Đề tài Kiểm toán trong Fine-grained auditing

Nội dung tài liệu: Đề tài Kiểm toán trong Fine-grained auditing

1. MỤC LỤC MỤC LỤC .................................................................................................................. 1 DANH MỤC CÁC TỪ VIẾT TẮT ........................................................................... 3 LỜI MỞ ĐẦU ............................................................................................................ 4 CHƯƠNG 1. GIỚI THIỆU VỀ ORACLE 10G VÀ KIỂM TOÁN TRONG ORACLE 10G .......................................................................................................... 5 1.1. ORACLE 10G .......................................................................................... 5 1.1.1. Ưu điểm của Oracle ........................................................................... 5 1.1.2. Tính năng cải tiến của Oracle 10 G ( oracle 10 Grid Computing) ...... 6 1.2. KIỂM TOÁN TRONG ORACLE 10G .................................................. 7 1.2.1. Tại sao phải kiểm toán ....................................................................... 7 1.2.2. Khái quát về kiểm toán ...................................................................10 CHƯƠNG 2. FINE-GRAINED AUDITING ..........................................................14 2.1. Các tính năng vượt trội của kiểm toán FGA.......................................14 2.2. Các thủ tục trong gói DBMS_FGA . ....................................................18 2.2.1. DBMS_FGA.ADD_POLICY Procedure. ......................................18 2.2.2. Các thủ tục khác chỉ trạng thái (Status). ...........................................23 2.2.3. FGA Guidelines (Hướng dẫn sử dụng FGA). ....................................24 CHƯƠNG 3. KỊCH BẢN DEMO .........................................................................25 3.1. Cài đặt servervà các tham số cần thiết ................................................25 1 | Page
2. 3.2. Thực hiện kiểm toán FGA (Fine Grained Auditing) ..........................27 3.3. Kết quả đạt được ....................................................................................31 KẾT LUẬN ..............................................................................................................32 TÀI LIỆU THAM KHẢO .......................................................................................33 2 | Page
3. DANH MỤC CÁC TỪ VIẾT TẮT KÝ HIỆU Ý NGHĨA FGA Fine grained auditing SQL Structured Query Language PL/SQL Procedural Language/Structured Query Language OS Operating System XML eXtensible Markup Language 3 | Page
4. LỜI MỞ ĐẦU Sự phát triển lớn mạnh của công nghệ thông tin trong những năm qua đã dẫn đến sử dụng rộng rãi hệ thống máy tính trong mọi tổ chức, cá nhân.Vì vậy, dữ liệu được lưu giữ và quản lý trong các hệ thống máy tính nhiều hơn. Cơ sở dữ liệu sử dụng các hệ quản trị cơ sở dữ liệu đã đáp ứng được các yêu cầu về lưu giữ và quản lý dữ liệu.Vấn đề bảo mật cơ sở dữ liệu càng trở nên cấp thiêt.Giám sát và kiểm toán đã trở thành một phần không thể thiếu trong lĩnh vực bảo mật cơ sở dữ liệu và với hệ quản trị cơ sở dữ liệu Oracle cũng vậy. Trong xu thế hiện nay Oracle đang ngày càng chiếm lĩnh được thị trường nhờ những ưu điểm nổi bật cả về quản trị và bảo mật dữ liệu. Kiểm toán trong hệ quản trị Oracle là một đề tài hấp dẫn trong lĩnh vực bảo mật. Và Oracle 10g là một phiên bản mới với nhiều tính năng vượt trội của hệ quản trị cơ sở dữ liệu Oracle. Thấy được tầm quan trọng của việc kiểm toán đối với việc bảo vệ cơ sở dữ liệu, nhóm đã chọn đề tài “ Kiểm toán trong Fine-Grained Auditing”. Nội dung chính mà nhóm muốn trình bày tới thầy và các bạn gồm: • Chương 1. Tổng quan về Oracle 10g và kiểm toán trong Oracle 10g • Chương 2. Kiểm toán trong Fine-Grained Auditing • Chương 3. Kịch bản Demo Với thời gian và kiến thức còn hạn chế nên không thể tránh khỏi những thiếu sót. Mong thầy và các bạn tham khảo và đóng góp ý kiến để nhóm hoàn thiện hơn bản báo cáo của mình. Chúng em xin chân thành cảm ơn! Vũ Hoàng Đạt Lê Văn Phương Lê Thị Linh Ngô Đức Nam 4 | Page
5. CHƯƠNG 1. GIỚI THIỆU VỀ ORACLE 10G VÀ KIỂM TOÁN TRONG ORACLE 10G 1.1. ORACLE 10G 1.1.1. Ưu điểm của Oracle Oracle không chỉ nhắm tới những doanh nghiệp lớn mà còn nhắm tới những doanh nghiệp trung bình và cho cả những doanh nghiệp nhỏ.Cụ thể là Oracle Server có đủ các phiên bản thương mại từ Personal, Standard đến Enterprise (ngoài ra còn có Oracle lite). Về phía các doanh nghiệp: Oracle tỏ ra rất có ưu điểm như tính bảo mật cao, tính an toàn dữ liệu cao, dễ dàng bảo trì-nâng cấp, cơ chế quyền hạn rỏ ràng, ổn định,... Oracle cũng không quá đắt, nếu doanh nghiệp đã từng mua lisence của MSSQLServer thì sẽ thấy giá của Oracle cũng không chênh lệch là bao thậm chí còn rẻ hơn, nhưng lợi ích có được lại rất lớn. Về phía những nhà phát triển: Oracle cũng tỏ ra rất có ưu điểm như dễ cài đặt, dễ triển khai và dễ nâng cấp lên phiên bản mới. Hơn nữa Oracle còn tích hợp thêm PL/SQL, là một ngôn ngữ lập trình có cấu trúc - Structure Language. Tạo thuận lợi cho các lập trình viên viết các Trigger, StoreProcedure, Package. Đây là điểm rất mạnh so với các CSDL hiện có trên thị trường. Oracle, ngoài các kiểu dữ liệu thông thường còn có các kiểu dữ liệu đặc biệt khác mang lại sức mạnh cho Oracle như Blob, clob, Bfile, ... Nếu ta chỉ chạy thử, ta cũng không cần lo đến vấn đề lisence vì có thể download từ trang của Oracle (technet.oracle.com). Ngoài ra, ta có thể triển khai Oracle trên nhiều OS khác nhau (Windows, Solaris, Linux,...) mà không cần phải viết lại PL/SQL code. Có thể import một dumpFile (backupFile) từ một máy chạy OS này sang OS khác hoặc từ một version thấp lên một version cao hơn mà không gặp bất cứ 5 | Page
6. trở ngại nào ! (việc ngược lại cũng có thể thực hiện được nếu như ta không xài các tính năng mới so với version trước đó). 1.1.2. Tính năng cải tiến của Oracle 10 G ( oracle 10 Grid Computing) Oracle Database 10g được phát hành với phiên bản 10.1.0.2 đầu năm 2004. Oracle Database 10g là hệ thống cơ sở dữ liệu đầu tiên được thiết kế nhằm tăng sức mạnh lưu trữ và xử lý dữ liệu dựa trên công nghệ tính toán lưới (Grid Computing). Việc phát hành Oracle10g cung cấp cơ sở hạ tầng hiệu năng cao toàn diện, bao gồm: ➢ Khả năng mở rộng của các sở để doanh nghiệp các trang web thương mại điện tử ➢ Mạnh mẽ, đáng tin cậy, có sẵn, và kiến trúc an toàn. ➢ Một mô hình phát triển lựa chọn triển khai dễ dàng. ➢ Tận dụng skillset hiện hành của một tổ chức trong suốt nền tảng Oracle (bao gồm cả SQL,PL / SQL, Java, và XML) ➢ Một giao diện quản lý cho tất cả các ứng dụng. ➢ Tiêu chuẩn công nghiệp công nghệ , không có độc quyền trong khóa 6 | Page
7. 1.2. KIỂM TOÁN TRONG ORACLE 10G 1.2.1. Tại sao phải kiểm toán An toàn thông tin trong cơ sở dữ liệu bao gồm 3 yếu tố chính: tính bí mật, toàn vẹn và sẵn sàng.Vì thế để đảm bảo an toàn thông tin trong cơ sở dữ liệu cần đảm bảo cả ba yếu tố. Yếu tố bí mật quan trọng nhất để đảm bảo an toàn trong các môi trường, cả quân sự lẫn thương mại. Đảm bảo tính toàn vẹn có nghĩa là ngăn chặn, phát hiện và xác định các sửa đổi thông tin trái phép. Đảm bảo tính sẵn sàng có nghĩa là ngăn chặn, phát hiện và xác định các từ chối truy nhập chính đáng vào các dịch vụ mà hệ thống cung cấp. 1.2.1.1. Các hiểm họa đối với an toàn cơ sở dữ liệu Một hiểm hoạ có thể được xác định khi đối phương (người, hoặc nhóm người) sử dụng các kỹ thuật đặc biệt để tiếp cận nhằm khám phá, sửa đổi trái phép thông tin quan trọng do hệ thống quản lý. Các xâm phạm tính an toàn cơ sở dữ liệu bao gồm đọc, sửa, xoá dữ liệu trái phép. Thông qua những xâm phạm này, đối phương có thể: • Khai thác dữ liệu trái phép thông qua suy diễn thông tin được phép. • Sửa đổi dữ liệu trái phép. • Từ chối dịch vụ hợp pháp. Các hiểm hoạ an toàn có thể được phân lớp, tuỳ theo cách thức xuất hiện của chúng, là hiểm hoạ có chủ ý và vô ý (ngẫu nhiên). Những xâm phạm trên liên quan đến hai lớp người dùng sau: • Người dùng được phép truy cập nhưng lạm dụng quyền, sử dụng vượt quá quyền hạn được phép của họ. • Đối phương là người, hay nhóm người truy nhập thông tin trái phép, có thể là những người nằm ngoài tổ chức hay bên trong tổ chức. Họ tiến hành các hành vi phá hoại phần mềm cơ sở dữ liệu hay phần cứng của 7 | Page
8. hệ thống, hoặc đọc ghi dữ liệu trái phép. Trong cả hai trường hợp trên, họ đều thực hiện với chủ ý rõ ràng. Một số tấn công phổ biến hiện nay: Tấn công SQL injection SQL injection là một kĩ thuật cho phép những kẻ tấn công lợi dụng lỗ hổng trong việc kiểm tra dữ liệu nhập trong các ứng dụng web và các thông báo lỗi của hệ quản trị cơ sở dữ liệu để "tiêm vào"(inject) và thi hành các câu lệnh SQL bất hợp pháp (không được người phát triển ứng dụng lường trước). Hậu quả của nó rất tai hại vì nó cho phép những kẻ tấn công có thể thực hiện các thao tác xóa, hiệu chỉnh, do có toàn quyền trên cơ sở dữ liệu của ứng dụng, thậm chí là server mà ứng dụng đó đang chạy. Lỗi này thường xảy ra trên các ứng dụng web có dữ liệu được quản lí bằng các hệ quản trị cơ sở dữ liệu như SQL Server, MySQL, Oracle, DB2, Sysbase. Attacking Oracle : kẻ tấn công sử dụng TCP scan port để quét lỗ hổng trên Server Database Oracle Tấn công DoS Kẻ tấn công thường làm tràn bộ đệm của hệ thống hoặc làm ngập lụt băng thông mạng để sửa đổi dữ liệu hoặc đánh cắp thông tin Tấn công leo thang đặc quyền Sự leo thang đặc quyền có thể hiểu đơn giản là một phương thức tấn công mà với cách này, các User có quyền hạn thấp hơn sẽ tấn công vào một điểm dễ bị tổn thương nhất của hệ thống để trở thành một người quản trị hoặc có thể trở thành các User có quyền hạn cao hơn. 1.2.1.2. Các yêu cầu bảo vệ cơ sở dữ liệu. Bảo vệ cơ sở dữ liệu khỏi các hiểm hoạ, có nghĩa là bảo vệ tài nguyên, đặc biệt là dữ liệu khỏi các thảm hoạ, hoặc truy nhập trái phép. Các yêu cầu bảo vệ cơ sở dữ liệu gồm: 8 | Page
9. • Bảo vệ chống truy nhập trái phép • Bảo vệ chống suy diễn • Bảo vệ toàn vẹn cơ sở dữ liệu • Khả năng lưu vết và kiểm tra • Xác thực người dùng • Quản lý và bảo vệ dữ liệu nhạy cảm • Bảo vệ nhiều mức 1.2.1.3. Vai trò của kiểm toán trong việc bảo vệ cơ sở dữ liệu Để bảo mật cơ sở dữ liệu thì giám sát (Monitoring) và kiểm toán (Audit) là một phần không thể thiếu cho những thủ tục bảo mật. Kiểm toán giúp thu giữ và lưu trữ thông tin về những gì đang xảy ra trong hệ thống. Kiểm toán phải được tập trung để chỉ những sự kiện được quan tâm sẽ được lưu lại vết (Trail).Từ đó nhờ những bản ghi audit sẽ giúp DBA phát hiện và kịp thời những tấn công hay lỗ hổng và ngăn chặn những hành vi phá hoại của tin tặc.Hoặc nhanh chóng sửa chữa những bất thường của hệ thống. Kiểm toán thường được sử dụng để: • Kích hoạt tính trách nhiệm sau này cho các hành động hiện tại thực hiện trong một lược đồ đặc biệt, bảng, hoặc hàng, hoặc ảnh hưởng đến nội dung cụ thể. • Giúp người giám sát biết được nếu có user bất hợp pháp đang thao tác với cơ sở dữ liệu. • Điều tra hoạt động đang nghi ngờ. Ví dụ. nếu một người sử dụng trái phép là xóa dữ liệu từ các bảng, sau đó các quản trị viên bảo mật có thể 9 | Page
10. kiểm toán tất cả các kết nối CSDL và tất cả các xóa bỏ thành công va không thành công của các hàng từ tất cả các bảng trong CSDL. • Theo dõi và thu thập dữ liệu về các hoạt động CSDL cụ thể. Ví dụ, người quản trị CSDL có thể thu thập số liệu thống kê về những bảng đang được cập nhật, bao nhiêu I/O được thực hiện, hoặc làm thế nào nhiều người dùng đồng thời kết nối tại thời gian cao điểm. 1.2.2. Khái quát về kiểm toán 1.2.2.1. Định nghĩa kiểm toán Kiểm toán là việc theo dõi và ghi lại các hành động lựa chọn CSDL người dùng. Nó có thể được dựa trên hành động cá nhân, chẳng hạn như các loại câu lệnh SQL, hoặc kết hợp các yếu tố bao gồm tên, ứng dụng, thời gian, Chính sách bảo mật có thể tạo ra kiểm toán khi các yếu tố quy định tại một CSDL Oracle được truy cập hay thay đổi bao gồm cả nội dung. Oracle cho phép tùy chọn kiểm toán phải được tập trung hoặc mở rộng, cho phép kiểm toán sau đây: • Sự thực hiện statement thành công , Sự thực hiện statement không thành công, hoặc cả hai. • Sự thực hiện statement một lần trong mỗi phiên của người dùng hoặc một lần trong thời gian báo cáo được thực thi • Các hoạt động của tất cả người dùng hoặc của một người dùng cụ thể Ta có thể sử dụng Enterprise Manager để xem và cấu hình các thông số liên quan đến kiểm toán khởi tạo và quản lý các đối tượng được kiểm toán để báo cáo kiểm toán và lược đồ đối tượng kiểm toán 1.2.2.2. Record audit Audit record (Bản ghi kiểm toán) bao gồm thông tin về các hoạt động đã được kiểm toán, người sử dụng thực hiện các hoạt động, và thời gian hoạt 10 | Page