Oracle, sécurité

Stage pratique de 4 jour(s)
Réf : ORQ
Oracle, sécurité
Participants
OBJECTIFS
Administrateurs de bases
de données Oracle
10g, ou Oracle 11g.
Administrateurs système
et aux administrateurs
d'applications.
Ce cours d'administration vise à pointer les faiblesses pouvant compromettre le système Oracle, ainsi que les
solutions fournies par l'éditeur afin d'y remédier. Les stagiaires verront, entre autres, l'authentification, SSL,
Kerberos, les wallets, les privilèges et les rôles, le chiffrement des sauvegardes, le filtrage des connexions, la
protection contre les injections SQL, etc.
Pré-requis
Connaissances de
base de l'administration
d'Oracle 10g/11g. Ou
connaissances équivalentes
à celles apportées par
les stages "Oracle11g,
administration" (réf.
ORA) ou "Oracle10g,
administration" (réf. OAM).
Bonnes connaissances du
langage PL/SQL. Expérience
requise sur l'utilisation du
SGBD en environnement
Windows ou Linux.
1) Introduction et rappels
2) Authentification des utilisateurs
3) Autorisations et autorisations renforcées
4) Chiffrement
5) Audit et audit fin
6) Utilisation d'annuaire LDAP
7) Fortification du système
1) Introduction et rappels
- Architecture d'applications et menaces.
- Panoplie des solutions fournies par Oracle
- Authentification des administrateurs.
Travaux pratiques
Mise en oeuvre d'OEM Database Control. Configuration de l'authentification des administrateurs.
2) Authentification des utilisateurs
Eligible DIF
- Authentification par mot de passe (Oracle).
- Authentification par le système d'exploitation.
- Utilisation de magasins de mots de passe.
- Authentification forte par SSL.
- Authentification forte par Kerberos.
- Authentification forte par RADIUS.
- Utilisation des Database Links.
Travaux pratiques
Utilisation des différentes formes d'authentification.
3) Autorisations et autorisations renforcées
- Privilèges système.
- Privilèges objet.
- Droits d'exécution des traitements stockés.
- Utilisation des vues.
- Utilisation des contextes d'application.
- Virtual Private Databases (VPD). Règles de contrôle.
Travaux pratiques
Contrôle et sécurisation des privilèges octroyés, utilisation de contextes d'applications,de vues paramétrées.
4) Chiffrement
- Chiffrement transparent des colonnes (Oracle 10g).
- Chiffrement transparent des tablespaces (Oracle 11g).
- Chiffrement des sauvegardes par Data Pump et RMAN.
Travaux pratiques
Implémentation des différents dispositifs de chiffrement.
5) Audit et audit fin
- Introduction à l'audit : destinations et protection.
- Configuration de l'audit standard et de l'audit fin.
- Audit par triggers.
Travaux pratiques
Configuration et activation de l'audit standard, orientation de la destination vers SYSLOG, utilisation de l'audit
fin.
6) Utilisation d'annuaire LDAP
- Inscription d'une base dans un annuaire LDAP.
- Authentification globale des utilisateurs.
- Utilisateurs d'entreprise SSO (Single Sign On).
- Utilisation de schémas partagés.
- Configuration du réseau et résolution de nom par LDAP.
Travaux pratiques
ORSYS, La Grande Arche, Paroi Nord, 92044 Paris La Défense cedex. Tél : +33 (0)1 49 07 73 73. Fax : +33(0)1 49 07 73 78
page 1
Configuration du réseau par LDAP, configuration d'utilisateurs d'entreprise.
7) Fortification du système
- Filtrage des connexions et protection du listener.
- Audit de la sécurité par EM.
- Contrôle d'accès aux services réseau.
- Utilisation des bibliothèques partagées.
- Injection SQL et utilisation de SQL dynamique.
Travaux pratiques
Filtrage des connexions, Utilisation de l'audit de sécurité par OEM, Injection SQL et test des solutions.
ORSYS, La Grande Arche, Paroi Nord, 92044 Paris La Défense cedex. Tél : +33 (0)1 49 07 73 73. Fax : +33(0)1 49 07 73 78
page 2