《杭州美创CAPAA数据安全解决方案》由会员分享，可在线阅读，更多相关《杭州美创CAPAA数据安全解决方案（40页珍藏版）》请在金锄头文库上搜索。
1、杭州美创科技有限公司 数据安全管理系统TRUST CAPAA V2.0 2杭州美创科技有限公司 互联网泄密事件近期安全事件频繁发生！3杭州美创科技有限公司 更加严厉的监管PCI DSS欧盟数据指令UK/PRO侵犯披露SAS 70HI PAAAUS/PROJ SOXK SOXISO 17799Basel II世界各地法律法规对敏感数据采取保护措施！4杭州美创科技有限公司 当前数据安全的推动力l 数据巨大的商业价值使内外勾结成为主要安全威胁 l 有很大比重的威胁无法发现 l 开发商以及合作伙伴的安全管理 l 客户希望监视公司内部人员/DBAl SOX、J-SOX、PCI、隐私法 l 适当的 IT
2、控制 l 职责分离 l 合规性证明 l 风险评估与监视内部威胁1法规遵循和合规管理25杭州美创科技有限公司 信息泄漏危害具有延迟性发生具有不确定性，具有延迟性和外部驱 动的性质。由于其传播和可复制的特性，一旦发生 其危害难以被控制。很难被事后审计到，即使审计发现也会因 为危害尚未发生而无法采取行动。事后审计事后审计机制基本无法防止和控敏感信息泄露，甚至 也无法降低敏感信息泄露的可能性。信息泄露的 危害数据泄露信息泄露6杭州美创科技有限公司 非法更新的即时收益性 轻量级别的非法更新很难被审计发现 事后审计机制无法降低敏感信息非法更新的危害，只能在案件排查的时候发生作用 非法更新在侵害的同时产生损
3、伤 很少有非法更新可以在事后弥补7杭州美创科技有限公司 CAPAA的安全观点事先防范核心 数据事中通知事后审计事中审批事先防范追踪和发现提 供进一步的证据 授权、审批保障核心 数据访问安全构筑完善的防御体系及时通知第一时 间发现可疑行为8杭州美创科技有限公司 防范管理 关键数据保护关键数据保护 DBADBA职责分离职责分离 限制特权用户权限限制特权用户权限 保护“关键”基础数据 严格遵循数据访问授权和审批管理 禁止任意的非法数据访问行为事先构筑防御保护体系 Schema UserSchema User访问控制访问控制 防止旁路应用程序防止旁路应用程序9杭州美创科技有限公司 事中管理 授权和审批
4、 通过 “白名单” 和“黑名单”方式来识别“不合法“操作。 每次“关键数据访问”操作，严格执行授权，并授权到人。以事中授权和统方流程审批进一 步保障“关键数据”的访问安全数据库 关键数据PC终端10杭州美创科技有限公司 事中管理 及时通知 事中及时通知，在第一时间发现可疑“非法访问”行为，为 安全管理提供威慑力。 无论“关键数据访问”操作合法或非法，均第一时间通知。 提供行为追溯能力,把握“关键数据访问”行为特征。邮件网页短信动画多种通知方式11杭州美创科技有限公司 事后管理 追踪和发现提供审计威慑力l l任意关键数据访问行为，不管是授权、未授权 的,都加以追踪和审计。l 提供多种级别的行为追
5、溯能力，把握可疑行为 特征。l 对可疑统方行为第一时间介入调查，产生审计 威慑力。l 详尽的海量审计信息为惩戒提供了精细的证 据。12杭州美创科技有限公司 CAPAA 数据安全组件访问控制CAM数据保护CAP审计CAA监视&告警CAPAA 安全平台身份管理MDIDMEUMEidM13杭州美创科技有限公司 CAPAA 体系结构管理数据库Java EE 应用服务器业务系统业务系统Trust CAPAA system serverhttp:/localhost:8080/capaa用户用户用户安全管理员Trust CAPAAweb console14杭州美创科技有限公司 CAPAA WEB 管理界面
6、15杭州美创科技有限公司 安全现象 一控制大权限 用户访问业 务数据！应用程序访问用户密码无法管理，几乎 广为传播。内控规定DBA不允许访问业务数据，但我 们 没有办法控制。最小权限原则由于其过于复杂无法实施。每个用户都应该通过安全应用程序访问 业务数据。16杭州美创科技有限公司 敏感资产访问控制功能敏感资产/业务分离特权用户管理应用访问用户管理职责分离/分权管理违规报告应用程序透明多因素访问控制基于规则的访问控制企业(应用)用户访问控制CAM17杭州美创科技有限公司 特权用户管理采购HR财务Select * from fin.customersDBASelect * from hr.empl
7、oyeesHR SchemaHR应用lDBA职责分离l限制特权用户权限lUser访问控制l防止旁路应用程序18杭州美创科技有限公司 多因素访问控制采购HR财务DBASelect * from v$session/Select * from hr.employeesHR应用l 指定特定的终端可以通过SQLPLUS访问l 指定特定的人员可以通过SQLPLUS访问l 敏感资产可以拒绝SQLPLUS访问l SQLPLUS等应用程序的严格控制杜绝其安全危 l 害性，同时利用其强大的能力Select * from v$sessionDBA19杭州美创科技有限公司 数据管理分权机制管理敏感资产，负责敏感资产
8、创建、分类 、归属、授权和审计。可以进一步细分为 创建、授权、审计等角色。管理数据库日常运行和监视。可以进一步 细分为帐户创建、帐户管理、运行维护 不同的DBA角色DBADBA敏感资产的拥有者，替代数据库中的 Schema User存在。CA CA owner owner Trust Trust 安全管理员安全管理员20杭州美创科技有限公司 工具型应用的访问管理l指定特定的终端可以通过SQLPLUS访问l指定特定的人员可以通过SQLPLUS访问l敏感资产可以拒绝SQLPLUS访问lSQLPLUS等应用程序的严格控制杜绝其安全危害性，同时利用其强大的能力采购HR财务Select * from h
9、r.employeesHR报表人员SQLPL US终端用户Select * from v$session/SQLPL USSelect * from v$sessionDBASQLPL US21杭州美创科技有限公司 安全现象 三开发商具有很好的技术水平，几乎总是采用共享用户访问开发商熟悉业务数据结构，开发商几乎总是熟悉应用程序密码驻场开发商处于用户内部，但缺乏管理开发商人员流动频繁驻场开发商由于其缺乏约束性，比较内部人员具有更大的安全威胁开发商和合 作伙伴管理22杭州美创科技有限公司 Trust EUM 安全组件l 企业员工真实身份访问 l 企业用户身份验证 l 应用程序绑定 l 多因素绑定
10、实现企业用户身份访问，最大化降低可能涉及的风险客户端敏感数据企业员工l 开发商职员真实身份访问 l 企业用户访问控制l 物理网卡绑定l 真实员工身份的行为审计23杭州美创科技有限公司 企业员工(开发商)真实身份访问采购HR财务Select * from v$session张三李四张三Select * from v$sessionl实现对于企业员工的访问控制l企业员工和物理网卡的绑定l企业员工和多因素的绑定l企业员工身份作为规则的一部分24杭州美创科技有限公司 安全现象 四l 敏感信息的商业化价值在不断增强，利益驱动使敏感信息l 泄露不断发生l 内外合作使敏感信息泄露防不胜防l 严格控制非相关人
11、员接触敏感信息l 无法区分业务操作还是信息盗窃l 应用程序数据库访问用户密码几乎无法保密l 假冒应用程序访问无法区分l 很难被审计，即使被审计了几乎也无法追究l 客户需要深度的访问控制和精确的审计25杭州美创科技有限公司 刑法修正案（七）2009 年 2 月 28 日刑法修正案 ( 七 )通过七、在刑法第二百五十三条后增加一条，作为第二百五十三条之一：“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并 处或者单处罚金。窃取或者以其他方法非法获取上述信
12、息，情节严重的，依照前款的规定处罚。单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。”26杭州美创科技有限公司 数据查询泄漏解决方案l 只有合法应用可以访问敏感数据l 合法应用保证只有相关用户可以执行敏感操作l 只有特定的企业员工才可以执行敏感操作l 防止应用程序假冒l 敏感操作审计包含企业员工身份，任何非授权的人员敏感操作以最高审计级别警告。l 授权人员的敏感操作以次等级别警告。27杭州美创科技有限公司 数据泄漏(敏感操作)访问控制合法应用授权员工授权员工通过特定终端通过合法应用访问敏感数据， 执行敏感操作假冒合法应用非授权终端非法应用合法
13、应用非授权员工非授权员工不合法应用28杭州美创科技有限公司 安全现象五误操作和 入侵破坏客户认识到误操作依赖于备份系统来恢复业务和数据缺乏有效性客户迫切需要对危险操作加以识别和避免误操作几乎不可避免，误操作总是用户最大的安全威胁之一误操作发生后需要有效的手段来加以恢复29杭州美创科技有限公司 Trust CAP 安全组件l DDL误操作的访问控制和恢复Drop TableDrop Table PartitionTruncate TableTruncate Table PartitionDrop Tablespacel DML误操作恢复Delete、Insert、Updatel 代码类误操作l
14、对于存储过程、包等数据库代码实现误操作恢复30杭州美创科技有限公司 DDL 误操作恢复lTrust CAP实现了类似于Windows的垃圾箱功能，使用户可以在后悔期内实现快速恢复。经过后悔期之后会自动从垃圾箱中永久清除。lTrust DDL误操作恢复对于任何规模的表格均可以在1分钟之内恢复数据。恢复任何规模的表空间在10分钟之内恢复。lTrust DDL误操作恢复不会丢失任何数据。31杭州美创科技有限公司 DML 误操作恢复l DML误操作恢复快速恢复Update 、Insert 、Delete操作。l 基于审计的误操作恢复确保识别误操作的时间点，从而保障数据恢复的零丢失。一键还原32杭州美创科技有限公司 安全现象六浏览器终 端身份识 别对于敏感信息的访问需要确认终端信息，甚至需要确认应用程序用户。我们只能依赖于应用程序的安全性。在B/S结构中，缺乏终端身份信息使审计几乎没有任何价值。敏感操作要求在特定的终端绑定。33杭州美创科技有限公司 www.mchz.
