оракл нидерланд б.в. решения Oracle в области управления идентификацией и доступом пользователей

1. 1

2. <Insert Picture Here>
Решения Oracle в области управления идентификацией и
доступом пользователей к различным информационным
ресурсам компании
Артём Воевода
Старший консультант
Oracle в Украине и Молдове

3. Стратегия Oracle
Решения Oracle в информационной
безопасности
=
Технологии мирового уровня
+
Знание и учет национальной специфики
Опора на компании (партнеры Oracle), обладающие полномочиями по
выполнению работ, связанных с обеспечением информационной
безопасности
-Системные интеграторы
-Компании – разработчики программного обеспечения
-Центры компетенции по информационной безопасности
3

4. Концепция «Защищенное предприятие»
Интегрированная безопасность:
• Информационная безопасность данных
• Управление учетными записями и правами доступа
пользователей
• Обеспечение совместимости с требованиями
законодательства
• Обеспечение непрерывности бизнеса
4

5. Oracle:
Защищенное
предприятие
5

6. Identity&Access Management
Управление рисками
Обеспечение Обеспечение
соответствия конфиденциальности
законам данных
и нормативным
актам
Снижение затрат
6

7. Где мы?
Традиционная архитектура Низкий уровень
Пользователи безопасности и
высокая стоимость
управления:
• Приложения
Приложение Приложение Приложение Приложение разрозненны, их
разработка сложна
• Политики доступа не
унифицированы,
пользователи имеют
излишние привилегии
LDAP или СУБД LDAP или СУБД LDAP или СУБД LDAP или СУБД • Id данные пользователей
дублируются, высокая
ID пользователей
для Аутентификации
ID пользователей
для Аутентификации
ID пользователей
для Аутентификации
ID пользователей
для Аутентификации трудоемкость
& Авторизации & Авторизации & Авторизации & Авторизации
администрирования,
«мертвые души»
Администраторы Администраторы Администраторы Администраторы • Аудит фрагментирован
7

8. Что делать?
Пора наводить порядок! • Централизованное
Пользователи
хранение и управление
всеми Id данными
пользователей
• Централизованное,
основанное на политиках,
Приложения Приложения Приложения Приложения
управление авторизацией
и аутентификацией
• Централизованный аудит,
информация сохраняется в
БД, анализ и отчетность по
аудиту
• Однократная регистрация
• Быстрая разработка и
ID пользователей для внедрение приложений
Аутентификации &
Авторизации
• Облегчение жизни
Администраторы Единые политики
безопасности пользователям
8

9. Продукты Oracle IAMS
Контроль Администрирование Службы
доступа идентифик. данных каталогов
Oracle Access Manager
Oracle Adaptive
Access Manager Oracle Virtual Directory
Oracle Identity Manager
Oracle Enterprise (OIM)
Single Sign-On Oracle Internet Directory
Oracle Identity Oracle Role Management (ORM) (with Directory
Federation Integration Platform)
Oracle Web Services
Manager
Аудит и контроль соответствия требованиям ИБ
Oracle Identity & Access Management Suite
Управление
Oracle Enterprise Manager for Identity Management
9

10. Поддержка стандартов
•Identity Management Standards
• SAML XACML Liberty ID-FF
• SPML WS-Fed X.509, etc.
•Security Standards
• XKMS XML-SIG PKCS
WSS XML-ENC TLS
PKI SSL S/MIME
LDAP SHA-1 AES
Kerberos RADIUS
•Platform and Integration Standards
• WSDL SOAP WSRP
• Oracle Jdeveloper JSR-115
• Oracle BPEL Designer JCP
• Oracle TopLink and ADF
•Web Services Standards
• WS-Security WS-Policy WS-Fed WS-Trust
10

11. Поддерживаемые системы
Порталы Сервера приложений / Web-сервера
Приложения Средства коллективной работы
Каталоги Операционные системы
ACF-2 & TSS RACF
11

12. <Insert Picture Here>
Управление доступом
12

13. Oracle Access Manager
WebGate
App Servers
Single Sign-on to App Server
Enterprise Applications Connector
WebGate
Secure Protocol over SSL
Delegated
Admins
Authn API Packaged eBusiness Apps
Web Servers
Authz API
Users Policy Manager API
Secure Access Manager
Protocol over SSL SDK Portals
Access Server
LDAP over SSL
Delegated WebPass
Admins
LDAP Static HTML content
Directory
IdentityXML
API
Users
ID Event Plug-in
Web Server API
DMZ Identity Server
13

14. Что дает Oracle Access Manager?
• Единая точка доступа к Web-ресурсам
• Однократная аутентификация для Web-ресурсов
• Интеграция с существующими системами защиты
• Управление паролями
• Risk-based authentication, защита от мошенничества
14

15. Oracle Adaptive • Взаимная аутентификация с
помощью настраиваемых
Strong Authenticator представлений
• Виртуальный аутентификатор
защищает пароли, PINы и
ответы на ключевые вопросы
от перехвата с помощью
журналирования, фишинга и
программ оптического
распознавания
• Случайное расположение
аутентификатора на экране
пользователя
15

16. Oracle Enterprise Single-Sign-On
Oracle eSSO Suite Oracle eSSO
Oracle eSSO Oracle Identity
Management Provisioning
Password Reset Manager (OIM)
Console Gateway
Directory,
Domain, Windows
Database
Password
Web Sites
PKI Oracle eSSO
Mainframes
Logon Manager (OS390, AS400)
Oracle eSSO
Authentication
Biometrics Manager Java
Oracle eSSO
Kiosk Manager Extranet
& Portal
Token/ Smart card
User Auth User’s Desktop Application Sign-On
16

17. Oracle Enterprise Single Sign-On
Сервера приложений
Сервер Сервер политики
аутентификации единой точки входа
пароль
PKI
биометрия Mainframe
смарт-карты
токены
Unix Windows
Автоматический вход
Рабочие станции пользователей Базы Web-
данных серверы
17

18. Что дает Oracle Enterprise Single-Sign-
On?
• Пользователю необходимо знать ОДИН пароль
• Пользователь вводит пароль ОДИН раз и получает
доступ к необходимым ресурсам
• Интеграция со смарт-картами и токенами
• Готовая поддержка большинства приложений,
быстрая интеграция с нестандартными приложениями
• Не требует изменений существующей ИТ-
инфраструктуры
• Интегрируется с Oracle Identity Manager
18

19. <Insert Picture Here>
Управление учетными
данными
Служба каталогов
Управление и аудит
19

20. Oracle Identity Manager
20

21. Основные возможности OIM
• Гибкое управление потоками работ и политиками
доступа
• Согласование учетных данных
• Отчетность и аудит
• автоматический сбор информации о пользователях
(включая их текущие и прошлые привилегии доступа)
и ресурсах (кто имеет или имел к ним доступ)
• хранить данные о действиях администраторов OIM
• Аттестация
21

22. Основные возможности OIM
• Самостоятельное управление с помощью панели веб-
администрирования позволяет конечным
пользователям:
• просматривать, контролировать и обновлять
данные собственных профилей (включая пароли)
для ресурсов, управление которыми им разрешено
• проводить идентификацию пользователя с
помощью настраиваемых вопросов
• запрашивать создание учетных записей и
предоставление привилегий
• просматривать и утверждать поступившие запросы
• Делегированное администрирование
• Поддержка целевых систем
22

23. Oracle Identity Manager
23

24. ОТДЕЛ
Oracle Identity Manager КАДРОВ
глобальные ORACLE
РОЛИ В ОРГАНИЗАЦИИ ГЛОБАЛЬНЫЕ
учетные членство
(ГЛОБАЛЬНЫЕ ГРУППЫ) ПОЛИТИКИ IDENTITY
записи OIM
MANAGER
ПОЛИТИКИ ДОСТУПА ПОЛИТИКИ ДОСТУПА ПОЛИТИКИ ДОСТУПА
создание учет-
создание учет-
создание учет-
полномочиям
ных записей
ных записей
ных записей
привязка к
к группам
К ORACLE DB К MS AD К еBS
привязка
привязка
к ролям
ОБРАЗ ОБРАЗ ОБРАЗ
РЕСУРСА РЕСУРСА РЕСУРСА
роль группа полно-
членство ORACLE членство MS AD членство еBS
Oracle AD мочия
DB
информация о
полномочиях
информация
информация
создание учет-
создание учет-
создание учет-
полномочиям
ных записей
ных записей
ных записей
о группах
о ролях
привязка к
к группам
привязка
привязка
к ролям
ЦЕЛЕВЫЕ
СИСТЕМЫ
роль права группа права полно- права
членство доступа членство доступа членство доступа
Oracle AD мочия
учетные учетные учетные
записи записи записи
Oracle dB ресурс MS AD ресурс eBS ресурс
24

25. Документооборот Oracle Identity Manager
Управление
Сотрудник
персоналом
Информационная
система HR
Руководитель
сотрудника
ие
Внесение
ан
сведений о
ив
уж
сотруднике
сл
об
о
ам
/С
ос
е
вани
ласо
пр
/ С ог
За
Запр ос
Подразделение ИБ
Identity
Задание на выполнение операции Management Согласование
Согласование Центр развития I AM
Владелец
информацион -
ного ресурса
Контроль и управление
Системный
администратор
Выполнение задания
Информационный ресурс
25

26. Отказоустойчивость OIM
26

27. Что дает Oracle Identity Manager?
• Управление жизненным циклом ролей на основе бизнес-
потребностей
• Управление ролевым доступом в соответствии с должностными
обязанностями
• Разделение / делегирование полномочий
• Управляющий документооборот
• Контроль действий администраторов целевых систем
• Отчетность (оперативная / историческая)
• Выявление «сиротских» учетных записей
• Самообслуживание пользователей
• Проверка неизбыточности полномочий пользователей
• Отказоустойчивая архитектура
27

28. Virtual Directory
28

29. Что дает Oracle Virtual Directory?
• Универсальное представление данных из различных
источников в виде LDAP-каталога;
• Нет необходимости синхронизации данных между
источниками
29

30. Enterprise Manager
London
• Мониторинг
сервисов с точки
зрения пользователя
Paris
• Системный
Service мониторинг
(контроль SLA, KPI)
30

31. <Insert Picture Here>
Защита конфиденциальных документов.
Oracle Information Rights Management
Артем Воевода
Старший консультант
Oracle в Украине и Молдове

32. <Insert Picture Here>
Что такое и для чего нужен
Oracle Information Rights
Management
32

33. Два типа информации:
Структурированная и неструктурированная
Структурированная –> 10-20% Неструктурированная –> 80-90%
Business Intelligence
Data Mining
Data Warehousing
...
Database Database
33

34. Oracle Information Rights Management
(Унаследовано от Stellent/SealedMedia – Декабрь 2006)
 Безопасность и контроль конфиденциальных
документов в любом месте, где бы они не
находились, внутри сети или за межсетевым экраном!
- Обширная инсталляционная база – более 1000 организаций
- Используется в самых различных проектах в разных
областях
34

35. Обеспечение безопасности с помощью
Information Rights Management
 Безопасность и аудит работы
с информацией, где бы она Зачем?
• В реальности информация
не находилась (information покидает привычные
centric security) границы
- Только авторизованные
пользователи могут открывать и • Безопасность является
модифицировать содержимое критичным фактором
 Расширение безопасности за • Сотрудники приходят и уходят
привычные рамки • Есть контракторы
- Online и offline использование
• Использование аутсорсинга
 Централизованный отзыв
• Соответствие меняющимся
доступа
требованиям
 Встроенная интеграция с
• Изменение бизнес-отношений
Oracle UCM
35

36. <Insert Picture Here>
Как работает
Oracle Information Rights
Management
36

37. Принципы работы Oracle IRM
 Все документы шифруются (seal)
 Ключи расшифровки находятся на сервере
 Для доступа к ключам/серверу
необходимо пройти аутентификацию
 Клиентские приложения (MS Word, Adobe
Acrobat Reader и т.д.) работают под
управлением агента Oracle IRM, который
гарантирует работу пользователя с
документом в соответствии с его
полномочиями
37

38. Как работает Oracle IRM
Управление классификацией, правами и аудитом
Автор
Редактор
Рецензент
Запечатывание и Передача через
Oracle IRM Desktop классификация email, web, file
документов и писем shares, IM, USB,
DVD, и т.д.
Читатель
Oracle IRM Server
Администратор
Бизнес-менеджер Аудит
Автоматическая Oracle IRM Desktop
синхронизация
прав / аудит действий
Oracle IRM Standard Rights Model Безопасный
offline cache
Oracle IRM Management Console
Корпоративная аутентификация,
службы каталогов, системы CRM и т.д.
38

39. Журнал аудита
Contributor IRM Desktop
r
IRM Unseale
Server
[]
Web
Server
SMTP
Server
Reader
IRM Management
Console
Context Manager
39

40. Пример использования Oracle IRM
в корпоративной сети
Сеть общего пользования DMZ Локальная сеть
(демилитаризованная
зона)
IRM Desktop ODBC High-availability
F F database
I I
R R
E E
W HTTP:80 IRM HTTP:80 W HTTP:80
Server
A A email
HTTP:80
L HTTPS 443
Web
HTTPS 443 L
HTTP:80
Server
HTTP:80
L email SMTP email L Внутренние пользователи и администраторы
email Server
Внешние пользователи
IRM Desktop IRM Management
Console
40

41. Oracle IRM: Поддержка приложений
 Microsoft Office 2000-2007 (Word, Excel, PowerPoint)
 Adobe Acrobat или Reader 6.0+
 Email: Microsoft Outlook 2000-2007, Lotus Notes 6.5+ и Novell
GroupWise 6.5-7.0
 Email: BlackBerry for Exchange and Domino, BES 4.1+
 HTML и XML (Internet Explorer 6.0+)
 .TXT и .RTF документы
 GIF, JPEG и PNG
 TIFF и 2D CAD (требует соответствующих программ просмотра)
41

42. Oracle IRM на практике
Лёгкость использования
«Запечатывание и
отправление» email из
стандартных
клиентских приложений
Создание и использование
«запечатанных» документов из
стандартных настольных
приложений
Автоматическая
Правая кнопка мышки синхронизация прав для
«запечатать» из работы offline
Windows Explorer
42

43. Что позволяет сделать Oracle IRM
Использование Oracle IRM позволяет:
 Исключить неавторизованный доступ ко всем документам
(копиям)
 Только те пользователи, чьи полномочия позволяют это,
могут открывать/редактировать эти документы (копии)
 Все попытки доступа к документам централизованно
регистрируются, и по результатам делаются отчёты
 Доступ ко всем копиям может быть в любое время
централизовано изъят
 Можно управлять использованием версий документов
 Управление и контроль являются сквозными и легко
преодолевают границы периметра безопасности
43

44. IRM: Интеграция в инфраструктуру
Аутентификация
 Аутентификация на сервере Oracle IRM по имени и паролю
 Синхронизация с LDAP (Oracle IRM Directory Gateway):
• Microsoft LDAP
• Sun ONE Directory Server
• iPlanet
• Lotus Notes Domino
 Аутентификация через Web
(Oracle IRM Web Service SDK с поддержкой SOAP/WSDL)
Интеграция в приложения (с помощью Oracle IRM API)
Примеры:
 Автоматическое «запечатывание», встроенное в собственный
документооборот
 Автоматическое «запечатывание» и «распечатывание» файлов,
покидающих или попадающих в хранилище
 Временное «распечатывание» для полнотекстового индексирования
44

45. Oracle IRM: Криптографическая защита
 Oracle Information Rights Management использует
стандартные криптографические алгоритмы для:
Шифрования и цифровой подписи документов
и электронных сообщений - «запечатывание».
Обычно это повышает размер файла менее
чем на 1%.
Защиты сетевых телекоммуникаций между
сервером и агентами Oracle IRM
Для защиты прав доступа на агенте Oracle IRM
Для работы с контрольными суммами
программных компонент Oracle IRM
45

46. IRM: Криптография и безопасность
 Используются криптографические алгоритмы:
 Шифрование AES 128-бит для тел документов
 RSA 1024-бит для обмена ключами и цифровых подписей
 Tiger Hash message digest для контрольных сумм
 В следующей версии – поддержка Microsoft CryptoAPI
 Дополнительная защита:
 Низкоуровневый контроль вызовов функций OS
 Поддержка доверенных часов
 Незащищённая информация никогда не пишется на диск
46

47. <Insert Picture Here>
Как внедрять в
корпоративной системе
Oracle Information Rights
Management
47

48. Контексты безопасности
 Управление правами доступа сотен пользователей к
тысячам документов непрактично
• Существенно управлять группами документов и пользователей
 Контекст безопасности является определяющим
• Наборы связанных документов
• Люди и группы, которые используют эти документы
• Роли, которые имеют пользователи на доступ к этой информации
 Контекст безопасности основан на классификации по теме
или уровне секретности
• Темы: Документы руководства, Проект «Моби-Дик», Объявления по
компании
• Уровень секретности: Top Secret, Code Red, Level 1, 2, 3
48

49. Стандартные роли на доступ к
информации
 Oracle IRM определяет стандартный набор ролей
 Роли могут быть связаны с отдельными пользователями,
группами и контекстами (типами информации)
 Oracle IRM определяет 4 административные роли:
49

50. Управление на основе классификации
прав (корпоративное использование)
 Oracle IRM управляет доступом к
информации на основе:
• Существующих бизнес-процессов, таких Класс: «Информационное табло»
как «Информационное табло»
Documents Roles
• Существующих классификаций Contributor
информации, таких как Sales strategy
Open Print Edit
«Конфиденциально» Q3 Figures.sxls
Reviewer
Open Comment
• Существующих ролей пользователей, Reader
Руководитель
таких как «Рецензент» 2008 Business
Plan.sppt
ACME competitive
review.sdoc
Open
• Существующих групп пользователей в
корпоративном каталоге, таких как Класс: «Корпоративные объявления»
«Бухгалтерия» Documents Roles
 Oracle IRM позволяет легко внедрить Contributor
Open Print Edit
Начальник
криптографическую защиту в New customers Sales pipeline.sxls
отдела кадров
Reviewer
корпоративной системе Open Comment
Reader
Health+Safety HR procedures.spdf Open Сотрудники
 Теперь и конечные пользователи, и
Issues.sdoc
администраторы способны понимать и
управлять всей системой!
50

51. Oracle IRM: Стандартная модель прав
 Сразу в базовой поставке есть
«Стандартная модель прав»
•Это - Web-приложение –
помощь администраторам IT и
бизнес-подразделений в
применении наилучших практик
•Шаблоны классификаций и
ролей, уведомлений
электронной почты,
справочники и учебники
•Расширяемость с 50 до
100,000+ пользователей
51

52. Почему заказчики выбирают Oracle IRM
 Oracle Information Rights Management предоставляет разумный
компромисс между Безопасностью, Удобством использования, и
Управляемостью
 Безопасность
• Документы и электронные письма остаются защищёнными: и неважно,
сколько сделано копий и где они
• Доступ к документам протоколируется, а права доступа можно изъять в
любое время: даже для копий, покинувших организацию
 Удобство использования
• Так же легко, как и использование незащищённых документов и писем
• Просто немного расширяются возможности обычных средств: Microsoft
Word, PowerPoint, Excel, Outlook, Lotus Notes, Adobe Reader, и т.д.
• Нет необходимости в обновлении: поддерживаются текущие и
устаревшие операционные системы и приложения
 Управляемость
• Интуитивное, основанное на политиках корпоративное управление:
миллионы документов и писем + тысячи пользователей
• Быстрое внедрение: легко масштабируется для использования в
инфраструктуре любой организации
52