Slide 1

Size: px

Start display at page:

Download "Slide 1"

そうすけみうら
5 years ago
Views:

1 Oracle Direct Seminar <Insert Picture Here> CISSP が語る! バージョン毎の DB セキュリティの変遷と運用対策日本オラクル株式会社データベースソリューション本部田口裕也 CISSP

2 以下の事項は弊社の一般的な製品の方向性に関する概要を説明するものですまた情報提供を唯一の目的とするものでありいかなる契約にも組み込むことはできません以下の事項はマテリアルやコード機能を提供することをコミットメント ( 確約 ) するものではないため購買決定を行う際の判断材料になさらないで下さいオラクル製品に関して記載されている機能の開発リリースおよび時期については弊社の裁量により決定されます Oracle と Java は Oracle Corporation 及びその子会社関連会社の米国及びその他の国における登録商標です文中の社名商品名等は各社の商標または登録商標である場合があります Copyright 2011, Oracle. All rights reserved. 2

Oracle のデータベースセキュリティは多層防御監査とモニタリング (Auditing & Monitoring) Audit Vault Configuration Management Change Management Total Recall アクセス制御 (Access Control) 機密情報暗号化 & マスキング

3 Oracle のデータベースセキュリティは多層防御監査とモニタリング (Auditing & Monitoring) Audit Vault Configuration Management Change Management Total Recall アクセス制御 (Access Control) 機密情報暗号化 & マスキングアクセス制御監査 & モニタリング Database Vault Label Security 暗号化とマスキング (Encryption & Masking) Advanced Security Secure Backup Data Masking Copyright 2011, Oracle. All rights reserved. 3

4 ライフタイムサポートの主な内容主な特徴 Premier Support Extended Support Sustaining Support 製品とテクノロジーのメジャーリリースの提供技術サポートの提供サポートポータルへのアクセスの提供新規パッチ ( プログラム修正 ) 提供既存のもの ( 1) セキュリティ情報の提供既存のもの ( 1) Critical Patch Updates (CPU) の提供既存のもの ( 1) 税法改正への対応既存のもの ( 1) アップグレード用スクリプトの提供既存のもの ( 1) 既存のサードパーティ製品 / バージョンに対する動作保証新しいサードパーティ製品 / バージョンに対する動作保証新しいオラクル製品の多くに対する動作保証 ( 1) Premier Support 期間中に作成されたものただし Extended Support を購入されたお客様については Extended Support 期間中に作成されたプログラム更新版パッチを含む Extended Support は特定の製品 / リリースで選択可能です他の製品 / リリースでは Premier Support の後に Sustaining Support の提供となります新規パッチ提供税法改正への対応サードパーティ製品に対する動作保証などのサービスは対応可能な範囲で提供されます Copyright 2011, Oracle. All rights reserved. 4

Oracle Database のライフタイムサポートポリシー http://www.oracle.com/support/library/brochure/lifetime-support-technology.

5 Oracle Database のライフタイムサポートポリシー today R 年 8 月 2015 年 8 月 R 年 7 月 2011 年 7 月 2013 年 7 月 2009 年 1 月 2012 年 1 月 R2 Premier Support Extended Support 2007 年 7 月 2008 年 7 月 2010 年 7 月 Sustaining Support t Copyright 2011, Oracle. All rights reserved. 5

Oracle Database 11gR2 のアップグレードパス 7.3.4 R2 9.2.0.

7 継続しているデータベースセキュリティの進化 Oracle8i Oracle Database 10g Oracle Database 9i Database Firewall Data Masking TDE Tablespace Encryption Oracle Total Recall Oracle Audit Vault Oracle Database Vault Transparent Data Encryption (TDE) Real Time Masking Secure Config Scanning Fine Grained Auditing Oracle Label Security Enterprise User Security Virtual Private Database (VPD) Database Encryption API Strong Authentication Oracle7 Native Network Encryption Database Auditing Government customer Oracle Database 11g Copyright 2011, Oracle. All rights reserved. 7

9 10g と 11g のデフォルトセキュリティ機能の違い監査設定パスワードポリシーがデフォルト有効 - 11gR1 までセキュリティなし ( 以前の設定がない状態 ) を選択可 - 11gR2 以降デフォルトで適用されセキュリティなしは選択不可パスワード認証の強化 - パスワードポリシーの強化 ( デフォルトプロファイルの変更 180 日の有効期限など ) - パスワード認証大文字小文字の区別 - パスワード突破の防止認証プロトコルの強化 Copyright 2011, Oracle. All rights reserved. 9

10 デフォルトで有効化される監査設定データベースの監査設定 - 11gから監査設定の値がDBに設定され有効化 - 10gまで監査設定はなしデフォルトで監査される動作 ALTER ANY PROCEDURE ALTER USER CREATE ANY LIBRARY CREATE SESSION DROP ANY TABLE GRANT ANY PRIVILEGE ALTER ANY TABLE AUDIT SYSTEM CREATE ANY PROCEDURE CREATE USER DROP PROFILE GRANT ANY ROLE ALTER DATABASE CREATE ANY JOB CREATE ANY TABLE DROP ANY PROCEDURE DROP USER ALTER PROFILE CREATE EXTERNAL JOB EXEMPT ACCESS POLICY ALTER SYSTEM CREATE PUBLIC DB LINK GRANT ANY OBJECT PRIVILEGE Copyright 2011, Oracle. All rights reserved. 10

CONNECT ロールから権限の削除 CONNECT ロールは 10g R2 以降次のように変更 : GRANTEE PRIVILEGE ----------------------- ------------------- CONNECT CREATE VIEW CONNECT CREATE TABLE CONNECT ALTER SESSION CONNECT CREATE CLUSTER

11 CONNECT ロールから権限の削除 CONNECT ロールは 10g R2 以降次のように変更 : GRANTEE PRIVILEGE CONNECT CREATE VIEW CONNECT CREATE TABLE CONNECT ALTER SESSION CONNECT CREATE CLUSTER CONNECT CREATE SESSION CONNECT CREATE SYNONYM CONNECT CREATE SEQUENCE CONNECT CREATE DATABASE LINK R2 GRANTEE PRIVILEGE CONNECT CREATE SESSION Copyright 2011, Oracle. All rights reserved. 11

デフォルトのセキュリティ強化は DB だけではなく OS も同様の傾向 (SELinux や iptables の有効化 )

13 Oracle データベースの監査機能の種類一覧必須監査 DBA 監査標準監査ファイングレイン監査対象となる Edition 全エディション全エディション全エディション対象バージョン - 監査対象インスタンス起動インスタンス停止管理者権限によるデータベース接続データベース管理者としてログインしたユーザーのデータベース操作データベースへの操作 ( ログイン, CREATE/ALTER/DROP など UPDATE DELETE などのオブジェクトへの操作 ) 特定のデータ ( 列名条件指定可能 ) へのアクセス (SELECT) 10g~ からは UPDATE DELETE INSERT も可能監査証跡出力先 OS ファイル OS ファイル, イヘントヒューア (Win) syslog(10gr2~) XML ファイル (10gR2~) DBA_AUDIT_TRAIL ビュー OS ファイル, イヘントヒューア (Win) syslog(10gr2~) XML ファイル (10gR2~) DBA_FGA_AUDIT_TRAIL ビューユーザー定義表メール送信も可能取得可能な監査証跡 OS によって生成された監査レコードデータベース監査証跡レコード常に監査されるデータベース関連のアクション管理ユーザー (SYS) 用の監査レコード時刻操作 (SQL 文全体 ) データベースユーザー名 / 権限 OS ユーザー名 / 端末終了コード時刻操作 (SQL 文の種類 ) データベースユーザー名 / 権限 OS ユーザー名 / 端末終了コード時刻データベースユーザー OS ユーザー名 / 端末アクセスしたオブジェクト名ファイングレイン監査ポリシー名操作 (SQL 文全体 ) ユーザー定義アクション Copyright 2011, Oracle. All rights reserved. 13

14 古い監査証跡の管理と削除 (11gR2~) DBMS_AUDIT_MGMT パッケージ監査証跡 (SYS.AUD$ SYS.FGA_LOG$ OS 監査証跡ファイル XML 監査証跡ファイル ) に対する以下の操作監査証跡表 (SYS.AUD$ SYS.FGA_LOG$) の表領域移動手動パージパージスケジューラジョブの設定 OSおよびXML 監査証跡ファイルのファイルサイズ上限設定 Copyright 2011, Oracle. All rights reserved. 14

暗号化されていないデータファイルは直接参照することができる暗号化なし暗号化あり暗号化されていないデータは

18 バージョン別の使用可能な暗号化の機能 Oracle Database 9i Release 2 Oracle Database 10g Release 2 Oracle Database 11g Release 1 Oracle Database 11g Release 2 ハードウェア (XEON 56xx with AES-NI) による暗号化 / 複合表領域暗号化と圧縮機能 (Advanced Compression / HCC) Exadata に対応した暗号化表領域暗号化のハードウェアセキュリティモジュール (HSM) 対応表領域暗号化 SecureFiles の暗号化対応列暗号化のハードウェアセキュリティモジュール (HSM) 対応列暗号化ネットワーク通信データの暗号化強力なユーザー認証機能 Copyright 2011, Oracle. All rights reserved. 18

Enterprise Manager から暗号化の設定が可能 Enterprise Manager の GUI から暗号化の設定

列暗号化 (10g~) サーバープロセス内で列暗号鍵を用いて列単位でデータを暗号化 /

復号 (Decrypt) ディクショナリ列暗号化鍵解読可能 SQL> insert

CARD_NO ---- -------------- 111 12345678

dbf CA5W %O=[N 'E:N,, I f :K9J @YPA "79A

21 列暗号化 (10g~) サーバープロセス内で列暗号鍵を用いて列単位でデータを暗号化 / 復号マスター鍵によって列暗号鍵を暗号化することで二重にデータを保護暗号化 / 復号処理はサーバプロセス内で自動的に実行されるためクライアント側で運用中に意識する必要は無いサーバープロセス暗号化 (Encrypt) 復号 (Decrypt) ディクショナリ列暗号化鍵解読可能 SQL> insert into CREDIT (ID,CARD_NO) values (111, ); SQL> commit; SQL> select ID,CARD_NO from CREDIT where ID=111; ID CARD_NO マスター鍵 #strings /oracle/app/oradata/users.dbf CA5W %O=[N 'E:N,, I f "79A 解読不可能 + O データベース (users.dbf データファイル ) Wallet 平文データ暗号化データ Copyright 2011, Oracle. All rights reserved. 21

22 表領域暗号化 (11g~) データブロック単位での暗号化ディスク I/O 時に処理解読可能表領域に格納されるすべてのオブジェクトが暗号化されるデータファイル REDO ログアーカイブログファイル一時表領域の暗号化も暗号化サーバープロセス SGA マスター鍵 Wallet CA5W%O=[N'E O 解読不可能暗号 (Encrypt) 復号 (Decrypt) データファイル表領域暗号化鍵平文データ暗号化データ Copyright 2011, Oracle. All rights reserved. 22

23 列暗号化と表領域暗号化の性能への影響検証結果の詳細暗号化なし 1 列暗号化 2 列暗号化 4 列暗号化表領域暗号化バッチ処理に関する処理時間の比較 ( 列暗号化とは 10g~ 表領域暗号化は 11g~) INSERT 文を数十万回実行する処理を実行し暗号化なしの場合を 1 としたときの相対処理時間を列暗号化 (1,2,4 列 ) 表領域暗号化の場合で比較 Copyright 2011, Oracle. All rights reserved. 23

ハードウェアによる高速な暗号化 / 復号の実現 AES-NI (Advanced Encryption Standard New Instructions) Intel Xeon プロセッサー 5600 番台から搭載された新しい命令セット暗号化 / 復号処理をプロセッサー側で高速処理 Oracle Databaseの暗号化機能と組み合わせた高速な処理暗号化 10 倍高速復号 8 倍高速

24 ハードウェアによる高速な暗号化 / 復号の実現 AES-NI (Advanced Encryption Standard New Instructions) Intel Xeon プロセッサー 5600 番台から搭載された新しい命令セット暗号化 / 復号処理をプロセッサー側で高速処理 Oracle Databaseの暗号化機能と組み合わせた高速な処理暗号化 10 倍高速復号 8 倍高速インテル Xeon プロセッサー X Oracle Database 11g R2 ( ) Enterprise Edition - 表領域暗号化 AES-256 テスト内容万行を空のテーブルに INSERT 処理 (30 回 ) 万行をテーブルから SELECT 処理出典インテル AES-NI を使用した企業のセキュリティ保護 Copyright 2011, Oracle. All rights reserved. 24

25 列暗号化 (10g) 表領域暗号化 (11g) の比較列暗号化 (10g) 表領域暗号化 (11g) 暗号化のタイミング行アクセス時データブロックに対する I/O 発生時アルゴリズム 3DES168, AES128,AES192,AES256 暗号化により保護される場所データサイズ性能への影響対象オブジェクトメモリディスク暗号化対象データの量に比例して増加暗号化列へのアクセス頻度に応じて劣化列のみ暗号化列に対する索引は B-Tree 索引の一意検索のみ可能ディスク暗号化前と変わらない暗号化表領域のディスク I/O 頻度に応じて劣化表領域内のすべてのオブジェクト BITMAP 索引の作成や B-Tree 索引の範囲検索も利用可能 Copyright 2011, Oracle. All rights reserved. 25

26 暗号化と運用の連携強化 (11g~) 暗号化機能と運用に必要な機能は連携できる DataPumpダンプファイルの完全暗号化 Secure Files/LOBの暗号化 - 顔写真医療情報などのバイナリデータの暗号化を実現 Enterprise Manager GUIのTDEサポート LogMiner/Logical Standby/Oracle Streams 対応 - 変更履歴をLogMinerで復号し分析 - Data Guardと暗号化の併用 Hardware Security Module (HSM) サポート Copyright 2011, Oracle. All rights reserved. 26

28 暗号鍵の管理 Hardware Security Module (HSM) をサポート Wallet を Hardware Security Module(HSM) で代替することが可能マスター鍵が HSM で管理される HSM とは PKCS#11 標準インタフェースで通信するマスター鍵を使用した暗号化 / 復号は HSM 内部でのみ行われるため処理の過程でマスター鍵が外部に流出しない分散環境 (RAC/DataGuard) でマスター鍵共有に利用可能 Copyright 2011, Oracle. All rights reserved. 28

31 バージョンアップごとに進化するアクセス制御権限の最小化 - システム権限オブジェクト権限を必要最小限の付与ビューを用いたアクセス制御 - テーブルに権限を与えるのでなく必要な行列のみに絞り込んだビューに権限許可 Virtual Private Database (VPD) による行レベルのアクセス制御 - ユーザーアプリケーション毎にアクセスできる行を制御 Database Vault によるポリシーベースのアクセス制御 - 曜日時間帯ユーザーアクセス元の情報等を組み合わせた複雑なポリシーに基づき管理者も制御できる強制アクセス制御 Copyright 2011, Oracle. All rights reserved. 31

32 Database Vault による強制アクセス制御 (10gR2~) アクセス権限の付与セキュリティ管理者 ( セキュリティポリシーの設定 ) 財務関連のデータ財務システムアプリケーション管理者 DB のシステム関連データデータベース管理者保護したいデータをコンパートメント化することによって実現隔離されたデータは特権ユーザでもアクセス不可能 Copyright 2011, Oracle. All rights reserved. 32

36 Database Vault の運用と連携する機能 Data Pumpサポート Job Schedulerサポート新しいDatabase Vaultロールの追加パッチの適用が容易に Oracle Enterprise Managerとの統合 ENABLE DISABLE 操作の簡素化 DVSYSスキーマ保護の強化 Copyright 2011, Oracle. All rights reserved. 36

37 Oracle Database Vault の職務分掌 1 人のDBAが全て行っていた管理作業を管理者用のロールに分割し予め複数のユーザに割り当てることで職務分掌を実現 Oracle Database Vault のデータベース管理いままでのデータベース管理データベース管理セキュリティポリシー管理ユーザーアカウント管理アプリケーションデータの管理データベース管理起動 / 停止セキュリティポリシー管理ユーザーアカウント管理データベース管理者セキュリティ管理者アカウント管理者アプリケーションデータへのアクセス権限管理アプリケーション管理者 Copyright 2011, Oracle. All rights reserved. 37

39 事前に定義された Database Vault のポリシー Oracle E-Business Suite 11i / R12 PeopleSoft Applications Siebel, i-flex JD Edwards Enterprise One SAP Infosys Finacle アプリケーションごとに事前に定義された Database Vault のポリシーを提供 Copyright 2011, Oracle. All rights reserved. 39

あらかじめセットされているクリティカルパッチオープンポートデフォルトのパスワード変更

43 Enterprise Manager によるセキュリティ管理 Configuration Management Pack によりセキュリティ状態を一元管理し各データベースのポリシー遵守状況を診断管理すべきセキュリティ項目が 100 項目以上あらかじめセットされているクリティカルパッチオープンポートデフォルトのパスワード変更セキュリティ項目を自動的に分析してスコア化 ( データベースのセキュリティ点数 ) Copyright 2011, Oracle. All rights reserved. 43

列の追加や列定義の変更を検知プロシージャのソースの差分を検出開発機と本番機の構成の比較反映

44 Enterprise Manager によるセキュリティ管理 Change Management Pack によりデータベースオブジェクトの変更を適切に管理 ( 開発時などにも有効な変更管理 ) 列の追加や列定義の変更を検知プロシージャのソースの差分を検出開発機と本番機の構成の比較反映過去の構成と現在の構成の比較反映 Copyright 2011, Oracle. All rights reserved. 44

45 まとめ : データベースセキュリティ機能の変遷 Network の暗号化認証機能ファイングレイン監査 R で拡張 (DML に対応 ) DBA 監査 (R9.2.0~) 9i 10g 10gR2 11g~ Virtual Private Database (VPD) R で拡張 ( 列レベル VPD) Oracle Label Security 9.0.1~ 標準データベース監査機能 PL/SQL 暗号化ツールキット R で拡張 (DBMS_CRYPTO 追加 ) Oracle Database Vault (R ~) Audit Vault (R ~) Transparent Date Encryption (TDE) RMAN によるバックアップの暗号化表領域暗号化 TDE の拡張 Copyright 2011, Oracle. All rights reserved. 45

OTN ダイセミでスキルアップ!! 一般的な技術問題解決方法などを知りたい! セミナ資料など技術コンテンツがほしい!

categoryid=484 一般的技術問題解決には OTN 掲示版のデータベース一般をご活用ください OTN 掲示版は基本的に Oracle ユーザー有志からの回答となるため

com/technetwork/jp/testcontent/index-086873-ja.

46 OTN ダイセミでスキルアップ!! 一般的な技術問題解決方法などを知りたい! セミナ資料など技術コンテンツがほしい! Oracle Technology Network(OTN) を御活用下さい一般的技術問題解決には OTN 掲示版のデータベース一般をご活用ください OTN 掲示版は基本的に Oracle ユーザー有志からの回答となるため 100% 回答があるとは限りませんただ過去の履歴を見ると質問の大多数に関してなんらかの回答が書き込まれております過去のセミナ資料動画コンテンツは OTN の OTN セミナーオンデマンドコンテンツへダイセミ事務局にダイセミ資料を請求頂いてもお受けできない可能性がございますので予めご了承くださいダイセミ資料は OTN コンテンツオンデマンドかセミナ実施時間内にダウンロード頂くようお願い致します Copyright 2011, Oracle. All rights reserved. 46

OTN セミナーオンデマンドコンテンツダイセミで実施された技術コンテンツを動画で配信中!

47 OTN セミナーオンデマンドコンテンツダイセミで実施された技術コンテンツを動画で配信中!! ダイセミのライブ感はそのままにお好きな時間で受講頂けます最新情報つぶやき中 oracletechnetjp 人気コンテンツは? お勧め情報公開予告など OTN オンデマンド掲載のコンテンツ内容は予告なく変更になる可能性があります期間限定での配信コンテンツも含まれておりますお早めにダウンロード頂くことをお勧めいたします Copyright 2011, Oracle. All rights reserved. 47

Oracle エンジニアのための技術情報サイトオラクルエンジニア通信 http://blogs.oracle.

48 Oracle エンジニアのための技術情報サイトオラクルエンジニア通信最新情報つぶやき中 oracletechnetjp 技術資料ダイセミの過去資料や製品ホワイトペーパースキルアップ資料などを多様な方法で検索できますキーワード検索レベル別カテゴリ別製品機能別コラムオラクル製品に関する技術コラムを毎週お届けします決してニッチではなく誰もが明日から使える技術のあそうだったんだ! をお届けしますオラクルエンジニア通信こんな資料が人気です 6か月ぶりに資料ダウンロードランキングの首位が交代! 新王者はOracle Database 構築資料でしたデータベースの性能管理手法について Statspack 派も Enterprise Manager 派も目からウロコの技術特集公開中 Copyright 2011, Oracle. All rights reserved. 48

Server からの移行支援サービス DB2 からの移行支援サービス Sybase

からの移行支援サービス Access からの移行支援サービス Oracle Direct

ServerからWeblogicへ移行支援サービス NEW システム構成診断サービス Oracle

メインフレーム資産活用相談サービス BI EE アセスメントサービス簡易業務診断サービス

49 IT プロジェクト全般に渡る無償支援サービスパフォーマンス診断サービス Web システムボトルネック診断サービスデータベースパフォーマンス診断サービス移行支援サービス SQL Server からの移行支援サービス DB2 からの移行支援サービス Sybase からの移行支援サービス MySQL からの移行支援サービス Postgre SQL からの移行支援サービス Access からの移行支援サービス Oracle Direct Concierge サービス NEW Oracle Application ServerからWeblogicへ移行支援サービス NEW システム構成診断サービス Oracle Database 構成相談サービスサーバー統合支援サービス仮想化アセスメントサービスメインフレーム資産活用相談サービス BI EE アセスメントサービス簡易業務診断サービスバージョンアップ支援サービス Oracle Database バージョンアップ支援サービス Weblogic Server バージョンアップ支援サービス Oracle Developer/2000(Froms/Reports) Web アップグレード相談サービス NEW オラクル社のエンジニアが直接ご支援しますお気軽にご活用ください! オラクル無償支援検索 Copyright 2011, Oracle. All rights reserved. 49

1 日 5 組限定! 製品無償評価サービス提供シナリオ一例データベースチューニング無停止アップグレードアプリケーション性能負荷検証 Webシステム障害解析インストールすることなくすぐに体験いただけますサービスご提供までの流れ 1. お問合せフォームより製品評価サービス希望と必要事項を明記し送信下さい 2. 弊社より接続方法手順書およびハンズオン手順書を送付致します 3.

50 1 日 5 組限定! 製品無償評価サービス提供シナリオ一例データベースチューニング無停止アップグレードアプリケーション性能負荷検証 Webシステム障害解析インストールすることなくすぐに体験いただけますサービスご提供までの流れ 1. お問合せフォームより製品評価サービス希望と必要事項を明記し送信下さい 2. 弊社より接続方法手順書およびハンズオン手順書を送付致します 3. 当日は弊社サーバー環境でインターネット越しに製品を体感頂けます Web 問い合わせフォームサービスご提供には事前予約が必要ですダイデモをキーワードに検索することで申し込みホームページにアクセスできます Copyright 2011, Oracle. All rights reserved. 50

あなたにいちばん近いオラクル Oracle Direct まずはお問合せください Oracle Direct 検索システムの検討構築から運用まで ITプロジェクト全般の相談窓口としてご支援いたしますシステム構成やライセンス / 購入方法などお気軽にお問い合わせ下さい Web 問い合わせフォームフリーダイヤル専用お問い合わせフォームにてご相談内容を承ります http://www.

51 あなたにいちばん近いオラクル Oracle Direct まずはお問合せください Oracle Direct 検索システムの検討構築から運用まで ITプロジェクト全般の相談窓口としてご支援いたしますシステム構成やライセンス / 購入方法などお気軽にお問い合わせ下さい Web 問い合わせフォームフリーダイヤル専用お問い合わせフォームにてご相談内容を承りますこちらから詳細確認のお電話を差し上げる場合がありますのでご登録されている連絡先が最新のものになっているかご確認下さい月曜 ~ 金曜 9:00~12:00 13:00~18:00 ( 祝日および年末年始除く ) Copyright 2011, Oracle. All rights reserved. 51

Slide 1

Oracle Direct Seminar CISSP が語る! バージョン毎の DB セキュリティの変遷と運用対策日本オラクル株式会社データベースソリューション本部田口裕也 CISSP 以下の事項は弊社の一般的な製品の方向性に関する概要を説明するものですまた情報提供を唯一の目的とするものでありいかなる契約にも組み込むことはできません以下の事項は