要注重云管理和云安全两大领域。管理基于云服务的应用时，权限管理非常复杂，需要使管理行为全部做到合规、有效；而对于访问权限以外的系统，在云环境下对这一类安全体系的防护需要集中化的动作，需要强化特权用户的信息。

四层防护壁垒 强化数据安全

冯葵表示：“作为全球领先的完整IT解决方案和企业软件和硬件供应商，甲骨文公司一直为企业提供业界最先进的技术保护数据库中的数据，并在30多年数据库安全的全球实践中，探索出一种先进的数据库纵深防御体系。通过Oracle数据库安全解决方案，企业在数据加密和屏蔽的基础上，可实现严密的数据访问控制，并实时监控和审计整个数据库活动、精确阻断和记录非法操作，从而完成立体化的数据保护。”

Oracle全面数据库安全解决方案可以做到：监视威胁并在其到达数据库之前进行阻止；跟踪更改并审计数据库活动；控制对数据库中数据的访问；防止非数据库用户访问数据库；从非生产数据库中删除敏感数据。

●阻止与记录——最新发布的Oracle数据库防火墙(Oracle Database Firewall)是Oracle数据库纵深防御体系的第一道防线，拥有主动和被动安全模型。通过为任何应用程序自动生成白名单和黑名单提供灵活的SQL级实施选项，Oracle数据库防火墙可以实现监视数据库活动和防止未授权的数据库访问、SQL 注入、权限或角色升级、对敏感数据的非法访问等，其可伸缩的体系结构可以适应各种部署模式，从而使客户在网络上部署该防火墙时能更快速、更灵活。Oracle数据库防火墙对于SQL注入有SQL精细分析引擎，SQL访问压力非常大，Oracle SQL分析引擎可以快速进行分析，识别出有害信息。Oracle数据库防火墙还可以进行数据库优化，改善用户体验。

Oracle数据库防火墙有串联和并联两种部署方式，冯葵表示，部署方式的选择应取决于产品的应用背景。建议最开始可以部署成审计（旁路、并行）模式，因为这种模式的安装非常简单，两小时内就可以部署完成。部署完成后可以帮用户进行评估，相当于帮用户做健康检查，当发现有很严重的威胁时，可以再转换成管理(串联)模式。通过评估发现目前的场景必须转换为管理模式，而管理模式也包含了审计的功能，既可以满足日常的需求，又能达到管理的目的。

Oracle数据库防火墙引入了对MySQL企业版的支持，并进一步完善了诸多数据库产品的支持，包括早前宣布的Oracle数据库11g及其较早版本、面向Linux、Unix、Windows的IBM DB2数据库、Microsoft SQL Server数据库、Sybase Adaptive Server Enterprise数据库服务器(ASE)以及Sybase SQL Anywhere数据库。

为了增强报告功能，Oracle数据库防火墙将日志数据整合到报告数据库中，并引入了新的报告基础设施，以运行和修改现有报告设计。该新版Oracle数据库防火墙提供了130多个可修改、可自定义的内置报告，并引入了10种新的开箱即用式报告，如用于数据库查证和审计的授权报告、数据库活动和授权用户报告，以进一步帮助企业遵守隐私保护规定和相关法规，例如HIPAA、支付卡行业(PCI)数据安全标准(DSS)以及萨班斯法案(SOX)。

●监测与审计——在纵深防御体系的监测和审计部分，Oracle配置管理(Oracle Configuration Management)可通过发现数据库并将其分类到策略组，然后依据400多个最佳实践和行业标准以及自定义的企业专用配置策略对数据库进行扫描，检测进而防止未授权的数据库配置更改，并更改管理信息板与合规性报告，从而实现从资产管理、策略管理、漏洞管理到配置管理与审计、分析与解析的企业数据库环境的全程保护。

Oracle Total Recall (Oracle全面回忆) 产品可通过数据库中高效、抗干扰的归档存储确保完整、安全地保留和管理所有历史数据，还能透明地跟踪对敏感数据的更改，使用 SQL实时访问历史数据，并可实现简化的突发事件取证和错误修正。冯葵表示，全面恢复是一个比较有效的方案，可以做到快速的恢复，部署的时候，首先要做系统的评估。一是评估需要快照的数据，另外是对系统的性能和开销进行评估。与客户进行访谈确定恢复周期，类似于灾备恢复。

Oracle Audit Vault能够从Oracle数据库以及其他数据库中 (包括SQL Server、IBM DB2、Sybase ASE) 收集审计数据，并整合到一个安全、可伸缩、高可用的信息库中，检测并警告包括特权用户在内的可疑活动。它通过预置报告或自定义报告对审计数据进行保护、分析和报告，对数据库审计设置或策略进行集中式管理以简化审计工作，从而帮助企业通过整合、管理、监控以及报告审计数据，全面了解企业数据访问情况。

●访问控制——在访问控制层，Oracle Database Vault可安全地整合应用程序数据或支持多承租方数据管理，强化了数据库中的内部控制，在数据库中预先定义了三个不同的责任，即账户管理、安全管理和资源管理。其可扩展性允许企业根据自己的业务需求自定义职责划分，还通过多因素授权扩展了访问控制机制。通过控制访问数据的对象、时间、地点和方式，企业可将对数据库的访问限制到特定的子网或应用系统。

甲骨文还提供了Oracle Label Security(Oracle标签安全性)来支持访问控制，可根据业务需求对用户和数据进行分类，在数据库中实施不同级别的访问控制，例如利用Oracle Identity Management Suite对用户进行分类，通过Oracle Label Security在数据表中分行加入标签，从而使不同的人员在访问同一张表时，将会能看到不同的信息。

●加密与屏蔽——至于加密和屏蔽层，Oracle Advanced Security(Oracle高级安全性)无需更改应用程序，即可对静止的应用程序数据完全加密，防止IT人员或操作系统用户直接访问存储在数据库文件中、磁带上、导出的数据和其他数据，同时提供集中的密钥生命周期管理。而Oracle Secure Backup (Oracle安全备份) 能提供最快且安全的 Oracle数据库备份，还可以利用低成本的云计算存储，通过综合管理有效降低成本并简化备份与恢复的复杂性。Oracle Data Masking (Oracle数据屏蔽) 则可对数据进行不可逆的去身份化后，再用于非生产环境，同时自动保留引用完整性，以便应用程序能够继续正常运行。

全面的Oracle数据库安全解决方案支持多维度、分步骤实施MSA数据的合规安全，可以根据需求部署数据库，并重点实施集中审计和权限管理，且安装部署方便，无需修改应用。其中，配置管理、透明加密与数据脱敏等技术更具有成本低，部署简单，快速有效的优势。Oracle数据库安全解决方案还能帮助企业通过升级数据库到Oracle数据库11g，获得压缩提速和全面恢复的多重收益。

冯葵最后总结表示：“基于Oracle数据库安全解决方案的四层纵深防御体系，从访问对象和数据两方面进行了全面的主动防御，有效保护了企业数据安全，满足了日益严格的企业IT合规性管理需求，帮助企业节省金钱和时间。随着数据库安全市场的持续发展，甲骨文将继续发展数据库安全产品，为企业的投资提供最大化的回报。”