Новые аналитические отчеты от Gartner

В соответствии с тремя новыми отчетами аналитической компании Gartner, опубликованных в конце 2012 года, решения Oracle Identity Management продолжают лидировать на рынке.

Первый отчет Magic Quadrant for User Administration and Provisioning охватывает системы управления учетными записями и правами доступа к приложениям. Для анализа использовалось ПО Oracle Identity Manager и Oracle Identity Access Management Suite 11G R1, и поэтому этот отчет не учитывает новых возможностей, появившихся в связи с выходом в августе 2012 г. версии R2.

В качестве сильных сторон подчеркнуто, что у вендора хорошо интегрированная IAM платформа, имеется большое количество партнеров, а также появилось лицензирование по процессорам сразу целого набора продуктов, объединенного в Suites. К недостаткам отнесли сложность в понимании заказчиками границ проектов внедрения, цену на коннекторы (что как раз изменилось в связи с выходом Oracle Identity Governance Suite) и отставание от конкурентов в использования IAM в облачных решениях. Это не совсем так, поскольку уже давно существует коннектор OIM к Google Apps, а сам OIM используется в публичных облачных сервисах Oracle и интегрирован в Oracle Fusion Applications (которые могут работать как в режиме On-premise, так и в режиме Cloud).

Во втором отчете Magic Quadrant for Identity and Access Governance рассматриваются системы, обеспечивающие: (1) процесс запроса, утверждения, сертификации и аудита доступа к приложениям, данным и другим ИТ-сервисам, и (2) бизнес-аналитику того, как учетные данные создаются, управляются и используются для доступа. Программные средства и сервисы, которые покрывают большинство или все эти процессы входят в группу продуктов Identity and Access Governance (IAG).

Среди сильных сторон исследуемого решения Oracle Identity Analytics отмечены: расширенная функциональность в паре с другими оракловыми IAM-продуктами и улучшенный интерфейс для быстрой разработки бизнес-процессов. Также отмечено изменение ценообразования (добавление возможности лицензировать продукт по процессорам). К недостаткам отнесена ориентированность продуктов оракл на крупные предприятия с более сложными требованиями, наличие агрессивных конкурентов, предлагающих схожую по функциональности продукцию и, наконец, необходимость обновления до последней версии для того, чтобы получить множество новых привлекательных функций, позволяющих Oracle успешно конкурировать с небольшими компаниями.

Третий отчет MarketScope for Web Access Management акцентирует внимание на следующих потребностях рынка:

• Mobility - если раньше WAM-решения поддерживали только использование браузерных приложений на мобильных устройствах, то теперь вендоры улучшают продукты, добавляя поддержку родных, не браузерных приложений.
• Social - для поддержки авторизации, использующей идентификаторы из социальных сетей, вендоры предоставляют поддержку более новых REST-протоколов. 
• Cloud - использование SaaS-приложений выдвигает требование более широкого использования федеративного взаимодействия.
• IDaaS - производители решений, совмещающих WAM и IAM, оказывают давление на компании, предлагающие только WAM-решения.
• Additional of Adaptive Access Features - WAM-решения всегда поддерживали несколько методов аутентификации. Однако легкость, с которой можно обойти некоторые из этих методов, привела к необходимости добавления расширений для обнаружения мошеннических действий. Вендоры предлагают Adaptive-расширения либо в виде отдельных продуктов, либо в составе пакетных решений. 
• Open Source - решения с открытым исходным кодом занимают небольшую часть рынка, в отличии от коммерческих предложений.
• SharePoint Support - некоторые WAM-вендоры разрабатывают специализированные адаптеры для SharePoint.

Всем этим требованиям отвечает пакет Oracle Access Management Suite, расширивший функциональность в версии 11gR2 и получивший самые высокие оценки аналитиков.  

Помимо вышеперечисленных отчетов, Gartner опубликовал свой магический квадрат по направлению Data Masking Technology, в котором Oracle, в отличие от предыдущих отчетов, оказался не абсолютным победителем, поскольку имеет в своем портфеле не полномасштабное SDM-решение (Static data masking), а только специализированный пакет Oracle Data Masking Pack, который тем ни менее оказался в лидерах за счет прединтегрированности с популярными бизнес-приложениями, другими решениями безопасности и СУБД Oracle.

Защита веб-сервиcов с помощью решений Oracle

Наш коллега Дмитрий Нефедкин недавно провел вебинар "Обеспечение безопасности веб-сервиcов с использованием Fusion Middleware", на котором рассказал о основах веб сервисов, о стандартах SOA, рассмотрел стек Oracle Fusion Middleware, предназначенный для построения SOA решений. Дмитрий привел обзор рисков, возникающих при использовании веб сервисов, стандартов построения SOA, а так же показал на практике применение продуктов Oracle, предназначенных для обеспечения безопасности SOA решений.

Запись вебинара можно посмотреть через webex-плеер по данной ссылке. Также в посте есть ссылка на презентацию.

Кроме темы защиты веб-сервисов Дмитрий уделяет серьезное внимание безопасности ADF-приложений. У него на блоге размещены следующие материалы

1. Вебинар: "Обеспечение безопасности в Oracle ADF-приложениях: обзор, стратегии, лучшие практики"
2. Реализация Single Sign-on в ADF-приложении
3. Мои видео по ADF Security на OTN

Тренинги по Oracle Identity Governance 11gR2

Мы начали сбор пожеланий и потребностей партнеров и заказчиков, для проведения тренинга по новой линейке Oracle Identity Governance Suite 11gR2, в которую входят Oracle Identity Manager 11GR2, Oracle Privileged Account Manager и Oracle Identity Analytics. Более подробная информация рамещена на блоге Олега Файницкого.

Уточнения Регламента получения сертифицированных дистрибутивов

Спешу всех успокоить - никаких серьезных изменений нет; по-прежнему серифицированные ФСТЭК дистрибутивы ПО Oracle выдаются бесплатно при наличии у заказчика соответствующей лицензии и действующей поддержки. Уточнения касаются всего лишь сопроводительных и приемо-передаточных документов - см.
Порядок получения сертифицированного дистрибутива
Перечень документов для получения дистрибутивов

Внутреннее внедрение Oracle Identity and Access Management решения в корпорации Oracle

Компания Oracle не только занимается разработкой и продажей программного обеспечения, но и внедряет ПО собственной разработки внутри компании. Команда инженеров Oracle недавно провела крупное обновление внутренних Identity Management систем. Целью данного проекта был переход на единую систему аутентификации, единую систему предоставления доступа и единую систему хранения учетных данных для всех сотрудников Oracle.

В качестве единой системы для аутентификации использован Oracle Access Manager 11G R1. В качестве единой системы для предоставления доступа и хранения информации об учетных данных используется последняя на данный момент версия Identity Manager 11G R2. К OIM'у уже подключено около 70% информационных систем компании, но пока что новый OIM используется не для всей компании, а для одного пилотного региона.

Для интересующихся на публичных ресурсах выложена аудио запись Oracle on Oracle – How Oracle IT uses Oracle IDM, в которой рассказывается о собственном внутреннем внедрении Ораклом SSO-решения, а точнее OAM и OID. Так же доступна часть презентации с Oracle Open World: How Oracle uses Identity Management, иллюстрирующая архитектуру внедрения Identity and Access Management решения.

Oracle выпустила новый продукт Oracle Audit Vault and Database Firewall

12 декабря 2012 компания Oracle объявила о новом продукте Oracle Audit Vault and Database Firewall, который объединяет мониторинг активности базы данных и анализ данных аудита в одно решение. Данный продукт объединяет в себе возможности двух одноименных продуктов - Oracle Audit Vault и Oracle Database Firewall, которые до этого момента предлагались по отдельности.

Русскоязычный пресс-релиз по модифицированному новому продукту можно прочитать, пройдя по данной ссылке на сайт Oracle.
Изменилась модель лицензирования и стоимость решения в технологическом прайс-листе. Ценовые изменения коснулись и опции Database Vault, стоимость которой снижена в два раза.

А так же появился на русском языке ORACLE DATA SHEET с описанием ключевых моментов предлагаемого решения и новая Oracle Audit Vault and Database Firewall веб страница на английском (включая видео и аудио записи).

Обеспечение безопасности базы данных в облаке.

White paper "Security and the Oracle Database Cloud"  можно скачать тут. В данной статье приводится краткое содержание документа.

Oracle предлагает набор облачных решений в двух вариантах, частные облака, это те, которые заказчик может развернуть у себя, на своих собственных ресурсах, и публичные облачные решения, которые можно приобрести и пользоваться ими удаленно. Одним из таких облачных решений является сервис Oracle Public Database Cloud. Попасть на данный сервис можно пройдя по ссылке https://cloud.oracle.com (нажать "Try it" на главной странице, и далее "Try it" в разделе Database). Подробную инструкцию как создать сервис, активировать его, запустить и начать пользоваться можно посмотреть тут.

Сервис Oracle Public Database Cloud построен на основе базы данных Oracle, работающей на сервере Oracle Exadata. Для предоставления доступа к данным, хранящимся в вашей облачной базе, используется веб-сервис RESTful (через простые URI). Для обеспечения быстрой разработки прикладного ПО на основе СУБД Oracle в публичной БД уже предустановлен APEX - Oracle Application Express. А так же имеется возможность использовать набор уже имеющихся бизнес приложений, которые могут быть установлены в несколько кликов.

При переходе организации на модель общего доступа к ресурсам в облаке, одним из ключевых вопросов является обеспечениие безопасности данных, хранящихся в облаке. В данном документе рассматривается несколько аспектов обеспечения безопасности данных в облаке:

Основы архитектуры обеспечения безопасности доменов, используемых в облачной СУБД.

Описаны основные сущности, используемые для разграничения прав доступа к сервисам БД: Account, Identity Domains (далее "Домен"), User, Role и Database Cloud Service. Account  - это учетная запись организации, которая может иметь один или несколько доменов, но домены при этом будут разделены и обособлены. Домен контролирует аутентификацию и авторизацию (т.е. кто может выполнять вход и к чему он имеет доступ). Домен содержит в себе список пользователей, которым назначаются роли, дающие те или иные права к сервисам. При первом входе в облачную базу создается один домен и его администратор, который в дальнейшем отвечает за управление всеми пользователями и ролями для всех сервисов в пределах домена. Для управления правами доступа к сервисам используется Cloud Identity Manager. Инструкцию по управлению ролями и пользователями можно найти тут. В данном контексте сервис представляет собой одну схему в общей БД, которая изолирована от других схем. 

Меры безопасности, применяемые к сервисам в целом.

Ко всем данным, хранящимся в облаке, применяется "Прозрачное шифрование" - Transparent Data Encryption. TDE шифрует данные на диске и в бекапе, защищая от неавторизованного доступа напрямую к файлам базы. Шифрование и расшифровка данных происходит автоматически и не требует какого либо программирования или настроки.
Для защиты от вредоносного кода, который может повлиять на данные всех пользователей, используется Secure FTP сервер. При загрузке файлы с данными сначала сохраняются на Secure FTP сервере. Там они проверяются на вирусы и далее загружаются на сервис вашей облачной базы данных, используя информацию вашей учетной записи БД. Этот двух этапный процесс так же автоматически сжимает данные перед загрузкой, снижая тем самым время загрузки данных в БД.

Меры безопасности, применяемые к индивидуальным сервисам БД.

Применяются правила БД для разграничения прав в многопользовательской среде. Например, запрещен доступ на просмотр представлений, позволяющих владецу схемы БД видеть существование других схем БД. Запрещены некоторые виды SQL, такие как GRANT или REVOKE, т.к. они позволяют владельцу схемы выдавать права на свои объекты для другого владельца схемы базы данных.

Опции для обеспечения безопасности прикладных приложений.

Для разработки прикладных приложений используется технология APEX, которая имеет собственные средства безопасности. APEX поддерживает несколько схем аутетификации. Экранирование спецсимволов в скриптах не позволяет вкладывать различные типы скриптов в страницы, возвращаемые пользователям. APEX имеет опцию автоматической защиты навигационных ссылок (URL). Так же APEX включает в себя средства для мониторинга и отчеты.

Опции для обеспечения безопасности веб-сервисов RESTful.

Для обесечения безопасной передачи данных между клиентом и сервисом следует включить HTTPs. Сервис базы данных в облаке основывается на одной схеме и все RESTful веб-сервисы выполняются от имени владельца этой схемы. Вследствие этого, без применения дополнительной защиты RESTful сервис вернет все данные, возвращаемые SQL выражением. В документе описано четыре способа для обеспечения безопасности веб-сервиса RESTful:
- собственными средствами RESTful;
- доступ конкретному приложению (используется OAUTH Request token встроенный в клиента приложения);
- доступ конкретному пользователю (на основе идентификационных данных пользователя);
- логическое разграничение доступа (с использованием параметра OAM_REMOTE_USER, содержащего в себе идентификационную информацию пользователя).