oracle 数据库11g新特性和最新数据保护方案 · oracle 数据库11g 第2 版...

<在此处插入图片>

Oracle 数据库11g新特性和新数据保护方案

包彤高级技术咨询经理

[email protected]

© 2009 Oracle 2

议程

• Database 11g新特性

• Database 11g升级路径和佳实践

• Oracle全面的数据安全体系架构

• 新数据库防火墙产品Database Firewall

© 2009 Oracle 3

持续创新的领先技术

Exadata Exadata 智能存储智能存储真正应用测试真正应用测试

高级压缩高级压缩自动存储管理自动存储管理

透明数据加密透明数据加密自我管理数据库自我管理数据库XML XML 数据库数据库

Oracle Data GuardOracle Data Guard真正应用集群真正应用集群

闪回查询闪回查询虚拟专用数据库虚拟专用数据库

内建内建 Java VMJava VM分区支持分区支持

内建消息传递内建消息传递对象关系支持对象关系支持

多媒体支持多媒体支持数据仓库优化数据仓库优化

并行操作并行操作分布式分布式 SQL SQL 与事务支持与事务支持

集群和集群和 MPP MPP 支持支持多版本读取一致性多版本读取一致性

客户端客户端//服务器支持服务器支持平台可移植性平台可移植性

商业商业 SQL SQL 实施实施

Oracle 2Oracle 9i

Oracle 5

Oracle 6

Oracle 7

Oracle 8

Oracle 8i

Oracle 10g

Oracle 11g

© 2009 Oracle 4

“Our prize for Best Database went to the incomparable Oracle Database 11g, a release with capabilities --

namely Real Application Testing and Active Data Guard --that DBAs previously could only dream about.”

Doug Dineley Executive Editor InfoWorld Test Center

http://www.infoworld.com/slideshow/2009/01/194-2009_technology-6.html

© 2009 Oracle 5

“Oracle’s Database 11g is the cornerstone of the vendor’s dynamically allocated computing grids and

should garner the attention of database managers with its improved management, recovery and table

compression capabilities.”

Cameron SturdevanteWeekDecember 2007

http://www.eweek.com/slideshow_viewer/0,1205,l=&s=700&a=221736&po=8,00.asp?p=y

“Most Important Products Of 2007”

© 2009 Oracle 6

这是您的软件组合吗？

可管理性可用性可管理性可管理性

安全性安全性

可用性可用性

存储管理存储管理

© 2009 Oracle 7

满足数据中心的各方面需求

可管理性可用性可管理性可管理性

安全性安全性

可用性可用性

存储管理存储管理

Oracle 集群件

Oracle 真正应用集群

Oracle 安全备份

Oracle Data Guard

闪回操作

联机操作

自动存储管理

自动空间管理

基于磁盘的备份/恢复

压缩

分区

Exadata 智能存储

诊断包

调整包更改管理包

配置管理包

供应包

细粒度访问

身份管理

透明数据加密

数据屏蔽包

Database Vault

Audit Vault

© 2009 Oracle 8

“Overall customers found significant value that justified the additional

software cost"

Gartner Report

Feb 2009

“Oracle RAC moved to mainstream use”

© 2009 Oracle 9

Oracle 数据库 11g 第 2 版通过服务器池实现动态集群分区

• Oracle 数据库 11g 第 2 版集群件的新

特性

• 服务器池- 动态分配运行特定负载所需的服务器资源

• 应用程序池和数据库池

• 由策略管理

• 未分配的服务器转到空闲池DWDW

应用服务器应用服务器

RAC One

第 2 版新特性

第 2 版新特性

© 2009 Oracle 10

• 低廉的网格整合入门成本

• 网格内自动故障切换

• 滚动补丁

• 联机升级到多节点 RAC 实例

RAC One Node新的大规模整合选件

DB BDB C DB D

DB EDB F

DB A

© 2009 Oracle 11

Oracle 数据库 11g 第 2 版ASM 支持所有文件类型

• ASM 现在支持所有类型的文

件- 数据库文件

- 共享集群件文件（OCR/表决磁

盘）

- 文件系统文件

• ASM 集群文件系统 (ACFS)

© 2009 Oracle Corporation — 版权所有，属于机密信息

数据库数据文件


OCR 和表决文件

OCR 和表决文件

二进制文件二进制文件

文件系统文件系统

SiebelSiebelWebWeb

PSFTPSFT

DWDWODSODS

SOASOAIMDBIMDBOC4JOC4J

APACHEAPACHE

EBSEBS

RAC One

© 2009 Oracle 12

Oracle 数据库 11g 第 2 版ASM 集群文件系统 (ACFS)

SiebelSiebelWebWeb

PSFTPSFT

DWDWODSODS

SOASOAIMDBIMDBOC4JOC4J

APACHEAPACHE

EBSEBS



OCR 和表决文件

OCR 和表决文件

二进制文件二进制文件

文件系统文件系统

RAC One

• 通用集群化或本地文件系统

• 数据存储在 ASM 中• 继承所有 ASM 可管理性优势

– 优化的磁盘布局

– 联机添加/删除/重新平衡磁盘

– 集成的镜像

• 只读快照– 文件系统多达 64 个时间点空间有效副本

© 2009 Oracle 13

Oracle 分区10 年创新

数据库版本核心功能

Oracle8 数据库范围分区

Oracle8i 数据库散列和组合分区

Oracle9i 数据库列表分区

Oracle9i 数据库第 2 版范围-列表组合分区

Oracle 数据库 10g 全局散列索引

Oracle 数据库 10g 第 2 版每个表 1M 分区

Oracle 数据库 11g 引用分区间隔分区虚拟列分区系统分区完全组合分区

© 2009 Oracle 14

引用分区

ORDERS 表

2006 年 1 月

... ...

2006 年 2 月

LINEITEMS 表

2006 年 1 月

... ...

2006 年 2 月

• RANGE(order_date)

• 主键 order_id

• RANGE(order_date)• 外键 order_id

• RANGE(order_date)• 外键 order_id

按引用分区• 通过 PK-FK 关系继承分区键

© 2009 Oracle 15

间隔分区

Table SALES

Jan 2006

... ...

Feb 2006 Mar 2006 Jan 2007 Oct 2009 Nov 2009

...

INSERT INTO sales (order_date DATE, ...)

VALUES ('04-MAR-2006',...);

New segment is automatically allocated

CREATE TABLE sales (order_date DATE, ...) PARTITON BY RANGE (order_date) INTERVAL(NUMTOYMINTERVAL(1,'month') (PARTITION p_first VALUES LESS THAN ('01-JAN-2006');

© 2009 Oracle 16

显著降低存储成本高级 OLTP 压缩（11g 第 1 版）

• 压缩大型应用程序表

- 事务处理、数据仓库

• 压缩所有数据类型

- 结构化和非结构化数据类型

• 提高查询性能

- 在整个数据中心内节省级联存储

压缩

4 倍高达

© 2009 Oracle 17

实际压缩效果大的 10 个 ERP 数据库表

节省 2/3

MB

数据存储

0

500

1000

1500

2000

2500

表扫描时间

（秒）

0

0.1

0.2

0.3

0.4

快 2.5 倍

DML 性能

0

10

20

30

40

时间

（秒）

< 3% 开销

© 2009 Oracle 18

5% 5% 常用常用95% 95% 不常用不常用

ORDERS 表（7 年）

高端存储层

2003 2009

通过 ILM 管理数据增长通过分区提高性能、可管理性和降低成本

低端存储层

每 TB 减至原来的 1/3 到 1/2

2008

© 2009 Oracle 19

数据卫士(Data Guard)技术革新

联机升级

自动故障切换备用

测试可读物理备用

DR与备份备用

实时查询

逻辑备用

© 2009 Oracle 20

采用Oracle数据卫士将生产报表编制工作转移到备用数据库

• 在读和恢复模式下同时可用

Real-time

查询

备用

数据库

生产

数据库

© 2009 Oracle 21

传统的数据高可用性昂贵、闲置的冗余

空闲的故障切换服务器

VeritasVolume Manager

BMCSQL Backtrack

EMC SRDF

空闲的灾难恢复

生产服务器

Solaris ClusterHP ServiceGuard

IBM HACMP

© 2009 Oracle 22

节点2

独立的存储阵列

第三方的备份

GoldenGate/Active

Data Guard

备用系统不是空闲的

新一代的容灾解决方案有效利用系统资源

集群系统 – 节点1

3. 实现联机/滚动升级

Read-Only / Read-Write

Reporting

Backups

Tape

1.Active-Active, 备用系统可以减少主生产系统用于执行上述操作的工作负载，提高整个系统的效率

2.保护人为错误

© 2009 Oracle 23

自动存储管理

真正应用集群安全备份到云计算和磁带

Oracle 高可用性体系结构完全利用冗余

可访问的数据

快速恢复区

Active Data Guard

GoldenGate

© 2009 Oracle 24

可管理性发展持续改进

自动调优

顾问程序

工具

存储

备份

内存

应用程序

/SQ

L

模式

RA

C

恢复

复制

测试

R2

自适应

集成

低影响

© 2009 Oracle 25

Exadata革命性的设计

InfiniBand 请求

DB Servers

Exadata Storage

Exadata

高性能理由②“综合列压缩(EHCC)”：技术获得10x－50x 超高压缩比，并提高磁盘I/O效率

高性能理由③“Smart Flash Cache”：高达5.3TB 的 Flash Cache，随机I/O性能高达1M IOPS

高性能理由①“Smart Scan”：计算负载部分卸载至并行智能存储层，并只传输经筛选的有用数据

高性能理由④“Infiniband ”: 提供40Gb/s 端口带宽，聚合带宽高达880Gb/s , 端口延时(0.1um ）小于以太网的1/1000

Smart Scan、EHCC、Smart Flash Cache等是Oracle Exadata 独有的关键性能突破技术

© 2009 Oracle 26

Oracle+SUN Engineered ：#1 in OLTP TPC-C

World Record: 30,249,688 tpmC

Sun SPARC TPC-C性能纪录: 比IBM 好纪录快3倍，比HP快7.4倍

© 2009 Oracle 27

Oracle 11gR2创造了TPC-C基准测试世界纪录

© 2009 Oracle 28

议程





© 2009 Oracle 29

Oracle数据库产品生命周期

• 11gR2 11g第二版（ 11.2.0.1, 11.2.0.2)2009年9月发布

• 11gR1 11g第一版 (11.1.0.6, 11.1.0.7) 2007年8月发布

• 10gR2第二版（10.2.0.1, 10.2.0.2, 10.2.0.3，10.2.0.4.0）

• 10gR1第一版（10.1.0.2, 10.1.0.3,…,10.1.0.5)

• 9iR2第二版（9.2.0.1, 9.2.0.2,…,9.2.0.8)

Oracle数据库产品生命周期请访问Oracle官方网站：http://www.oracle.com/us/support/lifetime-support/index.html

© 2009 Oracle 30

升级到11g

R2R2≥ 7.3.4≥ 7.3.4

≥ 9.2.0.4≥ 9.2.0.4

≥ 8.0.6≥ 8.0.6

≥ 8.1.7.4≥ 8.1.7.4

≥ 9.1.0.4≥ 9.1.0.4

R2R2

© 2009 Oracle 31

数据库补丁

• 升级到11g的Patchlevel和Patchsets要求：

- ≥ 9.2.0.4- ≥ 10.1.0.2- ≥ 10.2.0.1

• 在升级前请检查重要的oneoff补丁与CPU补丁

• Oracle数据库产品状态 Note 161818.1• Oracle数据库认证信息

• 操作系统相关补丁的检查与安装

© 2009 Oracle 32

Oracle Certification

•

© 2009 Oracle 33

升级路径

(+) Pros (-) Cons

Oracle DatabaseUpgrade Assistant(GUI)

• 简单精确

• 自动

• 资源空间检查

• 备份功能

• 参数调整

• 错误记录

• 当在升级过程中出现问题是不太容易诊断

• 较少的手工干涉

• 不支持跨平台

ManualUpgrade (CLI)

• 完全控制

• 出现问题容易判断，可重新执行升级脚本

• 容易出现操作错误

• 不支持跨平台

Full Export/Import • 数据重组

• 支持跨平台

• 支持更低版本的Oracle升级

• 数据量较大时，升级时间会比较长

• 升级过程中需要2-3倍的额外空间

SQL*Plus-COPY,CTAS and Scripts

• 平台无关 • 需要用户自己准备脚本

• 当数据量较大时，升级时间会比较长

DG + TTSStreams

• 升级速度快

• 停机时间短（Minimal Downtime）• 准备过程比较复杂

• 额外的空间需求

Oracle recommended

© 2009 Oracle 34

DBUA

• 图形化界面引导升级

• 一些重要的检查

• RAC升级 – 包括所有节点

- RAC升级很方便

• ASM升级

• Patch升级

• 参考文档- Oracle® Database Upgrade Guide

http://download.oracle.com/docs/cd/B28359_01/server.111/b28300/upgrade.htm

© 2009 Oracle 35

Logical Standby升级

• Rolling Upgrade升级主要步骤：- 先升级Standby数据库

- Switchover- 再升级Primary数据库

- Switchback• 可实现Minimal Downtime• 不可跨平台

• Logminer有数据类型限制

• Primary必须在10.1.0.3以上

• 在11g的版本中可实现Physical Standby的Rolling Upgrade

© 2009 Oracle 36

Logical Standby升级

Logical Standby configuration

Clients Redo

10.1.0.3 10.1.0.3

1

LP

Switchover (role change),then upgrade on L (ex-P)

Redo

4

Upgrade

10.2.0.210.2.0.2

PL

"Mixed setup" for testing

Redo

3

10.2.0.210.1.0.3

P L

Upgrade node L to 10.2

Upgrade

Log

ARCH

10.1.0.3

2

10.2.0.2

P L

© 2009 Oracle 37

议程





© 2009 Oracle 38

被侵犯数据的主要来源：92% 的记录源自被侵入的数据库服务器

2010 数据侵犯调查报告

© 2009 Oracle 39

未对数据库实施保护的组织

2010 IOUG 数据安全报告

仅 28%在所有数据库中统一加密 PII

66%不确定 web 应用程序是否受到 SQL 注入攻击

63%未使用 3 个月内发布的安全补丁

48%没有意识到所有数据库包含敏感数据

44%认为数据库用户可以直接访问数据

70%使用自带审计功能，只有 25% 使用了自

动监视

仅 24%能够“防止”DBA 读取

或篡改敏感数据

68%无法检测数据库用户是否在滥用权限

正在监视敏感数据的读/写

不到 30%

© 2009 Oracle 40

数据侵犯的影响

* 应答可以是多重选择

损坏企业形象与口碑

丢失信用

法律诉讼成本

营业收入损失

罚金或赔偿

客户流失

从行业中被淘汰

没影响

您所在的企业会因为数据侵犯造成怎样的影响？

© 2009 Oracle 41

怎样做到数据保护的深度防御和精确阻断?

如何做到：•敏感数据“看不见”• 核心数据“拿不走”• 运维操作“能审计”

加密和屏蔽

访问控制

审计和监视

阻止和记录

© 2009 Oracle 42

安全大化体系架构的数据安全成熟度模型Maximum Data Security Architecture

说明：

0. 无计划 (no plan)

1. 初始态 (initial)

2. 待完善 (marginal)

3. 稳定态 (stable)

4. 经验态 (best practice)

5. 完美态 (transformational)

© 2009 Oracle 43

数据安全深度保护

访问控制

• Oracle Database Vault• Oracle Label Security

• Oracle Advanced Security• Oracle Secure Backup• Oracle Data Masking

加密和屏蔽

审计和监测

• Oracle Audit Vault• Oracle Configuration Management

• Oracle Total Recall

• Oracle数据库防火墙

阻止和记录

加密和屏蔽

访问控制

审计和监视

阻止和记录

© 2009 Oracle 44

• Database Vault• Label Security• Identity

Management

• Advanced Security• Secure Backup• Data Masking

• Audit Vault• Total Recall• Configuration

Management

数据库安全性纵深防御

Oracle 数据库安全性整体解决方案

加密与屏蔽

访问

控制

审计

• Database Firewall

监视与阻止

• 监视威胁并且在其到达数据库之前阻止它们

• 跟踪更改并审计数据库活动

• 控制对数据库中数据的访问

• 防止非数据库用户访问数据库

• 从非生产数据库中删除敏感数据

© 2009 Oracle 45

EM Configuration Scanning

TDE Column Encryption

Client Identifier

Enterprise User Security

TDE Tablespace Encryption

Privileged User Controls

Oracle数据库安全产品的发展过程

Solution

Virtual Private Database

Network Encryption

Oracle

8i

Oracle

Database

9iR2

Oracle

Database

10g R1

Oracle

Database

11gR1

Oracle

Database

10g R2

EM Data Masking

Oracle

Database

9iR1

Database Auditing

Label Security

Data Masking is available starting with EM 10.2.0.4 and works against Oracle Database 9.2 and higher databases.

Fine Grained Auditing

© 2009 Oracle 47

Oracle Database Vault

• 防止高权限用户 (DBA) 访问应用程序数据- 使用安全域（Realm）

- 使用安全域防止高权限用户访问

•实施职责分离- 命令规则

- 自定义 Database Vault 职责分离

•控制可以访问应用程序、数据和数据库的人员、时间、地点和方式- 多因素授权

- 控制对应用程序、数据和数据库的访问

© 2009 Oracle 48

Database Vault使用安全域限制 DBA 和高级用户访问应用程序数据

• 防止数据库的DBA查看HR的数据

遵守规章和防止内

部风险

• 防止HR的DBA查

看财务数据

减少服务器集中的

安全风险

© 2009 Oracle 49

Oracle Audit Vault 概要信任-但-检验

• 收集并整合审计数据• Oracle 9i Release 2 and higher

• 简化合规性报告• 内建的报告

• 定制的报告

• 检测及预防内部威胁• 提早检测及警报嫌疑活动

• 监控及检测数据变化

• 可伸缩性和安全性• 强壮的Oracle数据库技术

• Database Vault, Advanced Security• Partitioning

• 采用审计策略导致更低的IT成本• 集中管理/供应审计设置

10gR210gR1

Oracle 9iR2(未来)

其他源、数据库

监控策略

报表安全

© 2009 Oracle 51

为什么需要数据库防火墙？• 客户需要第一层保护，用来监测和保护数据库，使其免于受到现有和将来威胁的影响。

• 通过Web，黑客们从应用中寻找突破口，侵入数据库。

• 窃取、盗用身份信息。

• 注入式SQL

应用数据库

数据库防火墙

© 2009 Oracle 52

数据库防火墙能做什么？

• 防止对数据库的破坏、恶意访问、偷窃数据；

• 控制对数据库中数据的访问，并可监控特权用户；

• 帮助企业强制执行安全规范；

• 检查薄弱环节、漏洞，防止对数据库配置的改动；

• 满足合规/审计的要求，并可简化内部和外部审计、合

规的过程并使其自动化，增强运作效率；

• 简化管理安全的复杂性。

应用数据库

数据库防火墙

© 2009 Oracle 53

关于Oracle DB Firewall• Secerno的核心产品 DataWall

- 源自于牛津大学计算机实验室的研究成果

- 原公司总部在英国剑桥

• 基于网络旁路或并入，针对数据库的非授权访问实时喝阻，报警和事后审计

• 针对Oracle和非oracle数据库的数据防火墙解决方案

© 2009 Oracle 54

Oracle数据库防火墙Out of Band部署模式

• 监测（Monitor Only）模式 – 不阻止

- 也被称为“SPAN”、“Span port”、“Mirrored”或者“Tap”

- 只进行SQL记录和报告

- 易于部署，对数据库和应用没有影响

© 2009 Oracle 56

Oracle Database Firewall第一道防线

策略内置

报告警报自定义

报告

应用程序块

日志记录

允许

警报

替代

• 监视数据库活动防止未授权的数据库访问、SQL 注入、权限或角色升级、对敏感

数据的非法访问等。

• 通过高度精确的 SQL 语法分析避免代价高昂的误报。

• 基于白名单和黑名单的灵活的 SQL 级实施选项

• 可伸缩的体系结构让企业可以适应各种部署模式

• 适用于 SOX、PCI 和其他法规的内置和自定义合规性报告

© 2009 Oracle 57

• 可以为任何用户或应用程序定义“允许的”行为

• 白名单可以包括诸如时间、日期、网络、应用程序等内置因素

• 为任何应用程序自动生成白名单

• 立即拒绝不符合策略的事务

• 数据库将只按照您的要求和愿望来处理数据

白名单

应用程序阻止

允许

Oracle Database Firewall

© 2009 Oracle 58

Oracle Database Firewall

• 停止不接受的特定 SQL 命令、用户或模式的访问

• 防止权限或角色提升以及对敏感数据的未授权访问

• 黑名单中可以包括诸如时间、日期、网络、应用程序等内置因素

• 根据您的业务和安全目标有选择地阻止事务的任何部分

阻止

允许

黑名单

应用程序

© 2009 Oracle 59

Oracle Database Firewall快速和灵活的部署

• 串联：所有数据库流量都经过 Oracle Database Firewall

• 并联/被动：数据库防火墙连接到 SPAN 端口或 TAP

• 可选的基于主机的远程或本地监视器

• 可将网络流量从数据库主机发送到数据库防火墙

• 可将非网络数据库活动发送到数据库防火墙，以识别本地控制台或远程会话的未授权使用

数据库服务器

用户

并联数据库防火墙

应用服务器

串联基于主机的代理

路由器

© 2009 Oracle 60

Oracle Database Firewall • Database Firewall 日志数据被整合到报告数据库中

• 130 多个可修改、可自定义的内置报告

• 用于数据库查证和审计的授权报告

• 数据库活动和授权用户报告

• 支持演示 PCI、SOX、HIPAA/HITECH 等控件

Oracle Database Firewall报告

Oracle Database Firewall Oracle Database Firewall

© 2009 Oracle 61

DBFW对平台的支持

• Oracle数据库防火墙支持的RDBMS平台- Oracle 8i, 9i, 10g, 11g- MS-SQL 2000, 2005, 2008- Sybase 12.5.3到15- SQL Anywhere v10- IBM DB2 LUW

• 支持以下操作系统- Linux- AIX- Unix

© 2009 Oracle 63

和其他Oracle数据库安全产品的定位比较

• Oracle数据库防火墙定位在以下情形：

• 寻找基于网络的访问控制和监测解决方案。

• 很可能IBM/Guardium、Tizor、Imperva会参与进来进行竞争。

• Oracle Audit Vault定位在以下情形：

• 审计用户活动，而不管采用本地或远程的监控方式，或者不管采用直接的方式还是使用存储过程。

• 从Oracle数据库和非Oracle数据库收集审计记录（Audit Trail）。

• 使用网络加密，不希望Tap出网络中传输的信息。

• Oracle Database Vault定位在以下情形：

• 为Oracle数据库寻找职责分离和特权用户控制的解决方案。

• 寻找基于完整的安全上下文（如存储过程、本地调用）的安全判定方案。

• 为打包的应用（如EBS、Peoplesoft、Siebel、JD Edwards、SAP、IRM等等）寻找

经过认证的保护策略。

• 使用网络加密，不希望Tap出网络中传输的信息。

oracle 数据库11g新特性和最新数据保护方案 · oracle 数据库11g 第2 版...

Documents