Ich denke, dies ist eine Veranstaltung, die jeden Datenbankprofi interessieren sollte - egal ob Oracle oder Microsoft, egal ob DBA, Entwickler oder Security-Experte.

Ein paar Highlights (für mich natürlich aus dem Oracle-Bereich ):

• Carry Millsap: "Millsap's Grand Unified Theory of 'Tuning'"
• Christian Antognini: "Query Optimizer 11g"
• Anton Topurov (CERN Genf): "CERN experience with virtualization of Oracle RAC with native XEN and Oracle VM"
• Roger Wullschleger (Oracle): "Oracle Enterprise Manager Data Masking Pack"

Auch die Keynote-Speaker sind sehr zu empfehlen - und natürlich auch der Überraschungsgast

Mehr Informationen findet ihr hier - und hier die Agenda.

Ich würde mich freuen, ein paar bekannte (und auch unbekannte) Gesichter zu sehen...

...
Patch sets provide bug fixes only; they do not include new functionality and they do not require certification on the target system.
...

This is so not true

There is at least one new feature: a new package called DBMS_AUDIT_MGMT.

This should be mainly used with Oracle Audit Vault. But they are some interesting procedures and functions for "normal" auditing too:

• defining of file size and aging from os audit files
• automatic purging from audit records
• moving from audit tables in another tablespace (yes - official supported )
• ...

Happy auditing...

File size (Linux 32 bit): 1.5 GB!!! Happy download

Today in the morning I took the exam and I passed the test.

Some comments to it:

• For me the exam was difficult, I found other update exams easier
• The questions were sometimes very deep
• There are nearly no questions about the GUI (Oracle Enterprise Manager)
• I think, I have become quite used to Oracle 11g (a lot of testing, writing course materials, teaching 6 courses, quite reliable preparation). But I found nearly no questions with an immediate and clear answer...
• There were more questions as before (now 85, during the New Features 10g exams there were only 60) -> see here
• To pass, 61% correct answers are enough (10g = 73%)
• It is recommended to have a really correct look at the exam topics – and to learn just below them, including any PL / SQL calls and default parameters!

Also - viel Erfolg bei der Prüfung !

So ist jetzt standardmässig Auditing eingeschaltet für folgende Operationen (Auszug aus der Oracle-Dokumentation):

Auch diese Massnahme ist aus Security-Sicht gut.

Aber für viele Firmen ist Auditing in der Datenbank etwas neues - etwas mit dem sie sich deshalb nicht beschäftigen wollen.

Da es keinen Automatismus für das Löschen der Audit-Tablelle (aud$) gibt, wird dies dann aber schnell zum Problem, denn die Tabelle wächst und wächst...

Also - wichtiger Punkt 1:
Auditing-Informationen auswerten, eventuell sichern - und erst danach Tabelle leeren.

Ausserdem empfiehlt sich, die eingeschalteten Optionen an den eigenen Verwendungszweck anzupassen.
Nicht immer sind alle sinnvoll - und sicherlich fehlen manchmal welche.
Z.B. wird "create session" protokolliert, auch "whenever successful". Vom Prinzip her sicherlich richtig (um nachzuweisen, wer wann angemeldet war). Ich kenne aber (Web-) Applikationen, wo jeder Seitenaufbau einen Connect zur Datenbank macht (ich will jetzt nicht über die Art der Programmierung diskutieren...). Dadurch würde die Auditing-Tabelle schnell riesengross - und damit potentiell auch noch zum Performance-Problem.

Also - wichtiger Punkt 2:
Audit-Optionen kontrollieren und an die eigenen Bedürfnisse (Regularien??) anpassen.

Dann sollte dem Auditing nichts mehr im Wege stehen

Download: www.trivadis.com -> Know-how-Center -> Publikationen
Oder direkt hier.

Dazu gehört u.a. auch "Fine-Grained Access für Netzwerk-Callouts", worüber ich hier schon berichtete.

Ausserdem wird beim Anlegen der Datenbank mit dem DBCA abgefragt, ob die "Enhanced default security settings" eingeschaltet werden sollen:

Wird diese Frage mit "Keep" beantwortet, wird das Default-Profile angepasst und der Wert PASSWORD_LIFE_TIME auf 180 (Tage) gesetzt. Das bedeutet, dass alle Benutzer nach 180 Tagen ihr Passwort ändern müssen.
Aus Security-Sicht ist das sicherlich gut (der Wert sollte eventuell sogar kleiner sein). Aber was machen dann alle Batchprogramme, Scripts, Programme mit fest kodierten Passwörtern (Application Server), ...? Abstürzen
Ich jedenfalls habe noch kein Programm gesehen, was in der Lage war, die Aufforderung zu erkennen und das Passwort selbständig zu ändern.

Deswegen - daran denken:
Vor dem Ablauf der 180 Tage ein spezielles Profile anlegen, im diesem PASSWORD_LIFE_TIME auf UNLIMITED setzen und (nur) den Benutzern zuteilen, die ihr Passwort nicht ändern können/sollen.

Übrigens, auch wenn Sie Ihre DB mit eigenen Scripts angelegen, gilt dieses Verhalten. Durch catproc.sql wird nämlich neu das Script secconf.sql ausgeführt...

Durch diesen Bericht bin ich wieder einmal auf die Idee gekommen, zu testen, ob sich im "Readonly-Verhalten" von Oracle etwas geändert hat.

Fall 1: Readonly Tablespace

Ist ein Readonly Tablespace wirklich readonly? Testen wir es mal aus:

SQL> CREATE TABLESPACE test_ro datafile '/u01/oradata/SVV1110/test_ro01SVV1110.dbf' SIZE 10M;
Tablespace created.

SQL> CREATE TABLE t1(f1 NUMBER) TABLESPACE test_ro;
Table created.

SQL> ALTER TABLESPACE test_ro READ ONLY;
Tablespace altered.

SQL> DROP TABLE t1;
Table dropped.

Also - die Tabelle lässt sich problemlos löschen...
Nun kann man hier durchaus sagen, dass sich in dem Readonly Tablespace nichts geändert hat, es wurden nur ein paar Einträge im Data Dictionary angepasst. Aber ob dies denjenigen interessiert, dessen Tabelle gelöscht wurde??

Fall 2: Readonly Tables

Seit Oracle Database 11g können auch einzelne Tabellen auf readonly gesetzt werden. Und - können die danach auch gelöscht werden?

SQL> CREATE TABLE t2(f1 NUMBER) TABLESPACE users;
Table created.

SQL> ALTER TABLE t2 READ ONLY;
Table altered.

SQL> DROP TABLE t2;
Table dropped.

Klar - kein Problem.
Auch hier der Versuch einer Begründung: Die Tabelle ist ja nicht gelöscht, sondern im Recyclebin. Kann sie dann von dort gelöscht werden?

SQL> SELECT object_name,  original_name FROM user_recyclebin;

OBJECT_NAME                    ORIGINAL_NAME
------------------------------ --------------------------------
BIN$PznB3DeNjPTgQKjAC6BFsg==$0 T2

SQL> PURGE RECYCLEBIN;
Recyclebin purged.

SQL> SELECT object_name,  original_name FROM user_recyclebin;
no rows selected

Auch dies geht.

Also mein Verständnis von Readonly ist etwas anders. Aber DML-Operationen und Truncate bringen doch wenigstens eine Fehlermeldung...

• Microsoft Windows (32-bit)
• Microsoft Windows (x64)
• Linux x86
• Linux x86-64
• Solaris (SPARC) (64-bit)
• AIX (PPC64)
• HP-UX Itanium

Download wie immer im Technet.

• UTL_TCP
• UTL_SMTP
• UTL_MAIL
• UTL_HTTP
• UTL_INADDR

Mit Oracle 11g ist dies nicht mehr der Fall. Per Default hat kein Benutzer (ausser SYS) die Möglichkeit, mit diesen Packages externe Rechner zu erreichen.
Mit dem neuen Package DBMS_NETWORK_ACL_ADMIN können nun Access Control Listen erzeugt werden, mit denen definiert wird, wer an welchen Host Callouts durchführen kann.

Dies hat aber einige Auswirkungen...

In der Datenbank muss XDB installiert sein
Ansonsten kommt bei jedem Aufruf eines der Packages (ausser von SYS) folgende Fehlermeldung:

EXEC dbms_output.put_line(utl_inaddr.get_host_name);
BEGIN dbms_output.put_line(utl_inaddr.get_host_name); END;
 
*
ERROR AT line 1:
ORA-24248: XML DB extensible security NOT installed
ORA-06512: AT "SYS.UTL_INADDR", line 4
ORA-06512: AT "SYS.UTL_INADDR", line 35
ORA-06512: AT line 1
 

Ist XDB installiert, können die ACL dann wie folgt erzeugt werden:

BEGIN
 DBMS_NETWORK_ACL_ADMIN.CREATE_ACL (
  acl          => 'scott_trivadis.xml',
  description  => 'Allow scott to connect to trivadis',
  principal    => 'SCOTT',
  is_grant     => TRUE,
  privilege    => 'connect'
 );
END;
/
 
BEGIN
 DBMS_NETWORK_ACL_ADMIN.ASSIGN_ACL (
  acl         => 'scott_trivadis.xml',
  host        => 'www.trivadis.com'
  );
END;
/
 

Eigentlich ein gutes Feature - aber die Abhängigkeit zu XDB finde ich extrem problematisch. Ist der in XDB integrierte Web- und FTP-Server wirklich sicher? Dieser ist in 11g aber wenigstens per Default ausgeschaltet. Aber trotzdem ist jedes zusätzliche Package ein potentielles Security Risiko

Und ohne XDB-Installation ist es nicht mehr möglich, z.B. eine Mail aus einer DB zu verschicken
Es sein denn, ich benutze Java in der Datenbank, aber dies möchte ich eigentlich auch vermeiden...