Bài thực hành bảo mật hệ thống thông tin số 8 oracle label security

Bảo Mật Hệ Thống Thông Tin Lab Bài thực hành số ORACLE LABEL SECURITY (1)  Tóm tắt nội dung:  Mơ hình DAC MAC  DAC MAC Oracle  Giới thiệu Oracle Label Security  Hướng dẫn cài đặt Oracle Label Security  Chính sách Oracle Label Security I Giới thiệu A Lý thuyết Mơ hình DAC MAC  Có mơ hình tiêu biểu dùng để quản lý việc truy xuất liệu cách đắn bảo đảm an toàn cho liệu DAC (Discretionary Access Control) MAC (Mandatory Access Control)  DAC: quản lý việc truy xuất liệu cách quản lý việc cấp phát quyền truy xuất cho người dùng thích hợp tùy theo yêu cầu sách bảo mật  MAC: quản lý việc truy xuất dựa mức độ nhạy cảm liệu mức độ tin cậy người dùng truy xuất CSDL Bằng cách phân lớp gán nhãn cho liệu người dùng, đồng thời áp dụng quy tắc “no read up - no write down”, mơ hình MAC giúp ta tránh việc rị rỉ liệu có mức độ nhạy cảm cao cho người dùng có độ tin cậy thấp MAC DAC Oracle  DAC: Trong Oracle Database, nhà quản trị áp dụng mơ hình DAC thơng qua việc quản lý truy xuất theo quyền đối tượng quyền hệ thống (bài Lab – Quyền Role)  MAC: Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM Bảo Mật Hệ Thống Thơng Tin Lab Oracle thực mơ hình MAC lý thuyết thành sản phẩm Oracle Label Security (OLS) Tuy nhiên, mơ hình MAC lý thuyết tn theo nguyên tắc “no read up - no write down” nên bảo đảm tính bí mật mà khơng có tính tồn vẹn Để cung cấp mơ hình bảo vệ tốt cho CSDL khách hàng, OLS Oracle cải tiến mơ hình MAC lý thuyết cách thay đổi nguyên tắc thành “no read up - no write up - limited write down” Nhờ vậy, tính bảo mật tính tồn vẹn liệu bảo đảm Mặt khác, khác với mơ hình lý thuyết, OLS khơng bắt buộc áp dụng MAC cho tồn CSDL Người quản trị định table schema áp dụng OLS  Mối tương quan DAC MAC: Khi người dùng nhập vào câu truy vấn SQL, Oracle kiểm tra DAC để bảo đảm user có quyền truy vấn table nhắc đến câu truy vấn Kế tiếp Oracle kiểm tra xem có sách VPD (Virtual Private Database) áp dụng cho table khơng Nếu có, chuỗi điều kiện sách VPD nối thêm vào câu truy vấn gốc, giúp lọc tập hàng liệu thỏa điều kiện VPD Cuối cùng, Oracle kiểm tra nhãn OLS hàng liệu có tập để xác định hàng mà người dùng truy xuất (xem hình minh họa bên dưới) Kiến trúc Oracle Label Security Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM Bảo Mật Hệ Thống Thông Tin Lab Giới thiệu Oracle Label Security  Oracle Label Security (OLS) sản phẩm thực dựa tảng công nghệ Virtual Private Database (VPD), cho phép nhà quản trị điều khiển truy xuất liệu mức hàng (row-level) cách tiện lợi dễ dàng Nó điều khiển việc truy xuất nội dung dòng liệu cách so sánh nhãn hàng liệu với nhãn quyền user Các nhà quản trị dễ dàng tạo thêm sách kiểm soát việc truy xuất hàng liệu cho CSDL giao diện đồ họa thân thiện người dùng có tên gọi Oracle Policy Manager packages xây dựng sẵn  Có package thực sẵn cho OLS:  SA_SYSDBA: tạo, thay đổi, xóa sách  SA_COMPONENTS: định nghĩa quản lý thành phần nhãn  SA_LABEL_ADMIN: thực thao tác quản trị sách, nhãn  SA_POLICY_ADMIN: áp dụng sách cho bảng schema  SA_USER_ADMIN: quản lý việc cấp phát quyền truy xuất quy định mức độ tin cậy cho user liên quan  SA_AUDIT_ADMIN: thiết lập tùy chọn cho tác vụ quản trị việc audit (Trong chương trình tìm hiểu cách làm việc với OLS thông qua package đầu package liệt kê trên)  Trong OLS, ta dùng sách (policy) để quản lý truy xuất Đối với sách, ta cần định tập nhãn để phân lớp liệu từ cao xuống thấp dựa theo mức độ nhạy cảm liệu (ngoài nhãn cịn có yếu tố khác mà ta bàn đến vào chi tiết) Các nhãn gọi nhãn liệu - “data label” Sau ta áp dụng sách lên bảng schema mà mong muốn bảo vệ Mỗi người dùng muốn truy xuất hàng liệu đó, hệ thống so sánh nhãn người dùng (user label) thời điểm với nhãn liệu để định có cho phép việc truy xuất hay không Năm bước thực OLS  Quy trình để thực sách OLS gồm bước sau:  B1: Tạo sách OLS  B2: Định nghĩa thành phần mà label thuộc sách có  B3: Tạo nhãn liệu thật mà bạn muốn dùng Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM Bảo Mật Hệ Thống Thông Tin Lab  B4: Gán sách cho table schema mà bạn muốn bảo vệ  B5: Gán giới hạn quyền, nhãn người dùng quyền truy xuất đặc biệt cho người dùng liên quan  Trong chương trình chúng ta, khái niệm đối tượng OLS giới thiệu theo thứ tự bước quy trình thực sách OLS để giúp bạn dễ theo dõi thực hành B Thực hành Cài đặt OLS  Cài đặt mặc định Oracle không bao gồm tính OLS Do phần hướng dẫn bạn cài đặt thêm tính OLS cho sở liệu có sẵn Bạn phải có quyền admin để thực việc cài đặt  Trong ví dụ minh họa bên dưới, tên (System Identifier Database - SID) sở liệu tồn có tên ORCL  Các bước cài đặt OLS: a Trước cài đặt, cần đảm bảo dịch vụ OracleService tắt Trong ví dụ minh họa đây, dịch vụ có tên OracleServiceORCL Để tắt dịch vụ này, chọn Start  Settings  Control Panel  Administrative Tools  Services Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM Bảo Mật Hệ Thống Thông Tin Lab b Chọn dịch vụ OracleServiceORCL nhấn chuột phải, chọn Stop để tắt dịch vụ c Sau tắt dịch vụ OracleServiceORCL, mở thư mục chứa chương trình cài đặt Oracle Database Enterprise Edition, nhấp đôi lên file setup.exe d Oracle Universal Installer khởi động: Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM Bảo Mật Hệ Thống Thông Tin Lab e Click chọn Advanced Installation cửa sổ Installation Method nhấn Next f Chọn Custom cửa sổ Select Installation Type nhấn Next g Ở cửa sổ Specify File Locations, nhập Global Database Name vào Home đường dẫn Oracle Home vào Path nhấn Next Thông thường, cài đặt Oracle, bạn không thay đổi giá trị mặc định vị trí cài đặt giá trị đường dẫn C:\oracle\product\10.2.0\db_1 Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM Bảo Mật Hệ Thống Thông Tin Lab h Trong cửa sổ Available Product Components đánh dấu vào ô Oracle Label Security i Các bước làm theo hướng dẫn cửa sổ hiển thị (cách làm giống trình cài đặt Oracle Database) Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM Bảo Mật Hệ Thống Thơng Tin Lab Cấu hình để sử dụng OLS a Chọn Start  Programs  Oracle-OraDb10g_home1  Configuration and Migration Tools  Database Configuration Assistant Cửa sổ chương trình hình bên Click Next để tiếp tục b Trong cửa sổ Step 1, chọn Configure Database Options click Next Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM Bảo Mật Hệ Thống Thông Tin Lab c Trong Step 2, chọn sở liệu mà bạn muốn cài đặt thêm OLS click Next d Trong Step 3, chọn Oracle Label Security click Next Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM Bảo Mật Hệ Thống Thông Tin Lab e Trong Step 4, đề mặc định chọn Finish f Lần lượt ô cửa sổ Restart Database Confirmation xuất hiện, nhấn OK cửa sổ g Sau chương trình cài đặt thành cơng, click No cửa sổ Database Configuration Assistant để thoát khỏi chương trình Kích hoạt tài khoản LBACSYS Để sử dụng OLS bảo vệ cho sở liệu, ta cần tạo sách (policy) quy định mức độ nhạy cảm liệu mức độ tin cậy người dùng liên quan Muốn tạo sách, ta phải đăng nhập tài khoản LBACSYS Tuy nhiên, mặc định tài khoản bị khóa Dùng đoạn lệnh sau để kích hoạt tài khoản CONN system/system; ALTER USER lbacsys IDENTIFIED BY lbacsys ACCOUNT UNLOCK; Chuẩn bị liệu  Để minh họa cho phần thực hành lab OLS, cần tạo trước số tài khoản, role  Thơng thường, ngữ cảnh mà liệu cần bảo vệ gồm thành phần:  Dữ liệu cần bảo vệ Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM 10 Bảo Mật Hệ Thống Thông Tin Lab  Chủ sở hữu liệu cần bảo vệ (user tạo chứa liệu cần bảo vệ schema mình)  User chịu trách nhiệm quản lý phép truy xuất đối tượng liệu cần bảo vệ  User chịu trách nhiệm quản lý sách bảo mật quy định sách  Trong phần thực hành, sử dụng đối tượng liệu thuộc schema HR (có sẵn cài đặt Oracle Database, chứa liệu quản lý nhân công tyHuman Resources) đối tượng liệu cần bảo vệ Nói cách khác, HR user tạo ra, quản lý sở hữu (về mặt nội dung) liệu cần bảo vệ Đổi mật cho schema HR: CONN system/system; ALTER USER hr IDENTIFIED BY hr ACCOUNT UNLOCK;  Tiếp theo, ta tạo user HR_SEC chịu trách nhiệm quản lý user phép truy xuất liệu schema HR: CONN system/system; GRANT connect, create user, drop user, create role, drop any role TO hr_sec IDENTIFIED BY hrsec;  Ta tạo user SEC_ADMIN chịu trách nhiệm quản lý sách bảo mật dành cho liệu HR CONN system/system; GRANT connect TO sec_admin IDENTIFIED BY secadmin;  Ta cần tạo user nhân viên công ty role cho nhân viên: CONN system/system; CREATE ROLE emp_role; GRANT connect TO emp_role; Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM 11 Bảo Mật Hệ Thống Thông Tin Lab Steven King (Tổng Giám đốc) CREATE USER sking IDENTIFIED BY sking; GRANT emp_role TO sking; Neena Kochhar (Giám đốc điều hành) CREATE USER nkochhar IDENTIFIED BY nkochhar; GRANT emp_role TO nkochhar; Karen Partner (Trưởng phòng Sales) CREATE USER kpartner IDENTIFIED BY kpartner; GRANT emp_role TO kpartner; Louise Doran (Nhân viên thuộc phòng Sales) CREATE USER ldoran IDENTIFIED BY ldoran; GRANT emp_role TO ldoran;  Vì HR người quản lý mặt nội dung liệu phòng nhân nên HR người cấp quyền xem liệu cho nhân viên: CONN hr/hr; GRANT select ON hr.locations TO emp_role; II Chính sách Oracle Label Security A Lý thuyết  Chính sách (policy) xem danh sách tập hợp thông tin nhãn liệu nhãn người dùng sách đó, quy định quyền truy xuất, điều kiện áp dụng sách Do để thực OLS cần phải tạo sách  Oracle cho phép tạo nhiều sách khác Một sách dùng để bảo vệ nhiều bảng schema Một bảng schema bảo vệ nhiều sách khác Khi đó, người dùng muốn truy xuất liệu bảng phải thỏa mãn quy định tất sách áp dụng cho bảng  Với sách áp dụng bảng, cột dùng để lưu thơng tin nhãn liệu (data label) sách cho hàng bảng thêm vào bảng Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM 12 Bảo Mật Hệ Thống Thông Tin Lab Mọi bảng có áp dụng chung sách có cột thơng tin với tên cột giống Vì vậy, tạo sách, ta phải quy định tên cột cho sách tên phải tồn sách OLS CSDL Ví dụ: sách A quy định tên cột chứa thông tin B Như với bảng có áp dụng sách A, Oracle thêm vào cột có tên B dùng để lưu nhãn liệu tương ứng với sách A cho dịng liệu bảng  Các cột chứa thơng tin sách bảng có kiểu NUMBER Thơng tin nhãn liệu lưu cột số đại diện cho nhãn gọi tag (sẽ giới thiệu kỹ phần sau)  Chúng ta sử dụng package SA_SYSDBA để quản lý sách SA_SYSDBA bao gồm thủ tục (procedure) sau:  SA_SYSDBA.CREATE_POLICY: tạo sách  SA_SYSDBA.ALTER_POLICY: thay đổi điều kiện áp dụng sách  SA_SYSDBA.DISABLE_POLICY: làm cho quy định sách tạm thời khơng có hiệu lực liệu có áp dụng sách  SA_SYSDBA.ENABLE_POLICY: kích hoạt sách để quy định sách đối tượng liệu mà bảo vệ có hiệu lực Mặc định tạo ra, sách kích hoạt  SA_SYSDBA.DROP_POLICY: xóa bỏ sách tất nhãn người dùng, nhãn liệu liên quan khỏi sở liệu B Thực hành  Ta dùng procedure SA_SYSDBA.CREATE_POLICY để tạo sách Quyền thực thi thủ tục cấp mặc định cho LBACSYS Trong phần thực hành sau ta tạo sách dùng để điều khiển truy xuất đến bảng LOCATIONS HR với tên gọi “ACCESS_LOCATIONS” có cột chứa nhãn tên “OLS_COLUMN” CONN lbacsys/lbacsys; BEGIN SA_SYSDBA.CREATE_POLICY ( policy_name => 'ACCESS_LOCATIONS', column_name => 'OLS_COLUMN'); END; / Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM 13 Bảo Mật Hệ Thống Thơng Tin  Lab Khi sách tạo ra, Oracle tự động tạo role quản trị riêng cho sách gán role cho LBACSYS Tên role có dạng “_DBA” Ví dụ, sách vừa tạo role tương ứng có tên ACCESS_LOCATIONS_DBA Thơng thường LBACSYS có nhiệm vụ chung tạo sách, có người khác chịu trách nhiệm quản lý sách Cụ thể ngữ cảnh thực hành chúng ta, SEC_ADMIN user chịu trách nhiệm quản lý sách, trì hoạt động HR_SEC định quyền truy xuất liệu schema HR user khác dựa mức độ tin cậy họ  Để SEC_ADMIN quản lý trì hoạt động sách, ta cần cấp cho user role quản trị sách quyền thực thi package liên quan: CONN lbacsys/lbacsys; GRANT access_locations_dba TO sec_admin; Package dùng để tạo thành phần nhãn GRANT execute ON sa_components TO sec_admin; Package dùng để tạo nhãn GRANT execute ON sa_label_admin TO sec_admin; Package dùng để gán sách cho table/schema GRANT execute ON sa_policy_admin TO sec_admin;  Để HR_SEC quản lý việc truy xuất user, ta cần cấp cho user role quản trị sách quyền thực thi package liên quan: CONN lbacsys/lbacsys; GRANT access_locations_dba TO hr_sec; Package dùng để gán label cho user GRANT execute ON sa_user_admin TO hr_sec; Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM 14 Bảo Mật Hệ Thống Thông Tin  Lab Lưu ý: user quản lý sách, ta cấp cho user quyền thực thi package tương ứng Tuy nhiên có quyền chưa phải điều kiện đủ để user quản lý sách Nếu muốn user quản lý sách nào, ta cần gán thêm role quản trị sách cho user Như quyền mà user cấp có tác dụng sách mà user gán role quản trị Tạo policy không gán role CONN lbacsys/lbacsys; BEGIN sa_sysdba.create_policy (policy_name => 'Different_Policy'); END; / /*** Thử quản lý policy tạo Nhưng bị thất bại sec_mgr khơng gán role cần thiết.**/ CONN sec_admin/secadmin; BEGIN sa_components.create_level (policy_name => 'Different_Policy', long_name => 'foo', short_name => 'bar', level_num => 9); END; / BEGIN * ERROR at line 1: ORA-12407: unauthorized operation for policy Different_Policy  Ta dùng SA_SYSDBA.DROP_POLICY để xóa sách 'Different_Policy' trên: Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM 15 Bảo Mật Hệ Thống Thông Tin Lab CONN lbacsys/lbacsys; BEGIN sa_sysdba.drop_policy (policy_name => 'Different_Policy', drop_column => true); END; / III Bài tập Tạo user ols_test cấp quyền để user truy cập vào hệ thống Cấp quyền thực thi gói thủ tục cần thiết để user quản lý sách Tạo sách region_policy với tên cột sách region_label Thực lệnh cần thiết để ols_test trở thành người quản lý sách Disable thủ tục tạo câu Sau enable lại Chương Trình Đào Tạo Từ Xa KH & KT Máy Tính – Đại học Bách Khoa TP.HCM 16 ... Máy Tính – Đại học Bách Khoa TP.HCM Bảo Mật Hệ Thống Thông Tin Lab Giới thiệu Oracle Label Security  Oracle Label Security (OLS) sản phẩm thực dựa tảng công nghệ Virtual Private Database (VPD),.. .Bảo Mật Hệ Thống Thông Tin Lab Oracle thực mơ hình MAC lý thuyết thành sản phẩm Oracle Label Security (OLS) Tuy nhiên, mơ hình MAC lý thuyết tuân... TP.HCM Bảo Mật Hệ Thống Thông Tin Lab h Trong cửa sổ Available Product Components đánh dấu vào ô Oracle Label Security i Các bước làm theo hướng dẫn cửa sổ hiển thị (cách làm giống trình cài đặt Oracle