Oracle安全博客

热情好客和欢迎客人通常被认为是很好的举止。话虽如此，成为一个客气的主人并不意味着您应该不注意自己的安全。

关于PeopleSoft应用程序安全性，用户GUEST是安装PeopleSoft时创建的默认帐户。在执行PeopleSoft安全审核时，将检查GUEST用户的几个属性，包括以下内容-今天来看一下您的设置：

对于GUEST用户：

在执行PeopleSoft安全审核时，查看已授予个人用户哪些系统和应用程序安全特权（授权）的权利和特权是关键的可交付成果之一。以下是Integrigy在我们的PeopleSoft安全配置评估过程中调查的几个主题-今天来看一下您的设置：

查看有权访问的用户

确保PeopleSoft Integration Broker（IB）的安全可确保PeopleSoft应用程序内部和第三方系统之间消息传递的安全。以下是Integrigy在我们的PeopleSoft安全配置评估过程中执行的几个关键任务-今天就来看看您的设置：

日志记录和审核是PeopleSoft Security的支柱之一。应用程序和数据库审核都是必需的。日志记录和审核支持信任但验证的方法，通常认为这是保护特权系统和数据库管理员的活动所必需的。

虽然应用程序和数据库都提供了复杂的审核解决方案，但是Integrigy始终建议的一项关键功能是确保在psappssrv.cfg文件中启用EnableDBMononitoring。这是默认设置，但有时我们会禁用它。

与其他主要的ERP应用程序类似，PeopleSoft虽然依赖于数据库来存储信息，但是可以说它并不能保护支持的数据库。数据库的安全性是客户的责任。

为了提供一些有关数据库安全性的讨论示例，以下是Integrigy在PeopleSoft安全性配置评估过程中执行的200多种数据库安全性检查中的几种-今天就来看一下您的数据库，以了解快速检查：

以前的博客文章（PeopleSoft安全补丁）审查了PeopleSoft CPU修补程序。值得一提的是2014年10月的CPU。在Collaborate 2016（2016年4月）的PeopleSoft数据库安全演示中展示了举手PeopleSoft数据库安全性）进一步证实了Integrigy的研究，即惊人数量的PeopleSoft安装没有应用此补丁。

应用安全补丁的过程始于确定要应用哪些补丁。对于PeopleSoft，需要同时为应用程序和主要技术组件考虑安全补丁。一个组件对Oracle的安全补丁程序的应用，即Oracle的重要补丁更新（CPU），请勿对其他组件应用安全补丁程序。

例如，PeopleTools CPU修补程序不包括数据库CPU –应用一个将不会自动应用也不会包含另一个。 WebLogic和Tuxedo CPU补丁也是如此。

在整个夏季，Integrigy将发布有关PeopleSoft安全性的新研究。这项研究的重点是PeopleSoft的安全配置，包括应用程序和主要技术组件，例如数据库（Oracle RDBMS），WebLogic和Jolt / Tuxedo。希望这些博客文章对您有所帮助。

如有疑问，请通过以下方式与我们联系 [email protected]

迈克尔·米勒（Michael A.Miller），CISSP-ISSMP，CCSP

不，Oracle安全漏洞在本季度不仅恶化了很多。取而代之的是，Oracle将关键补丁更新（CPU）中使用的评分指标从CVSS v2更新为2016年4月的CVSS v3.0。通用漏洞评分系统（CVSS）是对安全漏洞进行评分和评级的公认方法。 Oracle，Microsoft，Cisco和其他主要软件供应商使用CVSS。

Oracle电子商务套件 11i受2016年4月CPU中的8个安全漏洞的影响，其中包括Oracle供应链产品套件中列出的Oracle Configurator和Oracle Complex Maintenance，Repair和Overhaul安全错误。

首先，2016年1月的Oracle电子商务套件（EBS）重要补丁更新（CPU）为 重大而高风险. 

从新的一年开始，现在是时候考虑2016年的Oracle关键补丁更新了.Oracle每个季度（一月，四月，七月和十月）以关键补丁更新（CPU）的形式发布安全补丁。这些补丁包括针对Oracle数据库中的安全漏洞的重要修复程序。 CPU仅适用于某些版本的Oracle数据库，因此，需要进行高级规划以确保使用了受支持的版本，并且当无法及时应用CPU时，可能需要缓解控制措施。

从新的一年开始，现在是时候考虑2016年的Oracle关键补丁更新了.Oracle每个季度（一月，四月，七月和十月）以关键补丁更新（CPU）的形式发布安全补丁。这些补丁包括针对Oracle电子商务套件及其技术堆栈中的安全漏洞的重要修复程序。 CPU仅适用于某些版本的Oracle电子商务套件和Oracle数据库，因此，需要进行高级规划以确保使用了受支持的版本，并且可能缓解控制措施

最近有几个客户和合作伙伴要求提供此清单。将其发布给可能会觉得有用的人：

在过去的几个月中，我们已经回答了一个问题，即是否以及（如果是这样的话）诸如IBM Guardium之类的数据库活动监视（DAM）工具支持诸如Oracle电子商务套件，PeopleSoft和树液。答案是肯定的。 DAM工具可以支持ERP系统。例如，IBM Guardium拥有针对电子商务套件和SAP的即用型策略-请参见下面的图一和图二。