Mobile-Menu

Integrität, Datenverlust und Verfügbarkeit sicherstellen Sicherheit in Oracle-Datenbanken konfigurieren

Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

FAST LTA GmbH
SEPPmail - Deutschland GmbH
FTAPI Software GmbH

Oracle-Datenbanken bieten verschiedene Möglichkeiten, um die Sicherheit zu verbessern und den Verlust von Daten zu vermeiden. In diesem Beitrag geben wir Hinweise für den sicheren Betrieb von Oracle-Datenbanken.

Um die Sicherheit von Oracle-Datenbanken zu verbessern, müssen verschiedene Bereiche betrachtet werden. Oracle stellt zur Verbesserung der Sicherheit Anleitungen zur Verfügung.(© Nmedia - stock.adobe.com)
Um die Sicherheit von Oracle-Datenbanken zu verbessern, müssen verschiedene Bereiche betrachtet werden. Oracle stellt zur Verbesserung der Sicherheit Anleitungen zur Verfügung.
(© Nmedia - stock.adobe.com)

Wer Oracle-Datenbanken verwaltet, sollte sich bereits bei der Installation Gedanken um die Sicherheit der Daten machen. Die sicherheitstechnisch optimalen Einstellungen für die Sicherheit sollten auf allen Datenbanken gesetzt werden. Bei der Absicherung und Grundeinrichtung von Oracle-Datenbanken spielen verschiedene Bereiche eine wichtige Rolle, um die Sicherheit zu gewährleisten. Auf diese gehen wir nachfolgend ein.

Bildergalerie

Sicherheit konfigurieren und Überwachung aktivieren

Um Oracle-Datenbanken sicher zu betreiben, sollte zunächst sichergestellt sein, dass die Datenbanken sicherheitstechnisch korrekt konfiguriert werden. Hier ist es sinnvoll den Oracle Database Security Guide von Oracle zu studieren und die Einstellungen im Guide umzusetzen.

Außerdem sollten möglichst immer die neusten Updates und Sicherheitspatches auf dem Server installiert werden.

Dazu kommt die Aktivierung der Policies zur Überwachung der Datenbanken. Hier sollte darauf geachtet werden, dass vor allem sensible Datenbanken umfassend überwacht werden. Die Protokolle sollten natürlich in regelmäßigen Abständen auch überprüft werden. Hier sind zum Beispiel Zusatztools notwendig, mit denen die Protokolle ausgelesen werden können.

Zur optimalen Sicherheit gehört auch die Verfügbarkeit der Datenbanken. Es sollte sichergestellt sein, dass bei Ausfall der Datenbanken möglichst schnell wieder ein Recovery durchgeführt werden kann. An dieser Stelle spielt auch der maximale Datenverlust eine wichtige Rolle. Werden die Daten in der Datenbank nur einmal pro Tag gesichert, können bis zu 24 Stunden Datenverlust drohen, wenn eine Datenbank durch eine Wiederherstellung in Betrieb genommen werden muss. Die Sicherung erfolgt oft mit dem Oracle Recovery Manager (RMAN). Mit RMAN kann überprüft werden, ob eine vorhandene Sicherung auf einem verbundenen Datenträger zur Wiederherstellung genutzt werden kann, zum Beispiel mit:

rman target /RMAN> restore database validate;

Auch der Zugriff auf die Datenbank muss streng reglementiert und protokolliert werden. Alle Anwender und Administratoren sollten nur die Rechte erhalten, die sie benötigen. Zu viele Rechte stellen eine Sicherheitsgefahr dar, die vermieden werden sollte.

Die Compliance spielt natürlich auch für Datenbanken eine Rolle. Datenschutz und Richtlinien müssen in den Datenbanken eingehalten und jederzeit gewährleistet sein. Um zum Beispiel zu überprüfen, welche Benutzer oder Clients aktuell mit der Datenbank verbunden sind, können die beiden Views „V$SESSION“ und „V$SESSION_CONNECT_INFO“ verwendet werden.

Oracle Database Security Assessment Tool nutzen

Das Oracle Database Security Assessment Tool (DBSAT) ist ein wertvolles Hilfsmittel, wenn es darum geht fehlerhafte Konfigurationen und Sicherheitslücken von Oracle-Datenbanken zu erkennen. Das Befehlszeilentool verbindet sich mit den gewünschten Datenbanken, liest die Informationen aus und bewertet diese anschließend. In den Berichten zeigt DBSAT fehlerhafte Konfigurationen an sowie die Benutzer und Berechtigungen der Datenbanken. Auch verschiedene Risikostufen werden in den Berichten angezeigt.

DBSAT untersucht Benutzerkonten, Rechte- und Rollenzuweisungen, Autorisierungskontrolle, Aufgabentrennung, fein abgestufte Zugriffskontrolle, Datenverschlüsselung und Schlüsselverwaltung, Audit-Richtlinien und Betriebssystem-Dateiberechtigungen. Die Daten werden anschließend aufgeschlüsselt in einem Bericht DBSAT angezeigt. Der Bericht zeigt auch an, welche Benutzer die DBA-Rolle haben.

Datenbanken regelmäßig patchen

Das regelmäßige Patchen von Datenbanken gehört zu den Routinen eines Datenbank-Administrators. In vielen Fällen werden die Datenbanken auf einem Linux-Server ohne grafische Oberfläche betrieben. Wenn der Datenbank-Server über keine Verbindung zum Internet verfügt, können die Updates von Oracle auf einem anderen Rechner heruntergeladen und mit SCP oder SCFTP auf den Datenbank-Server kopiert werden.

Einfacher ist es natürlich, wenn der Datenbankserver über eine Verbindung zum Internet verfügt. In diesem Fall können die Patches direkt vom Datenbankserver aus abgerufen und auch gleich installiert werden. Oracle unterstütze hier Wget, um Patches herunterzuladen. Die Vorgehensweise dazu wird auf der Oracle-Supportseite beschrieben.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Wenn im Netzwerk ein Proxy-Server vorhanden ist, sollte der Proxy in den Umgebungsvariablen eingetragen werden, zum Beispiel mit:

export http_proxy=//<Username>:<Password>@<Proxy_Server>:<port>export https_proxy=//<Username>:<Password>@<Proxy_Server>:<port>export ftp_proxy=//<Username>:<Password>@<Proxy_Server>:<port>
Bildergalerie

Erweiterte Sicherheitsmaßnahmen: Transparent Data Encryption and Oracle Data Redaction

Für heikle Datenbanken sollten noch strengere Sicherheitsmaßnahmen getroffen werden. Hier bietet Oracle den Advanced Security Guide an. Hier werden Sicherheitsfunktionen wie Transparent Data Encryption and Oracle Data Redaction beschrieben.

Transparente Datenverschlüsselung (Transparent Data Encryption, TDE) ermöglicht die Verschlüsselung von Daten bei deren Verwendung und Speicherung. Die Technik ermöglicht die Verschlüsselung einzelner Spalten in einer Datenbanktabelle oder in einem ganzen Tablespace. Mit TDE können Anwendungen genauso weiterlaufen wie ohne TDE. Es sind keine Änderungen notwendig. Die Daten werden automatisch verschlüsselt, wenn sie auf die Festplatte geschrieben werden. Greifen Anwendungen auf die Daten zu, werden sie automatisch entschlüsselt. Die Schlüsselverwaltung ist integriert, das heißt die Verwaltung und Sicherung von Verschlüsselungsschlüsseln ist nicht notwendig.

Oracle Data Redaction ermöglicht das Maskieren von Spaltendaten. Die Technik ermöglicht verschiedene Stufen der Maskierung. Bei der vollständigen Maskierung wird der komplette Inhalt der Spaltendaten maskiert. Der maskierte/geschwärzte Wert, der an den abfragenden Benutzer zurückgegeben wird, hängt vom Datentyp der Spalte ab. Spalten des Datentyps NUMBER werden mit einer Null (0), Datentypen mit Zeichen werden mit einem Leerzeichen geschwärzt.

Data Redaction führt die Schwärzung zur Laufzeit durch, das heißt in dem Moment, in dem der Benutzer versucht, die Daten anzuzeigen. Die Oracle-Datenbank ist aber auch bei aktiver Maskierung in der Lage, alle Daten normal zu verarbeiten.

(ID:47467469)

Weiterführende Inhalte