Вы находитесь на странице: 1из 45

<Insert Picture Here>

Scurit du SI
Philippe.rey@digora.com Michel.pignata@oracle.com

Agenda
Introduction Authentifier les utilisateurs sur les applications. Le syndrome du mot de passe ! Gestion des identits. Maitriser le cycle de vie Annuaires, bases de donnes, utilisateurs et droits. Lintgration est-elle possible ? Les donnes nomades. Sont-elles protges? Chiffrer les donnes des bases de donnes. Les super utilisateurs sont rois! Audit / Monitoring Q/R

Quelques constats Pourquoi renforcer la scurit?


Menaces de Scurit
Usurpation dIdentit Espionnage Industriel Menaces internes

Globalisation des donnes

Conformit Rglementaire
SOX EU Directives HIPAA PCI

FDA

Basel II Sovency II

GLBA

SB1386

Quelques constats Pourquoi renforcer la scurit?


The State Of Enterprise IT Security And Emerging Trends: 2009 To 2010 Forester 1/2010

Scurit des donnes


Une dimension organisationnelle et technique

Contrle physiques

Contrle techniques
Protection des locaux, agents de scurit, sas, surveillance, camras, dtection dintrusion,

ORACLE

Authentification, contrles daccs aux donnes, aux serveurs WEB, annuaires, chiffrement, audit,

Contrle administratifs
Politiques de scurit, procdures, guides, embauche des personnels, formation de sensibilisation,

Scurit des donnes


Des objectifs prcis (COBIT, ITIL, ISO 27000, CISSP)
Les trois objectifs de la scurit des systmes dinformations
Confidentialit : Linformation est protge de toute diffusion non autorise. Dans les bases de donnes, lors de son transport sur les rseaux, lors de son archivage, Intgrit : La fiabilit des informations est garantie. Les accs sont strictement contrls. Lauthentification des utilisateurs et les droits dont ils disposent pour manipuler linformation sont connus et audits Disponibilit : Les systmes se comportent de manire prvisible. Ils sont accessibles et reviennent rapidement leur tat normal aprs un incident.
Confidentialit

Objectifs

Intgrit

Disponibilit

Oracle : la scurit de linformation


Les bases de donnes
Base de donnes
Interface rfrentiels utilisateurs Chiffrement et anonymisation Contrle comptes pouvoirs Surveillance Audit Gestion de configuration

Disques

Bases de donnes

Oracle : la scurit de linformation


Mais aussi la gestion des identits
Base de donnes
Interface rfrentiels utilisateurs Chiffrement et anonymisation Contrle comptes pouvoirs Surveillance Audit Gestion de configuration

ERP

Gestion didentit
Disques Bases de donnes Serveurs dapplications Rfrentiels utilisateurs

LDAP

SSO Provisioning Gestion de rles Gestion des autorisations Surveillance des comportements Annuaires / rfrentiels

Progiciels

Oracle : la scurit de linformation


Pour une solution globale
Base de donnes
Interface rfrentiels utilisateurs Chiffrement et anonymisation Contrle comptes pouvoirs Surveillance Audit Gestion de configuration

ERP

Information sur les postes

Gestion didentit
Disques Bases de donnes Serveurs dapplications Rfrentiels utilisateurs
Utilisateur

LDAP

SSO Provisioning Gestion de rles Gestion des autorisations Surveillance des comportements Annuaires / rfrentiels

Progiciels

Protection des contenus


Contrle centralis des droits daccs et dusage de documents Chiffrement, Destruction scurise Surveillance de lusage et audit

Accder aux applications - Enjeux


Rduction de cots, amlioration immdiate du confort utilisateur, et de la scurit
Allo ! Bonjour, je reviens de congs et je ne me souviens plus de mon mot de passe .. Suite au reset de mot de passe, je narrive plus me connecter. A chaque nouvelle application, je dois saisir mon login et mon mot de passe

Gestion des accs - Oracle ESSO

Dploiement rapide et intgration facile Mmoriser les Informations dAccs Rinitialisation des mots de passe OS

Renforcer lauthentification primaire via des jetons


Contrle les sessions sur les postes en partage

Oracle : La gestion des Identits

ERP

Information sur les postes

Gestion didentit
Disques Bases de donnes Serveurs dapplications Rfrentiels utilisateurs
Utilisateur

LDAP

SSO Provisioning Gestion de rles Gestion des autorisations Surveillance des comportements Annuaires / rfrentiels

Progiciels

Protection d contenus

La gestion des identits Industrialiser le cycle de vie des utilisateurs

La gestion des identits


Exemple - Processus dintgration
Oracle Identity Manager Nouvel Employ HRMS, DB Connecteur Moteur de Reconciliation Applications Provisionnes, Annuaires

Rfrentiel Didentits

Groupes

Politiques Daccs

Workflow

Nouveau stagiaire

Self Registration

Moteur de demandes

Approbation

Applications Non autorises

Gestion des identits


Description de loffre Oracle
Identity Administration Access Management Directory Services

Identity Manager

Access Manager Adaptive Access Manager Enterprise Single Sign-On Identity Federation Entitlements Server
Oracle Platform Security Services Audit & Compliance Identity Analytics Operational Manageability Enterprise Manager

Internet Directory Virtual Directory

Administration des Identits


Oracle Identity Manager
GRANT REVOKE GRANT REVOKE GRANT REVOKE

Employs arrives / Dparts

Application HR

Workflows dapprobation

Applications

Automatisation du processus de gestion des utilisateurs Dtection des comptes orphelins

Gouvernance de la gestion des accs aux ressources (Qui a accs quoi )


Demande daccs self-service

Gestion des Accs


Composants fonctionnels
Oracle Access Manager
Fourni un service unique pour lauthentification Rcupre et valide les authentifiants, gnre les tickets authentifis

Oracle Entitlements Server


Fourni un service unique pour les authorisations et des droits Permet de centraliser la gestion des politiques daccs et de droits

Oracle Identity Federation


Permet linteraction entre diffrents fournisseurs didentit Permet lchange de ticket de scurit entre des tickets standardiss et des tickets propritaires Permet la propagation de lidentit

Oracle Adaptive Access Manager Fourni un service dvaluation de risque


(Oracle / 3rd party) Scurise le processus dauthentification Fourni un systme de controle de fraude en cascade tous les niveaux de larchitecture

Echantillons de connecteurs
Database Servers Directory Servers

Enterprise Applications

Enterprise Messaging

Operating Systems

Security Management RACF ACF2 TopSecret Help Desk

Bases de donnes et LDAP

Lintgration est-elle possible ?


Base de donnes
Interface rfrentiels utilisateurs Chiffrement et anonymisation Contrle comptes pouvoirs Surveillance Audit Gestion de configuration

ERP

Information sur les postes

Disques

Bases de donnes

Serveurs dapplications

Rfrentiels utilisateurs

Utilisateur

LDAP

Progiciels

Se connecter aux bases de donnes


Utiliser les annuaires existants - Oracle Virtual Directory

Pour quoi faire ? Capitaliser sur les rfrentiels LDAP existants Amliorer la scurit en tirant parti de ces rfrentiels Progiciels Grer lauthentification des bases de donnes, des applications, des outils de messagerie, des outils collaboratifs, des systmes dexploitation, depuis les annuaires rfrents Grer les droits des utilisateurs sur les donnes. Quand cest possible, utiliser les mmes politiques que celles qui prsident la dfinition de leurs interfaces avec lapplication (menus, accs certaines fonctionnalits).

Oracle Virtual Directory


Centraliser les donnes didentification en les laissant o elles sont !
Active Directory dc=fr,dc=msad,dc=com

SunOne dc=fr,dc=sun,dc=com

Application A
Oracle Virtual Directory
dc=oracle-ovd,dc=com

Databases

Application B

OVD fournit une vue unique de plusieurs annuaires ou bases de donnes Il prsente ces donnes didentit lapplication cliente (lors de la dmonstration ce client tait une base ORACLE) en alla nt les chercher dans un des rfrentiels quil fdre Le dploiement de ce type de solution est rapide, car les donnes de rfrence restent o elles sont La force dOVD est sa capacit dintgration rapide de rfrentiels LDAP ou non. Pour chaque annuaire ou base de donnes, OVD dploie un connecteur. Il permet de raliser des oprations de transformation dattributs et la dfinition de correspondances entre les espaces de noms des annuaires. Lapplication ne se proccupe que de lespace des noms prsent par OVD, ici : dc=oracle-ovd,dc=com

Solution OVD4EUS
Virtualisation des Enterprise User Security des bases de donnes Oracle

Enjeux
Acclre la mise en uvre dEUS Simplifie la gestion des Enterprise Roles Nimplique plus linstallation dOID

OVD4EUS
Oracle Virtual Directory

Fonctionnalits
Support de diffrents serveurs LDAP (AD avec mdp et Kerberos, Sun et OID avec mdp) Permet des bases Oracle10g EUS de stocker les information des utilisateurs dans un annuaire tiers Permet de mettre en correspondance des Enterprise Roles avec des rles de type SGBD Les Enterprise Roles sont implments sous forme de Groupe au niveau de lannuaire LDAP.

Enterprise Database Users


LDAP / OID /OVD Databases

Enterprise Users (EU)


Enterprise Roles (ER) Mappings EU > ER ER > GR

Global Roles (GR)


Privileges Assigned to GR

La scurit des donnes nomades Celles qui se trouvent dans les postes des utilisateurs...

et celles qui atterrissent dans les environnements de dveloppement, de recette, ...

24

Les donnes nomades


Sur le poste de travail

ERP

Information sur les postes

Disques

Bases de donnes

Serveurs dapplications

Rfrentiels utilisateurs

Utilisateur

LDAP

Progiciels

Protection des contenus


Information Rights Management Contrle centralis des droits daccs et dusage de documents Chiffrement, Destruction scurise Surveillance de lusage et audit

Scuriser les donnes sur le poste de travail


Information rights Management
Pour quoi faire ?
Assurer la scurit des donnes lorsquelles sont sur les postes de travail Les documents WORD, EXCEL, PDF, POWERPOINT, et autres donnes trs mobiles peuvent tre protgs On leur associe une politique de scurit Cette politique spcifie lusage qui va pouvoir tre fait de ces documents Ouverture, dition, impression, copie dcran, sont des oprations qui sont sous le strict contrle dun serveur de politique de scurit Ce serveur permet la dfinition des politiques de scurit de ces documents Les rgles dutilisation restent actives lorsque les documents sortent du serveur pour aller vers les postes client Diffrents types de protection sont alors possibles. Par exemple, obligation dtre connect au serveur pour ouvrir le document, ou possibilit de louvrir pendant un certain temps Ce produit permet dtendre aux multiples documents sensibles entrant dans la famille des donnes non structures de bnficier de mcanismes de scurit stricts dfinis de faon centralise De nombreux rapports sur les actions des utilisateurs sont disponibles pour les administrateurs Les actions daudit sont facilites par le rfrentiel dadministration qui garde la trace de lusage qui est fait des documents. Par exemple une impression (autorise).

Information Rights Management


Scuriser les donnes nomades
Applications

Seal

Distribute

Users

Oracle IRM Management Console

Oracle IRM Desktop

Oracle RM Server Server Oracle IRM


Automatic sync of rights/audit Business Managers or IT Admins Audit Secure offline cache

Oracle Identity Management

Sortir des donnes production


Des problmes en vue ?

28

Les donnes nomades


Dans des bases de donnes hors production
Base de donnes
Interface rfrentiels utilisateurs Anonymisation Chiffrement Contrle comptes pouvoirs Surveillance Audit Gestion de configuration

ERP

Information sur les postes

Disques

Bases de donnes

Serveurs dapplications

Rfrentiels utilisateurs

Utilisateur

LDAP

Progiciels

Sortir des donnes de production


Oracle Data Masking Pack
Pour quoi faire ?
Exporter des donnes dune base de production En assurant le maintien de lintgrit rfrentielle de la Progiciels base relationnelle En dfinissant des masques pour les donnes sensibles choisies Ces masques sont prdfinis ou personnalisables lorsque les rgles de gestion sont complexes Les rgles de masquage sont dtenues dans un rfrentiel (y compris les rgles personnalises) Les oprations de masquage sont ralises dans la base cible pour garantir le meilleur niveau de performance possible. Pas dextraction et de rechargement!

Oracle Data Masking


Anonymisation Irrversible

Production
LAST_NAME AGUILAR BENSON SSN 203-33-3234 323-22-2943 SALARY 40,000 60,000

Non-Production
LAST_NAME ANSKEKSL BKJHHEIEDK SSN 11123-1111 222-34-1345 SALARY 60,000 40,000

Anonymiser les donnes sensibles des bases non production Conserver les proprits des donnes initiales Garantir lintgrit rfrentielle (BDD ou APPLI)

Librairie des templates et de rgles pour lindustrialisation du masquage

Oracle Database 11g Release 2


Data Masking Road Map

Templates pr-dfinis pour les Applications Oracle Data subsetting Anonymisation dautres Bases de donnes (SQL Server, DB/2) Implmentation via la database console

Protection des donnes


Chiffrement

34

Protection physique des donnes


Se prmunir des attaques sur les supports physiques
Pour quoi faire ?
Garantir la protections des donnes Sur le rseau Sur les supports de stockage En utilisation Aprs sauvegarde La gestion des cls de chiffrement doit tre prise en compte par la base Initialisation Renouvellement Changement dalgorithme Historique des cls Ne pas grer cette fonction de chiffrement dans les applications Les dveloppeurs ont dautres soucis Le mcanisme doit permettre laccs aux donnes chiffres avec nimporte quel outil client

Oracle Advanced Security


Chiffrement Rseau & Authentification Forte

Le chiffrement du rseau se fait par paramtrage dOracleNet aprs installation de loption Advanced Security Option Accessoirement, cette option ASO permet galement lauthentification dutilisateurs avec des certificats Facilit de mise en uvre Paramtrage de fichiers Redmarrage des processus dcoute rseau Surcot de performance au niveau CPU Les clients utilisateurs nont pas considr ce surcot comme rdhibitoire

Oracle Advanced Security


Transparent Data Encryption (TDE)
Disques

Backups

Exports

Application
Off-Site Facilities

Les donnes sont chiffres lcriture et dchiffres la lecture (DATA, UNDO, REDO, TEMP, FLASHBACK) Lapplication nest pas modifie. Elle doit cependant tre qualifie sur cet environnement, ce qua fait ORACLE sur ses appli cations EBS, PSOFT, Siebel, JD Edwards. SAP est galement certifi Les algorithmes de chiffrement sont les standards du march (AES, SHA1, etc.) Les cls ont des longueurs allant de 128 256 bits La gestion des cl de chiffrement est assure : on distingue trois catgories de cls Master key de la base Table Key, utilise comme son nom lindique pour chiffrer les colonnes dune table Tablespace key, utilise pour chiffrer les TABLESPACES dune base

Matriser les utilisateurs pouvoirs


Ou comment rsoudre le problme des privilges ?
Pour quoi faire ?
La politique de scurit impose une sparation forte des responsabilits et notamment la protection de donnes sensibles contre les accs des utilisateurs privilgis Il est impossible de contrler un utilisateur disposant de privilges spciaux Il est impossible dinterdire laccs certaines commandes SQL Il est difficile dutiliser des critres daccs tels que: La localisation physique et/ou le mode de connexion La date et /ou lheure de la requte daccs La permission temporaire accorde par un responsable scurit Il est impossible davoir deux DBAs connects une mme base, en ayant que les droit daccs limits aux schmas qui sont sous leur responsabilit. Cette situation est un frein la mutualisation de certaines applications

Oracle Database Vault


Grer les droits daccs des utilisateurs forts privilges select * from HR.people
Achats HR DSA Mtier Finance
La premire fonction de Database Vault est de cloisonner les acteurs de ladministration des bases de donnes Pour garder la capacit dinterdire laccs face des privilges spciaux (SELECT ANY, EXECUTE ANY) les binaires de la base de donnes sont rgnrs par le processus dinstallation Toutes les bases de donnes dun ORACLE_HOME utilise ce mme binaire, ce qui ne veut pas dire que toutes utilisent Database Vault Mais ce point est considrer quand on migre une base existante sur ce type darchitecture Les donnes des applications sont places dans des espaces protgs appels REALM (Achats, HR, Finance) Les applications ne sont pas modifies. Elles peuvent cependant tre impactes dans leur exploitation Il est donc ncessaire de faire une recette technique lapplication qui va utiliser Database Vault ORACLE a ralis cette certification sur ses applications EBS, Siebel, PeopleSoft, JD Edwards SAP est galement certifi depuis un mois ! Limpact sur les performances est trs faible : Le produit fait du contrle daccs

DBA

Oracle Database Vault


Rgles de contrle d'accs bases sur des facteurs multiples
Achats HR Application Finance

Une autre facette du produit est de permettre par exemple : Le contrle de laccs certaines commandes SQL La prise de dcision sur des demandes daccs en sappuyant sur des critres temporels, gographiques Le blocage de laccs sur la base du protocole rseau utilis Lautorisation de laccs si une ou plusieurs personnes sont connectes la base Ces mcanismes sont trs simples mettre en uvre en sappuyant sur la notion de facteur Un facteur peut tre dfini comme une condition boolenne Les facteurs peuvent tre assembls De la mme faon on va pouvoir dfinir des rgles lmentaires utilisant des facteurs Ces rgles seront elles mmes assembles dans des ensembles appels RULE SET On peut contrler laccs virtuellement nimporte quel objet ou commande dans la base, avec un RULE SET

Surveillance et audit
Linformatique de Big Brother ?

41

Surveiller et auditer
Intressant mais comment industrialiser ?
Pour quoi faire ? Laudit a des vertus dissuasivessi on communique aux acteurs concerns les politiques de surveillance mises en uvre Il constitue lun des sujets de prdilection des autorits de contrle. Son but principal est de dtecter trs rapidement des actions suspectes. Si lincident se produit et savre dommageable, laudit est un outil essentiel pour lquipe de scurit. Il permet de comprendre exactement qui a fait quoi, comment et quand

Laudit de dizaines de bases

Le besoin
Automatiser les oprations de mise en uvre et de conservation des traces sur un grand nombre de bases de donnes

Les oprations raliser


1. 2. 3. 4. 5. 6. 7. Dfinir des rgles daudit dans un rfrentiel Diffuser les rgles daudit vers chaque source (base cible) Rcuprer la trace des vnements dans un entrept Surveiller la conformit des sources avec le rfrentiel Stocker les traces en lieu sr. Contrler les accs Purger les systmes cibles pour viter des saturations Purger lentrept en tenant compte des obligations lgales de rtention
43

Oracle Audit Vault


Surveillance et gestion automatiss
HR Data

!
Audit Data

Alerts Built-in Reports Custom Reports Policies

CRM Data

ERP Data

Databases

Auditeur

Toutes les donnes daudit sont gardes par dfaut 10 ans Le produit permet bien sr la production de rapports Interactifs, prdfinis ou personnaliss Ils peuvent tre automatiss et excuts rgulirement Ces rapports peuvent faire lobjet dune validation par des responsables Leur dure de rtention dans le systme est paramtrable Lutilisation de Database Vault sur la base du DWH daudit permet dassurer que les tables stockant les donnes daudit ne seront pas altres par des utilisateurs disposant de privilges spciaux Audit Vault sappuie sur les mcanismes des bases de donnes audites ORACLE 9i, 10g, 11g, SYBASE ASE, Microsoft SQL Server, DB2 Unix Il ne fait pas dintrospection sur le rseau

Diffrentiateurs Oracle

Complte Ouverte Intgre ET Scurise !

46