知识大全细粒度访问原则

Posted 2022-07-16 事件

篇首语：积土而为山，积水而为海。本文由小常识网(cha138.com)小编为大家整理，主要介绍了知识大全细粒度访问原则相关的知识，希望对你有一定的参考价值。

　　　　分区细粒度访问控制　　　例如:在一个控制环境中这个特性被用来控制两个公司对sales表的访问每一个公司拥有的独立的应用程序sell_it和prod_opt 需要拥有不同的安全策略第一个公司的sell_it应用程序认证的用户需要只能访问表中来自他们相同地区的记录;那就是sales cust_id+untry的联合校验必须符合这个用户的地区相吻合第二个公司的prod_opt应用程序的访问权限被设置为只能访问最近事务提交的记录上也就是与sales time_id相关联在 i中在一个细粒度访问控制中拥有这两个策略将需要开发公司共同协作部署如果两个产品来自竞争的两个公司这实际上是不可行的依靠定义应用程序设置来强行控制对基本objects的一些特殊规定每一个应用程序现在能够实现一系列私有的安全策略　　二:细粒度审计　　　　一个提供扩展的入侵检测捕获sql执行语句而不是返回数据的工具　　　　可以将审计策略捆绑在带有where条件的select语句的表或视图上　　　　 oracle用自治事务来处理用户自定义的审计事件　　　　一个基于列的审计特性减少了错误审计的发生　　　数据库管理系统中的审计经常被用来监控数据的访问审计纪录是验证违反数据访问权限的基础新的细粒度审计机制从事于执行更细小级别的审计　　　新的审计原则是基于简单的用户定义关于表的查询条件的sql谓词谓词可以在当查询结果中返回了指定的值得时候进行审计　　　在基于查询值的审计中也有一些情形下管理员只关心某一个特定的被引用和访问列情况因为无论一个列的查询审计发生在dml的任何部分都可以进行审计所以oracle对这个查询的审计将不存在任何问题　　　在 i中审计项只能被设置用来监控对对象的访问权只有一些固定的情况比如用户id 时间戳对象名称会被记录在审计跟踪里　　　细粒度审计可以调用一个存储过程来作为审计过程的一部分　　　　　　　　　　　　　如何进行细粒度审计　　　　安全管理员用dbms_fga包来为有问题的表建立审计原则　　dbms_fga add_policy() dbms_fga enable_policy() dbms_fga disable_policy() dbms_fga drop_policy() 　　　　PROCEDURE ADD_POLICY 　　参数名称　　　　　　　　　　　类型　　　　　　　　　　输入/输出默认值？　　 OBJECT_SCHEMA　　　　　　　　　VARCHAR 　　　　　　　　IN　　 DEFAULT 　　 OBJECT_NAME　　　　　　　　　　VARCHAR 　　　　　　　　IN 　　 POLICY_NAME　　　　　　　　　　VARCHAR 　　　　　　　　IN 　　 AUDIT_CONDITION　　　　　　　　VARCHAR 　　　　　　　　IN　　 DEFAULT 　　 AUDIT_COLUMN　　　　　　　　　 VARCHAR 　　　　　　　　IN　　 DEFAULT 　　 HANDLER_SCHEMA　　　　　　　　 VARCHAR 　　　　　　　　IN　　 DEFAULT 　　 HANDLER_MODULE　　　　　　　　 VARCHAR 　　　　　　　　IN　　 DEFAULT 　　 ENABLE　　　　　　　　　　　　 BOOLEAN　　　　　　　　 IN　　 DEFAULT 　　　　PROCEDURE DISABLE_POLICY 　　参数名称　　　　　　　　　　　类型　　　　　　　　　　输入/输出默认值？　　 OBJECT_SCHEMA　　　　　　　　　VARCHAR 　　　　　　　　IN　　 DEFAULT 　　 OBJECT_NAME　　　　　　　　　　VARCHAR 　　　　　　　　IN 　　 POLICY_NAME　　　　　　　　　　VARCHAR 　　　　　　　　IN 　　　　PROCEDURE DROP_POLICY 　　参数名称　　　　　　　　　　　类型　　　　　　　　　　输入/输出默认值？　　 OBJECT_SCHEMA　　　　　　　　　VARCHAR 　　　　　　　　IN　　 DEFAULT 　　 OBJECT_NAME　　　　　　　　　　VARCHAR 　　　　　　　　IN 　　 POLICY_NAME　　　　　　　　　　VARCHAR 　　　　　　　　IN 　　　　PROCEDURE ENABLE_POLICY 　　参数名称　　　　　　　　　　　类型　　　　　　　　　　输入/输出默认值？　　 OBJECT_SCHEMA　　　　　　　　　VARCHAR 　　　　　　　　IN　　 DEFAULT 　　 OBJECT_NAME　　　　　　　　　　VARCHAR 　　　　　　　　IN 　　 POLICY_NAME　　　　　　　　　　VARCHAR 　　　　　　　　IN 　　 ENABLE　　　　　　　　　　　　 BOOLEAN　　　　　　　　 IN　　 DEFAULT 　　　　　　用表dba_audit_policies来列出已定义的原则　　　　用表dba_fga_audit_trail来放置审计纪录这个表包括触发审计的用户名 SQL语句　　　　　审计名称会话ID号时间戳和其他一些属性　　　　管理员可以定义审计事件处理器来处理发生的时间比如像管理员传送警告页　　　　下面列举一个新的细粒度原则的例子从这个例子我们可以看出 I细粒度审计原则与 I的区别　　如果我们的原则设为:AUDIT_CONDITION= SALARY> 　　这个时候我们看一下我们执行　　SELECT last_name salary FROM employees WHERE last_name = Russell 　　尽管我们选择的查询条件中没有包含SALARY列但是由于我们的对SALARY列进行查询如果RUSELL的SALARY值大于那么这条记录将被审计　　审计纪录如下　　 SELECT LAST_NAME SALARY FROM EMPLOYEES WHERE LAST_NAME= RUSSELL <TIMESTAMP> <SCN> 　　<USERNAME> 　　如果我们执行　　SELECT LAST_NAME SALARY FROM EMPLOYEES WHERE SALARY< 　　那么尽管这条语句访问查询了SALARY列但是由于他访问的值未达到审计阀值那么将不被审计　　　　细粒度审计只对一个有WHERE条件的SELECT语句有效并且只能设定一个被审计的列　　　　上面的查询语句触发的事件不是造成用户无法查询到这些语句这些SALARY> 实际上被返回　　给查询用户但是同时一个审计事件被写到审计跟踪里包括完整的SQL语句时间戳等信息　　　　细粒度审计并不自动的捕获返回给查询用户的查询结果但是你可以用细粒度审计原则结合闪回　　查询重建返回给用户的纪录　　　　细粒度审计能够实现数据库系统的入侵监测功能例如开发人员可以为一个审计增加一个事件处理器来通知管理员是否有被审计的事件发生非SQL的访问是不被审计的例如:如果你使用DIRECT PATH EXPORT 这种方式绕过了数据库的SQL层审计条件将不被触发　　　　　　　　　　　　细粒度审计事件处理器　　　　　　　　　　　　　如何创建　　 CREATE PROCEDURE catchlog (schema_name VARCHAR table_name VARCHAR policy VARCHAR ) 　　　AS BEGIN 　　　 send an alert note to my pager 　　　UTIL_ALERT_PAGER( CatchLog: ||Table_name||SYSDATE); 　　　END; 　　　/ 　　　如何添加　　　DBMS_FGA ADD_POLICY ( HANDLER_SCHEMA=> HRMGR HANDLER_MODULE=> CATCHLOG ); 　　细粒度审计事件处理器总结: 　　　在上面的例子中用户HRMGR创建了一个存储过程CATCHLOG 参数的类型和我们的例子必须　　一致但是名字可以改变　　　　审计事件处理器的添加需要一个拥有权限的用户　　　　当第一个我们关心的行被取得时审计事件纪录将被记录并存放下来审计函数HRMGR CATCHLOG 　　被调用　　　　 cha138/Article/program/Oracle/201311/16647

知识大全 细粒度访问原则

知识大全细粒度访问原则