PowerPoint Presentation

Size: px

Start display at page:

Download "PowerPoint Presentation"

きみえさくもと
5 years ago
Views:

1 Oracle Direct Seminar <Insert Picture Here> 今さら聞けない!? セキュリティ対策日本オラクル株式会社

2 Agenda はじめに基本機能で実現できるセキュリティ対策 Oracle Database インストール時の設定事項認証 : ユーザの管理認証 : パスワードポリシーの設定と OS 認証アクセス制御 : オブジェクトレベル制御格納データの暗号化監査まとめ Appendix Enterprise Edition の機能無償技術サービス Oracle Direct Concierge SQL Server からの移行アセスメント MySQL からの移行相談 PostgreSQL からの移行相談 Access からの移行アセスメント Oracle Database バージョンアップ支援 Oracle Developer/2000 Web アップグレード相談パフォーマンスクリニック Oracle 構成相談 Oracle Database 高可用性診断システム連携アセスメントシステムセキュリティ診断簡易業務診断メインフレーム資産活用 2

データベースの破壊行為監査証跡の改竄社内アクセスによる不正行為サーバー内の OS ファイルの取得バックアップファイル (

3 データベース環境において起こりうる脅威アプリケーションユーザによる不正行為不正な閲覧データ改竄不正なログイン開発者による不正行為データの破壊行為不正な権限付与不正なユーザ作成などの構成変更 DBA による不正行為データベースの破壊行為監査証跡の改竄社内アクセスによる不正行為サーバー内の OS ファイルの取得バックアップファイル ( ディスクやテープ ) の取得社内ネットワークアクセス権限保持者アプリケーションユーザ開発者 DBA DB 表 OS ファイルバックアップファイル 3

4 Oracle で実現するセキュアなデータベース環境 1. 通信データの暗号化 Oracle Net Serviceの暗号化符号化 2. 認証の強化パスワードポリシー他社製認証デバイスの利用( 外部認証 ) PKIによる認証( グローバル認証 ) 3 階層アプリの認証強化 ( プロキシ認証,EUS) 3. データへのアクセス制御オブジェクトレベル制御(View,Grant) 値レベル制御(VPD) デュアルロックによる制御強化 4. 格納データの暗号化透過的データ暗号化(TDE) バックアップデータの暗号化 5. 監査必須監査標準監査 DBA 監査特定データアクセス監査 C/S Application Web Application 4

5 Agenda はじめに基本機能で実現できるセキュリティ対策 Oracle Database インストール時の設定事項認証 : ユーザの管理認証 : パスワードポリシーの設定と OS 認証アクセス制御 : オブジェクトレベル制御格納データの暗号化監査まとめ Appendix Enterprise Edition の機能無償技術サービス Oracle Direct Concierge SQL Server からの移行アセスメント MySQL からの移行相談 PostgreSQL からの移行相談 Access からの移行アセスメント Oracle Database バージョンアップ支援 Oracle Developer/2000 Web アップグレード相談パフォーマンスクリニック Oracle 構成相談 Oracle Database 高可用性診断システム連携アセスメントシステムセキュリティ診断簡易業務診断メインフレーム資産活用 5

6 初期状態からセキュアなデータベース Database Configuration Assistant(DBCA) にてデータベースの構成を行う際のセキュリティ設定画面具体的に初期設定される内容標準監査の有効化デフォルトプロファイルのパスワード制限の強化 PUBLIC ロールからの CREATE EXTERNAL JOB 権限の削除 Oracle Database 11gR2 よりデフォルトで高度なセキュリティ設定が有効化されているため DBCA ではセキュリティ設定画面が廃止されています 6

7 インストールおよび構成のチェックリスト初期状態からセキュアなデータベース認証の管理外部からのアクセス権限の管理その他のセキュリティトピックスマニュアル Oracle Database 2 日でセキュリティガイドホワイトペーパー Oracle Database のセキュリティチェックリスト tabase.pdf Oracle Direct Seminar 意外と簡単!? Oracle Database 11g - セキュリティ編 - 7

8 Agenda はじめに基本機能で実現できるセキュリティ対策 Oracle Database インストール時の設定事項認証 : ユーザの管理認証 : パスワードポリシーの設定と OS 認証アクセス制御 : オブジェクトレベル制御格納データの暗号化監査まとめ Appendix Enterprise Edition の機能無償技術サービス Oracle Direct Concierge SQL Server からの移行アセスメント MySQL からの移行相談 PostgreSQL からの移行相談 Access からの移行アセスメント Oracle Database バージョンアップ支援 Oracle Developer/2000 Web アップグレード相談パフォーマンスクリニック Oracle 構成相談 Oracle Database 高可用性診断システム連携アセスメントシステムセキュリティ診断簡易業務診断メインフレーム資産活用 8

9 データベースセキュリティの前提として Oracle データベースにアクセスするユーザを個別に作成していないと? 業務データにアクセスしたのは誰? 全員同じ権限でよい? N 階層構造のアプリケーションで監査およびアクセス制御には別の仕組みが必要 9

10 アプリケーションユーザーと DB ユーザー ou1 ou1 ou2 ou2 eu1 eu2 au1 au2 au3 エンタープライズユーザー au1 au2 au3 eu1 eu2 OID gu1 グローバルユーザー ou3 CLIENT_ IDENTIFIER = au1 EE + ASO エンドユーザー AP サーバー DB サーバー 10

11 クライアントユーザーの識別 (AP ユーザー ) ユーザーに応じた識別情報を設定 user A CLIENT_ IDENTIFIER CLIENT_IDENTIFIER 属性を利用して設定 usera クライアントユーザー毎の識別や制御が必要 EMP_INFO EMPNO = 1234 ENAME = TYAMADA DEPT = SALES userb userc エンドユーザー AP サーバー 1 つの DB ユーザーのセッションを共有 DB サーバー OCI/Java(JDBC)/.NET(ODP.NET) を使うアプリケーションで可能 11

12 クライアント識別子エンドユーザがアプリ経由でデータをアクセスする際に接続しているエンドユーザを特定する仕組み ( アプリケーションで利用するユーザ情報!= Oracle ユーザ ) アプリケーション処理内で DB セッションを利用する毎にクライアント識別子としてユーザ情報を設定すると後続の処理でユーザ情報を認識できる設定方法 (PL/SQL) PL/SQL の他 OCI と JDBC より利用可能 EXECUTE DBMS_SESSION.SET_IDENTIFIER('USER01'); クライアント識別子の取得例 : SELECT SYS_CONTEXT('USERENV','CLIENT_IDENTIFIER') FROM DUAL; 12

クライアント識別子を設定することでできること V$SESSION の client_identifier 列に値が設定 Oracle Database にアクセスしているアプリケーションユーザを識別可能 DBA_AUDIT_TRAIL の client_id に値が設定される監査ログにアプリケーションユーザが記録されるアプリケーションユーザ単位で

13 クライアント識別子を設定することでできること V$SESSION の client_identifier 列に値が設定 Oracle Database にアクセスしているアプリケーションユーザを識別可能 DBA_AUDIT_TRAIL の client_id に値が設定される監査ログにアプリケーションユーザが記録されるアプリケーションユーザ単位で業務データを絞り込むことができるアプリケーションユーザの所属する部課でデータを絞り込んだ例 SELECT... FROM B WHERE (B. 部 CD, B. 課 CD) in ( SELECT 部 CD, 課 CD FROM 部課 _ ユーザ T WHERE ユーザ ID = SYS_CONTEXT('USERENV','CLIENT_IDENTIFIER') ); 13

14 Agenda はじめに基本機能で実現できるセキュリティ対策 Oracle Database インストール時の設定事項認証 : ユーザの管理認証 : パスワードポリシーの設定と OS 認証アクセス制御 : オブジェクトレベル制御格納データの暗号化監査まとめ Appendix Enterprise Edition の機能無償技術サービス Oracle Direct Concierge SQL Server からの移行アセスメント MySQL からの移行相談 PostgreSQL からの移行相談 Access からの移行アセスメント Oracle Database バージョンアップ支援 Oracle Developer/2000 Web アップグレード相談パフォーマンスクリニック Oracle 構成相談 Oracle Database 高可用性診断システム連携アセスメントシステムセキュリティ診断簡易業務診断メインフレーム資産活用 14

15 パスワードポリシーの強化プロファイル ( データベースリソースの制限 ) を作成し USER に割り当てる CREATE USER 時に PROFILE 指定を省略すると DEFAULT プロファイルが割り当てられるリソース : A = 制限値ユーザ :A プロファイル :A リソース : B = 制限値リソース : C = 制限値制限名内容 FAILED_LOGIN_ATTEMPTS ログイン試行回数の制限 PASSWORD_LIFE_TIME パスワード有効期間 PASSWORD_REUSE_TIME パスワードが再利用できるようにまでの期間 PASSWORD_REUSE_MAX 現行のパスワードを再利用する前に必要なパスワードの変更回数 PASSWORD_LOCK_TIME ログインが指定された回数連続して失敗した場合アカウントがロックされる日数 PASSWORD_GRACE_TIME ログインが許可される猶予期間の日数 PASSWORD_VERIFY_FUNCTION パスワード検証用のファンクションを指定 (*1) パスワードポリシー関連の制限 ( 抜粋 ) (*1) ファンクションのサンプル : $ORACLE_HOME/rdbms/admin/utlpwdmg.sql 15

16 パスワードポリシー設定例 Oracle 上のユーザ tanaka にプロファイル prof を設定した例 : SQL> CREATE PROFILE prof LIMIT SQL> FAILED_LOGIN_ATTEMPTS 4 SQL> PASSWORD_LOCK_TIME 30 SQL> PASSWORD_LIFE_TIME 90 SQL> PASSWORD_GRACE_TIME 3; SQL> ALTER USER tanaka PROFILE prof; サンプル $ORACLE_HOME/rdbms/admin/utlpwdmg.sql の内容ユーザー名と同じかどうかのチェックパスワード長のチェック簡単な用語でないかのチェック英文字数字記号が入っているかのチェック過去に使ったパスワードかどうかのチェック 16

17 外部認証 (OS 認証 ) 外部認証 Oracle 上のユーザのパスワード管理とユーザ認証を外部サービスにて実施する認証形態外部サービスオペレーティングシステム Standard Editionでも利用可能ネットワークサービス Enterprise Edition + Advanced Security RADIUS 認証 Kerberos 認証など OS 認証の例既に OS やドメインで認証されていることネットワーク認証の例 17

18 外部認証 (OS 認証 ) - 設定初期化パラメータ OS_AUTHENT_PREFIX OS 認証ユーザの接頭辞 ( デフォルト :OPS$) SQLNET.ora (Windows のみ ) sqlnet.authentication_services =(NTS) ユーザ作成 UNIX SQL> CREATE USER OPS$SCOTT IDENTIFIED EXTERNALLY; Windows ( 以下のいずれか ) SQL> CREATE USER "OPS$ ホスト名 SCOTT" IDENTIFIED EXTERNALLY; SQL> CREATE USER "OPS$ ドメイン名 SCOTT" IDENTIFIED EXTERNALLY; 18

19 外部認証 (OS 認証 ) - 接続 1. OS もしくはドメインにて認証 ( ログイン ) する 2. 認証済みの OS 上より Oracle のユーザ ID パスワードを省略して接続 $ whoami scott $ sqlplus /@ 接続先 UNIX 系 OS の例 19

20 Agenda はじめに基本機能で実現できるセキュリティ対策 Oracle Database インストール時の設定事項認証 : ユーザの管理認証 : パスワードポリシーの設定と OS 認証アクセス制御 : オブジェクトレベル制御格納データの暗号化監査まとめ Appendix Enterprise Edition の機能無償技術サービス Oracle Direct Concierge SQL Server からの移行アセスメント MySQL からの移行相談 PostgreSQL からの移行相談 Access からの移行アセスメント Oracle Database バージョンアップ支援 Oracle Developer/2000 Web アップグレード相談パフォーマンスクリニック Oracle 構成相談 Oracle Database 高可用性診断システム連携アセスメントシステムセキュリティ診断簡易業務診断メインフレーム資産活用 20

21 いろんな人が本番データに直接アクセスしていませんか? 検索ツール (MS-Access) や SQL*Plus でエンドユーザがアクセスできると URL アプリケーション Oracle URL CONNECT APP_OWNER ユーザ : APP_OWNER SQL*Plus CONNECT APP_OWNER 表 :A 表 :B 課題 1) みえてはいけないデータが見えてしまう課題 2) 誤ってデータを更新削除をしてしまう可能性がある 21

22 VIEW とオブジェクト権限によるアクセス制限 VIEW でみせてはいけない列を見せないようにする参照用の Oracle ユーザを作成しオブジェクトの別名 (SYNONYM) を作成参照用 Oracle ユーザへの本番データのオブジェクト権限は参照のみとし不用意な更新をさせない Oracle URL アプリケーションユーザ : APP_OWNER 表 :B URL CONNECT APP_OWNER 表 :A 参照権限 VIEW:B_V 参照権限 SQL*Plus CONNECT APP_VIEW ユーザ : APP_VIEW 別名 :A 別名 :B_V 22

23 ユーザ毎に見てよいデータ ( 行 ) を変えたい VIEW では見せてはいけない列のみでなくユーザ毎に行も絞り込みたい例 : 特定の部課に属しているデータのみ公開したい参照権限は省略 Oracle ユーザ : APP_OWNER SQL*Plus ユーザ : 第一営業部表 :A CONNECT 第一営業部別名 :A 別名 :B_V VIEW: B_ 第一営業部 V SQL*Plus ユーザ : 第二営業部表 :B CONNECT 第二営業部別名 :A 別名 :B_V VIEW: B_ 第二営業部 V 課題 1) 似たような VIEW をユーザ毎に作成すると管理が大変課題 2) ユーザ毎に別名 (SYNONYM) を作成するのも大変 23

応用例 ) ユーザ毎に見てよいデータ ( 行 ) を変えたい課題 1) 似たような VIEW をユーザ毎に作成すると管理が大変 Oracle ユーザが参照してもよい部課テーブルがあるならば USER 関数を利用した VIEW を作成可能 CREATE OR REPLACE VIEW B_V AS SELECT... FROM B WHERE (B. 部 CD, B.

24 応用例 ) ユーザ毎に見てよいデータ ( 行 ) を変えたい課題 1) 似たような VIEW をユーザ毎に作成すると管理が大変 Oracle ユーザが参照してもよい部課テーブルがあるならば USER 関数を利用した VIEW を作成可能 CREATE OR REPLACE VIEW B_V AS SELECT... FROM B WHERE (B. 部 CD, B. 課 CD) in ( SELECT 部 CD, 課 CD FROM 部課 _ ユーザ T WHERE ユーザ ID = USER ); 課題 2) ユーザ毎に別名 (SYNONYM) を作成するのも大変 PUBLIC SYNONYM を作成し PUBLIC に参照権限を付与することで対応 CREATE PUBLIC SYNONYM B_V FOR B_V; GRANT SELECT ON B_V TO PUBLIC; 24

25 応用例 ) ユーザ毎に見てよいデータ ( 行 ) を変えたい USER 関数を用いた VIEW PUBLIC SYNONYM との組み合わせ Oracle 参照権限は省略 PUBLIC ユーザ : APP_OWNER 別名 :A 別名 :B_V SQL*Plus ユーザ : 第一営業部表 :A CONNECT 第一営業部別名 :A 別名 :B_V VIEW:B_V SQL*Plus CONNECT 第二営業部ユーザ : 第二営業部別名 :A 別名 :B_V 表 :B 表 : 部課 _USR ユーザーの異動などがあっても表 : 部課 _USR のメンテナンスで対応できる 25

26 Agenda はじめに基本機能で実現できるセキュリティ対策 Oracle Database インストール時の設定事項認証 : ユーザの管理認証 : パスワードポリシーの設定と OS 認証アクセス制御 : オブジェクトレベル制御格納データの暗号化監査まとめ Appendix Enterprise Edition の機能暗号化についての詳細は 8/24 実施の実践!! セキュリティ ~OracleDatabase の暗号化 ~ セミナーにご参加ください無償技術サービス Oracle Direct Concierge SQL Server からの移行アセスメント MySQL からの移行相談 PostgreSQL からの移行相談 Access からの移行アセスメント Oracle Database バージョンアップ支援 Oracle Developer/2000 Web アップグレード相談パフォーマンスクリニック Oracle 構成相談 Oracle Database 高可用性診断システム連携アセスメントシステムセキュリティ診断簡易業務診断メインフレーム資産活用 26

27 データの暗号化データファイルの暗号化データファイルの盗難の危険性の認識 Database 内ではデータはファイルとして存在クラッキングツールにより解読! 悪意を持つユーザからは格好の対象となる 27

28 標準の PL/SQL パッケージの使用予め各パッケージのプロシージャを使用して暗号化用 / 復号化用のファンクションを作成しておきます暗号化してデータを挿入 SQL> INSERT INTO customers(cust_id) VALUES (encrypt_function( xxxxxx )); 復号してデータを取得 SQL> SELECT decrypt_function(cust_id) FROM customers; USER_ID NAME ADDRESS CARD_ID 001 KING TOKYO 3351-xxxx-xx 002 SCOTT FUKUOKA 3352-xxxx-xx 003 CLARK SAPPORO 3353-xxxx-xx USER_ID NAME ADDRESS CARD_ID 001 KING TOKYO mcjs8aakm 002 SCOTT FUKUOKA p$hv/wimnhf 003 CLARK SAPPORO V%Jsa6aUm 復号されたデータ暗号化されて格納 28

29 パッケージによる暗号化復号化の問題点従来の暗号化方法パッケージによる暗号化複合化 DBMS_OBFUSCATION_TOOLKIT(R8.1~) DBMS_CRYPTO(R10.1~) 暗号化 / 復号化のたびにパッケージを呼び出してデータを処理 TDE に比べ追加のコストがかかるパッケージを使用した場合事前のパッケージ呼び出しによる暗号化オーバヘッドがかかりパフォーマンス面で不利 SQL 文中に挿入するため状況により改変も必要暗号化してデータを挿入 SQL> INSERT INTO customers(cust_id) VALUES (encrypt_function( xxxxxx )); 復号化してデータを取得 SQL> SELECT decrypt_function(cust_id) FROM customers; 29

30 EE + Advanced Security Option で可能となる暗号化アプリケーション通信データの暗号化格納データの暗号化透過的なデータ暗号化 (TDE: Transparent Data Encryption) アプリケーションの修正が不要暗号化キーの管理を自動化索引が使用可能従来の方式と比較して高速にディスクやメディアを問わない暗号化の実現バックアップの暗号化 RMAN バックアップの暗号化 RMAN で取得したバックアップセットの暗号化 30

31 暗号化処理に伴うオーバーヘッド使用する暗号化アルゴリズムの違いによる INSERT/SELECT 処理性能の比較結果どのアルゴリズムを使用しても暗号化処理によって性能処理は劣化 INSERT: 約 1.7 倍 SELECT: 約 1.4 倍鍵長を考慮すると AESは 3DESに比べて高速 AESの鍵長の差異は処理性能にほとんど影響を与えない最大限のセキュリティの強固さと性能を両立するなら AES 256bit おすすめ 100 万行の暗号化データの挿入検索を行った際の処理時間を比較 ( シリアル処理 ) INSERT 暗号化無し 1 TDE(AES128) 1.73 TDE(AES192) 1.72 TDE(AES256) 1.71 TDE(3DES 3Key) ( 比率 ) SELECT 暗号化無し 1 TDE(AES128) 1.38 TDE(AES192) 1.39 TDE(AES256) 1.41 TDE(3DES 3Key) ( 比率 ) 31

32 従来の暗号化方法との性能比較 TDE vs DBMS_OBFUSCATION _TOOLKIT 性能比較結果暗号化無し 1 INSERT 暗号化処理を行うことにより処理性能が劣化する <TDE> INSERT: 約 1.7 倍 SELECT: 約 1.4 倍 <DBMS_OBFUSCATION _TOOLKIT> INSERT: 約 3.2 倍 SELECT: 約 4.3 倍 TDE のほうが DBMS_OBFUSC ATION_TOOLKIT よりも明らかに処理性能が高い INSERT: 約 2 倍 SELECT: 約 3 倍 TDE(AES192) TDE(3DES 3key) OB-KIT (3DES 3key) ( 比率 ( 比率 ) ) OB-KIT : DBMS_OBFUSCATION_TOOLKIT 暗号化無し SELECT 3.17 TDE(AES192) TDE(3DES 3key) 万行の暗号化データの挿入検索を行った際の処理時間を比較 ( シリアル処理 ) OB-KIT (3DES 3key) ( 比率 ) 32

33 Agenda はじめに基本機能で実現できるセキュリティ対策 Oracle Database インストール時の設定事項認証 : ユーザの管理認証 : パスワードポリシーの設定と OS 認証アクセス制御 : オブジェクトレベル制御格納データの暗号化監査まとめ Appendix Enterprise Edition の機能監査についての詳細は 8/31 実施の実践!! セキュリティ実践!! セキュリティ ~Oracle Database の監査 ~ セミナーにご参加ください無償技術サービス Oracle Direct Concierge SQL Server からの移行アセスメント MySQL からの移行相談 PostgreSQL からの移行相談 Access からの移行アセスメント Oracle Database バージョンアップ支援 Oracle Developer/2000 Web アップグレード相談パフォーマンスクリニック Oracle 構成相談 Oracle Database 高可用性診断システム連携アセスメントシステムセキュリティ診断簡易業務診断メインフレーム資産活用 33

データベース環境において起こりうる脅威と監査機能一般ユーザによる不正行為不正なログイン

不正な閲覧データ改竄破壊行為不正なユーザ作成などの構成変更不正な権限付与監査証跡の改竄

34 データベース環境において起こりうる脅威と監査機能一般ユーザによる不正行為不正なログイン不正な閲覧データ改竄破壊行為不正な権限付与不正なユーザ作成などの構成変更一般ユーザによる不正行為 Webアプリケーションユーザによる不正行為不正な閲覧データ改竄 DBAによる不正行為不正な閲覧データ改竄破壊行為不正なユーザ作成などの構成変更不正な権限付与監査証跡の改竄 DBA の行動監査 DBA 監査監査証跡開発者 DBA 一般ユーザに対する監査標準監査アプリケーションユーザ対象をより詳細に絞った監査ファイングレイン監査 DB 表 OS ファイル 34

35 その他の監査機能 DB の起動停止リスナーへの接続必ず行なわれる監査監査証跡 OS ファイル監査証跡の記録以外のアクショントリガーによる処理リスナーへの接続不正発覚後の詳細な変更履歴の参照 LogMiner アプリケーションユーザ開発者 DBA DB の起動停止 REDO ログ 35

36 オラクルで実現できる監査の種類いつ知りたい? 何を? 誰が行なったの? Oracle の機能リスナー DB の起動停止リスナー経由接続 DBAのみ必ず行なわれる監査 DBA 実施事項全て DBA のみ DBA 監査ログインログアウト定期的にチェックして不正を未然に防ぐ権限付与 DDL 構成変更 DB ユーザ標準監査オブジェクトへの SELECT DML など特定データへの SELECT DML DBユーザ APユーザ EE ファイングレイン監査その他全ユーザトリガー不正発覚後に調査をしたい DDL DML 全ユーザ LogMiner 36

37 必須監査必須監査 : デフォルトでおこなわれる必要最低限の監査特権ユーザ (DBA) による基本操作 ( 起動停止 ) リスナーを介した Oracle Net Services によるインスタンスへの接続リスナーへの接続接続およびインスタンスの起動停止クライアントユーザーデータベース管理者リスナーログ OS 監査 ( 必須監査 ) ログ 37

38 必須監査で取得できる監査証跡 SYSOPER/SYSDBA での接続 DB の起動停止出力先 : Windows: イベントログ Windows 以外 :$ORACLE_HOME/rdbms/audit/ora_xxxxx.aud (xxxx はプロセス番号 ) 出力を停止することはできない Listener への接続出力先 : Windows: %ORACLE_HOME% network log < リスナー名 >.log Windows 以外 :$ORACLE_HOME/ network/log/< リスナー名 >.log リスナーを経由しない接続は当然記録されない Oracle Net Services のエラーも記録される (TNS-xxxxx) ログインエラー ( パスワード違い等 ) は Net のエラーではないので記録されないデフォルトでは出力停止は可能 ( 停止 :lsnrctl set log_status off ) 38

39 DBA 監査 (9iR2 以降 ) 正当な DBA 権限を持ったユーザーによる不正アクセスへの対策 DBA ユーザーが行う全ての操作を OS 上に監査証跡として残すことによりシステム / セキュリティ管理者による DBA ユーザーの監査を可能にするポイント : 監査証跡の保護 DBA 権限をもつユーザーは Oracle が残した監査証跡を参照 / 改竄することが出来ないデータベース管理者 DBA タスク参照 / 改竄が不可能セキュアなファイルシステム参照可能システム / セキュリティ管理者監査証跡の記録 39

40 DBA 監査の取得方法初期化パラメータ AUDIT_SYS_OPERATIONS DBA 監査をおこなうかどうか ( デフォルトFALSE) AUDIT_FILE_DEST 監査証跡の出力場所 ( デフォルト $ORACLE_HOME/rdbms/audit) AUDIT_TRAIL 監査取得有無および出力形式を指定 (none os db db,extended xml xml,extended) 出力先 Windows: イヘントログ Windows 以外 : AUDIT_FILE_DEST で指定されたディレクトリ出力形式通常のログファイル XML 形式 (audit_trail=xml もしくは xml,extended) Thu Jan 24 12:58: ACTION: 'CONNECT' DATABASE USER: '/' OSPRIV: SYSDBA CLIENT USER: jeff CLIENT TERMINAL: pts/2 STATUS: 0 Thu Jan 24 12:58: ACTION: 'update salary set base=1000 where name='myname'' DATABASE USER: '' OSPRIV: SYSDBA CLIENT USER: jeff CLIENT TERMINAL: pts/2 STATUS: 0 40

の指定先所有者 : sysadmin:sysadmin パーミッション : drxwr-w--- (0750) (sysadmin グループ以外からの読み書きを遮断 ) DBA ユーザー DBA OS グループインストールユーザー

41 DBA 監査 - 運用上のポイント OS 管理者と DBA のそれぞれを別々のユーザー / グループとして管理し相互の行動を監視できる形で運用を行うシステム / セキュリティ管理者による DBA の監視を実現するためには DBA による監査証跡の改竄を防止する必要がある監査証跡は Oracle のインストールユーザーの UID で記録される監査証跡の改竄を防止する設定の例 : 参照 / 改竄が不可能監査証跡記録参照可能 AUDIT_FILE_DEST の指定先所有者 : sysadmin:sysadmin パーミッション : drxwr-w--- (0750) (sysadmin グループ以外からの読み書きを遮断 ) DBA ユーザー DBA OS グループインストールユーザーシステム管理者ユーザーシステム管理者 OS グループポイント : 監査証跡の所有者となる Oracle インストールユーザーをシステム管理者グループにもアサインし日常の運用では利用しないことで DBA による監査証跡の改竄を防止 41

42 標準監査システムに即した不正行為への対策 : 一般ユーザの特定オブジェクトに対する操作権限付与およびデータベース構成変更に対し監査証跡を取得するユーザA ログイン表の構成変更権限付与検索データの変更 etc. 監査証跡の記録セキュアなファイルシステム AUDIT_TRAIL=OS AUDIT_FILE_DEST 初期化パラメータで定めた出力先に出力監査ログの記録先は AUDIT_TRAIL 初期化パラメータで選択可能 AUDIT_TRAIL=DB もしくは AUDIT_TRAIL=DB_EXTENDED(*) SYS.AUD$ 表に記録ユーザ B SYS.AUD$ 表処理が監査に合致した場合処理を行ったユーザーの詳細情報が SQL 文とともに aud$ 内部表に記録される aud$ の内容は DBA_AUDIT_TRAIL ビューを利用して確認する (*)AUDIT_TRAIL=DB_EXTENDED は Oracle10g からの機能です 42

43 標準監査の取得方法初期化パラメータ AUDIT_FILE_DEST AUDIT_TRAIL 監査証跡の出力場所 ( デフォルト $ORACLE_HOME/rdbms/audit) 監査取得有無および出力形式を指定 (none os db db,extended xml xml,extended) 標準監査の機能 1. セッション監査ログオンログアウトを監査することで不審なログオン行為を早期発見する 2. オブジェクト監査特定オブジェクトに対する検索や更新処理などの操作を監査することで不審なデータアクセス行為を早期発見する 3. 権限監査特定スキーマからの権限付与を監査し把握することで不審な権限付与を早期発見する 4. SQL 文監査 (DDL 文監査など ) 特定スキーマからの DDL などの発行された SQL 文を監査することで不審な構成変更を早期発見する 43

44 監査証跡の記録先の違いによる監査証跡の違い監査証跡の記録先を OS にすると取得される監査証跡項目が限定される監査ログ情報 AUDIT_TRAIL OS DB DB_EXTEND SQL 文に使用されたバインド値 ( ある場合 ) - - SQLテキスト ( 監査をトリガーしたSQLテキスト ) - - 操作の完了コードデータベースユーザー名 (DATABASE USER) (OS) UTC( 協定世界時 ) 書式による日時のタイムスタンプ - 識別名グローバルユーザーの一意 ID - インスタンス番号 - アクセスされたスキーマオブジェクトの名前オペレーティングシステムのログインユーザ名 (CLIENT USER) 実行または試行された操作 (ACTION) 処理番号 (UNIX: ProcessId Windows: ProcessId:ThreadId) プロキシセッションの監査 ID - SQL 文のSCN ( システム変更番号 ) - セッション識別子使用されたシステム権限 (PRIVILEGE) 端末識別子トランザクションID - 10gR1~ -は取得不可は取得可能 AUDIT_TRAILは初期化パラメータAUDIT_TRAILに設定した値です 44

45 標準監査の運用上の注意点 BY ACCESS と BY SESSION の違いコマンドオプションによって監査証跡の出力量が異なり情報も異なるので監査設定時に注意する BY ACCESS BY SESSION 監査証跡の出力先 DBA による監査証跡の改竄を防止する為に DBA 監査との組み合わせるクライアント識別子 ( 後述 ) セッション開始時にクライアント識別子を設定することでアプリケーションユーザの情報も監査ログに格納できる前頁のオブジェクト監査例を参照監査対象行為毎に 1 件の監査証跡セッション毎に 1 件の監査証跡クライアント識別子として 'TANAKA' を設定した例 SES_ACTIONS S BY SESSION と指定した場合の DBA_AUDIT_TRAIL の SES_ACTIONS 列の例 45

46 まとめ : Oracle Database が提供しているセキュリティ機能カテゴリ機能名利用可能必要なOption Edition もしくは製品通信データの暗号化 Net 接続の暗号化 EE Advanced Security パスワードポリシーの強化 SE 外部認証 (OS 認証 ) SE 認証の強化外部認証 ( ネットワーク認証 ) EE Advanced Security グローバル認証 EE Advanced Security Enterprise User Security (EUS) EE Advanced Security オブジェクトレベル制御 (View, GRANT) SE 値レベル制御 (Virtual Private Database: VPD) EE アクセス制御 Database Vault を使った職務分掌による EE Database Vault デュアルロック機能 (*1) による制御強化格納データの暗号化暗号化ツールキット (DBMS_CRYPTO, DBMS_OBFUSCATION_TOOLKIT) SE 透過的データ暗号化 (Transparent Data Encryption: TDE) EE Advanced Security 必須監査 SE 標準監査 SE 監査 DBA 監査 SE 特定データアクセス監査 ( ファイングレン監査 ) EE Audit Vaultによる監査情報の一元管理 Audit Vault (*1): デュアルロック機能とは行為に対して少なくとも 2 名の者が操作しなければその行為を完遂できない方式 46

47 <Insert Picture Here> Appendix: Enterprise Edition の機能 47

48 通信データの暗号化 Oracle Advanced Security による通信の暗号化アプリケーションユーザー盗聴者 SSL データベース間の通信を暗号化アプリケーションサーバー管理者データベース - アプリケーション間通信を暗号化アプリケーションを介さないユーザー間通信を暗号化 48

仮想プライベートデータベースによるアクセス制御仮想プライベートデータベース (Virtual Private

アプリケーションコンテキスト USER : Suzuki アプリケーション Tanaka さんが問い合わせた場合

SELECT customer, item, quantity FROM order WHERE customer

Order 表へのアクセス制御ポリシー列制限 : customer, item, quantity 行制限 :

49 仮想プライベートデータベースによるアクセス制御仮想プライベートデータベース (Virtual Private Database) SELECT * FROM order Suzuki さんが問い合わせた場合アプリケーションコンテキスト USER : Suzuki アプリケーション Tanaka さんが問い合わせた場合アプリケーションコンテキスト USER : Tanaka Oracle によって書き換えられた SQL 文 SELECT customer, item, quantity FROM order WHERE customer = Suzuki 接続プーリングデータベース Oracle によって書き換えられた SQL 文 SELECT customer, item, quantity FROM order WHERE customer = Tanaka Order 表へのアクセス制御ポリシー列制限 : customer, item, quantity 行制限 : customer = <USER> 49

複数の要素による認証の強化 ( 時間 IP アドレス言語 ) 強靭なアクセス制御機能月曜 ~ 金曜日 9:00~18:00 Oracle Database Vault

50 Oracle Database Vault DBA の権限を制御しセキュリティ管理者と分離する管理者の不正データアクセスを抑制する安全なデータ基盤 DBA のアクセス権限を制御する SYS/SYSTEM への権限集中によるリスクを回避 ( 管理権限の分散 ) ユーザーのコマンド制限アクティビティの制限複数の要素による認証の強化 ( 時間 IP アドレス言語 ) 強靭なアクセス制御機能月曜 ~ 金曜日 9:00~18:00 Oracle Database Vault 上述以外の時間帯アルバイトA Create Table HR システム給与データ人事部門派遣社員 B Create User Data Dictionary DBA Role データベース管理者 (DBA) 50

51 RMAN バックアップセットの暗号化暗号化 / 復号化の仕組み Recovery Manager パスワード RMAN>BACKUP DATABASE; RMAN>RESTORE DATABASE; データファイル制御ファイル SPFILE ~hrl EIYO z%)g bcm2 t= ov 1O=81 :S{X '3^J U<oi オンライン REDO ログファイルアーカイブ REDO ログファイル解読不可能 RMAN チャネル ( サーバープロセス ) 暗号化 (Encrypt) 復号化 (Decrypt) RMAN バックアップセットバックアップ暗号 KEY Wallet マスター KEY バックアップ暗号キーを使用してバックアップセットを暗号化 / 復号化 Wallet マスター KEY 任意のパスワードまたはその両方を使用してバックアップ暗号キーを暗号化 / 復号化 Walletを使用すればバックアップ時の暗号化とリストア時の復号化が透過的に行える平文データ暗号化データ 51

52 Transparent Data Encryption 暗号化 / 復号化の仕組みサーバープロセス内で列暗号 KEY を用いてデータを暗号化 / 復号化列暗号 KEY はマスター KEY を用いて暗号化 / 復号化暗号化 / 復号化処理はサーバプロセス内で自動的に実行されるためクライアント側で運用中に意識する必要は無いサーバープロセス暗号化 (Encrypt) 復号化 (Decrypt) ディクショナリ列暗号 KEY 解読可能 SQL> insert into CREDIT (ID,CARD_NO) values (111, ); SQL> commit; SQL> select ID,CARD_NO from CREDIT where ID=111; ID CARD_NO データの操作は通常の SQL によって実行可能導入に際し従来のアプリケーションを改修する必要無し! マスター KEY #strings /oracle/app/oradata/users.dbf CA5W %O=[N 'E:N,, I f "79A 解読不可能 + O データベース (users.dbf データファイル ) Wallet 平文データ暗号化データ 52

WHERE DEPT = SALES ; 監査する SELECT *, ADDRESS FROM EMP ; 監査する監査ログ表 SQL TIMESTAMP

53 ファイングレン監査 (9iR1 以降 ) user1 SELECT NAME, ADDRESS FROM EMP ; 監査しない監査ポリシー監査列 : SALARY 監査条件 : DEPT = SALES user2 user3 SELECT NAME, ADDRESS, SALARY FROM EMP WHERE DEPT = SALES ; 監査する SELECT *, ADDRESS FROM EMP ; 監査する監査ログ表 SQL TIMESTAMP USERID SELECT 2005/3/1 SCOTT 9i では SELECT 文のみサポート 10g では INSERT UPDATE DELETE にも拡張管理者に通知 53

54 Oracle Audit Vault 監査ログの安全かつ効率的な一元管理複数の監査ソースから監査ログを一箇所に収集し安全かつ効率的に一元管理するエンタープライズ統合監査ログソリューション Oracle Database 10g R1 Oracle 9i Database R2 複数の監査ソース Oracle Database 10g R2 Oracle Database の監査機能により監査ログを取得監査ログの収集 ASO 監査ポリシーの適用監査ログの保全監査ログ収集表 Partitioning Database Vault 監査ポリシーの一元管理監査ログを一箇所に収集し安全かつ効率的に管理監視レポーティング高度な分析が可能管理設定 BI ウェアハウス分析リアルタイム監視レポート作成 54

55 OTN ダイセミでスキルアップ!! 一般的な技術問題解決方法などを知りたい! セミナ資料など技術コンテンツがほしい! Oracle Technology Network(OTN) を御活用下さい一般的技術問題解決には OTN 掲示版のデータベース一般をご活用ください OTN 掲示版は基本的に Oracle ユーザー有志からの回答となるため 100% 回答があるとは限りませんただ過去の履歴を見ると質問の大多数に関してなんらかの回答が書き込まれております過去のセミナ資料動画コンテンツは OTN の OTN セミナーオンデマンドコンテンツへダイセミ事務局にダイセミ資料を請求頂いてもお受けできない可能性がございますので予めご了承くださいダイセミ資料は OTN コンテンツオンデマンドかセミナ実施時間内にダウンロード頂くようお願い致します 55

56 OTN セミナーオンデマンドコンテンツダイセミで実施された技術コンテンツを動画で配信中!! ダイセミのライブ感はそのままにお好きな時間で受講頂けます OTN オンデマンド掲載のコンテンツ内容は予告なく変更になる可能性があります期間限定での配信コンテンツも含まれておりますお早めにダウンロード頂くことをお勧めいたします 56

57 オラクルクルクルキャンペーンあの Oracle Database Enterprise Edition が超おトク!! Oracle Database のライセンス価格を大幅に抑えてご導入いただけます多くのお客様でサーバー使用期間とされる 5 年間にライセンス期間を限定期間途中で永久ライセンスへ差額移行 5 年後に新規ライセンスを購入し継続利用 5 年後に新システムへデータを移行 Enterprise Editionはここが違う!! 圧倒的なパフォーマンス! データベース管理がカンタン! データベースを止めなくていい! もちろん障害対策も万全! 詳しくはコチラお問い合わせフォーム 57

あなたにいちばん近いオラクル Oracle Direct まずはお問合せください Oracle Direct 検索システムの検討構築から運用まで ITプロジェクト全般の相談窓口としてご支援いたしますシステム構成やライセンス / 購入方法などお気軽にお問い合わせ下さい Web 問い合わせフォームフリーダイヤル専用お問い合わせフォームにてご相談内容を承ります http://www.

58 あなたにいちばん近いオラクル Oracle Direct まずはお問合せください Oracle Direct 検索システムの検討構築から運用まで ITプロジェクト全般の相談窓口としてご支援いたしますシステム構成やライセンス / 購入方法などお気軽にお問い合わせ下さい Web 問い合わせフォームフリーダイヤル専用お問い合わせフォームにてご相談内容を承りますフォームの入力には Oracle Direct Seminar 申込時と同じログインが必要となりますこちらから詳細確認のお電話を差し上げる場合がありますのでご登録されている連絡先が最新のものになっているかご確認下さい月曜 ~ 金曜 9:00~12:00 13:00~18:00 ( 祝日および年末年始除く ) 58

59 以上の事項は弊社の一般的な製品の方向性に関する概要を説明するものですまた情報提供を唯一の目的とするものでありいかなる契約にも組み込むことはできません以下の事項はマテリアルやコード機能を提供することをコミットメント ( 確約 ) するものではないため購買決定を行う際の判断材料になさらないで下さいオラクル製品に関して記載されている機能の開発リリースおよび時期については弊社の裁量により決定されます Oracle と Java は Oracle Corporation 及びその子会社関連会社の米国及びその他の国における登録商標です文中の社名商品名等は各社の商標または登録商標である場合があります 59

Windowsユーザーの為のOracle Database セキュリティ入門

Windowsユーザーの為のOracle Database セキュリティ入門 Oracle on Windows etc http://www.oracle.co.jp/campaign/mb_tech/ Windows Server System Center / OTN Japan http://www.oracle.com/technology/global/jp/tech/windows/.net + Oracle Database.NET Developer Center