Безопасность без размножения баз данных: виртуальные частные базы данных Oracle. Часть 1

Данная публикация представляет собой дальнейшее развитие темы, рассмотренной в статье Т. Кайта "Детальный контроль доступа и контексты приложения".

• Позволяет уменьшить стоимость монопольного использования. Организации могут пожинать огромные выгоды от сокращения затрат, создавая защиту однажды, в сервере данных, вместо реализации той же самой защиты в каждом приложении, которое обращается к данным.
• Позволяет устранить "проблему безопасности приложения". Пользователи больше не обходят политику безопасности, встроенную в приложение, потому что политика безопасности прикреплена к данным. Та же самая политика безопасности автоматически поддерживается сервером данных, независимо от того, как пользователь обращается к данным: генератор отчетов, запрос или приложение.
• Позволяет делать то, что никогда нельзя было сделать прежде. В прошлом организации не могли предоставлять заказчикам и партнерам прямой доступ к своим промышленным системам, потому что не было никакого способа обеспечить безопасность данных. Компании, предоставляющие приложения в аренду (хостинг-компании), не могли размещать данные разных компаний на одном и том же сервере данных, потому что они не могли разделить данные каждой компании. Сейчас все эти сценарии возможны, потому что детальное управление доступом дает возможность защиты данных с гарантией физического разделения данных на уровне сервера.

SELECT * FROM employees WHERE division = ‘AIRCRAFT’;

SELECT * FROM employees where deptno

IN (Select deptno from employees where division = ‘AIRCRAFT’;

• расширяемость - контексты приложений полностью определяются пользователями - как их атрибуты. В результате, каждое приложение может иметь свой собственный специфический для приложения контекст с различными атрибутами;
• легкость использования - приложения могут устанавливать, проверять и находить конкретный атрибут контекста легко и однозначно. Oracle9i предлагает системную функцию (SYS_CONTEXT), которая позволяет определять точный контекст и атрибут, который нужно установить.  

1. Проектирование политики безопасности.
2. Создание контекста приложения.
3. Создание пакета безопасности приложения, определяющего атрибуты контекста.
4. Установка вызова пакета безопасности приложения для автоматического заполнения его атрибутов при входе пользователей в систему.
5. Создание пакета политики безопасности для защиты таблиц. Функция политики безопасности в пакете позволит использовать атрибуты контекста приложения.
6. Прикрепление политики безопасности к таблице.

SQL> create context invoice_context

  2  using invoice_conpack;

120

SQL> create or replace package invoice_conpack

  2  is

  3   procedure set_custno;

  4  end;

  5  /

SQL> create or replace package body invoice_conpack

  2  is

  3  procedure set_custno is

  4   v_custno varchar2(100);

  5  begin

  6   select customer_id into V_custno

  7   from scott.customer;

  8 

  9   dbms_session.set_context('invoice_context','custno',v_custno);

 10  exception

 11   when no_data_found then

 12    null

 13  end;

 14  end invoice_conpack;

 15  /

SQL> create or replace trigger scott.log_on_security

  2  after logon on database

  3  call scott.invoice_conpack.set_custno

  4  /

 

Trigger created.

SQL> create or replace package invoice_polpack

  2  is

  3  function custno(d1 varchar2, d2 varchar2) return varchar2;

  4  function log_id(d1 varchar2, d2 varchar2) return varchar2;

  5  end;

  6  /

 

Package created.

 

SQL> create or replace package body invoice_polpack is

  2  function custno (d1 varchar2, d2 varchar2) return varchar2 is

  3  d_predicate varchar2(2000);

  4 begin

  5      if user = 'SCOTT' then

  6          d_predicate := '1=1';

  7      else

  8          d_predicate := 'CUSTOMER_ID =

sys_context(''x_invoice_context'',''custno'')';

  9      end if;

 10

 11      return d_predicate;

 12  end custno;

 13  function log_id (d1 varchar2, d2 varchar2) return varchar2 is

 14   d_predicate varchar2(2000);

 15  begin

 16      if user = 'SCOTT' then

 17          d_predicate := '1=1';

 18      else

 19   d_predicate := 'LOGIN_ID = SYS_CONTEXT(''USERENV'',''session_user'')';

 20      end if;

 21      return d_predicate;

 22  end log_id;

 23  end invoice_polpack;

 24  /

 25 

 

Package body created.

SQL> begin

  2     dbms_rls.add_policy('scott',

  3                         'invoice ',

  4                         'invoice_policy',

  5                         'scott',

  6                         'invoice_polpack.custno',

  7                         'select');

  8 

  9     dbms_rls.add_policy('scott',

 10                         'customer',

 11                         'customer_policy',

 12                         'scott',

 13                         'invoice_polpack.log_id',

 14                         'select');

 15  end;

 16  /

 

PL/SQL procedure successfully completed.

SQL> select * from scott.customer;

 

CUSTOMER_ID NAME                           LOGIN_ID

----------- ------------------------------ ----------

          1 Stefan Lindblad                STEFAN

 

SQL> select * from scott.invoice;

 

    INV_ID     AMOUNT CUSTOMER_ID

---------- ---------- -----------

         1        500           1

         3        700           1

         6       1500           1

         8       3500           1

        13       8500           1

        15      10500           1

        19       5800           1

 

7 rows selected.

SQL> select * from scott.customer;

 

CUSTOMER_ID NAME            LOGIN_ID

----------- ------------------------------ ----------

          1 Stefan Lindblad              STEFAN

          2 Nils Nilsson                     NISSE

          3 Scott King                         SCOTT

          4 John Smith                       JOHN

 

SQL> select * from scott.invoice;

 

       INV_ID     AMOUNT CUSTOMER_ID

    ---------- ---------- -----------

         1        500           1

         2        600           2

         3        700           1

         4        800           4

         5        900           3

                 .

                 .

                 .

                 .

        20       5900           4

 

20 rows selected. 

• Oracle Policy Manager   (диспетчер политик безопасности) - графический интерфейс пользователя для администрирования меток и авторизации. Oracle Policy Manager может также использоваться для администрирования политик виртуальных частных баз данных, определяемых пользователями.
• Oracle Label Security автоматически обеспечивает "коробочную" реализацию принудительной поддержки VPD. Заказчикам больше не нужно программировать приложения VPD. Oracle Label Security - продукт на базе VPD.
• Обеспечивает маркирование данных, требуемое в правительственных и военных организациях, на платформах стандартных операционных систем.
• Обеспечивает управление доступом на основе меток для поставщиков сервисов приложений. Метки безопасности обеспечивают степень детализации, которую не легко реализовать для приложений, работающих с raw-данными.
• Доступен в Oracle9i Enterprise Editor     в стандартных операционных системах.