wie sicher sind database links? doag bi konfernenz münchen
DESCRIPTION
Dani Schnider ist Principal Consultant und DWH/BI Lead Architect bei Trivadis in Zürich. DOAG BI Konferenz 2013, München, 17. April 2013.TRANSCRIPT
2014 © Trivadis
BASEL BERN BRUGG LAUSANNE ZÜRICH DÜSSELDORF FRANKFURT A.M. FREIBURG I.BR. HAMBURG MÜNCHEN STUTTGART WIEN
2014 © Trivadis
Wie sicher sind Database Links?DOAG BI Konferenz 2013
Dani SchniderTrivadis AG
München, 17. April 2013
17. April 2013Wie sicher sind Database Links?
1
2014 © Trivadis
Wie sicher sind Database Links?2
Dani Schnider
Principal Consultant und DWH/BI Lead Architectbei Trivadis in Zürich
Kursleiter für Trivadis-Kurse über Data Warehousing, SQL Optimierung und Oracle Warehouse Builder
Co-Autor des Buches «Data Warehousing mit Oracle»
17. April 2013
2014 © Trivadis
Beispielkonfiguration: DWH mit Database Links
17. April 2013Wie sicher sind Database Links?
CREATE PUBLIC DATABASE LINK hr_dblCONNECT TO hr IDENTIFIED BY hrpwUSING 'SOURCE_SYSTEM'
5
SCOTT
DWH_MART
DWH_CORE
DWH_CLEANSE
DWH_STAGE
HR HR_DBL
SCOTT_DBL
SOURCE_SYSTEMDATA_WAREHOUSE
CREATE PUBLIC DATABASE LINK scott_dblCONNECT TO scott IDENTIFIED BY tigerUSING 'SOURCE_SYSTEM'
2014 © Trivadis
Wie sicher sind Database
Links?
17. April 2013Wie sicher sind Database Links?
6
Die richtige Frage lautet: Wie sicher ist diese Konfiguration?
2014 © Trivadis
Beispielkonfiguration – Sicherheitslücken
17. April 2013Wie sicher sind Database Links?
CREATE PUBLIC DATABASE LINK scott_dblCONNECT TO scott IDENTIFIED BY tigerUSING 'SOURCE_SYSTEM'
7
SCOTT
DWH_MART
DWH_CORE
DWH_CLEANSE
DWH_STAGE
HR HR_DBL
SCOTT_DBL
SOURCE_SYSTEMDATA_WAREHOUSEDatabase Link auf
Schema Owner
1
Public Database Link auf fixed User
2
Passwort gespeichert im Data Dictionary
3
2014 © Trivadis
Sicherheitslücke 1: Database Link auf Schema Owner
Über Database Link können alle Daten des Schemas gelesen werden
Daten können über Database Link verändert werden
17. April 2013Wie sicher sind Database Links?
8
2014 © Trivadis
Empfehlungen
Spezifischer User für Zugriff über Database Link Keine eigenen Objekte, nur Lesezugriff über SELECT-Privilegien
Zugriff auf Quelldaten über View Layer Views enthalten nur relevante Attribute
Grundprinzip: Need To Know Was nicht erforderlich ist, ist nicht erlaubt
17. April 2013Wie sicher sind Database Links?
9
2014 © Trivadis
Zugriffsbeschränkungen auf Quellsystem
17. April 2013Wie sicher sind Database Links?
10
2014 © Trivadis
Sicherheitslücke 2: Public Database Link auf fixed User
Jeder User kann Database Link benutzen Berechtigungen von Remote-User (HR, SCOTT)
werden verwendet
17. April 2013Wie sicher sind Database Links?
11
2014 © Trivadis
Public oder Private Database Link?
17. April 2013Wie sicher sind Database Links?
12
2014 © Trivadis
Private Database Link auf spezifischen ETL-User
17. April 2013Wie sicher sind Database Links?
13
2014 © Trivadis
Connected User oder Fixed User?
17. April 2013Wie sicher sind Database Links?
14
2014 © Trivadis
Private Database Link (Connected User) für ETL-User
17. April 2013Wie sicher sind Database Links?
15
2014 © Trivadis
Sicherheitslücke 3: Passwort gespeichert im Data Dictionary
Seit Oracle 10.2 werden Passwörter von Database Links verschlüsselt abgespeichert
Aber es gibt Wege, um Passwörter zu entschlüsseln...
17. April 2013Wie sicher sind Database Links?
16
Demo
http://www.oracleforensics.com/wordpress/wp-content/uploads/2012/11/database_link_security.pdfhttp://www.oracleforensics.com/wordpress/index.php/2012/11/22/database-link-security/http://www.petefinnigan.com/forum/yabb/YaBB.cgi?board=ora_sec;action=display;num=1181549741
2014 © Trivadis
Empfehlungen
Sichere Passwörter für hochprivilegierte User: SYS, SYSTEM, SYSMAN, OUTLN, OWBSYS, WMSYS, ...
Vorsicht mit hochprivilegierten Rollen: DBA, EXP_FULL_DATABASE, IMP_FULL_DATABASE, ...
Kein Zugriff auf SYS.LINK$ und DBMS_CRYPTO „Hintertüre“ mit DBMS_METADATA und anderer DB ist trotzdem möglich! Funktioniert für alle User mit SELECT_CATALOG_ROLE!
Upgrade auf Oracle 11.2.0.3
17. April 2013Wie sicher sind Database Links?
17
2014 © Trivadis
Dürfen Database
Links verwendet werden?
17. April 2013Wie sicher sind Database Links?
18
Sicher. Aber sicher!
2014 © Trivadis
Konfiguration eines sicheren Database Links
17. April 2013Wie sicher sind Database Links?
19
2014 © Trivadis
Beispiel: Logon-Trigger für Zugriffskontrolle
17. April 2013Wie sicher sind Database Links?
20
2014 © Trivadis
Wie sicher sind Database
Links?
17. April 2013Wie sicher sind Database Links?
21
Abhängig von Konfiguration: Wichtigste Sicherheitsregeln einhalten!
2014 © Trivadis
Wichtigste Sicherheitsregeln
Keine Database Links auf Schema Owner!
Keine Database Links auf hochprivilegierte User!
Spezifischer User für Zugriff über Database Link
Möglichst Private Database Links verwenden
Eventuell Logon-Trigger für Zugriffskontrolle
17. April 2013Wie sicher sind Database Links?
22
2014 © Trivadis
BASEL BERN BRUGG LAUSANNE ZÜRICH DÜSSELDORF FRANKFURT A.M. FREIBURG I.BR. HAMBURG MÜNCHEN STUTTGART WIEN
2014 © Trivadis
Vielen Dank.Trivadis AG
Dani Schnider
Europa-Strasse 5CH-8152 Glattbrugg/ZürichSchweiz
Tel. +41 44 808 70 20Fax +41 44 808 70 21
17. April 2013Wie sicher sind Database Links?
23