数据库安全性

加密 — 一项基本的安全技术

如果不对网络传输的数据进行加密，恶意攻击者可以轻松“嗅探”网络流量，查看任何潜在的敏感数据。如果不对数据库中的静态数据进行加密，任何拥有底层存储（包括数据文件、备份和数据库导出）访问权限的人都可以使用文件系统工具绕过访问控制和审计策略，直接读取数据。使用 Oracle 加密解决方案，您可以：

• 执行数据加密，降低数据泄露和违规的影响。
• 通过适当的密钥管理来提高可管理性和弹性。

解决方案

• Oracle Advanced Security

  Oracle Advanced Security 提供透明数据加密 (TDE) 和数据编辑功能。它是一个集成数据库选项，不需要安装即可使用。而对于数据库会话，Oracle 专门采用了透明数据加密方法。

• Oracle Key Vault

  Oracle Key Vault 提供高度可用的密钥和密文管理功能。
  观看 Oracle Key Vault 视频 (8:31)

消除测试和开发环境中的风险

攻击者的一个常见攻击对象是测试和开发环境，因为这类环境通常不受监视且通常未部署与其他环境同等级别的数据保护控制机制。对此，数据屏蔽功能可使用屏蔽后的人工数据来替换敏感数据，消除风险 — 即使发生数据泄漏也不会丢失真实数据。而通过使用模板和库，您可以快速识别和屏蔽敏感数据。

解决方案

• Oracle Data Safe

  Oracle Data Safe 是一个云技术服务，可扫描数据库中的敏感数据并屏蔽非生产系统中的敏感数据，消除安全风险。
  观看视频：使用 Oracle Data Safe 发现和屏蔽敏感数据 (11:58)

• Oracle Data Masking and Subsetting

  Oracle Data Masking and Subsetting 是 Oracle Enterprise Manager 的一个功能包，可以扫描数据库中的敏感数据并屏蔽非生产系统中的数据，消除安全风险。Oracle Data Masking and Subsetting 还可以创建更小的数据副本，尽可能降低非生产系统中的存储成本。

最小权限原则

被盗账户是几乎所有数据库泄露事件的“标配”。现实中，黑客特别青睐应用服务账户和数据库管理员账户，因为这类账户拥有不受限制、广泛的敏感数据访问权限。利用数据访问控制，您可以：

• 实施职责分离，基于安全权限来进行访问控制。
• 识别敏感数据，确保管理员可以管理数据库但无法访问敏感数据。
• 当用户访问敏感数据时，确保用户按照组织政策，在适当的上下文内访问。
• 基于多重因素来控制 SQL 命令和关键数据库操作。

解决方案

• Oracle Database Vault

  这一集成数据库选项可防止未经授权的访问（甚至是特权用户访问）并锁定数据库命令。
  网播：特权用户账户安全保护

• Oracle Audit Vault and Database Firewall

  为会话、对象、命令和 SQL 查询定义一个可信应用路径，为已知流量创建一个应用用户配置文件并阻止偏差。

• Oracle Label Security

  这一集成的数据库选项可基于分类和组织等，限制用户和应用访问数据。