Slide 1

Size: px

Start display at page:

Download "Slide 1"

승연 시
6 years ago
Views:

1 <Insert Picture Here> Session IV 보안의완성 : 명확한책임소재의규명 김규백 DB 기술팀 TSC 본부 gyubaek.kim@oracle.com

2 목차 시작하며 데이터베이스감사 오라클솔루션 끝으로

3 <Insert Picture Here> 시작하며

4 Q1. CEO 의지시에의한조직적인회계부정을막기위해서는?

5 Q2. 정상적인접근은모두신뢰해야할까? 만약, DB 계정정보를해킹해 DB 서버에접근한경우라면 해커 정상적인접근 DB 서버 내부자 데이터센터 만약, 내부자가조금씩정보를유출을시도한다면

6 앞의질문에대한답변 Q1. CEO의지시에의한조직적인회계부정을막기위해서는? A. 신뢰할수있는방법으로상시적인감사활동이필요 Q2. 정상적인접근은모두신뢰해야할까? A. 기업업무활동을방해할수없으므로일단은신뢰해야하지만검증도해야함 (Trust and Verify) Q2-1. 구체적으로어떻게검증해야하는지? A. 조직에따라비정상적이라고판단되는상황을정하고모니터링을지속적으로해야함 예 ) 일평균고객조회업무통계의변화, 고객 Call 회수와고객정보조회수의일치여부

7 <Insert Picture Here> 데이터베이스감사

8 데이터베이스감사의정의 Wikipedia is Saying Database auditing involves observing a database so as to be aware of the actions of database users. This is often for security purposes, for example, to ensure that information is not accessed by those without the permission to access it. 데이터베이스사용자의작업내용을파악하기위해데이터베이스 서버를감시하는작업. 비인가된사용자에의한정보접근이없는지 검증하기위한보안위험관리목적으로도수행됨.

9 데이터베이스감사의역할 일반유저에의한부정행위 부정한로그인 부정한조회, 데이터변경, 유출행위 과도한권한취득 부정한유저등록및구성변경 구성변경및장애유발, 동일계정 / 패스워드에따른관리불가 DBA에의한부정행위 부정한조회, 데이터변경, 유출행위 부정한유저등록및구성변경 부정한권한부여 감사로그의변경 Web 어플리케이션유저에의한부정행위 부정한조회, 데이터변경 DBA 의행동감사 DBA 감사 감사로그 어플리케이션유저 개발자 DBA 일반유저에대한감사 표준감사 DB 테이블 대상을보다세분화하여상세하게감사 FGA OS 파일

10 데이터베이스감사의필요성 전체시스템보안의완성 다양한보안솔루션적용이필요 물리적보안 네트워크보안 시스템보안 데이터베이스보안 명확한책임소재의규명을위해 인증강화 암호화 접근통제 데이터베이스감사 방어적이고선행되어야할보안조치 최소권한으로부여되었는지 역할에따라권한이분리되어있는지

11 데이터베이스감사시스템의요구사항 자동화 감사데이터수집에서가공및보고서생성까지의전단계를자동화 통합감사시스템구축 다수의감사대상으로부터통합감사시스템구축다양한 DB 로부터수집해단일한감사정보구축 대용량데이터처리 안정적인감사결과조회를위한성능을보장데이터라이프사이클관리방안제공 감사데이터자체의보호 감사데이터에대한훼손불가, 물리적유출방지, 감사시스템자체의무력화에대비 관리의편의성 주요한감사항목을언제든지조회가능하도록제공 실시간위험통보기능 특정상황을집중적으로모니터링하여위험이발생할경우즉시경고를발생

기업규제준수법안현황 전세계적으로다양한기업규제준수 (Compliance) 법안이생겨남 CA SB 1398 CA AB 1950 CA SB 1386 PIPEDA Compliance Landscape Sarbanes-Oxley HIPAA FDA CFR Part 11/Annex 11 GLB FISMA Personal Data Protection Law Bill

12 기업규제준수법안현황 전세계적으로다양한기업규제준수 (Compliance) 법안이생겨남 CA SB 1398 CA AB 1950 CA SB 1386 PIPEDA Compliance Landscape Sarbanes-Oxley HIPAA FDA CFR Part 11/Annex 11 GLB FISMA Personal Data Protection Law Bill 3494/2000 Bill 321/2004 Law f/protection Of Personal Data Nov2000 Companies Act BDSG DPA KonTraG RIP Basel II IAS LOPD EUPD Reg. 357 King II Rpt 자통법 KSOX 외감법 개인정보보호법 Banking Act Japan Privacy CLERP 9 AS4360 PA&PAA 주요 Compliance 사베인 - 옥슬리법안 (Sarbaines-Oxley Act, SOX 의섹션 302, 404, 기타 ) 그래엄 - 리치 - 브릴리법안 (Gramm- Leach-Bliley Act, GLB) 등 바젤 2 (Basel II) 유럽부패방지법 (European Anti- Fraud) 데이터보안법 (Data Privacy Act) 미국애국자법 / 테러대책법 (US Patriot Act) 건강보험이전가능성및책임에관한법 (Health Insurance Portability and Accountability Act, HIPAA) 기업회계기준 (Generally Accepted Accounting Standars, GAAS) ISO 9001 품질관리

13 기업규제준수법안내용 데이터베이스감사요구사항 SOX PCI DSS HIPAA Basel II FISMA GLBA 계정, 역할, 권한과관련된작업 (Accounts, Roles & Permissions) : Do you have visibility of GRANT and REVOKE activities? 실패한로그인 (Failed Logins) : Do you have visibility of failed logins and other exception activities? 높은권한의사용자작업 (Privileged User Activity) : Do you have visibility of users activities? 민감한데이터에대한접근 (Access to Sensitive Data) : Can you have visibility into what information is being queried (SELECTs)? 스키마구조의변경작업 (Schema Changes) : Are you aware of CREATE, DROP and ALTER Commands that are occurring on identified Tables / Columns? 데이터변경작업 (Data Changes) : Do you have visibility into Insert, Update, Merge, Delete commands?

14 <Insert Picture Here> 오라클솔루션

15 오라클데이터베이스보안솔루션 Database Audit Configuration Management Audit Vault Total Recall Access Control Database Vault Label Security Encryption and Masking Advanced Security Secure Backup Data Masking

16 제품소개동영상자료 ( 약 4 분 ) Oracle Audit Vault

17 Oracle Audit Vault 통합데이터베이스감사솔루션 DB 1 감사로그수집 감사로그보관 관리, 설정 DB 2 DB 3 : : DB 4 복수의감사대상 Oracle Advanced Security 감사정책적용 Database Vault 감사로그수집 table Oracle Partitioning 분석용데이터모델 다차원분석 실시간감시리포트작성 Oracle Business Intelligence

18 Oracle Audit Vault 감사정보수집기 : DBAUD audit_trail = DB, DB_EXTENDED

19 Oracle Audit Vault 감사정보수집기 : OSAUD audit_trail = OS, XML, XML_EXTENDED

20 Oracle Audit Vault 감사정보수집기 : REDO

21 Oracle Audit Vault 감사정보수집기별역할 상호보완적인감사정보수집활동

22 Oracle Audit Vault 수집대상의확대 Oracle : 9iR2, 10g, 11g Microsoft : SQL Server 2000 & 2005 (Server Side Trace, Event Log, C2) Sybase : ASE 12.5 및 15.0 IBM : DB2 8.2 및 9.5

23 Oracle Audit Vault 감사정책설정및관리 데이터베이스감사설정정보수집 중앙에서특정데이터베이스로감사설정적용가능 감사설정사항을비교할수있는기능 인사데이터베이스 재무데이터베이스 고객데이터베이스 높은권한사용자관련감사설정 SOX 관련감사설정 개인정보관련감사설정 Audit Vault 관리자

24 Oracle Audit Vault 보고서생성 기본내장보고서 (Who, What, Where) 사용자정의보고서 기업규제준수관련사항보고서

25 Oracle Audit Vault 보고서생성 APEX 를이용하여다양한형태의보고서출력이가능함 조회컬럼의추가 / 삭제 특정값으로필터조건지정 복수기준에따른정렬 하이라이트기능 다양한그래프차트제공 사용자정의보고형태저장 CSV 형태로리포트다운로드

26 Oracle Audit Vault Oracle BI Publisher 연동 분석데이터모델을제공하고 BI Publisher 와연계해분석작업에활용 Audit Vault DW schema 구조 BI 툴에의한고도의분석 CLIENT_HOST_DIM EVENT_DIM TIME_DIM CLIENT_TOOL_DIM AUDIT_EVENT_FACT CONTEXT_DIM USER_DIM TARGET_DIM SOURCE_DIM PRIVILEGES_DIM

27 Oracle Audit Vault 실시간감시기능 Audit Vault 서버 AV Auditor Dashboard 제공 경보발생기준설정 Audit alerts Audit Policy System 감사정보검사 감사정보수집기 DBAUD OSAUD REDO Audit trail records 통합감사정보 경보발생대기열 (Queue) 경보발생상황 통보서비스등록 Audit Vault 웹화면에서조회 AV Auditor

28 제품데모동영상자료 ( 약 9 분 ) Oracle Audit Vault

29 EM Configuration Management Pack 구성정보를정기적으로자동수집하여변경사항을검출 구성변경에의한문제를예방하고보안을강화 설정변경 패치적용 관리를자동화 수작업에의한관리 갱신된정보의누락은없는가? 구성정보를통합화 비교 검색이용이 변경이력의확인 작업보고서 관리표 정보가산재 요청의증대 컴플리언스준수시큐리티강화 운용관리자 최신의정보는어디에? 운용관리자 시스템의구성정보를올바르게파악!

30 EM Configuration Management Pack DB 서버간의 Configuration 비교가능

31 11g New Feature : Total Recall Oracle Flashback Data Archive 과거특정시점에대한데이터분석이가능함 데이터베이스내에서관리 보안성및효율성증대 전용테이블스페이스에변경이력관리 정책기반의이력정보관리 압축된형식으로저장 이력정보에대한변경금지 내부커널최적화를통한최소한의캡쳐부하유지 필요한때에원하는시점의모든정보조회가능 AS OF 라는 SQL 명령어

32 11g New Feature : Total Recall SQL> CREATE TABLESPACE fla_tbs1 DATAFILE /u01/app/oracle/oradata/orcl/fla_tbs01.dbf SIZE 10M REUSE AUTOEXTEND ON NEXT 640K MAXSIZE 3276M NOLOGGING EXTENT MANAGEMENT LOCAL SEGMENT SPACE MANAGEMENT AUTO SQL> GRANT FLASHBACK ARCHIVE ADMINISTER TO hr; SQL> CONNECT hr/hr SQL> CREATE FLASHBACK ARCHIVE fla1 TABLESPACE fla_tbs1 QUOTA 10M RETENTION 1 YEAR SQL> ALTER TABLE hr.employees FLASHBACK ARCHIVE fla1 SQL> SELECT employee_id, last_name, salary FROM hr.employees AS OF TIMESTAMP (SYSTIMESTAMP INTERVAL 10 MINUTE) WHERE last_name = Fox versions between timestamp (systimestamp interval 120 minute) and SYSTIMESTAMP where last_name = Fox ;

33 <Insert Picture Here> 끝으로

34 데이터베이스감사는 End-to-End 보안구축을위한필수적인조치 존재자체로도보안사고예방에높은효과 통제효과에대한지속적인모니터링과개선을위한수단 보안유출사고발생시명확한책임소재규명이가능

35 Oracle Audit Vault 는 데이터베이스감사시스템으로서필요한요구사항을모두만족 기업규제준수법안이공통적으로요구하는감사기능을모두수행 실시간보안감시기능을포함한강력한모니터링수단제공 엔터프라이즈레벨통합데이터베이스감사솔루션

The Forrester Wave : Enterprise Database Auditing And Real-Time Protection, Q4 2007 Oracle Is A Strong Performer In Enterprise Database Auditing; Tops Native DBMS Auditing Oracle is the technology

36 The Forrester Wave : Enterprise Database Auditing And Real-Time Protection, Q Oracle Is A Strong Performer In Enterprise Database Auditing; Tops Native DBMS Auditing Oracle is the technology leader when it comes to databases, and Oracle gives database security and auditing the same level of commitment and focus as other database features. Besides Oracle s native auditing, Oracle recently released the Audit Vault product, which offers more advanced auditing features including the ability to centralize auditing for large environments that deal with many databases. 오라클은데이터베이스분야최고의기술리더로서, 데이터베이스보안과감사기능에있어서도그에걸맞는수준의기술을제공함. 또한, 많은데이터베이스로구성된대규모환경에서도통합된감사기능을제공할수있는 Audit Vault 제품을출시함

37 For More Information audit vault or oracle.com/technology/products/audit-vault

DB 보안의중요성및 IT 의과제 이진호 DB 기술팀부장한국오라클

DB 보안의중요성및 IT 의과제 이진호 DB 기술팀부장한국오라클 I. 정보보호산업의패러다임변화 정보보호산업의패러다임전환 정보보호산업 지식정보보안산업 1990 년대 2004 년대 2007 년대 2010 년이후 IT 시스템보안네트워크보안개인정보보호 v IT 보안기술 및제품간융합 v IT 융합산업보안 아마추어해커 웜 바이러스 산업기밀탈취 조직화된해킹범죄 통합보안