Безопасность Oracle Database: нападение и защита

На днях прочитал одну очень интересную и, главное, полезную книгу, которую настоятельно хочу вам порекомендовать. Посвящена она теме безопасности СУБД Oracle Database (рассматриваются версии до 11g включительно).
В книге подробно приведены методы взлома (подбор паролей, повышение привилегий, атака на "отказ в обслуживании" и т.д.) СУБД Oracle и методы защиты от них.
Эта книга отличается от остальных книг по оракловой тематике рядом значительных преимуществ:

книга написана русскоязычным автором и поэтому отсутствует, уже надоевшая всем, проблема перевода терминов и стилистики англоязычных авторов;

каждый описываемый тип атаки поясняется подробными примерами кода, с указанием версии СУБД и CPU где эта уязвимость устранена;

описывая ту или иную уязвимость, автор приводит текст эксплойта или ссылку на него (!!!);

информация об уязвимостях, лично обнаруженных автором, немедленно направляется в Oracle, и затем устраняется в CPU (об этом есть даже благодарственное письмо от Oracle !);

автор в отдельных главах подробно описал способы и методики защиты от описываемых атак.

Книга по Oracle от отечественных авторов - большая редкость, тем более такого высокого технического уровня !

На мой взгляд, эту книгу внимательно должен изучить любой серьезный ораклист. Неважно кто вы по роду занятий: DBA или разработчик. Администраторы найдут в этой книге массу рекомендаций на настройке листенера и СУБД, для повышения защиты от атак. Разработчики изучат методики правильного написания PL/SQL-кода, устойчивого к различным видам атак.

Честно скажу: прочитав эту книгу мне стало немного страшно. :-)
Показав эту книгу знакомому промышленному DBA я получил вот такой спокойный ответ: "Пока взломщики доберутся до моих баз, их схватят за руку десятки человек из службы безопасности моего банка".
Но знаете ли Вы о том, что по статистике, абсолютное большинство взломов и утечек информации осуществляются так назывемыми инсайдерами (т.е. работниками организации, где стоит СУБД) ?

Еще возникает другой вопрос: что же делать, если код приложения написан не вами, и нет возможности его подправить ?

По крайней мере, установите последний CPU, - которые собственно направлены на устранение критических уязвимостей. И самая главная мысль, которая возникает после прочтения этой книги: безопасность СУБД - это не разовое мероприятие, а процесс, которым надо заниматься системно и постоянно.

P.S. Не знаю как Вы, но я пошел скачивать с металинка и ставить CPU July 2009 на свои девять БД, которые использую в своей работе... :-)

Читать дальше...

Certification of SAP with Oracle Database Vault 10.2.0.4

Update 1. Текст поста был изменен 23.04. К сожалению, слишком много людей поняли этот текст неправильно. И даже не смогли понять, кто является автором текста :(
Прошу прощения за неоднозначность текста. Dsvolk.



Новость, которую ожидали все российские заказчики SAP: наш давний конкурент партнер, компания SAP, сертифицировала Oracle Database Vault 10.2.0.4.

Это означает, что Вы можете использовать Database Vault для защиты своих данных в SAP.

Уже появилась подробная техническая white paper, которая называется Best Practices for Installing, Configuring and Deploying Oracle Database Vault Release 10.2.0.4 in an SAP Environment. Если Вы заказчик SAP, то можете также ознакомиться с Oracle Database Vault protection policy for SAP на сайте SAP.

В Oracle CIS за опции безопасности БД отвечает Дмитрий Сивохин. (dmitry.sivohin@оракле.ком, +7 915 377 7775).

Читать дальше...