Tiedosta hyvinvointia Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Heikki Siltala1 6.11.2003 Tietokannan tietoturva - teoriasta käytäntöön Heikki.

Esitys aiheesta: "Tiedosta hyvinvointia Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Heikki Siltala1 6.11.2003 Tietokannan tietoturva - teoriasta käytäntöön Heikki."— Esityksen transkriptio:

1 Tiedosta hyvinvointia Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Heikki Siltala1 6.11.2003 Tietokannan tietoturva - teoriasta käytäntöön Heikki Siltala Kehittämispäällikkö FM (tietojenkäsittelytiede) OUGF 6.11.2003

2 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala2 Esittely

3 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala3 tilasto- ja rekisteritietokantojen päällikkö tiiminvetäjä tekninen asiantuntija Oracle 7, 8, 8i, 9i ja vähän muutakin… heikki.siltala@stakes.fi www.heikkisiltala.com

4 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala4 Stakes tiedosta hyvinvointia 450 työntekijää asiantuntemuksen koko skaala keräys, käsittely, varastointi, jalostus Oracle-tietokantoja Oracle-pohjaisia verkkotuotteita tulossa

5 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala5 Esitys käytännöllinen kaikki tietoturvan osatekijät keskipisteenä tietokanta Oraclen tietoturvaominaisuudet asiantuntijatarkastus turvallisen tietokannan ainekset

6 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala6 Tietoturvan perusteet

7 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala7 Tietoturvasta jatkuvasti kuuma aihe tietoturva? täydellinen tietoturva mahdoton lainsäädäntö ja muut sitovat ohjeet bisneksessä bisneksen ehdoilla tekninen tietoturva on perusta tekninen tietoturva ei yksin riitä

8 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala8 Tietoturvatyöstä tietoturvan T T T: tieto, taito, työ ”75% toimintatavat, 25% tekniikka” ”80% ihminen, 20% tekniikka” ”sisäinen käyttäjä todennäköisin murtautuja” vyöhykkeinen – kaikki vyöhykkeet kunnossa tasaista hiljaista vääntämistä, testataan yllättäen tekniikka viimeinen portinvartija

9 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala9

10 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala10 Tietoturvan osatekijät

11 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala11 Fyysinen suojaus palvelimen sijoitus kulunvalvonta sähkökatkot, tulipalot, vesivahingot, … käyttäjien ympäristön suojaus verkon fyysinen suojaus

12 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala12 Verkkoturvallisuus verkkoarkkitehtuuri osaverkot aktiiviset laitteet tietoturvaohjelmistot tietokannan sijainti

13 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala13 Ohjelmistot käyttöjärjestelmä tietokantaohjelmisto – unbreakable! kolmannen osapuolen ohjelmistot ohjelmistojen versiopäivitykset tiedon varmistaminen – ja palauttaminen

14 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala14 Politiikka ja prosessit tietoturvan tärkeimmät ainesosat kuka saa päästä järjestelmään kuka ei saa päästä järjestelmään miten käyttäjän ja käytön elinkaari hallitaan ”kiire on tietoturvan pahin vihollinen” ”aineisto hävitettävä käytön jälkeen”

15 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala15 Virustorjunta virukset ja madot yleensä välillinen vaara käyttäjien työasemat suurin riski skannerit eivät löydä sataprosenttisesti ei taustaskannausta tietokantapalvelimeen tietokantapalvelin ei ole työasema

16 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala16 Tietoturva Oracle- tietokannassa

17 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala17 Ohjeet, OTN, MetaLink, kirjat, … Oracle9i Security Overview Secure Configuration Guide for Oracle9iR2 Database Encryption in Oracle9iR2 Oracle9i Net Services Administrator's Guide Oracle Security Alerts comp.databases.oracle.server Oracle-tietoisku 10.12.2003 klo 12 – 14

18 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala18 Käyttäjätunnus tavallisin tapa tunnistaa käyttäjä tavoitteena henkilökohtaiset tunnukset sulje tarpeettomat vakiotunnukset käyttäjän tunnistuksen vaihtoehdot: database, external, proxy, global

19 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala19 Salasana vaihda oletussalasanat ikätarkistus historiatarkistus laatutarkistus – ei mitään, vakio, oma lisäsuoja pääkäyttäjille salasanan kuljetus verkossa salattuna ”PDA DBA:n taskuun”

20 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala20 Käyttöoikeudet ja roolit järjestelmäoikeudet ja objektioikeudet tavoite: täsmälleen oikein, ei liikaa, ei liian vähän roolit käyttöoikeuksien kokoomapisteitä anna oikeudet rooleille ja roolit käyttäjille hallinta SQL:lla ja graafisesti sota IPGS–syndroomaa vastaan insufficient privileges –> grant sysdba

21 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala21 Toimintatavat dokumentoidut prosessit: uusi käyttäjä, poistuva käyttäjä, tietomurto havaittu, … käyttäjille ohjeet, säännöt ja sitoumus jaettu vastuu, osallistaminen, dialogi: hallinto – tekniikka, käyttäjä – pääkäyttäjä, kollega – kollega, Stakes – tietosuojavaltuutettu henkilövalinnat

22 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala22 Kenelle antaisit tankkerin virta-avaimen? M/T Sotka

23 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala23 Tietokannan käytön seuraaminen valmis seurantamekanismi seurantatiedot tietokantaan sys.aud$ seurantatiedot palvelimelle hienojakoinen seuranta DBMS_FGA itse rakennetut mekanismit verkkoliikenteen seuranta

24 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala24 Tietokannan lisäominaisuudet

25 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala25 Virtual Private Database tietokannan vakiovaruste rivitason käyttöoikeudet dynaaminen SQL-lauseen uudelleenkirjoitus lausetta muokkaava PL/SQL-paketti kytketään tauluun, näkymään tai synonyymiin sovelluskohtaiset kontekstit graafisesti: Oracle Policy Manager hyödyllinen vaativissa sovelluksissa

26 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala26 Oracle Label Security tietokannan maksullinen lisäosa riveihin liitetään nimilaput käyttäjille annetaan käyttöoikeuslaput käyttöhetkellä lappuja verrataan tarvitaan koodaustakin oma seurantamekanismi voi olla erittäin vahva väline sovelluksissa

27 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala27 Salakirjoitus tietokannan vakiovaruste tiedon tallennus tietokantaan salattuna PL/SQL-paketti dbms_obfuscation_toolkit DES-salakirjoitus, MD5-tarkistussumma arvio: 3DES riittävä salakirjoitus on turvallisuuslisä, ei turvallisuustakuu

28 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala28 Salakirjoitus tuotantokäyttöön? ydin valmiina, muu osa tehtävä itse avaimien hallinta 500 riviä vaativaa PL/SQL-koodia prosessori-intensiivistä indeksoinnin rajoitukset vaikuttaa sovelluslogiikkaan ja käyttötapoihin ensin muut osat kuntoon?

29 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala29 Oracle Advanced Security tietokannan maksullinen lisäosa enterprise user security – yli järjestelmien single sign-on käyttäjän tunnistukseen monia menetelmiä kaiken tietokantatietoliikenteen salaus julkisen avaimen salausmenetelmän käytön vaatima infrastruktuuri PKI

30 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala30 Pakollinen 10g-osuus ensi etsimällä ei löytynyt merkittäviä uusia tietoturva-avauksia 8 internet - 9i unbreakable – 10g grid Oracle Identity Manager ”a roster of identity management features embedded in Oracle products”

31 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala31 Yhteenveto

32 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala32 nykytilatavoite

33 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala33 Kiitos

34 Sosiaali- ja terveysalan tutkimus- ja kehittämiskeskus Tiedosta hyvinvointia 6.11.2003 Heikki Siltala34 Kiitos