Oracle 10g의 새로운 내부보안 솔루션Oracle Database Vault

Hyukjae ChoiTechnology Sales Consulting, Oracle Korea

Building trust and meeting compliance

Eliminating all-powerful database users

Agenda

• Security Background• Technical Background• Database Vault: Overview• Demonstration• Summary

Security Background

직면한 보안위기

• Regulatory Compliance• Stringent Auditing• Separation of Duty• Strong Data Access Controls

• Information Security• Secure Information Sharing• Protect against Database Attacks

• Privacy and Identity Theft• Protect Personally Identifiable Information in the DB • Protect against Insider Threat

• Server Consolidation

Compliance Enablement

Risk Management

PrivacyInsiderThreat

Consolidation

규제준수의무 강화/Compliance

• 기업의 책임 요구

• 증명 가능한 audit trail 요구 – 기록보존의 책임

• 규제 준수 감사와 평가

• 비준수에 대한 법적/경제적인 penalty

Organizations today face a growing number of regulations that mandate the accuracy, protection and reliability of information

Compliances

Compliance Mandates

Data Misuse Detection/Privacy Violations

• Insider threat• Identity theft• Industrial espionage• Government espionage

컴퓨터보안에 대한 잘못된 인식

• Myth• 보안 = Hacker의 통제 ?

• Fact• “Disgruntled employees and other insiders accounted for

more than 70% of the cyber attacks year.”

• 90% of major corporations detected security breaches• 70% of corporations detected unauthorized access by

insiders

Source: 2004 Computer Security Institute and FBI Survey

These crimes were all committed by thieves inside the organization with valid user credentials.

These crimes were all committed by thieves inside the organization with valid user credentials.

The ‘Insider Threat’ – the Facts

“경찰은 이번 수사를 계기로 앞으로 개인정보 보호 차원에서 게임사의 개인정보 유출방지와대량의 개인정보 취급업체의 정보유출 방지대책을 강구토록 촉구한다는 계획이다.”

한국의 대표적인 개인 정보 침해 사례

* Source: 2006 http://news.naver.com/news/read.php?mode=LOD&office_id=008&article_id=0000677086

관리 체계 부실로 인한 대량 개인 정보 유출 사건

“G홈페이지 제작사 김모 이사의 경우, 해당 제작사가 모 방송국을 포함해 수백 여 개의 기업

홈페이지를 제작, 관리하는 업체로, 직원 누구나 각 기업의 관리자 권한이 있다는 허점을

악용했다. 이를 통해 김모씨는 1만 여명의 고객정보를 400만원을 받고 게임 작업장

운영자에게 넘겼다.”

G홈페이지 제작사

“국내 초고속인터넷 가입자의 60%가 넘는 771만 명의 초고속인터넷 가입자들의 개인정보가정작 서비스 운영자들의 관리체계 부실로 대량 유출되는 사건이 발생해 충격을 줬다.”

G홈페이지제작사관리 체계부실로 인한 대량 개인정보 유출 사건

“무자격자에게 채권추심을 위탁하면서 이들이 함부로 신용정보를 열람할 수 있도록 방치했다. 이 결과 채무자 등 신용정보 10만여건이 유출됐다.”

S 및 K 신용 정보사

“서비스센터(직영 및 업무협약)에 IP와 비밀번호를 부여해 담당 책임자 없이 직원 아무나 자사

전산망에서 고객의 정보를 조회할 수 있도록 방치했던 것으로 드러났다. 최모씨는 H자동차

서비스센터에 근무하면서 알게된 ID와 비밀번호를 이용해 H자동차 전산망에 접속하는

방식으로 10 만여건의 고객정보를 쉽게 빼냈다.”

H 자동차

대량 명의 도용 사건: 남의 명의를 도용하여 게임작업장 운영하다 적발됨개인 정보를 취급하는 전 직장에서 근무하면서 빼낸 개인정보를 범행에 사용

리니지 게임

개인정보 침해 사례

SOX: Sarbanes-Oxley Act

• 2001년 엔론사 사건을 계기로 2002년 제정된 미국 기업회계개혁법

• 모든 미 증시 상장 기업을 대상으로 회계 정보 투명성 확보와경영진의 책임 강조• 내부통제시스템강화 / 내부고발자보호 / 회계법인겸업금지

• CEO, CFO 인증제 : 민/형사상의 책임-문제 발생 시 구속 강제 규약에서명

• 연 80억 달러의 추가 지출 발생• 감사비용 평균 30% 증가

• 영국계 HSBC : 2840만 달러 (2005년)• 영국계 글락소스미스클라인 : 440만 달러(2005년)• 프랑스계 라파르주 : 1280만 달러(2005년)• 더 큰 문제는 관련 비용 지출이 매년 계속된다는 것

SOX: 미 증시 상장 국내기업 적용대상

• 2006.7.15부터 자본금 7,500만 달러 이상의 미증시 상장 외국 기업에도 적용• 뉴욕증권거래소(NYSE)

• 국민은행, 신한금융지주, 우리금융지주

• KT, SKT• POSCO, 한전, LG필립스LCD

• 미국장외주식시장(NASDAQ)• 하나로텔레콤

• 미래산업, 웹젠 등 (규모가 작아서 제외)

국내 관련 법안

전자서명법

전자거래기본법

전자금융거래법

의료법

금융감독원 지도지침

공인회계사법

외부감사법

증권관련집단소송법

개인정보보호법

전자서명 발급시 신원확인 책임

전자서명 기록의 보관, 보호 책임

전자거래 이용자의 보호책임

전자거래 정보 보관 책임

진료기록부를 전자서명법에 의거 전자문서화

환자명부(5년), 진료기록부(10년) 등

의무기록을 일정기간 보관 의무

증권회사 업무관련 이메일, 메신저 3년의무보관

Sarbanes-Oxley Act 302조, 404조 관련 법안

* 302 조 : CEO, CFO의 재무보고서 서명 규정

* 404 조 : 감사인이 내부 통제 프로세스에 대해인증/날인

온라인 프라이버시 보호법

정보통신부

산업자원부

보건복지부

금융감독원

Basel II 은행 신자기자본에 관한 협약

규제명칭 관련내용 규제기관

현재 입법청원 중

국제결제은행(BIS)

Where’s the Solution?

Corporate Policy

“Perfection”

Time

Employee Education

Technology

Technical Background

Oracle 10g Database Security SolutionsProduct/Solution

테이블 데이터를 암호화할 수 있도록 하는 API의 제공Encryption API테이프 전용 백업 관리 툴, 모든 데이터를 암호화하여 백업 관리Secure Backup

사용자 SQL에 투명하게(SQL 수정이 필요 없음), 커널에서 자동으로 특정컬럼을 암호화하여 저장하고, 필요 시 복호화 함

Transparent Data Encryption

단일 DB 안에서 업무별로 독립적인 데이터베이스를 구성/각 업무별 별도의관리자에 의해서 관리되도록 해준다. 또한, 조건에 따라 특정명령의 실행권한을 제어할 수 있게 해주는 내부 보안 솔루션

Database Vault

VPD를 이용해 개발된 옵션 제품으로, 테이블의 각 행에 대해서 다중 레벨접근 제어를 할 수 있도록 해준다. 해당 테이블에는 LABEL 컬럼이 추가된다

Label Security

• 행 단위의 접근 제어

• 접속한 세션의 환경 및 권한에 따라 자신에게 맞는 레코드만이 보여지도록한다. 각 사용자는 동일한 테이블이라도 자신에게 허가된 정보만 볼 수 있다

Virtual Private Database

AccessControl

여러 DB 또는 Auditing Tool에 분산되어 있는 Audit 정보 통합 관리/분석.Audit Vault

사용자가 원하는 특정 컬럼에 대해서 조건에 맞는 경우에만 Auditing 함으로써 DB의 부하를 최소화해주는 auditing 기능

Fine Grained AuditingAuditing

클라이언트와 DB서버간의 모든 네트워크 통신 패킷을 암호화Network EncryptionData Protection

오라클의 인증 방식 대신 3rd Party 표준 인증 서비스를 사용 가능토록 함Strong AuthenticationAuthentication

DescriptionFeatureArea

Oracle ASO(Advanced Security Option)에 속하는 features 별도의 라이센스 제품들

* Oracle DB Security 제품군 :1. ASO(Advanced Security Option) 2. OLS(Oracle Label Security) Option 3. Database/Audit Vault 4. Oracle Secure Backup

E•E 라이센스에 포함

Oracle 10g DB Security SolutionsProduct/Solution

• Enterprise Edition의 default 기능• Encryption API• Fine Grained Auditing• Virtual Private Database

• 별도 license 제품• ASO(Advanced Security Option)

• Strong Authentication• Network Encryption• TDE(Transparent Data Encryption)

• OLS(Oracle Label Security) Option • Database Vault & Audit Vault • Oracle Secure Backup

Competitive Comparison

• No other commercially available alternative

Technology Microsoft IBMOracle

No NoDatabase VaultMulti-factor Authorization

No NoDatabase VaultPrevent Access by Powerful Users

No NoDatabase VaultDefine and Enforce Realm Protections

No NoDatabase VaultSQL Command Rules

Installed DB ServerEncrypt data

Data Encryption

Installed DB ServerPossible cut off in advance based

on policy

Agent Type

Use Gateway ServerNo stress on DBPossible cut off in advance based

on policyCheck all packet to DB

Server(TCP)Need to failover Gateway Server

Gateway Type

Use Mirroring network port No stress on DBImpossible cut off in advancePossible to loss packet

Sniffing TypeAccess ControlAuditing

ProductFeaturesType

3rd party 제품의 분류

내부 보안은…?Access Control

DB EncryptionLDAPIDM

Auditing

VPD/OLS

Rules/Factors

Realms

Database Authorization

No Competitor!!!!No Competitor!!!!

외부 침입의 방지 및Data의 encryption만 가능

내부 보안이 가능한 유일한 솔루션: DB Kernel의 기능으로서 타 솔루션에서는 절대 구현 불가

VS

Database Vault: Overview

Database Vault 구성요소

Reports

Realms

Multi FactorAuthorization

Command Rules

Separationof Duty

•시스템관리자와업무데이터관리자의완벽한분리를통한내부보안을강화

•비즈니스에따른데이터를Realm별로완벽하게분리해주고별도의관리체계를지원

•정당한사용자세션이라도접속환경의다양한인자들을통한실시간접근제어가능

-특정 IP로의접속만허용-지정된시간에만접근허용

•모든 DB 관리명령어에대해룰을적용함으로써, 불필요한명령어및권한오용을미연에방지

-서비스시간에는 DROP TABLE 불허-백업은밤 10시부터새벽 6까지만허용-테이블스페이스변경에대한권한은 SYS에게만허용

•비즈니스데이터변경및관리작업에대한감시및보고서작성

• Realms make it easy to restrict users with powerful DBA privileges to specified application schemas –Separation of Duty

-Easy to create an “HR dba” or “Financials dba”

• Factors extend access beyond User and Role based Access

• Rules control database access based on factors in the environment

- Control access based on time of day, IP address, location …

New Concept for Powerful Security

Fire

wal

lFi

rew

all

Network Domain A

Network Domain B

Domain = Network B when:DB Hostname in (DB-1, DB-2)

andDB Host IP in (129.1.150.80, 129.1.150.81)

andDB Instance in (SHIP8, SHORE7)

Multi-factored Approach

Factor

Domain = Network A when:DB Hostname in (DB-1, DB-2)

andDB Host IP in (138.1.127.90, 138.1.127.91)

andDB Instance in (CMD05, CNTL06)

Rules & Factors

• Rules enforce access based on factors• Factors can be anything • Rules validate all factors before allowing access

Financials

OE

GL

Rule 1: Fin. App from office= All Privileges

Rule 2: “Off hours” = Read, Insert

Rule 3: Less secure connectivity = Read Only

Command Rules

• Restrict use of • DDL Commands• On specific or all objects

• Based on Rule Set conditions• Audit/alert and report on violations via Audit Vault • Advantages/Potential Usage

• Separation of Duties• (e.g. DBA cannot manage users. Restrict CREATE

USER, ALTER USER commands)• Implement Business Procedures

• (e.g. Cannot issue DDL commands against the operational tables during business hours)

• Separation In Control• Power user(DBA?)의 권한 제거

• Adaptable Multi-Factor Security• multiple factor에 의한 접속 제한

• Realms, command rules, pre-defined schedule등에 의한Resource access의 제한

• Protected Schema• SYS, DV, Audit

• Hardened Database Server

HR

Financials

Other Applications

OE

PER

OLTP

OLAP

GL

BENRealm

DBADBA

DBADBA

DBADBA

Realm

RealmRealm

Building Trust and Meeting Compliance

Defense in Depth using Data Vault

Database Authorizations

Realms

Rules/Factors

VPD/OLS

• Database Authorizations• Database Privileges• Grant roles/privileges to users/roles

• DATA VAULT Realms• Restrict system privileges to specific

users/roles for specific schemas/objects (realms)

• Control realm and role authorizations• DATA VAULT Rules/Factors

• Further restrict authorized actions based on rules

• Factors expose security attributes, building blocks

• VPD/OLS• Further restrict access at the record

level

Audit VaultSpecialized Warehouse for Audit Data

Customer Reports

(custom)

Oracle Audit Vault Reporting

Enterprise Audit Sources

WHOWHO

WHATWHAT

WHEREWHERE

WHENWHEN

HOWHOW

3rd PartyAudit Sources

Oracle App SvrOracle

Applications

OracleDatabase

9i R2

OracleDatabase10g R2

OracleDatabase10g R1

Benefit

• Insider threat• Regulatory compliance• Separation of duty• Prevent powerful application users from

abusing their privileges

효율의 극대화 사례

• 두 회사의 데이터가 공존하는 경우• LG 필립스 LCD• 삼성/소니 LCD

• 협력 업체들과 데이터 공유• 카드 사 및 은행들(HSBC)

• 미국 및 유럽과 사용자 정보 공유• 항공 회사들

Demonstration

Summary• 내부 보안을 위한 완벽한 솔루션

• 단일 DB를 업무별로 독립적인 데이터베이스로 구축

• 분리된 업무별로 별도의 관리자 생성(Separation of Duty)• 기존의 어떤 솔루션도 Database의 내부보안을 해결하지 못함

Trusted Information

Sharing

Consolidation Compliance

ProtectionFrom

InsiderThreatCustomized

Control of data accessconditions

Q U E S T I O N SQ U E S T I O N SA N S W E R SA N S W E R S