Copyright © 2014 Oracle and/or its affiliates. All rights reserved. |
Share
with
#ODSD2015
OracleDirect Security Day 2015
...
Copyright © 2014 Oracle and/or its affiliates. All rights reserved. |
Safe Harbor Statement
The following is intended to o...
Security Day 2015
Eine geniale Lösung für das
Benutzermanagement
Suvad Sahovic
Systemberatung Potsdam
OracleDirect
SECURIT...
Copyright © 2014 Oracle and/or its affiliates. All rights reserved. |
Referent: Kurz vorgestellt
5
• Suvad Sahovic
– Unter...
Copyright © 2015, Oracle and/or its affiliates. All rights reserved. |
Agenda
OracleDirect Security Day 2015 6
Information...
Copyright © 2015, Oracle and/or its affiliates. All rights reserved. | OracleDirect Security Day 2015
Das Informationssich...
Copyright © 2015, Oracle and/or its affiliates. All rights reserved. |
Agenda
OracleDirect Security Day 2015 8
Information...
Copyright © 2015 Oracle and/or its affiliates. All rights reserved. |
Komplexität bedeutet auch Verlust der Kontrolle
Komp...
Copyright © 2015 Oracle and/or its affiliates. All rights reserved. |
Inkonsequenz bedeutet auch Verlust der Kontrolle
Pas...
Copyright © 2015 Oracle and/or its affiliates. All rights reserved. | OracleDirect Security Day 2015 11
Personalisierung i...
Copyright © 2015, Oracle and/or its affiliates. All rights reserved. |
Agenda
OracleDirect Security Day 2015 12
Informatio...
Copyright © 2015 Oracle and/or its affiliates. All rights reserved. | OracleDirect Security Day 2015 13
Viele positive Neb...
Copyright © 2015 Oracle and/or its affiliates. All rights reserved. | OracleDirect Security Day 2015 14
Bestehende Infrast...
Copyright © 2015 Oracle and/or its affiliates. All rights reserved. | OracleDirect Security Day 2015 15
Viele positive Neb...
Copyright © 2014 Oracle and/or its affiliates. All rights reserved. | 16
Die nachfolgende Präsentation
OracleDirect Securi...
Eine geniale Lösung für das Benutzermanagement by Suvad Sahovic
Eine geniale Lösung für das Benutzermanagement by Suvad Sahovic
Nächste SlideShare
Wird geladen in …5
×

Eine geniale Lösung für das Benutzermanagement by Suvad Sahovic

638 Aufrufe

Veröffentlicht am

Eine geniale Lösung für das Benutzermanagement by Suvad Sahovic

Veröffentlicht in: Technologie
0 Kommentare
0 Gefällt mir
Statistik
Notizen
  • Als Erste(r) kommentieren

  • Gehören Sie zu den Ersten, denen das gefällt!

Keine Downloads
Aufrufe
Aufrufe insgesamt
638
Auf SlideShare
0
Aus Einbettungen
0
Anzahl an Einbettungen
12
Aktionen
Geteilt
0
Downloads
8
Kommentare
0
Gefällt mir
0
Einbettungen 0
Keine Einbettungen

Keine Notizen für die Folie

Eine geniale Lösung für das Benutzermanagement by Suvad Sahovic

  1. 1. Copyright © 2014 Oracle and/or its affiliates. All rights reserved. | Share with #ODSD2015 OracleDirect Security Day 2015 Bitte Fragen über den WebEx Chat. Danke.
  2. 2. Copyright © 2014 Oracle and/or its affiliates. All rights reserved. | Safe Harbor Statement The following is intended to outline our general product direction. It is intended for information purposes only, and may not be incorporated into any contract. It is not a commitment to deliver any material, code, or functionality, and should not be relied upon in making purchasing decisions. The development, release, and timing of any features or functionality described for Oracle’s products remains at the sole discretion of Oracle. OracleDirect Security Day 2015 3
  3. 3. Security Day 2015 Eine geniale Lösung für das Benutzermanagement Suvad Sahovic Systemberatung Potsdam OracleDirect SECURITY Inside-Out
  4. 4. Copyright © 2014 Oracle and/or its affiliates. All rights reserved. | Referent: Kurz vorgestellt 5 • Suvad Sahovic – Unterstützt Deutschlands Daten sicher(er) zu machen , ORACLE Potsdam OracleDirect Security Day 2015
  5. 5. Copyright © 2015, Oracle and/or its affiliates. All rights reserved. | Agenda OracleDirect Security Day 2015 6 Informationssicherheit als Prozess - Wo stehen wir? Kurze Einführung – Was ist die Ausgangssituation? Die Lösung – Wofür soll sie/das gut sein? 1 2 3
  6. 6. Copyright © 2015, Oracle and/or its affiliates. All rights reserved. | OracleDirect Security Day 2015 Das Informationssicherheitskonzept beruht auf einem Risikomodell und beleuchtet die Organisation und die Prozesse INFORMATIONSSICHERHEIT als Prozess Sicherheitsprozess Initialaktivitäten Laufende Aktivitäten Umsetzungen / Betrieb Prozesse Sicherheitsstrategie Risikomanagement Sicherheitsmgmt. Schutz Informationswerte (Vetraulichkeit, Integrität) Sicherstellung der Verfügbarkeit Disaster Recovery /Business Continuity Planning Monitoring Auditing Bereiche Technisch Physisch Organisatorisch Systeme (HW& OS) Netze Software Daten Build Operate Ablauf Schwachstellenanalyse, Bedrohungsprofil, Risikobewertung, Maßnahmenpriorisierung Risikomanagement Security Policy, Standards & Procedures Sicherheits- organisation Zugriffssicherung, Authentisierung, Kryptographie, PKI, VPN Sicherheitszonen Zugangskontrollen Zutrittsicherungs- sytemeFirewalls Netzwerkdesign Clustering Netzwerkmgmt. Virenschutz- management Sichere OS System- Aktualisierung SW-Design Verbindlichkeit Datenklassifik. Datenträger System- performance Monitoring CM Hot-Backup Gebäudesicherheit Personelle Sicherheit Arbeitsplatz Schutz vor Elem- entarereignissen Notfallpläne (Contingency Plans) Intrusion Detection Systems Gebäude- überwachung Videoaufzeichnung Activity Logging Sicherheitsaudits Vulnerability Checks Sicherheitsmanagement Security Vision, Strategie für den Umgang mit unternehmenskritischen Infrastrukturen und Informationswerten Governance HR-Prozesse Betriebl. Praktiken Awareness Training Backup, Backup-Facitilites Logging, Evaluierung, Behandlung von Sicherheitsvorfällen System Recovery Informationssicherheit ist ein Prozess, der alle Teile eines Unternehmens be- trifft. Es reicht nicht zu denken: “Die IT Abteilung wird mich schon schützen” 7 Zugriffssicherung, Authentisierung, Kryptographie, PKI, VPN SW-Design Verbindlichkeit
  7. 7. Copyright © 2015, Oracle and/or its affiliates. All rights reserved. | Agenda OracleDirect Security Day 2015 8 Informationssicherheit als Prozess - Wo stehen wir? Kurze Einführung – Was ist die Ausgangssituation? Die Lösung – Wofür soll sie/das gut sein? 1 2 3
  8. 8. Copyright © 2015 Oracle and/or its affiliates. All rights reserved. | Komplexität bedeutet auch Verlust der Kontrolle Komplexitätsberechung einer typischen Umgebung ComplexDBAMGMT = Count(DBAs) x Count (DB Instances) Zur Erinnerung: Das LDSG und die DSVO stellen hierfür konkrete Anforderungen. Bei jeder administrativen Tätigkeit muss stets der Ausführende ermittelt werden können. Auch Oracle empfiehlt den Einsatz von personalisierten DBAs. SYS wird nur in Ausnahmenfällen genutzt und SYSTEM wird gesperrt. Hinzu kommt, dass bestimmte Zertifizierungen (wie z.B. BSI) eine regelmäßige Änderung der Passwörter fordert. Gegeben (Ist-Situation): Eine Unternehmung betreibt 100 Datenbanken inkl. Entwicklung, Test, Integration und Abnahme DBs. Diese Datenbanken werden von 5 DBAs betreut. Jeder DBA ist in jeder DB lokal angelegt. Zusätzlich zu den Datenbanken besteht ein zentrales Benutzerrepository (MS Active Directory) 5 DBAs x 100 DB InstancesComplexDBAMGMT = 500ComplexDBAMGMT =
  9. 9. Copyright © 2015 Oracle and/or its affiliates. All rights reserved. | Inkonsequenz bedeutet auch Verlust der Kontrolle Passwort Mangement – das größte Übel Zur Erinnerung: BDSG $9 Abs.3 Gegeben (Ist-Situation): Eine Unternehmung betreibt 100 Datenbanken inkl. Entwicklung, Test, Integration und Abnahme DBs. DBA Passwordwechsel erfolgt (hoffentlich) regelmäßig z.B. 4/Jahr. Zusätzlich zu den Datenbanken besteht ein zentrales Benutzerrepository (MS Active Directory) Pro User: ComplexPWDMGMT = 100 DB Inst. x 4 PWD Wechsel 400ComplexPWDMGMT =
  10. 10. Copyright © 2015 Oracle and/or its affiliates. All rights reserved. | OracleDirect Security Day 2015 11 Personalisierung ist komplex Wie sieht die Realität aus? Anonym! DBA SYS oder SYSTEM Wegen der Komplexität werden wichtige Maßnahmen nicht implementiert! Wesentliche Maßnahmen für einen sicheren Datenbank-Betrieb werden nicht implementiert 1. Kein Passwortwechsel 2. Keine Zwecktrennung 3. Keine personalisierten DBAs, alle DBAs arbeiten mit SYS und SYSTEM. 4. Etc.
  11. 11. Copyright © 2015, Oracle and/or its affiliates. All rights reserved. | Agenda OracleDirect Security Day 2015 12 Informationssicherheit als Prozess - Wo stehen wir? Kurze Einführung – Was ist die Ausgangssituation? Die Lösung – Wofür soll sie/das gut sein? 1 2 3
  12. 12. Copyright © 2015 Oracle and/or its affiliates. All rights reserved. | OracleDirect Security Day 2015 13 Viele positive Nebeneffekte Business Cases • Bus.Case #1: DBA, Entwickler erhalten automatisch DBA/DEV Privilegien • Bus.Case #2: DBA/AppUser Funktionstrennung • Bus.Case #3: DEV/Release Mgr. Funktionstrennung • Bus.Case #4: Bestehende Kerberos Authentifizierung in der DB • Bus.Case #5: Bestehende Kerberos Authentifizierung bei Oracle Linux • Bus.Case #6: Bestehende Kerberos Authentifizierung bei DB Tools (SQL Developer, MS Office,...) • Bus.Case #7: SYSDBA ohne Passwordfile • Bus.Case #8: Batch User für Batch Jobs
  13. 13. Copyright © 2015 Oracle and/or its affiliates. All rights reserved. | OracleDirect Security Day 2015 14 Bestehende Infrastruktur nachhaltig nutzen Welche Infrastruktur brauche ich? ORA DB ORA DB ORA DB ORA DB
  14. 14. Copyright © 2015 Oracle and/or its affiliates. All rights reserved. | OracleDirect Security Day 2015 15 Viele positive Nebeneffekte Benefits • Zentralisiertes Password Management - Erzwingung der Passwortrichtlinien durch Einsatz der bestehenden Infrastruktur • Einhaltung und Erzwingung der unternehmerischen und gesetzlichen Sicherheitsrichtlinien. Vorhandene Inkonsequenzen, falsche oder falsche implementierte Security Konzepte, verursacht durch menschliches Versagen, werden ausgeschlossen. • Erzwingung von Least Privilege Konzept. Durchgehendes Konzept, welches nicht umgegangen werden kann. • Zentralisierte Benutzerauthentifizierung - durch bestehende Infrastruktur (Oracle Datenbank und MS Active Directory) • Zwecktrennung - Account Management und Applikations/DB Management wird voneinander getrennt. • Reduzierung der Komplexität - durch Zentralisierung und Auslagerung werden viele Betriebsaufgaben überflüssig. • Starke Authentifizierung (Kerberos) - in der Oracle DB Welt, die bereits in Ihrem Unternehmen weitgehend genutzt wird. • Keine User Repository Redundanzen. Es wird Ihr bestehendes User Repository (typischerweise MS Active Directory) als führendes Benutzer Verzeichnisdienst verwendet. • Reduzierung vieler administrativen DB Aufgaben. Bei den DBAs entfallen viele Aufgaben z.B. im Bereich User Management, Password Mgmt,...,die nicht anderweitig ausgelagert werden, sondern die einfach entfallen. Es wird die bestehende Infrastruktur dafür verwendet. • Single Sign On. Es wird bestehendes unternehmensweites Single Sign On (basierend auf Kerberos) nachhaltig genutzt. • Eindeutigkeit und bessere Nachvollziehbarkeit.
  15. 15. Copyright © 2014 Oracle and/or its affiliates. All rights reserved. | 16 Die nachfolgende Präsentation OracleDirect Security Day 2015 • 16:45 Uhr: Sichere Speicherung von Daten in der Cloud und Live- Hack auf eine ungeschützte Datenbank - Test prüft die wesentliche Funktionalität

×