Oracle 新技术新产品介绍

Size: px

Start display at page:

Download "Oracle 新技术新产品介绍"

盼向玉
5 years ago
Views:

1 < 在此处插入图片 > Oracle 数据库 11g 新特性和最新数据保护方案包彤高级技术咨询经理

2 议程 Database 11g 新特性 Database 11g 升级路径和最佳实践 Oracle 全面的数据安全体系架构最新数据库防火墙产品 Database Firewall 2009 Oracle 2

3 持续创新的领先技术 Oracle 2 Oracle 7 Oracle 6 Oracle 5 Oracle 8 数据仓库优化并行操作分布式 SQL 与事务支持集群和 MPP 支持多版本读取一致性客户端 / 服务器支持平台可移植性商业 SQL 实施 Oracle 8i XML 数据库 Oracle Data Guard 真正应用集群闪回查询虚拟专用数据库内建 Java VM 分区支持内建消息传递对象关系支持多媒体支持 Oracle 11g Exadata 智能存储真正应用测试高级压缩自动存储管理透明数据加密自我管理数据库 Oracle 9i Oracle 10g 2009 Oracle 3

4 Doug Dineley Executive Editor InfoWorld Test Center Our prize for Best Database went to the incomparable Oracle Database 11g, a release with capabilities -- namely Real Application Testing and Active Data Guard -- that DBAs previously could only dream about Oracle 4

5 Cameron Sturdevant eweek December 2007 Most Important Products Of 2007 Oracle s Database 11g is the cornerstone of the vendor s dynamically allocated computing grids and should garner the attention of database managers with its improved management, recovery and table compression capabilities Oracle 5

6 这是您的软件组合吗? 可用性可用性可管理性可管理性存储管理安全性 2009 Oracle 6

7 满足数据中心的各方面需求可用性可用性可管理性可管理性 Oracle 集群件 Oracle 真正应用集群 Oracle 安全备份 Oracle Data Guard 闪回操作联机操作诊断包调整包更改管理包配置管理包供应包自动存储管理自动空间管理基于磁盘的备份 / 恢复压缩分区 Exadata 智能存储存储管理安全性细粒度访问身份管理透明数据加密数据屏蔽包 Database Vault Audit Vault 2009 Oracle 7

8 Gartner Report Feb 2009 Oracle RAC moved to mainstream use Overall customers found significant value that justified the additional software cost" 2009 Oracle 8

9 Oracle 数据库 11g 第 2 版通过服务器池实现动态集群分区第 2 2 版新版新特性特性应用服务器 DW Oracle 数据库 11g 第 2 版集群件的新特性服务器池 - 动态分配运行特定负载所需的服务器资源应用程序池和数据库池由策略管理未分配的服务器转到空闲池 RAC One 2009 Oracle 9

10 RAC One Node 新的大规模整合选件 DB A DB B DB C DB D DB E DB F 低廉的网格整合入门成本网格内自动故障切换滚动补丁联机升级到多节点 RAC 实例 2009 Oracle 10

11 Oracle 数据库 11g 第 2 版 ASM 支持所有文件类型 SOA IMDB OC4J APACHE Siebel PSFT Web EBS DW ODS 文件系统二进制文件 OCR 和表决文件 ASM 现在支持所有类型的文件 - 数据库文件 - 共享集群件文件 (OCR/ 表决磁盘 ) - 文件系统文件 ASM 集群文件系统 (ACFS) RAC One 数据库数据文件 Oracle Oracle Corporation 版权所有, 属于机密信息 11

12 Oracle 数据库 11g 第 2 版 ASM 集群文件系统 (ACFS) SOA IMDB OC4J APACHE Siebel PSFT Web EBS DW ODS RAC One 文件系统二进制文件 OCR 和表决文件数据库数据文件通用集群化或本地文件系统数据存储在 ASM 中继承所有 ASM 可管理性优势优化的磁盘布局联机添加 / 删除 / 重新平衡磁盘集成的镜像只读快照文件系统多达 64 个时间点空间有效副本 2009 Oracle 12

13 Oracle 分区 10 年创新数据库版本 Oracle8 数据库 Oracle8i 数据库 Oracle9i 数据库 Oracle9i 数据库第 2 版 Oracle 数据库 10g Oracle 数据库 10g 第 2 版 Oracle 数据库 11g 核心功能范围分区散列和组合分区列表分区范围 - 列表组合分区全局散列索引每个表 1M 分区引用分区间隔分区虚拟列分区系统分区完全组合分区 2009 Oracle 13

14 引用分区 ORDERS 表 2006 年 1 月 2006 年 2 月 RANGE(order_date) 主键 order_id 按引用分区通过 PK-FK 关系继承分区键 LINEITEMS 表 2006 年 1 月 2006 年 2 月 RANGE(order_date) 外键 order_id 2009 Oracle 14

15 间隔分区 CREATE TABLE sales (order_date DATE,...) PARTITON BY RANGE (order_date) INTERVAL(NUMTOYMINTERVAL(1,'month') (PARTITION p_first VALUES LESS THAN ('01-JAN-2006'); Table SALES Jan 2006 Feb 2006 Mar 2006 Jan 2007 Oct 2009 Nov 2009 INSERT INTO sales (order_date DATE,...) VALUES ('04-MAR-2006',...); New segment is automatically allocated 2009 Oracle 15

16 显著降低存储成本高级 OLTP 压缩 (11g 第 1 版 ) 压缩大型应用程序表 - 事务处理数据仓库压缩所有数据类型 - 结构化和非结构化数据类型提高查询性能 - 在整个数据中心内节省级联存储高达 4 倍压缩 2009 Oracle 16

17 实际压缩效果最大的 10 个 ERP 数据库表 2500 数据存储 2000 MB 1500 表扫描节省 2/3 0.3 时间 ( 秒 ) 时间 ( 秒 ) DML 性能快 2.5 倍 10 0 < 3% 开销 2009 Oracle 17

18 通过 ILM 管理数据增长通过分区提高性能可管理性和降低成本 ORDERS 表 (7 年 ) % 不常用 5% 常用低端存储层每 TB 减至原来的 1/3 到 1/2 高端存储层 2009 Oracle 18

19 数据卫士 (Data Guard) 技术革新 DR 与备份备用实时查询逻辑备用联机升级自动故障切换备用测试可读物理备用 2009 Oracle 19

20 采用 Oracle 数据卫士将生产报表编制工作转移到备用数据库 Real-time 查询生产数据库备用数据库在读和恢复模式下同时可用 2009 Oracle 20

21 传统的数据高可用性昂贵闲置的冗余生产服务器 Solaris Cluster HP ServiceGuard IBM HACMP 空闲的故障切换服务器空闲的灾难恢复 EMC SRDF BMC SQL Backtrack Veritas Volume Manager 2009 Oracle 21

保护人为错误 3. 实现联机 / 滚动升级 Reporting Tape Backups 1.

22 新一代的容灾解决方案有效利用系统资源集群系统节点 1 节点 2 备用系统不是空闲的 Read-Only / Read-Write 第三方的备份独立的存储阵列 GoldenGate/Active Data Guard 2. 保护人为错误 3. 实现联机 / 滚动升级 Reporting Tape Backups 1.Active-Active, 备用系统可以减少主生产系统用于执行上述操作的工作负载, 提高整个系统的效率 2009 Oracle 22

23 Oracle 最高可用性体系结构完全利用冗余安全备份到云计算和磁带真正应用集群 Active Data Guard 可访问的数据快速恢复区自动存储管理 GoldenGate 2009 Oracle 23

24 可管理性发展持续改进 R2 自适应自动调优集成顾问程序低影响工具存储备份内存应用程序 /SQL 模式 RAC 恢复复制测试 2009 Oracle 24

25 Exadata 革命性的设计 Exadata DB Servers 请求 InfiniBand Exadata Storage 高性能理由 1 Smart Scan : 计算负载部分卸载至并行智能存储层, 并只传输经筛选的有用数据高性能理由 2 综合列压缩 (EHCC) : 技术获得 10x-50x 超高压缩比, 并提高磁盘 I/O 效率高性能理由 3 Smart Flash Cache : 高达 5.3TB 的 Flash Cache, 随机 I/O 性能高达 1M IOPS 高性能理由 4 Infiniband : 提供 40Gb/s 端口带宽, 聚合带宽高达 880Gb/s, 端口延时 (0.1um ) 小于以太网的 1/1000 Smart Scan EHCC Smart Flash Cache 等是 Oracle Exadata 独有的关键性能突破技术 2009 Oracle 25

26 Oracle+SUN Engineered :#1 in OLTP TPC-C World Record: 30,249,688 tpmc Sun SPARC TPC-C 性能纪录 : 比 IBM 最好纪录快 3 倍, 比 HP 快 7.4 倍 2009 Oracle 26

27 Oracle 11gR2 创造了 TPC-C 基准测试世界纪录 2009 Oracle 27

28 议程 Database 11g 新特性 Database 11g 升级路径和最佳实践 Oracle 全面的数据安全体系架构最新数据库防火墙产品 Database Firewall 2009 Oracle 28

Oracle 数据库产品生命周期 11gR2 11g 第二版 ( 11.2.0.1, 11.2.0.2)2009 年 9 月发布 11gR1 11g 第一版 (11.1.0.6, 11.1.0.7) 2007 年 8 月发布 10gR2 第二版 (10.2.0.1, 10.2.0.2, 10.2.0.3,10.2.0.4.

29 Oracle 数据库产品生命周期 11gR2 11g 第二版 ( , )2009 年 9 月发布 11gR1 11g 第一版 ( , ) 2007 年 8 月发布 10gR2 第二版 ( , , , ) 10gR1 第一版 ( , ,, ) 9iR2 第二版 ( , ,, ) Oracle 数据库产品生命周期请访问 Oracle 官方网站 : Oracle 29

30 升级到 11g R R Oracle 30

31 数据库补丁升级到 11g 的 Patchlevel 和 Patchsets 要求 : 在升级前请检查重要的 oneoff 补丁与 CPU 补丁 Oracle 数据库产品状态 Note Oracle 数据库认证信息操作系统相关补丁的检查与安装 2009 Oracle 31

32 Oracle Certification 2009 Oracle 32

33 升级路径 (+) Pros (-) Cons Oracle Database Upgrade Assistant (GUI) Oracle recommended Manual Upgrade (CLI) Full Export/Import SQL*Plus-COPY, CTAS and Scripts DG + TTS Streams 简单精确自动资源空间检查备份功能参数调整错误记录完全控制出现问题容易判断, 可重新执行升级脚本数据重组支持跨平台支持更低版本的 Oracle 升级平台无关升级速度快停机时间短 (Minimal Downtime) 当在升级过程中出现问题是不太容易诊断较少的手工干涉不支持跨平台容易出现操作错误不支持跨平台数据量较大时, 升级时间会比较长升级过程中需要 2-3 倍的额外空间需要用户自己准备脚本当数据量较大时, 升级时间会比较长准备过程比较复杂额外的空间需求 2009 Oracle 33

34 DBUA 图形化界面引导升级一些重要的检查 RAC 升级包括所有节点 - RAC 升级很方便 ASM 升级 Patch 升级参考文档 - Oracle Database Upgrade Guide 2009 Oracle 34

35 Logical Standby 升级 Rolling Upgrade 升级主要步骤 : - 先升级 Standby 数据库 - Switchover - 再升级 Primary 数据库 - Switchback 可实现 Minimal Downtime 不可跨平台 Logminer 有数据类型限制 Primary 必须在以上在 11g 的版本中可实现 Physical Standby 的 Rolling Upgrade 2009 Oracle 35

36 Logical Standby 升级 Upgrade Clients P Redo L Log P L ARCH Logical Standby configuration 2 Upgrade node L to 10.2 Upgrade L Redo P P Redo L Switchover (role change), then upgrade on L (ex-p) "Mixed setup" for testing 2009 Oracle 36

37 议程 Database 11g 新特性 Database 11g 升级路径和最佳实践 Oracle 全面的数据安全体系架构最新数据库防火墙产品 Database Firewall 2009 Oracle 37

38 被侵犯数据的主要来源 : 92% 的记录源自被侵入的数据库服务器 2010 数据侵犯调查报告 2009 Oracle 38

39 未对数据库实施保护的组织 2010 IOUG 数据安全报告仅 24% 能够防止 DBA 读取或篡改敏感数据 68% 无法检测数据库用户是否在滥用权限不到 30% 正在监视敏感数据的读 / 写 48% 没有意识到所有数据库包含敏感数据 44% 认为数据库用户可以直接访问数据 70% 使用自带审计功能, 只有 25% 使用了自动监视仅 28% 在所有数据库中统一加密 PII 66% 不确定 web 应用程序是否受到 SQL 注入攻击 63% 未使用 3 个月内发布的安全补丁 2009 Oracle 39

40 数据侵犯的影响您所在的企业会因为数据侵犯造成怎样的影响? 损坏企业形象与口碑丢失信用法律诉讼成本营业收入损失罚金或赔偿客户流失从行业中被淘汰没影响 * 应答可以是多重选择 2009 Oracle 40

41 怎样做到数据保护的深度防御和精确阻断? 如何做到 : 敏感数据看不见核心数据拿不走运维操作能审计加密和屏蔽访问控制审计和监视阻止和记录 2009 Oracle 41

42 安全最大化体系架构的数据安全成熟度模型 Maximum Data Security Architecture 说明 : 0. 无计划 (no plan) 1. 初始态 (initial) 2. 待完善 (marginal) 3. 稳定态 (stable) 4. 经验态 (best practice) 5. 完美态 (transformational) 2009 Oracle 42

43 数据安全深度保护加密和屏蔽 Oracle Advanced Security Oracle Secure Backup Oracle Data Masking 访问控制 Oracle Database Vault Oracle Label Security 审计和监测加密和屏蔽访问控制审计和监视阻止和记录 Oracle Audit Vault Oracle Configuration Management Oracle Total Recall 阻止和记录 Oracle 数据库防火墙 2009 Oracle 43

44 数据库安全性纵深防御 Oracle 数据库安全性整体解决方案监视威胁并且在其到达数据库之前阻止它们跟踪更改并审计数据库活动控制对数据库中数据的访问防止非数据库用户访问数据库从非生产数据库中删除敏感数据监视与阻止 Database Firewall 审计 Audit Vault Total Recall Configuration Management 访问控制 Database Vault Label Security Identity Management 加密与屏蔽 Advanced Security Secure Backup Data Masking 2009 Oracle 44

45 Oracle 数据库安全产品的发展过程 Solution Oracle 8i Oracle Database 9iR1 Oracle Database 9iR2 Oracle Database 10g R1 Oracle Database 10g R2 Oracle Database 11gR1 Database Auditing Network Encryption Virtual Private Database Label Security Privileged User Controls Enterprise User Security Fine Grained Auditing Client Identifier EM Configuration Scanning TDE Column Encryption TDE Tablespace Encryption EM Data Masking Data Masking is available starting with EM and works against Oracle Database 9.2 and higher databases Oracle 45

46 透明数据加密可管理性 2009 Oracle 46

47 Oracle Database Vault 防止高权限用户 (DBA) 访问应用程序数据 - 使用安全域 (Realm) - 使用安全域防止高权限用户访问实施职责分离 - 命令规则 - 自定义 Database Vault 职责分离控制可以访问应用程序数据和数据库的人员时间地点和方式 - 多因素授权 - 控制对应用程序数据和数据库的访问 2009 Oracle 47

48 Database Vault 使用安全域限制 DBA 和高级用户访问应用程序数据防止数据库的 DBA 查看 HR 的数据遵守规章和防止内部风险防止 HR 的 DBA 查看财务数据减少服务器集中的安全风险 2009 Oracle 48

Oracle Audit Vault 概要信任 - 但 - 检验收集并整合审计数据 Oracle 9i Release 2 and higher 简化合规性报告内建的报告监控策略定制的报告检测及预防内部威胁提早检测及警报嫌疑活动报表安全监控及检测数据变化可伸缩性和安全性

49 Oracle Audit Vault 概要信任 - 但 - 检验收集并整合审计数据 Oracle 9i Release 2 and higher 简化合规性报告内建的报告监控策略定制的报告检测及预防内部威胁提早检测及警报嫌疑活动报表安全监控及检测数据变化可伸缩性和安全性强壮的 Oracle 数据库技术 Database Vault, Advanced Security Partitioning 采用审计策略导致更低的 IT 成本 Oracle 9iR2 10gR1 10gR2 ( 未来 ) 其他源数据库集中管理 / 供应审计设置 2009 Oracle 49

50 议程 Database 11g 新特性 Database 11g 升级路径和最佳实践 Oracle 全面的数据安全体系架构最新数据库防火墙产品 Database Firewall 2009 Oracle 50

51 为什么需要数据库防火墙? 客户需要第一层保护, 用来监测和保护数据库, 使其免于受到现有和将来威胁的影响通过 Web, 黑客们从应用中寻找突破口, 侵入数据库窃取盗用身份信息注入式 SQL 应用数据库防火墙数据库 2009 Oracle 51

52 数据库防火墙能做什么? 防止对数据库的破坏恶意访问偷窃数据 ; 控制对数据库中数据的访问, 并可监控特权用户 ; 帮助企业强制执行安全规范 ; 检查薄弱环节漏洞, 防止对数据库配置的改动 ; 满足合规 / 审计的要求, 并可简化内部和外部审计合规的过程并使其自动化, 增强运作效率 ; 简化管理安全的复杂性应用数据库防火墙数据库 2009 Oracle 52

53 关于 Oracle DB Firewall Secerno 的核心产品 DataWall - 源自于牛津大学计算机实验室的研究成果 - 原公司总部在英国剑桥基于网络旁路或并入, 针对数据库的非授权访问实时喝阻, 报警和事后审计针对 Oracle 和非 oracle 数据库的数据防火墙解决方案 2009 Oracle 53

54 Oracle 数据库防火墙 Out of Band 部署模式监测 (Monitor Only) 模式不阻止 - 也被称为 SPAN Span port Mirrored 或者 Tap - 只进行 SQL 记录和报告 - 易于部署, 对数据库和应用没有影响 2009 Oracle 54

55 Oracle 数据库防火墙 In-Line 部署模式阻止和监测 - 密切监测 SQL 通信, 并对照安全策略进行检验 - 可以只做监测 - 也可以实时拦截 2009 Oracle 55

56 Oracle Database Firewall 第一道防线允许日志记录警报应用程序替代块警报内置报告自定义报告策略监视数据库活动防止未授权的数据库访问 SQL 注入权限或角色升级对敏感数据的非法访问等通过高度精确的 SQL 语法分析避免代价高昂的误报基于白名单和黑名单的灵活的 SQL 级实施选项可伸缩的体系结构让企业可以适应各种部署模式适用于 SOX PCI 和其他法规的内置和自定义合规性报告 2009 Oracle 56

57 Oracle Database Firewall 白名单允许应用程序阻止可以为任何用户或应用程序定义允许的行为白名单可以包括诸如时间日期网络应用程序等内置因素为任何应用程序自动生成白名单立即拒绝不符合策略的事务数据库将只按照您的要求和愿望来处理数据 2009 Oracle 57

58 Oracle Database Firewall 黑名单允许应用程序阻止停止不接受的特定 SQL 命令用户或模式的访问防止权限或角色提升以及对敏感数据的未授权访问黑名单中可以包括诸如时间日期网络应用程序等内置因素根据您的业务和安全目标有选择地阻止事务的任何部分 2009 Oracle 58

59 Oracle Database Firewall 快速和灵活的部署应用服务器用户数据库防火墙并联路由器串联数据库服务器基于主机的代理串联 : 所有数据库流量都经过 Oracle Database Firewall 并联 / 被动 : 数据库防火墙连接到 SPAN 端口或 TAP 可选的基于主机的远程或本地监视器可将网络流量从数据库主机发送到数据库防火墙可将非网络数据库活动发送到数据库防火墙, 以识别本地控制台或远程会话的未授权使用 2009 Oracle 59

60 Oracle Database Firewall 报告 Oracle Database Firewall Oracle Database Firewall Oracle Database Firewall Database Firewall 日志数据被整合到报告数据库中 130 多个可修改可自定义的内置报告用于数据库查证和审计的授权报告数据库活动和授权用户报告支持演示 PCI SOX HIPAA/HITECH 等控件 2009 Oracle 60

61 DBFW 对平台的支持 Oracle 数据库防火墙支持的 RDBMS 平台 - Oracle 8i, 9i, 10g, 11g - MS-SQL 2000, 2005, Sybase 到 15 - SQL Anywhere v10 - IBM DB2 LUW 支持以下操作系统 - Linux - AIX - Unix 2009 Oracle 61

62 灵活的部署场景数据库防火墙数据库防火墙 (HA 模式 ) 远程 / 本地监测器数据库防火墙管理服务器 Policy Analyzer 2009 Oracle 62

63 和其他 Oracle 数据库安全产品的定位比较 Oracle 数据库防火墙定位在以下情形 : 寻找基于网络的访问控制和监测解决方案很可能 IBM/Guardium Tizor Imperva 会参与进来进行竞争 Oracle Audit Vault 定位在以下情形 : 审计用户活动, 而不管采用本地或远程的监控方式, 或者不管采用直接的方式还是使用存储过程从 Oracle 数据库和非 Oracle 数据库收集审计记录 (Audit Trail) 使用网络加密, 不希望 Tap 出网络中传输的信息 Oracle Database Vault 定位在以下情形 : 为 Oracle 数据库寻找职责分离和特权用户控制的解决方案寻找基于完整的安全上下文 ( 如存储过程本地调用 ) 的安全判定方案为打包的应用 ( 如 EBS Peoplesoft Siebel JD Edwards SAP IRM 等等 ) 寻找经过认证的保护策略使用网络加密, 不希望 Tap 出网络中传输的信息 2009 Oracle 63

64 硬件和软件, 集成设计卓越性能 2009 Oracle 64

65 2009 Oracle 65

Oracle Database Firewall

Oracle Database Firewall Oracle 数据安全防护解决方案不能保护数据库安全, 神马 IT 系统都是浮云周意青高级技术顾问议程数据安全的重要意义如何实现全面的数据安全? Oracle 的数据安全整体解决方案 DBFW 的定位和主要功能特点总结问与答 2 什么 IT 安全的最大威胁? 随着数据库规模变大, 数据库成为企业信息资产的同时,