リアルタイムのデータベース セキュリティーおよび監視 サイバー攻撃の防止 特権ユーザーの監視およびブロック アプリケーション層の不正検出 変更管理の強化 リアルタイム アラート フォレンジックス データ マイニング SIEM 統合 機密データの検索および分類 セキュリティー ポリシーの継続的更新 埋

Transcription

1 IBM Guardium 7 データベース セキュリティおよびコンプライアンス ライフサイクル全体の管理 他のどのテクノロジー プロバイダーより 重要なエンタープライズ データを保護する観点において Global 1000 に属する企業が Guardium, an IBM Company を信頼しています なぜなら 当社は エンタープライズ システムに保管されている財務 ERP 情報 顧客 カード会員データ そして知的所有権を保護するための 最もシンプルかつ堅牢なソリューションを提供しているからです 当社のエンタープライズ セキュリティー プラットフォームを利用することで 特権を持った内部関係者やハッカーによる無許可アクティビティーや疑わしいアクティビティーを防ぐことができます また 当社のプラットフォームは Oracle E-Business Suite PeopleSoft SAP などに代表されるエンタープライズ アプリケーションや社内システムのエンド ユーザーによる潜在的な不正行為も監視します 同時に 当社のソリューションは スケーラブルな多層アーキテクチャーにより アプリケーションおよびデータベース インフラストラクチャー全体でコンプライアンス管理を自動化 一元化し 効率的な運用を可能にします 機能もさることながら このソリューションは パフォーマンスへの影響は実質的にゼロで データベースの設定に変更を加える必要もなく さらにはネイティブ データベース ログや監査ユーティリティーに依存することもありません

2 リアルタイムのデータベース セキュリティーおよび監視 サイバー攻撃の防止 特権ユーザーの監視およびブロック アプリケーション層の不正検出 変更管理の強化 リアルタイム アラート フォレンジックス データ マイニング SIEM 統合 機密データの検索および分類 セキュリティー ポリシーの継続的更新 埋め込みマルウェアおよびロジック ボムの発見 監視 & 実施 検索 & 分類 重要なデータインフラストラクチャー 評価 & 堅牢化 監査 & レポート 制御の自動化および一元化 クロス DBMS 監査リポジトリー 設定済みのポリシー / レポート サインオフ管理 長期保存 データベース変更の必要性なし パフォーマンスへの影響なし データベース脆弱性評価 設定の監査 アクセスパターンからの脆弱性 ベスト プラクティス (STIG CIS) 準拠の設定済みテスト 統合ソリューション : 統合管理画面およびバックエンド データ ストアをベースに構築された Guardium は データベース セキュリティーおよびコンプライアンス ライフサイクル全体を管理するための 統合されたモジュール群を提供します Guardium 7 は 統合された Web ベースの管理画面 バックエンド データ ストア およびワークフロー自動化システムによって データベース セキュリティーおよびコンプライアンス ライフサイクル全体の管理に対応する唯一のソリューションであり 以下の機能を提供します 企業データベース内に保管されている機密情報を検出および分類 データベースの脆弱性および設定不備の評価 推奨された変更の実装後に設定を確実にロックダウン すべてのプラットフォームおよびプロトコルへの対応により すべてのデータベース トランザクションに対する 100% の可視性と詳細情報 および職務の分離に対応したセキュアで改ざん不可能な監査証跡を提供 機密データに対するアクセス 特権ユーザーによる操作 変更管理 アプリケーション ユーザーのアクティビティー およびログインの失敗などのセキュリティー例外を監視して ポリシーを実施 SOX PCI DSS およびデータ プライバシーに関する定義済みレポートを使用して 監視チームへのレポート配布 サインオフ エスカレーションなどのコンプライアンス監査プロセス全体を自動化 エンタープライズ全体のコンプライアンス レポート パフォーマンス最適化 調査 およびフォレンジックスのための 単一の集中管理された監査リポジトリーを作成 単一データベースの保護から 世界中の分散データ センターにある何千ものデータベースの保護に 簡単に拡張が可能 検索および分類 機密情報の自動検出 分類 および保護企業では 作成 維持されるデジタル情報が増加するにつれて 機密情報の検出および分類がますます困難になっていきます 合併吸収を経験した企業や 当初の開発者がいなくなってしまったレガシー システムを使用している環境では これらは特に困難なものとなります そうでない場合でも 新しいビジネス要件に対応するために必要な アプリケーションおよびデータベースの構造に対する継続的変更により 静的なセキュリティー ポリシーはすぐに陳腐化して 意味のないものになってしまったり 機密データの所在が不明になったりして データが無防備な状態になってしまう可能性があります 2

3 特に困難なのは 以下の点です 機密情報が入ったデータベース サーバーを特定して あらゆるソース ( 基幹業務アプリケーション バッチ プロセス アドホッククエリ アプリケーション開発者 管理者など ) からどのようにアクセスされるのかを把握すること 保管された情報の機密性が不明な状態で情報を保護してリスクを管理すること どの情報が特定の法規制に関わるか明確でないままコンプライアンスを確保すること Guardium では データベースの自動検出および情報分類機能により 機密データが保管されている場所を特定してから カスタマイズ可能な分類ラベルを利用して機密オブジェクトに適用するセキュリティー ポリシーの実施を自動化できます このセキュリティー ポリシーにより 機密情報が権限ユーザー以外によって表示されたり変更されたりしないようにすることができます スケジュールして機密データの検出を定期的に実行することで 機密データが入っているにもかかわらず認識されていないサーバーの存在を排除して 重要な情報が 忘れ去られて しまわないようにすることができます 評価および堅牢化 脆弱性 設定 およびユーザ行動の評価 Guardium のデータベース セキュリティー評価では 脆弱性がないかどうか データベース インフラストラクチャー全体をスキャンし リアルタイム データとヒストリカル データの両方を使用して データベース セキュリティー状況を継続的に評価します 業界のベスト プラクティスおよびプラットフォーム固有の既知の脆弱性をベースにした 多数の設定済みのテストを提供しています これらは Guardium のサブスクリプション サービスによって 定期的に更新されます 特定の要件を満たすためには カスタム テストを定義することもできます また 評価モジュールは コンプライアンス関連の脆弱性に対してもチェックできます 例えば SOX および PCI DSS 対応に必要な 予約されている Oracle EBS および SAP の表に対する無許可アクセスのチェックが可能です 評価は 以下の 2 大カテゴリーにグループ化されます ユーザ行動テスト : このカテゴリーのテストは すべてのデータベースのトラフィックをリアルタイムに監視することで 多すぎるログイン失敗回数 クランアンとによる管理コマンドを実行 時間外のログインなど データベースのアクセスおよび操作の方法から 脆弱性を特定します 評価モジュールは ドリルダウン機能で詳細レポートを生成するだけではなく ( ベスト プラクティスに基づいた ) 重み付け測定基準を使用して セキュリティー ヘルス レポート カードを生成して データベース セキュリティーを強化するための具体的なアクションプランを推奨します 設定ロックダウンおよび変更追跡脆弱性評価で生成された推奨アクションを実施した後には 保護された設定ベースラインを確立できます Guardium の変更監査システム (CAS) を使用することで このベースラインに対する変更を監視して 許可された変更管理ポリシーやプロセス以外で変更が行われないようにすることができます 監視および実施 データベース セキュリティーおよび変更管理に関するポリシーの監視および実施 Guardium では 特権データベース アカウントによる不正な操作や疑わしいアクション および悪質なユーザーや部外者による攻撃を防ぐために 細分化されたリアルタイム ポリシーを用意しています また 共通サービス アカウントでデータベースにアクセスする複数層アプリケーション (Oracle EBS PeopleSoft Siebel SAP など ) およびアプリケーション サーバー (IBM WebSphere Oracle WebLogic Oracle AS など ) 上に構築されたカスタム システムから データベースに対する無許可の変更を行おうとするアプリケーション ユーザーを特定することもできます 本ソリューションの管理は データベース管理者 (DBA) を経由することなく 情報セキュリティー担当者によって行うことができます また 細分化されたアクセス ポリシーを定義して OS ログイン IP/MAC アドレス ソース アプリケーション 時間帯 ネットワーク プロトコル および SQL コマンドのタイプに基づいて 特定の表へのアクセスを制限できます 脆弱性および設定テスト : このカテゴリーのテストは パッチの未適用 不適切な特権設定 デフォルト アカウントの脆弱性をチェック 3

4 すべてのデータベース トラフィックの継続的コンテキスト分析 Guardium は 特許出願中の言語分析を使用して 詳細コンテキスト情報 ( 各 SQL トランザクションの いつ誰がどこで何をどのようにしたか ) に基づいて 無許可のアクションを検出することで すべてのデータベース操作を継続的にリアルタイムで監視します この独自の方式により 事前定義のパターンまたはシグニチャーしか検出しない従来の方式とは異なり これまでにないレベルの制御を実現しながら 誤検出および検出漏れが最小限に抑えられます 変則的なユーザ行動の検出およびポリシー定義の自動化のためのベースラインベースラインを作成して 正常なビジネス プロセスと異常アクティビティーと思われるものの両方を特定することで システムは SQL インジェクションなどの攻撃を防止できるポリシーを自動的に推奨します 直感的なドロップダウン メニューを使用して カスタム ポリシーを簡単に追加できます プロアクティブなリアルタイム セキュリティー Guardium は 無許可あるいは変則的なユーザ行動にプロアクティブに対応するための 強力なリアルタイム制御機能を備えています ポリシー ベースのアクションには リアルタイム セキュリティー アラート (SMTP SNMP Syslog) (TCP リセットまたはインライン データ レベル ファイアウォール手法による ) ブロッキング 完全ロギングの有効化 自動アカウント ロックアウトなどのカスタム アクション VPN ポートのシャットダウン 域内 IDS/IPS システムとの連携がなどが含まれます セキュリティー問題の追跡および解決コンプライアンス規制により 企業は すべての問題を記録し 分析し 速やかに解決して マネジメントに報告していることを証明する必要があります Guardium では セキュリティー問題を解決するためのビジネス ユーザー インターフェースおよびワークフロー自動化を用意しています さらに 主要な測定基準 ( 未解決の問題の数 重大度レベル 問題が未解決である時間など ) を追跡するためのグラフィカルなダッシュボードも用意しています 監査およびレポート細分化された監査証跡の収集プロアクティブな管理の実施 及び監査員に必要な特定情報を生成するため Guardium では リアルタイムにコンテキスト分析およびフィルタリングされたデータベース アクティビティーより 継続的な細分化された監査証跡が作成されます 生成されたレポートで すべてのデータベース アクティビティー ( ログインの失敗 特権のエスカレーション スキーマの変更 時間外アクセス 無許可アプリケーションからのアクセス 機密表へのアクセスなど ) に対する詳細な可視性が得られるため コンプライアンスが証明されます 例えば システムは 以下のすべてを監視します セキュリティー例外 (SQL エラー ログインの失敗など ) データベース構造を変更する DDL コマンド (Create/Drop/Alter Tables など ) これは SOX などのデータガバナンス規制で特に重要になります SELECT 照会 これは データ プライバシー規制 (PCI DSS など ) で特に重要になります バインド変数を含む DML コマンド (Insert Update Delete) アカウント ロール およびアクセス権限を制御する DCL コマンド (GRANT REVOKE) 各 DBMS プラットフォームでサポートされるプロシージャー型言語 (PL/SQL (Oracle) SQL/PL (IBM) など ) データベースで実行された XML クラス最高レベルのレポート機能 Guardium ソリューションには Global 1000 企業 4 大監査法人の監査担当者 および世界中の監査人と協力してきた当社の経験およびベスト プラクティスに基づいた 150 を超える事前設定済みのポリシーおよびレポートが用意されています これらのレポートを使用することで SOX PCI DSS データ プライバシー法などの規制要件に対応し データ管理およびデータ プライバシーの取り組みを迅速に立ち上げることができます Guardium では パッケージ化されたレポート テンプレートに加えて 新しいレポートの作成や既存レポートの変更を簡単に行える グラフィカルなドラッグ アンド ドロップ インターフェースが用意されています レポートは PDF 形式での添付ファイルまたは HTML ページへのリンクとして ユーザーに電子メールで自動的に送信できます また レポートは Web ベースの管理画面を使用してオンラインで表示したり SIEM などのシステムに標準形式でエクスポートしたりすることもできます 4

5 あなたのエンタープライズに合わせてスケーラブル ゼロ インパクト : すべてのデータベース トランザクション ( 特権ユーザーによるローカル アクセスを含む ) に対する 100% の可視性 パフォーマンスへの影響もデータベースの変更もありません DBMS へ非依存 : ネイティブのロギング / 監査に依存しないクロスプラットフォーム ソリューション アプライアンス ベース : ブラック ボックス アプライアンス ( 内蔵ストレージ 導入済みアプリケーション 組み込み型管理機能 ) によって迅速なデプロイメントが可能 内部はセキュアな Linux カーネル上に構築された モジュラー ソフトウェア スイート フレキシブルな監視 : ホスト ベースの軽量プローブ SPAN ポート ネットワーク TAP またはこれらの組み合わせによる監視 エンタプライズ インフラストラクチャーのサポート : SNMP SMTP Syslog LDAP Kerberos RSA SecurID チケット変更システム (BMC Remedy など ) CEF およびあらゆる主要 SIEM プラットフォームとの統合をサポート 階層化構造 : 業界独自の 複数のシステムおよび場所から監査情報を自動的に集約 正規化し 単一の一元化された監査リポジトリーに格納するシステム 一元化された管理 : Web 管理画面を使用した エンタープライズ全体でのセキュリティー ポリシーの管理 スケーラブル : 監視対象サーバー数またはトラフィック ボリュームが増加するにつれて アプライアンスを追加するだけで 増加した負荷に対応可能 特許取得済みのインテリジェントなストレージ アルゴリズムにより 従来のフラット ファイル ベースの方式と比較して 100 倍優れたストレージ効率を実現 改ざん不可能な監査リポジトリー : アプライアンスは root アクセスが不可能 アーカイブの暗号化 ロール ベース : モジュールおよびデータへのアクセスは 組織上のロールに従って制御可能 Z/OS アジア太平洋データ センター S-TAP コレクター S-TAP インターネット 欧州データ センター コレクター S-TAP リモート ロケーションおよびアウトソーサー アプリケーション サーバー スケーラブルな階層化アーキテクチャー 米国データ センター S-GAT コレクター S-TAP コレクター 中央制御ポリシー マネージャーおよび監査リポジトリー Oracle SQL Server DB2 ( 分散およびメインフレーム ) Informix Sybase MySQL Teradata Guardium のスケーラブル アークテクチャーでは 大規模環境と小規模環境がともにサポートされます エンタープライズ全体で 監査データを正規化し 一元化するとともに セキュリティー ポリシーを Web 管理画面を通じて一元化で管理することができます S-TAP は すべてのデータベース トラフィック ( 特権ユーザーによるローカル アクセスを含む ) を監視して 分析およびレポート作成のためにトラフィックを Guardium コレクター アプライアンスに中継する ホスト ベースの軽量プローブです コレクター アプライアンスは S-TAP から あるいはネットワーク スイッチの SPAN ポートに直接接続して監視対象データを収集します アグリゲーション機能は 複数のコレクター アプライアンスからの監査データを自動的に集約します スケーラビリティーおよびフレクシビリティーを最大化するために 階層化したアグリゲーションを構成できます Guardium の S-TAP の拡張機能として実装される S-GATE も 例えば新規データベース アカウントの作成や既存アカウントの権限昇格などのセキュリティー機能を DBA から実行できないようにすることで セキュリティーを強化して 職務の分離を保証します 5

6 コンプライアンス ワークフローの自動化業界独自の Guardium のコンプライアンス ワークフローの自動化アプリケーションは コンプライアンス ワークフロー プロセス全体を合理化し 監査レポート生成 主要利害関係者への配布 電子的サインオフ およびエスカレーションのプロセスを自動化できます マルチ環境用統合ソリューション幅広い DBMS プラットフォームのサポート Guardium のクロスプラットフォーム ソリューションでは あらゆる主要オペレーティング システム (Windows UNIX Linux z/os) で稼働するすべての主要 DBMS プラットフォームおよびプロトコルがサポートされます ホスト ベースの監視業界独自のソリューションである S-TAP は データベース サーバーの OS レベルで ネットワークとローカルの両方のデータベース プロトコル ( 共有メモリー 名前付きパイプなど ) を監視する軽量ソフトウェア プローブです S-TAP は データベース自身によるログ データ処理および保管に頼るではなく リアルタイムでの分析およびレポート作成のためにすべてのトラフィックを複数の Guardium アプライアンスに中継することで サーバー パフォーマンスへの影響を最小限に抑えます 専用ハードウェア アプライアンスをリモート ロケーションに配置したり データ センター内に利用可能な SPAN ポートを確保したりする必要性がなくなるため 多くの場合 S-TAP を利用するメリットがあります サポートされるプラットフォーム Oracle サポートされるバージョン 8i 9i 10g (r1 r2) 11g OS タイプバージョン 32 ビット /64 ビット AIX 5.1, 5.2, 5.3, 6.1 両方 Microsoft SQL Server 2000, 2005, 2008 HP-UX 11.00, 11.11, 両方 IBM DB2 UDB (Windows Linux Unix z/linux) 9.1, PA 32 ビット IA64 64 ビット IBM DB2 for z/os 8.1, 9.1 Red Hat Enterprise 2, 3, 4, 5 両方 IBM DB2 UDB for iseries (AS/400) V5R2 V5R3 V5R4 V6R1 SUSE Linux 9, 10 両方 Solaris - SPARC 6, 8, 9, 10 両方 IBM Informix 7, 8, 9, 10, 11 Sun MySQL 4.1, 5, 5.1 Solaris - Intel/AMD 10 両方 Tru64 5.1A 5.1B 64 ビット Sybase ASE 12, 15 Windows NT 32 ビット Sybase IQ , 2003, 2008 両方 Teradata 6.01,

7 アプリケーション監視 Guardium は 直接データベースへのアクセスでなくても 複数層エンタープライズ アプリケーションを使用して重要な表にアクセスするエンド ユーザーのアクティビティーを追跡することで 潜在的不正の可能性を特定できます エンタープライズ アプリケーションでは通常 接続プーリング という最適化メカニズムを使用するため このメカニズムが必要になります プールされた環境では すべてのユーザー トラフィックは いくつかのデータベース接続に集約されます この接続は 一般的なアプリケーション アカウント名でのみ識別されるため エンド ユーザーの ID が隠蔽されてしまいます Guardium では すべての主要な既製エンタープライズ アプリケーションのアプリケーション監視がサポートされます アプリケーション サーバー レベルでトランザクションを監視することで 自社開発アプリケーションを含み サポート可能です サポートされるエンタープライズ アプリケーション サポートされるアプリケーション サーバー プラットフォーム Oracle E-Business Suite PeopleSoft Siebel SAP Cognos Business Objects Web Intelligence IBM WebSphere BEA WebLogic Oracle Application Server (AS) JBoss Enterprise Application Platform IBM の子会社 Guardium について Guardium, an IBM Company は 価値が高いデータベースに対するアクセスおよび変更を継続的に監視することで 重要なエンタープライズ情報を保護します Guardium のスケーラブル プラットフォームにより コンプライアンス プロセスを自動化することで運用コストを削減しながら マルチインフラストラクチャーを一元化したポリシーで統合管理します これにより 企業は 信頼できる情報を安全に使用して 優れたビジネスの成果を上げることができるようになります Guardium のエンタープライズ プラットフォームは現在 世界中の 450 個所を超えるデータ センターでインストールされています グローバル銀行上位 5 社のうち 5 社 保険会社上位 6 社のうち 4 社 重要政府機関 小売業者上位 3 社のうち 2 社 世界の通信会社上位のうち 20 社 世界の大手飲料会社のうち 2 社 PC 製造最大手 自動車製造会社上位 3 社 航空会社上位 3 社 ビジネス インテリジェンス ソフトウェアの大手ベンダーなどによって採用されています Guardium は リアルタイムにデータベースを保護すると同時にコンプライアンス監査プロセス全体を自動化する スケーラブルなエンタープライズ プラットフォームを提供することで コア データ セキュリティーのギャップに対応した最初の会社です 7

8 Copyright 2010, Guardium, an IBM Company.All rights reserved. Guardium は登録商標です Safeguarding Databases S-GATE および S-TAP は Guardium の商標です 2010 年 2 月 All Rights Reserved. IBM IBM ロゴおよび ibm.com は 世界の多くの国で登録された International Business Machines Corp. の商標です これらおよび他の IBM 商標に この情報の最初に現れる個所で商標表示 ( または ) が付されている場合 これらの表示は この情報が公開された時点で 米国において IBM が所有する登録商標またはコモン ロー上の商標であることを示しています このような商標は その他の国においても登録商標またはコモン ロー上の商標である可能性があります 現時点での IBM の商標リストについては の Copyright and trademark information をご覧ください 他の製品名およびサービス名等は それぞれ IBM または各社の商標である場合があります 本書に記載の製品 プログラム またはサービスが日本においては提供されていない場合があります 日本で利用可能な製品 プログラム またはサービスについては 日本 IBM の営業担当員にお尋ねください リサイクルしてください IMD14286-CAEN-00