19cours #12 - Conception Securite Informatique - Part 2 - 2023

Conception pour la
sécurisation des bases de

données
Cours #12, 2-eme Partie
Après notre dernière discussion sur les menaces et les tendances en matière de sécurité,
examinons une solution complète de sécurité de base de données fournie par Oracle.
1
Fuite de plus d’ 1Md d’informations depuis des
serveurs Base de Données
97% des fuites peuvent être évitées avec des contrôles
basiques
98% records stolen
from databases
84% records breached
using stolen credentials
Selon Forrester seulement 20% des clients ont des politiques
71% fell within minutes
de sécurité pour les bases de données
92% discovered
by third party
Copyright © 2013, Oracle and/or its affiliates. All rights reserved. Page 2
Source: http://www.verizonbusiness.com/resources/reports/rp_data-breach-investigations-report-2012_en_xg.pdf
Verizon est l'un des plus grands fournisseurs de services mobiles au monde. Chaque
année, ils émettent un rapport sur la sécurité informatique.
Faire valoir l'importance de la sécurité des bases de données:
• 98% des enregistrements volés provenaient directement de serveurs de bases de
données.
• 84% des enregistrements violés ont été réalisés à l'aide d'informations d'identification
volées, ce sont des attaquants qui ont pu mettre la main sur des noms d'utilisateur et des
mots de passe pour compromettre davantage des serveurs supplémentaires au sein
d'une organisation. Ce pour cela que nous aurons étudier au lab et dans la suivante
devoir l'utilisation de solutions de gestion des identités et leur evaluation.
• 71% sont tombés en quelques minutes - l'attaque courante consiste à utiliser des
injections SQL pour rapidement compromettre le niveau de l'application Web et extraire
directement les données de la base de données.
• Étonnamment, 92% des violations de données ont été découvertes par un tiers.
Intéressant de savoir que s'ils étaient compromis, comment le sauraient-ils?
2
Pourquoi les databases sont-elles si vulnérables ?
Seulement 20% des clients ont des politiques de sécurité Database
Sécurité
Forrester Research Internet
«Les entreprises prennent des risques Authentification

et sécurité des SIEM
dont elles ne sont peut-être même pas utilisateurs
conscientes. D'autant que de plus en Sécurité de la

plus d'attaques contre des bases de base de données
données exploitent un accès légitime» Sécurité du

Sécurité
des
curiel
terminaux
http://www.oracle.com/us/corporate/analystreports/infrastructure/forrester-thlp-db-security-1445564.pdf
En matière de sécurité réseau, Endpoint Security fait référence à une méthodologie de protection du réseau
d'entreprise en cas d'accès via des appareils distants tels que des ordinateurs portables ou d'autres appareils
sans fil et mobiles. Chaque appareil avec une connexion à distance au réseau crée un point d'entrée potentiel
pour les menaces de sécurité.
SIEM – (Security information and event management - Gestion des informations de sécurité et des événements),
SIEM est un terme désignant les produits et services logiciels combinant la gestion des informations de sécurité
(SIM) et la gestion des événements de sécurité (SEM). La technologie SIEM fournit une analyse en temps réel
des alertes de sécurité générées par le matériel et les applications du réseau. SIEM est vendu sous forme de
logiciel, d'appareil (appliance) ou de services gérés, et est également utilisé pour enregistrer données de sécurité
et générer des rapports à des fins de conformité. Les acronymes SEM, SIM et SIEM ont parfois été utilisés de
manière interchangeable. Le segment de la gestion de la sécurité qui traite de la surveillance en temps réel, de la
corrélation des événements, des notifications et les vues de console sont communément appelées gestion des
événements de sécurité (SEM). La deuxième zone fournit un stockage à long terme ainsi que l'analyse et la
création de rapports des données de journal, et est connue sous le nom de gestion des informations de sécurité
(SIM). Comme pour de nombreuses significations et définitions de capacités, les exigences évolutives façonnent
continuellement les dérivés des catégories de produits SIEM. Le besoin de visibilité centrée sur la voix ou vSIEM
(Voice Security Information and Event Management) est un exemple récent de cette évolution.
Le terme gestion des événements d'information de sécurité (SIEM), décrit les capacités du produit de collecte,
d'analyse et de présentation d'informations à partir du réseau et des dispositifs de sécurité; identité et
applications de gestion d'accès; outils de gestion des vulnérabilités et de conformité aux politiques; les journaux
du système d'exploitation, de la base de données et des applications; et les données sur les menaces externes.
Un objectif clé est de surveiller et d'aider gérer les privilèges des utilisateurs et des services, les services
d'annuaire et autres changements de configuration du système; ainsi que la vérification et l'examen des journaux
et la réponse aux incidents.
3
5/18/2023
Sécurité
Que de choses à faire !!
Audit et Sécuriser le poste client Administration
rapports Sécurité des documents locaux Authentification forte Anti-Phishing et surveillance
Analyse des Gestion des identités Gestion des accès SLA

référentiels
d’identité Gestion des utilisateurs Authentification
Gestion des
Rapports et Synchronisation de référentiels Fédération patches
attestations
Modélisation des rôles Autorisations Performances
Données
d’audit Gestion des rôles Sécurité des WEB Services
Automatisation
Rapport sur
les risques Sécurité des bases de données
Chiffrement Anonymisation Firewall Contrôle d’accès
Classification Séparation des Audit Authentification
responsabilités forte
Gouvernance
Séparation des
Gestion des configurations Tableaux de bords (COBIT) Politiques de sécurité
responsabilités
4
4
La diapositive présente le schéma directeur de la sécurité pour un SI.
Oracle Confidential 4
5/18/2023
Sécurité des données

Les vulnérabilités
 Réseau mal protégé

 Applications (WEB) mal codées
 Défaut de contrôle d’accès aux fichiers
Data  Mauvaise gestion des utilisateurs et de leurs droits

 Abus de privilèges
 Audit des systèmes inexistant ou mal exploité
 Processus d’extraction des données de production
non sécurisés
5
5
Il existe sept catégories de vulnérabilités pour vos données.
5/18/2023

Les risques
 Espionnage réseau
Data
 Injection SQL
 Attaques de fichiers et vols de sauvegardes
 Accès aux données mal contrôlés
 Applications (WEB) mal codées
 Défaut de contrôle d’accès aux fichiers  Accès aux données abusifs

 Mauvaise gestion des utilisateurs et de leurs droits
 Non détection d’attaques. Incapacité d’analyse
 Abus de privilèges d’incident
 Exposition de donnés sensibles dans des
 Processus d’extraction des données de production
non sécurisés environnements peu ou non sécurisés
6
6
Et voici les risques encourus si vos données ne sont pas très bien protégées.
5/18/2023

Les contre-mesures
 Chiffrement des flux

Data
 Pare-feu (Firewall) SQL *
 Chiffrement des données sensibles
 Applications (WEB) mal codées  Centralisation des comptes utilisateurs *

 Défaut de contrôle d’accès aux fichiers
 Contrôle des accès (SQL) utilisant des privilèges
 Mauvaise gestion des utilisateurs et de leurs droits spéciaux
 Abus de privilèges
 Mise en œuvre d’une infrastructure d’audit
 Processus d’extraction des données de production  Masquage irréversible des données sensibles *
non sécurisés
7
7
Maintenant que nous connaissons les risques et leurs conséquences, nous pouvons
prendre des contre-mesures.
Les acteurs et leurs responsabilités
Pôle sécurité
RSSI et adjoints, Risk Managers, experts
sécurité
Responsable de la définition des politiques de
sécurité et de leur mise en œuvre
Pôle système Pôle applications, métier

Architectes, ingénieurs système, ingénieurs Directeur d’activité, responsables
réseau, DBA, experts produits,… d’applications, responsables données,
Responsable du maintien en conditions Data développeurs…
opérationnelles (disponibilité, performances, Responsable des processus métier, des
fiabilité) des infrastructures du système données et des applications vitales pour
d’informations. l’activité de l’organisation
Doivent identifier et gérer les moyens Doivent cartographier les applications
techniques utilisés pour satisfaire aux détenant des données critiques.
exigences de sécurité. Pôle Audit & conformité Doivent déterminer quels traitements
Doivent avec les autres acteurs, définir les Auditeurs internes, externes sont appliqués, comment les données
procédures opérationnelles spécifiques à Responsable des contrôles de conformité sont archivées, leur durée de rétention
l’utilisation de mécanismes renforcés de aux politiques de sécurité et aux dans les systèmes, etc.
sécurité. réglementations applicables
Par exemple pour PCI-DSS : Les QSA *
Qualified Security Assessor 8

8
Dans l'esprit de la théorie des réseaux d'acteurs (ANT), voici les acteurs impliqués
dans la sécurité des bases de données.
8
Solutions Oracle Database Security
“Defense-in-Depth” pour une Sécurité Maximum
PRÉVENTION DÉTECTION ADMINISTRATION
Chiffrement Surveillance et Monitoring Analyse des Privilèges
Masquage et Pare-feu de base de Recherche des Données

Anonymisation données sensibles
Contrôles des Gestion de Configuration

Audit et Reporting
Administrateurs Bonnes Pratiques
L'approche Oracle: une défense en profondeur pour une sécurité maximale. Il se

compose de trois piliers:
• La prévention
• Détection
• Administration
9
Masquage et Recherche des Données

Firewall dédié DB
Anonymisation sensibles

Audit et Reporting
Page 10
Copyright © 2013, Oracle and/or its affiliates. All rights reserved.
La prévention est le premier pilier d'Oracle Defense en profondeur pour une sécurité
maximale. Les mesures sont:
• Chiffrement
• Masquage et anonymisation des données
• Contrôle du gestionnaire d'administration
10
Le Chiffrement comme Fondation
Contrôles de Prévention Oracle Database
Oracle Advanced Security Disk
 Transparent Data Encryption (TDE)

Backups
 Protège du risque d’accès direct aux données
 Pas de modification de l’application (déclaratif) Exports
 Gestion de clés intégrée

Off-Site
 Overhead « quasi nul » avec l’accélération Facilities
hardware (Intel® AES-NI, SPARC AES Crypto) Applications
 Intégration avec les technologies Oracle
i.e. Exadata, Advanced Compression, ASM,
Golden Gate, Data Pump, etc.
Page 11
Le contrôle préventif de base est le cryptage. Le chiffrement empêche le

contournement de la base de données et fournit la base sur laquelle créer des
contrôles de sécurité dans la base de données (L'authentification forte et le cryptage
réseau font désormais partie de la base de données principale de toutes les éditions).
Oracle fournit une fonctionnalité puissante appelée: Transparent Data Encryption

(TDE). Le choix entre le chiffrement régulier et le chiffrement transparent des données
est essentiel. Dans les deux cas, vous devrez identifier les tables, et plus
particulièrement les colonnes, à chiffrer. Ce n’est probablement pas une bonne idée de
chiffrer toutes les colonnes, car les routines de chiffrement le font graver les cycles du
processeur. Consultez le livre blanc «Project Lockdown» d’Arup Nanda (page 121)
pour savoir comment choisir entre TDE et votre propre routine (le cas échéant).
11
Masquage “à la volée” des données sensibles
Contrôles de Prévention Oracle Database 12c
Oracle Advanced Security

 Data Redaction N° Cartes bancaires
4451-2172-9841-4368
 Masquage temps-réel des données sensibles 5106-8395-2095-5938
en fonction du contexte de la session base de 7830-0032-0294-1827
données
Redaction Policy
 Librairie de politiques de masquage et
définitions de politiques prédéfinies « point-
and-click »
 Application cohérente des politiques de xxxx-xxxx-xxxx-4368 4451-2172-9841-4368
masquage
 Transparent pour les applications,
utilisateurs, et les opérations d’administration
Département
Application
Facturation
Call Center
La rédaction de données, une fonction de sécurité puissante, est la capacité de réduire

les informations renvoyées par un service en fonction des droits du consommateur de
service. La diapositive montre un cas d'utilisation du traitement des cartes de crédit.
Domaines d'utilisation: paiements, soins de santé et généralement tous les cas dans
lesquels des informations sensibles sont traitées.
12
Anonymisation des Données hors-Production
LAST_NAME SSN SALARY

Oracle Data Masking Pack
AGUILAR 203-33-3234 40,000
 Anonymisation irréversible des données BENSON 323-22-2943 60,000

sensibles des applications
Production Non-Production
 Librairie extensible de formats et règles
d’anonymisation Test
 Modèles Applicatifs disponibles Dev
 Détection/Préservation de l’intégrité
référentielle (Application Data Model)
 Anonymisation et échantillonnage* à la source
 Support de l’anonymisation des données LAST_NAME SSN SALARY
hébergées dans des bases non-Oracle
ANSKEKSL 323—23-1111 60,000
BKJHHEIEDK 252-34-1345 40,000

* nécessite l’utilisation d’Oracle Test Data Management Pack
Production
Page 13
Le masquage des données est une fonctionnalité permettant de protéger les données
elles-mêmes contre la visualisation par des personnes qui n'ont pas nécessairement de
raisons d'y accéder. Le cas d'utilisation typique aborde des problèmes tels que la
réplication d'une base de données de production dans un environnement de
développement pour des tests avec un ensemble de données du monde réel (comme
prendre et transformer des numéros de carte de sécurité qui ne seront pas réels).
13
Contrôle des Administrateurs
Oracle Database Vault Security

DBA
 Confinement des possibilités des Procurement
administrateurs (accès aux données sensibles Application
et commandes SQL) HR DBA
 Isolation sécurisée des données applicatives Finance
consolidées
select * from finance.customers
 Renforcement de la gouvernance (Séparation Applications
des Droits, Principe du Moindre Privilège, …)
 Politiques « Out of the box » pour les
applications DBA
Page 14
Database Vault s'appuie sur des technologies publiées plus tôt telles que le contrôle
étiqueté - une première dans l'industrie. Aujourd'hui, nous pouvons éviter que le DBA
ou les utilisateurs puissants voient les données de l'application (particulièrement
important pour la consolidation de la base de données dans un référentiel centralisé). Il
fournit également des politiques personnalisées avec une autorisation multifactorielle,
une fonctionnalité très puissante et populaire auprès des clients qui ont besoin de
contrôler fortement l'accès à la base de données à l'aide de politiques personnalisées
et en les combinant avec des facteurs environnementaux tels que l'adresse IP ou le
sous-réseau, etc., afin de créer des «chemins de confiance» allant du serveur
d'applications à la base de données principale ou appliquer des règles commerciales
qui peuvent correspondre à une conformité réglementaire spécifique ou à des mandats
internes du service informatique. Tous ceux-ci également disponibles depuis version
10g R2.
14

Firewall dédié DB

Audit et Reporting
Page 15
Le deuxième pilier est la détection et comprend principalement trois activités:

• Surveillance et suivi
• Pare-feu de base de données
• Audit et préparation des rapports de sécurité
15
Monitoring SQL et Pare-feu de base de données
Contrôles de détection pour bases Oracle et non-Oracle
Oracle Audit Vault and

Database Firewall
 Monitoring du trafic réseau, détection et blocage de
l’activité SQL non-autorisée Users Allow
 Analyse grammaticale très efficace et pertinente du Log
SQL Alert
Apps Substitute
 Permet de détecter/stopper les attaques de type Block
Injection SQL
 Approche « Liste Blanche » pour l’activité standard
 « Listes noires » pour la gestion des activités à SQL
haut risque Analysis Policy
Factors
 Appliance Software : sécurisée, performante et Whitelist Blacklist
évolutive
Page 16
Une liste blanche d'applications est une liste d'applications et de composants d'application
(bibliothèques, fichiers de configuration, etc.) qui sont autorisés à être présents ou actifs sur
un hôte selon une ligne de base bien définie.
Les technologies utilisées pour appliquer des listes blanches d'applications (pour contrôler
quelles applications sont autorisées à installer ou à exécuter sur un hôte) sont appelées
programmes de liste blanche, programmes de contrôle des applications ou technologies de
liste blanche pour les applications. Les technologies de liste blanche d'applications sont
destinées à arrêter l'exécution de logiciels malveillants et autres logiciels non autorisés.
Contrairement aux technologies de sécurité telles que les logiciels antivirus, qui bloquent les
mauvaises activités connues et autorisent toutes les autres, les technologies de liste blanche
d'applications sont conçues pour permettre une bonne activité connue et bloquer toutes les
autres. [Publication spéciale NIST 800-167].
L'approche de la liste noire consiste à définir quelles entités doivent être bloquées. Une liste
noire est une liste d'entités suspectes ou malveillantes auxquelles l'accès ou les droits
d'exécution doivent être refusés sur un réseau ou un système. Dans le monde de la sécurité
réseau, une liste noire se compose souvent de logiciels malveillants tels que des virus, des
logiciels espions, des chevaux de Troie, des vers et d'autres types de logiciels malveillants.
Vous pouvez également avoir une liste noire d'utilisateurs, d'adresses IP, d'applications,
d'adresses e-mail, de domaines, de processus ou d'organisations. Vous pouvez appliquer la
liste noire à pratiquement tous les aspects de votre réseau.
[https://consoltech.com/blog/blacklisting vs-whitelisting /]
16
Audit, Reporting et Alertes temps-réel
Contrôles de détection pour bases Oracle et non-Oracle
Oracle Audit Vault and

Database Firewall Audit Data &
Event Logs SOC
 Référentiel centralisé et sécurisé sous Oracle
Database !
forme de Software Appliance sécurisée Firewall
Alerts
et évolutif Built-in
OS &
Reports
 Alertes pertinentes et temps-réel Storage
Custom
 Rapports prédéfinis et personnalisables Directories Reports
Policies Auditor
 Edition de rapports multi-sources Databases
consolidés Custom
 SoD détaillée intégrée
Security
Analyst
Page 17
Audit Data Vault élimine les silos d'audit existants dans l'espace de l'entreprise,
simplifiant ainsi le rapport d'audit et centralisant également le processus d'audit afin
d'avoir un processus d'audit cohérent dans toute l'entreprise. Également important pour
aider à détecter les traits d'initié, donnant ainsi un signal d'alerte précoce en cas
d'activité suspecte, aide également à détecter et à surveiller les modifications des
données. La dernière tendance est de s'orienter vers un audit unifié.
SOC (Security Operations Center) = Centre des opérations de sécurité
17

Firewall dédié DB

Audit et Reporting
Page 18
Le troisième pilier est dédié à l'administration de la sécurité et comprend:

• Analyse des privilèges
• Recherche de données sensibles
• Gestion des configurations de bonnes pratiques
18
Analyse des Privilèges et des Rôles
Contrôles administratifs pour Oracle Database 12c
Oracle Database Vault

 Privilege Analysis Create…
Drop…
 Activer le mode capture des privilèges
Modify…
 Rapport sur privilèges et rôles utilisés DBA role
dans la base APPADMIN role
 Aide pour la suppression des privilèges

inutiles
 Forcer le « Principe du Moindre Analyse des
Privilège » et réduire les risques privilèges
 Renforcer la sécurité dans la continuité
Page 19
L'analyse des privilèges et des rôles est effectuée avec Oracle Database Vault
19
Découverte des Bases et des Données sensibles
Contrôles administratifs pour Oracle Database 12c
Oracle Enterprise Manager 12c

 Data Discovery
 Parcours des bases Oracle à la
recherche de données sensibles
 Modèles prédéfinis, définitions
extensibles
 Découverte des modèles de données
applicatifs
 Protection des données sensibles de
façon appropriée : chiffrement,
masquage, anonymisation, audit…
Page 20
La découverte de bases de données sensibles est réalisée avec Oracle Enterprise

Manager
20

Firewall dédié DB

Audit et Reporting
Page 21
12c et cloud et donc 12c apporte des fonctionnalités complète pour la sécurité du
cloud.
De plus on va être dans un contexte consolidé avec le multitenant et donc requiert un
maximum de securité.
21
5/18/2023
Synthèse : Vulnérabilité, risque, contre-mesure Oracle Database Firewall

Oracle Advanced Security
Réseau mal protégé Application WEB mal codée
• Espionnage : Il est facile d’écouter les communications entre les • Injection SQL : C’est le risque N° 1 identifié cette année pour ces applications. Son
applications et les bases de données et d’en extraire des principe est de conduire cette dernière à exécuter des requêtes d’accès pour lesquelles
informations sensibles elle n’a pas été programmée
• Chiffrement des flux réseau : Il interdit l’analyse des • Firewall SQL : Il permet de classifier les requêtes valides et connues de celles qui ne
communications et garantit également leur intégrité sont pas répertoriées, et peut donc les bloquer et/ou émettre des alertes
Oracle Data Masking Pack Oracle Advanced Security
Processus d’extraction des données de production non sécurisés Faille dans le contrôle d’accès aux fichiers
• Exposition de données sensibles dans des environnements hors production : Le • Attaques de fichiers et/ou vols de sauvegardes : Les fichiers des bases de
manque de temps conduit parfois à extraire des données sans les transformer, ce qui données peuvent être copiés ou exploités (sans se connecter à la base) s’ils sont
les expose à de nombreux risques mal protégés. Des sauvegardes peuvent également être subtilisées, ce qui permet
• Masquage irréversible des données sensibles: La transformation irréversible des de démarrer la base de données sur un autre serveur
données sensibles, en continuant d’assurer l’intégrité fonctionnelle de la base évite • Chiffrement des données sur disque : Il interdit la consultation directe des
leur diffusion vers des environnements ouverts données (chiffrées) dans les fichiers ou l’utilisation d’une sauvegarde sur un autre
Data serveur ,car les clés de chiffrement n’y sont pas accessibles
Oracle Audit Vault
Oracle Label Security & Oracle Directory Services
Audit des systèmes inexistant ou mal exploité
Mauvaise gestion des utilisateurs et de leurs droits
• Non détection d’attaques. Incapacité d’analyse d’incident : Un défaut d’audit
• Accès aux données mal contrôlés : Gérer de nombreux comptes (techniques, utilisateurs,
empêche la détection rapide d’actions suspectes et l’identification de leurs auteurs
applications) et leur droits d’accès sur de nombreuses bases est difficile. Le risque est grand de
• Mise en œuvre d’une infrastructure d’audit : Le paramétrage et le stockage sécurisé
donner trop de privilèges à certains utilisateurs, ou de perdre la maitrise de ces référentiels
des évènements audités permet de répondre aux questions : QUI, QUAND, QUOI,
lorsqu’ils sont dispersés
OU, COMMENT ?
• Centralisation des comptes utilisateurs : La centralisation du référentiel des utilisateurs et de
leurs privilèges améliore la sécurité en facilitant la gestion des comptes et des droits en un seul
Oracle Database Vault endroit
Abus de privilèges
• Accès aux données abusif : Un utilisateur averti (souvent à profil technique) disposant de privilèges spéciaux sur les bases pourra accéder à des données
sensibles
• Contrôle des accès (SQL) utilisant des privilèges spéciaux : Des mécanismes de contrôles renforcés bloquent les tentatives d’accès aux données utilisant
des privilèges spéciaux
Page 22
22
La diapositive regroupe toutes les vulnérabilités, risques et contre-mesures impliquant

la sécurité de la base de données
Conclusions:
Architecture de sécurité maximale de la base de données Oracle
Les trois types de contrôles de l'architecture sont : Contrôles préventifs, de détection et administratifs
Les Menaces et considérations concernant la sécurité:
1. Protection contre le contournement de la base de données - la majorité des pirates informatiques ciblent les
serveurs eux-mêmes, là où les bases de données résident et accèdent aux serveurs physiques eux-mêmes, ils
ont accès aux médias en contournant complètement la base de données
2. Protection contre le contournement d'application - en utilisant des outils pour contourner ce que nous
pouvons appeler le chemin de confiance de l'application à la base de données elle-même (tels que des outils
tiers ou même des outils de développement Oracle. Cela peut également se faire via un compte privilégié dans
la base de données elle-même - cela représente un moyen principal d"obtenir un accès non autorisé aux
données. Les initiés utilisent également ces comptes pour accéder aux données. Menaces d"injection SQL sur
les applications héritées - juste une autre façon de contourner efficacement les applications.
3. Protection contre l'exposition des données sensibles - cela peut se produire de diverses manières
– Transport de données sensibles hors de l'environnement de production vers un environnement de test
– Soyez simplement dans des applications héritées ou de nouvelles applications dans lesquelles des contrôles suffisants n'ont pas
été mis en place pour limiter qui a besoin de voir ces données
4. Détection des menaces internes et externes – Comment savez-vous qu'il y a eu une menace ? Cela
nécessite d'examiner les informations d'audit et d'événement qui sont menées à la fois à partir du système
d'exploitation, du réseau et de la base de données et même des répertoires.
Page 23
Copyright © 2013, Oracle and/or its affiliates. All rights reserved. Source: http://education.oracle.com/pls/web_prod-plq-dad/db_pages.getpage?page_id=721&get_params=streamId:21
23
Sécurité maximale de la base de données Oracle
Construire l'architecture
Il existe 4 zones différentes à protéger contre les menaces :
1. Le contournement de la base de données peut être empêché par le cryptage transparent des données (TDE) - il permet
de crypter de manière transparente des données d'application entières dans la base de données sur le disque.
2. Contournement d'application - cela peut se produire de plusieurs façons :
 Grâce à des comptes provisionnés dans la base de données - nous avons ici une solution qui utilise:
 DB Vault qui permet essentiellement de mettre une limite de protection autour de votre application qui empêche le DBA d'avoir accès aux données de
l'application elle-même.
 L'analyse des Privilèges du Vault permet de réduire le nombre de privilèges dont disposent les applications existantes, car l'une des choses communes que
nous avons constatées est que les applications créées au cours des 10 à 15 dernières années sont généralement très privilégiées.
 Injection SQL – nous avons ici une solution qui utilise le Audit Vault et DB Firewall.
3. La protection contre la surexposition des données sensibles peut se faire de 2 manières :

 Masquage des données Protège contre le déplacement des données de l'environnement de production vers votre environnement de développement ou de test
 La réduction des données est une fonctionnalité introduite dans la version 12c, qui fait partie de la sécurité avancée
4. Détection des menaces internes/externes - le problème est de savoir comment on détecte qu'il y a eu une tentative
d'effectuer réellement ses activités - Audit Vault
Page 24
DB Bypass : Dynamic Transparent Encription empêche toute personne extérieure à la base de données d'avoir accès aux fichiers physiques qui composent la base
de données. Lorsqu'ils accèdent à ces fichiers, ils ne voient que des données cryptées. Les données restent cryptées également lorsque nous effectuons une
sauvegarde, ce qui élimine efficacement le problème de contournement de la base de données.
Contournement d'application : grâce à la consolidation, une application peut regarder par-dessus la clôture vers une autre application. Il existe une solution appelée
Vault Privilege Analysis afin de réduire la possibilité qu'une certaine application soit utilisée pour contourner une autre application ou le contrôle DB lui-même.
Injection SQL : nous considérons le pare-feu comme une première ligne de défense contre les menaces, en particulier appelées menaces d'injection SQL, qui
exploitent essentiellement les vulnérabilités des applications, en particulier celles qui ne valident pas les entrées. Par exemple, un formulaire d'application à l'écran
peut autoriser des variables d'entrée illicites. à mettre dans ces champs et une instruction SQL est alors comprise dans l'application et la valeur dans ce champ se
trouve dans toute la base de données. Ainsi, par exemple, au lieu de mettre 1 égal à 1. ou de mettre un numéro de commande, quelqu'un pourrait mettre 1 égal à 1,
ce qui obligerait l'application à récupérer toutes les données. Avec le pare-feu de données Oracle, nous pouvons réellement apprendre les instructions SQL et
appliquer un moteur d'analyse de grammaire SQL très puissant qui permet d'examiner l'intention du SQL et de décider s'il faut autoriser le passage du SQL, ou
l'alerter, ou remplacer réellement le Instruction SQL pour une instruction inerte.
Surexposition des données sensibles

– Data Masking est une solution mature qui automatise la transformation des données de production en données essentiellement fausses qui ressemblent à des
données de production, permettant ainsi de prendre des ensembles de données de production, de les transformer et de les donner à un environnement de test ou de
développement. Cela a également l'avantage de réduire la limite de conformité en excluant complètement les environnements de développement et de test du champ
d'application de la conformité (PCI, HIPAA)
- Réduction des données - permet de mettre en place des politiques au sein de la base de données qui transforment les données sensibles juste avant qu'elles ne
quittent la base de données. Par exemple, nous pourrions faire une transformation complète, une transformation partielle ou une transformation aléatoire (si vous
prenez par exemple un numéro de carte de crédit, nous pourrions transformer les 8 premiers chiffres en X, ne laissant que les quatre derniers chiffres. Fonctionnalité
très puissante car si vous développez mobile apps, vous n'avez pas besoin d'appliquer des contrôles de sécurité dans l'application elle-même car elle est en fait
intégrée au noyau et vous vous retrouvez donc avec une sécurité plus forte et en fait des applications plus simples.
Détection des menaces internes/externes – Audit Vault sert de référentiel pour les événements que le pare-feu DB voit. Il peut signaler une alerte sur ces
événements, il peut signaler ces évents et peut également gérer les politiques sur le pare-feu lui-même. De plus, nous pouvons consolider les données d'audit des
bases de données, du système d'exploitation, des répertoires et des sources personnalisées eve (tables d'application personnalisées), les pousser dans le même
référentiel - le coffre-fort d'audit, où les données du pare-feu sont également allées avoir des rapports complets qui couvrent les événements du système d'exploitation
réseau, base de données d'annuaire ainsi que sources d'audit personnalisées.
24
Architecture de sécurité maximale de la base de données Oracle
Activation de l'audit dans la base de données
 Auditer les activités sensibles

– Stratégie d'audit par défaut fournie depuis la version Oracle DB 11g R1
et supérieur
– Politiques mises à jour expédiées pour Oracle 12c
 Surveiller la configuration de la configuration et empêcher les

modifications
– Surveiller la configuration de l'or pour la dérive
– Configurez DB Vault pour empêcher les modifications non autorisées à
l'intérieur
– Alerte sur les changements de base de données et d'application avec
les alertes Audit Vault
Page 25
La dérive de configuration peut être un grave problème de sécurité et vous pouvez

utiliser des technologies telles que DB Vault pour mettre en place des règles de
commande, qui empêchent essentiellement les opérations sensibles d'avoir lieu avec
votre base de données. Vous pouvez également alerter sur les modifications apportées
à la base de données et même aux blocs de coffre de base de données ou aux
événements d'audit via le coffre d'audit. Et ainsi, vous pouvez définir des alertes de
seuil afin que si quelqu'un essaie de se connecter trois fois et échoue, le coffre-fort
d'audit peut alerter à ce sujet..
25
Architecture de sécurité maximale d'Oracle
Meilleures pratiques recommandées
 Suivez les meilleures pratiques de configuration sécurisée recommandées par Oracle

– Faire expirer et verrouiller les comptes utilisés par défaut
– Appliquer les politiques de complexité et d'expiration des mots de passe
 Administration centrale des comptes d'administrateur de base de données

– Tirez parti de la sécurité des utilisateurs d'entreprise pour la gestion des comptes DBA
– Utiliser des comptes DBA d'utilisateurs nommés - ne pas partager
 Utiliser l'authentification proxy pour la responsabilité

– Proxy de ligne de commande ajouté dans Oracle DB 10g R2
– Authentification proxy de l'utilisateur lors de la maintenance/de l'accès aux applications
 Regardez cette vidéo montrant certaines des fonctionnalités de sécurité de la base de données Oracle:
(281) Complete database security in 4 simple steps I Oracle Database World - YouTube
Page 26
The best practices are documented in the Oracle database security manual, and the
two-day security guide that’s published.
Centralized Admin of DB admin accounts could be done via something called

Enterprise user Security in combination with Oracle Directory services.
Another key thing is to limit Use named DBA Accounts – do not share and limit log in as
SYS DBA. In version 12c there have been introduced some additional rules for
database such as SYS RAC, SYS BACKUP, SYS DG, which allows us to really reduce
the number of times or the requirement to log on as SYS DBA to begin with –
segregation of duties.
Proxy authentication is a very powerful technology and this is enabled on the command
line in order to authorize a user to log on as themselves to the database, but specify
another account they want proxy into, so you have accountability for individual user
authenticated into the database, but then say after they authenticate properly using
their own private credentials, they can then proxy into – their given credentials - say an
application account in order to make, modify or maintain the application.
26
Plus d’information …
http://www.oracle.com/database/security
Sites Web
http://www.oracle.com/technetwork/database/security
Customer
http://www.oracle.com/goto/database/security-customers
Successes
Newsletters Security Inside Out
Database Insider
LindkedIn Group: Database Insider
Social Media
Twitter: Oracle Database
Blogs http://blogs.oracle.com/securityinsideout
http://blogs.oracle.com/databaseinsider
Page 27
Pour plus d'informations sur la sécurité de la base de données, vous pouvez consulter
les différents liens sur Oracle.com
27

19cours #12 - Conception Securite Informatique - Part 2 - 2023

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

19cours #12 - Conception Securite Informatique - Part 2 - 2023

Transféré par

Droits d'auteur :

Formats disponibles

Conception pour la

sécurisation des bases de

Cours #12, 2-eme Partie

«Les entreprises prennent des risques Authentification

conscientes. D'autant que de plus en Sécurité de la

données exploitent un accès légitime» Sécurité du

Analyse des Gestion des identités Gestion des accès SLA

La diapositive présente le schéma directeur de la sécurité pour un SI.

Sécurité des données

 Réseau mal protégé

Data  Mauvaise gestion des utilisateurs et de leurs droits

Il existe sept catégories de vulnérabilités pour vos données.

Sécurité des données

 Défaut de contrôle d’accès aux fichiers  Accès aux données abusifs

Sécurité des données

 Chiffrement des flux

 Applications (WEB) mal codées  Centralisation des comptes utilisateurs *

Pôle système Pôle applications, métier

Qualified Security Assessor 8

PRÉVENTION DÉTECTION ADMINISTRATION

Chiffrement Surveillance et Monitoring Analyse des Privilèges

Masquage et Pare-feu de base de Recherche des Données

Contrôles des Gestion de Configuration

L'approche Oracle: une défense en profondeur pour une sécurité maximale. Il se

PRÉVENTION DÉTECTION ADMINISTRATION

Chiffrement Surveillance et Monitoring Analyse des Privilèges

Masquage et Recherche des Données

Contrôles des Gestion de Configuration

Oracle Advanced Security Disk

 Transparent Data Encryption (TDE)

 Gestion de clés intégrée

Le contrôle préventif de base est le cryptage. Le chiffrement empêche le

Oracle fournit une fonctionnalité puissante appelée: Transparent Data Encryption

Oracle Advanced Security

La rédaction de données, une fonction de sécurité puissante, est la capacité de réduire

LAST_NAME SSN SALARY

 Anonymisation irréversible des données BENSON 323-22-2943 60,000

BKJHHEIEDK 252-34-1345 40,000

Oracle Database Vault Security

PRÉVENTION DÉTECTION ADMINISTRATION

Chiffrement Surveillance et Monitoring Analyse des Privilèges

Masquage et Recherche des Données

Contrôles des Gestion de Configuration

Le deuxième pilier est la détection et comprend principalement trois activités:

Oracle Audit Vault and

Oracle Audit Vault and

PRÉVENTION DÉTECTION ADMINISTRATION

Chiffrement Surveillance et Monitoring Analyse des Privilèges

Masquage et Recherche des Données

Contrôles des Gestion de Configuration

Le troisième pilier est dédié à l'administration de la sécurité et comprend:

Oracle Database Vault

 Aide pour la suppression des privilèges

 Renforcer la sécurité dans la continuité

Oracle Enterprise Manager 12c

La découverte de bases de données sensibles est réalisée avec Oracle Enterprise

PRÉVENTION DÉTECTION ADMINISTRATION

Chiffrement Surveillance et Monitoring Analyse des Privilèges

Masquage et Recherche des Données

Contrôles des Gestion de Configuration

Synthèse : Vulnérabilité, risque, contre-mesure Oracle Database Firewall

La diapositive regroupe toutes les vulnérabilités, risques et contre-mesures impliquant

3. La protection contre la surexposition des données sensibles peut se faire de 2 manières :