Scurit

Copyright 2003, Oracle Corporation. Tous droits rservs

Enjeux

Copyright 2003, Oracle Corporation. Tous droits rservs

Les grands mythes de la scurit

Ce sont les hackers qui causent la plupart des dommages lis des trous de scurit En fait : 80% des dommages sont raliss par des employs Le cryptage est la solution aux problmes de scurit En fait : Une approche scurit doit comprendre le contrle daccs, lintgrit des donnes, le cryptage et laudit Les firewalls rendent votre systme scuris En fait : 40% des attaques Internet russies se sont droules sur des sites quips de firewall

Copyright 2003, Oracle Corporation. Tous droits rservs

Les menaces
Utilisation de ressources non autorise

Se faire passer pour un autre

Dsol, nous sommes ferms !

Divulgation dinformations non autorise

Refus de service non autoris Modification de ressources non autorise

Copyright 2003, Oracle Corporation. Tous droits rservs

Non reconnaissance

La pyramide
Audit Disponibilit

Que sest-il pass ?

Mes donnes sont-elles accessibles ?

Intgrit et Confidentialit

Ce message est-il complet et non altr ?

Autorisation

Cet utilisateur a-t-il le droit daccomplir cela ?

Authentification

Cet utilisateur est-il vraiment celui quil dit tre ?

Copyright 2003, Oracle Corporation. Tous droits rservs

Solution e-Business Suite

Copyright 2003, Oracle Corporation. Tous droits rservs

Scurit dAuthentification
Compte Utilisateur Signature Unique Single Sign-On (SSO) Administration centralise travers un annuaire LDAP

Copyright 2003, Oracle Corporation. Tous droits rservs

Connexion Oracle e-Business Suite via un compte utilisateur

Copyright 2003, Oracle Corporation. Tous droits rservs

Authentification par Utilisateur / Mot de passe

******** ********

Portail

Ok

Etape 1 :
LUtilisateur renseigne le Nom de connexion CNAUD et le mot de passe ******

Etape 2 :
Vrification du mot de passe fourni

Etape 3 :
Affichage du portail Personnel de Lutilisateur
Copyright 2003, Oracle Corporation. Tous droits rservs

Gestion du mot de passe

Rgles de changement de mot de passe

Au bout de n connexions Au bout de n jours Jamais Taille minimum Diffrent du nom de lutilisateur Doit contenir une lettre et un nombre
Copyright 2003, Oracle Corporation. Tous droits rservs

Possibilit de dfinir des rgles de scurit

Single Sign On : Quel est le problme ?

Un utilisateur ne peut pas grer 13 mots de passe Une scurit faible (Post-it) Les administrateurs ne peuvent pas grer efficacement plusieurs comptes par utilisateur Impossibilit de dsactiver lensemble des accs dun utilisateur rapidement (messagerie, applications critiques, ) 50% des appels au support concernent des problmes de mots de passe
Copyright 2003, Oracle Corporation. Tous droits rservs

Oracle e-Business Suite et le Single Sign-on

Signature unique aux applications Oracle et non Oracle

Copyright 2003, Oracle Corporation. Tous droits rservs

Mcanisme de Single Sign On

Intgration possible du serveur SSO avec un annuaire LDAP
SSO Server

Copyright 2003, Oracle Corporation. Tous droits rservs

Administration centralise via un annuaire LDAP

Gestion centralise des utilisateurs Supporte des milliers de client LDAP Modification on line de lannuaire sans interruption de service Rsistant aux pannes
Clients LDAP

9i Real Application Clusters (9iRAC) Online backup and recovery

Administration Annuaire
Copyright 2003, Oracle Corporation. Tous droits rservs

Intgration LDAP

Interfaage avec dautres annuaires LDAP du march comme NDS (Novell), MS

Active Directory dans Windows 2000, ...

Synchronisation

Interface native avec Oracle Internet Directory

SSO Server

Autre Annuaire LDAP

Copyright 2003, Oracle Corporation. Tous droits rservs

Scurit dAutorisation
Les utilisateur nont accs quaux fonctionnalits, donnes, traitements qui leur sont permis via lattribution de responsabilit Limiter les actions et les informations en fonction des profils

Copyright 2003, Oracle Corporation. Tous droits rservs

Scurit Applicative
Responsabilit
Utilisateur e-Business Suite
Menu Principal
Menu Fonctions

Menu
Fonctions

Groupe de Traitements

Responsabilit

Etats
Jeux dEtats Traitements

Rgles de scurit
Valeurs Champs Flexibles Paramtres Etat

Copyright 2003, Oracle Corporation. Tous droits rservs

Scurit Applicative

Limiter les actions Cacher des onglets

Copyright 2003, Oracle Corporation. Tous droits rservs

Scurit Applicative

Limiter les actions Cacher des onglets

Par exclusion de menus ou de fonctions

Copyright 2003, Oracle Corporation. Tous droits rservs

Scurit Applicative

Limiter les informations Cacher des colonnes

Par lexclusion dattributs Au niveau de la responsabilit

Choisir un Attribut EXCLURE = colonne masque

Copyright 2003, Oracle Corporation. Tous droits rservs

Scurit Applicative

Limiter les informations Cacher des lignes

Par lutilisation dattributs de scurit Au niveau de la responsabilit

Choisir un Attribut SECURISER

Au niveau de lutilisateur
Valoriser les attributs = donnes masques
Copyright 2003, Oracle Corporation. Tous droits rservs

Intgrit et Confidentialit
Cryptage des changes rseaux (SSL, Oracle Advanced Security) Cryptage des donnes dans la base

Copyright 2003, Oracle Corporation. Tous droits rservs

Pourquoi crypter le trafic rseau ?

Les donnes peuvent tre

captures modifies rejoues

Le cryptage des changes rseaux doit assurer que les donnes restent confidentielles, quelles nont pas t modifies lors du transfert, et donc que lon ne pourra pas les rutiliser

Copyright 2003, Oracle Corporation. Tous droits rservs

Chiffrement de bout en bout

Les donnes restent confidentielles Les donnes ne peuvent pas tre modifies Dtection des paquets perdus
&(@%zQ*
HTTPS

?
:&5%w*z

&(@%zQ*
Oracle Net (SSL)

Salaire 1000 ^^}**px%z

HTTPS

^^}**px%z
Oracle Net (SSL)

SSL

Oracle Advanced Security

Copyright 2003, Oracle Corporation. Tous droits rservs

Chiffrement de bout en bout

SSL : Secure Sockets Layer

Le protocole SSL assure trois fonctions

Cryptage Intgrit Authentification

Chiffrement SSL avec cl de 40 ou 128 bits Intgration avec des systmes parefeux (Cisco, Checkpoint, ) Fonctionnalit de cryptage Oracle Net Support de SSL
Copyright 2003, Oracle Corporation. Tous droits rservs

Oracle Advanced Security

Cryptage de donnes dans la base

Mot de passe stock crypt Interface simple pour crypter et dcrypter des donnes stockes dans la base

Algorithme DES DBMS_OBFUSCATION_TOOLKIT package Interface programmatique

Solution partenaire Protegrity

Copyright 2003, Oracle Corporation. Tous droits rservs

Disponibilit de linformation
Garantir laccs aux donnes 24h/24 7j/7 Solutions de haute disponibilit proposes avec la plate-forme technologique

Oracle9i Real Applications Cluster (9i RAC) Oracle Data Guard

Copyright 2003, Oracle Corporation. Tous droits rservs

9i Real Application Clusters

Serveurs DApplications Serveurs de Donnes
Fiber Channel ou Shared SCSI

Poste Client

High Speed Interconnect

Copyright 2003, Oracle Corporation. Tous droits rservs

Base de Donnes Unique

Oracle Data Guard

Protection contre les dsastres/incidents majeurs Automatique et synchrone Support de Physical Standby

Copyright 2003, Oracle Corporation. Tous droits rservs

Audit et traabilit
Audit de lactivit des utilisateurs Audit des oprations sur les donnes Alertes et notifications

Copyright 2003, Oracle Corporation. Tous droits rservs

Audit et traabilit
De lactivit des utilisateurs

Toutes les tentatives daccs sont audites

Login autoris / non autoris

Toute action suspecte peut dclencher un processus personnalisable

Mail un responsable scurit

Des modifications des enregistrements

Utilisateur ayant modifi le dernier un enregistrement Date de dernire modification Historique de lensemble des modifications sur une table
Copyright 2003, Oracle Corporation. Tous droits rservs

Etats dAudit pr-dfinis

Vision en temps rel de tous les utilisateurs connects Tableaux de bord, tats prdfinis Qui a cr ou modifi cette pice comptable ?

Copyright 2003, Oracle Corporation. Tous droits rservs

Etats dAudit pr-dfinis

Quels sont les utilisateurs qui se sont connects et quelle fonctionnalit ? Quels traitements ont t lancs par cet utilisateur ?
Copyright 2003, Oracle Corporation. Tous droits rservs

Service dAlertes
Automatiser des actions de faon priodique (tous les jours, toutes les fins de mois, ) ou vnementielle (sur ajout ou modification de donnes)

Ex : Envoi dun message ladministrateur scurit suite la modification dune donne sensible envoi de message, excution de programmes simultans, excution de scripts du systme dexploitation, excution de scripts SQL
Copyright 2003, Oracle Corporation. Tous droits rservs

Type daction

Rsum

Copyright 2003, Oracle Corporation. Tous droits rservs

Scurit tous les niveaux base sur les standards

Synchronisation Single Sign-On
Autre Annuaire LDAP

Autorisation HTTPS Oracle Net SSL Scurit Applicative Intgrit Confidentialit (DES, RSA) Cryptage Contrle daccs Audit

Compte/Mot de passe, PKI (futur)

Copyright 2003, Oracle Corporation. Tous droits rservs

Scurit unifie et cohrente

Scurit applicative fiable et flexible commune lensemble des services applicatifs dploys et utiliss dans Oracle e-Business Suite Grce lutilisation avance et conjugue de la plate-forme technologique Oracle
Serveurs dApplications
Services
Portail

Serveurs De Donnes
Services

Serveur Web

Transactionnel Business Intelligence Mobile

Poste Client

Scurit IntgrationTous droits rservs Copyright 2003, Oracle Corporation. Applicative